Chain of Custody bezeichnet die nachvollziehbare Dokumentation des Umgangs mit einem Beweismittel von seiner Übernahme über die Sicherung und Untersuchung bis zu seiner Rückgabe, Archivierung oder weiteren Übergabe. In der digitalen Forensik wird dafür häufig auch der Begriff Beweismittelkette verwendet.

Die zentrale Frage lautet dabei nicht nur, welche digitalen Spuren gefunden wurden. Ebenso muss nachvollziehbar sein, welches Gerät oder welcher Datenbestand untersucht wurde, wann er übernommen wurde, wer Zugriff darauf hatte, welche Sicherungen erstellt wurden und auf welcher Grundlage die spätere Analyse erfolgte.

Eine sauber dokumentierte Chain of Custody schafft damit einen nachvollziehbaren Zusammenhang zwischen dem ursprünglichen Untersuchungsobjekt und dem später präsentierten forensischen Ergebnis. Sie ist ein wesentlicher Bestandteil professioneller IT-Forensik.

Was bedeutet Chain of Custody?

Der englische Begriff Chain of Custody lässt sich mit Beweismittelkette oder Gewahrsamskette übersetzen. Gemeint ist eine fortlaufende Dokumentation darüber, was mit einem potenziellen Beweismittel geschehen ist.

Bei einem digitalen Untersuchungsobjekt kann dies beispielsweise ein Notebook, eine Festplatte, ein Smartphone, ein USB-Stick, eine Speicherkarte oder ein forensisches Image sein.

Dokumentiert werden insbesondere die Identität des Untersuchungsobjekts, dessen Übernahme, relevante Übergaben, Zugriffe, Sicherungsmaßnahmen und weitere Bearbeitungsschritte.

Ziel ist, dass ein fachkundiger Dritter später nachvollziehen kann, welchen Weg das Beweismittel genommen hat und auf welcher Datenbasis die Untersuchung durchgeführt wurde.

Warum ist die Chain of Custody in der digitalen Forensik besonders wichtig?

Digitale Informationen unterscheiden sich in einem entscheidenden Punkt von vielen klassischen Beweismitteln: Sie lassen sich schnell kopieren, verändern oder löschen.

Eine Datei kann innerhalb von Sekunden vervielfältigt werden. Metadaten können sich verändern. Betriebssysteme führen teilweise automatisch Schreibvorgänge aus. Ein Smartphone kann Daten mit Cloud-Diensten synchronisieren. Bei einem laufenden Computer verändern sich fortlaufend Systemzustände.

Deshalb reicht es nicht aus, am Ende einer Untersuchung lediglich einen interessanten Fund zu präsentieren.

Es sollte nachvollziehbar sein, woher die zugrunde liegenden Daten stammen und wie mit ihnen während der Untersuchung umgegangen wurde.

Ist Chain of Custody dasselbe wie Beweissicherung?

Nein. Beide Bereiche hängen eng zusammen, beschreiben aber nicht dasselbe.

Die forensische Beweissicherung betrifft die technische Erfassung und Erhaltung relevanter Daten. Dazu können beispielsweise eine sektorweise Datenträgersicherung, eine Smartphone-Extraktion oder die Sicherung bestimmter Logdaten gehören.

Die Chain of Custody dokumentiert dagegen den Umgang mit dem Beweismittel und gegebenenfalls den daraus erzeugten Sicherungen.

Eine technisch einwandfreie Datensicherung kann deshalb trotzdem unzureichend dokumentiert sein. Umgekehrt ersetzt eine perfekte Übergabedokumentation keine fachgerechte technische Sicherung.

Wo beginnt die Beweismittelkette?

Idealerweise beginnt die Dokumentation bereits bei der ersten kontrollierten Übernahme des Untersuchungsobjekts.

Dabei sollte eindeutig festgestellt werden, welches Objekt übergeben wurde und in welchem Zustand es sich befand.

Bei einem Notebook können beispielsweise Hersteller, Modell und Seriennummer relevant sein. Bei einem Smartphone können Hersteller, Modell, IMEI oder andere eindeutige Gerätekennungen dokumentiert werden, soweit sie verfügbar und für den Fall erforderlich sind.

Bei ausgebauten Datenträgern können Modellbezeichnung, Seriennummer, Kapazität und Schnittstelle zur eindeutigen Identifikation beitragen.

Welche Informationen gehören in eine Chain-of-Custody-Dokumentation?

Der notwendige Umfang hängt vom Untersuchungsfall ab. Typischerweise sollte nachvollziehbar sein, welches Beweismittel übernommen wurde, von wem es stammt, wann die Übernahme erfolgte und wer es entgegengenommen hat.

Hinzu kommen gegebenenfalls Informationen zum Zustand des Geräts, zu vorhandenen Beschädigungen, zum Betriebszustand, zu Zubehör oder zu Besonderheiten bei der Übergabe.

Weitere Einträge können dokumentieren, wann eine Sicherung erstellt wurde, welche Person sie durchgeführt hat, welches Verfahren eingesetzt wurde, welche forensischen Images oder Extraktionen entstanden sind und an wen das Beweismittel anschließend übergeben wurde.

Warum muss ein Beweismittel eindeutig gekennzeichnet werden?

In einem größeren Untersuchungsfall können zahlreiche Geräte vorhanden sein. Mehrere baugleiche Notebooks oder Smartphones sind keine Seltenheit.

Eine Beschreibung wie „schwarzes iPhone“ oder „Laptop des Mitarbeiters“ reicht dann nicht aus.

Das Untersuchungsobjekt sollte eine eindeutige Beweismittelkennung erhalten. Diese Kennung kann anschließend in Sicherungsprotokollen, Arbeitsunterlagen, Image-Bezeichnungen und Berichten verwendet werden.

Dadurch wird das Risiko reduziert, Geräte oder Datenbestände miteinander zu verwechseln.

Warum sollte der Zustand eines Geräts bei der Übernahme dokumentiert werden?

Der Zustand eines digitalen Geräts kann Einfluss auf die spätere Sicherungsmethode haben.

Bei einem Smartphone kann beispielsweise relevant sein, ob es eingeschaltet oder ausgeschaltet, gesperrt oder entsperrt ist.

Bei einem Computer kann ein laufendes und bereits entschlüsseltes System andere Sicherungsmöglichkeiten bieten als ein ausgeschaltetes Gerät.

Auch sichtbare Beschädigungen oder fehlende Komponenten können für die spätere Bewertung wichtig sein.

Warum können Fotos bei der Beweismittelübernahme sinnvoll sein?

Fotografien können die schriftliche Dokumentation ergänzen. Sie können beispielsweise den äußerlichen Zustand eines Geräts, angeschlossene Komponenten, Beschädigungen oder sichtbare Gerätekennzeichnungen dokumentieren.

Ein Foto ersetzt jedoch nicht die eindeutige schriftliche Identifikation und die weitere Beweismitteldokumentation.

Was bedeutet Beweismittelintegrität?

Beweismittelintegrität bedeutet, dass nachvollzogen werden kann, ob sich ein relevanter digitaler Datenbestand gegenüber einem definierten Referenzzustand verändert hat.

Hier kommen kryptografische Hashwerte zum Einsatz. Wird bei einer forensischen Sicherung beispielsweise ein SHA-256-Wert erzeugt, kann dieser später erneut berechnet und mit dem dokumentierten Referenzwert verglichen werden.

Stimmen beide Werte überein, spricht dies sehr stark dafür, dass der geprüfte Datenbestand gegenüber dem Referenzzustand unverändert geblieben ist.

Kann ein Hashwert die Chain of Custody ersetzen?

Nein. Ein Hashwert und eine Chain of Custody erfüllen unterschiedliche Aufgaben.

Ein Hashwert kann die Integrität einer definierten Datenmenge überprüfen. Er sagt jedoch nicht, wer das Beweismittel besessen hat, wann es übergeben wurde oder wer Zugriff darauf hatte.

Die Beweismittelkette dokumentiert dagegen den organisatorischen und tatsächlichen Umgang mit dem Untersuchungsobjekt.

Professionelle digitale Beweissicherung verbindet deshalb technische Integritätskontrollen mit nachvollziehbarer Beweismitteldokumentation.

Was ist der Unterschied zwischen Originalbeweismittel und forensischem Image?

Das Originalbeweismittel ist das ursprünglich übernommene Untersuchungsobjekt, beispielsweise eine Festplatte.

Von diesem Datenträger kann eine forensische Sicherung erstellt werden. Das daraus entstandene Image ist ein eigenständiger digitaler Beweisbestand, der eindeutig dem Original zugeordnet werden sollte.

Die Dokumentation sollte deshalb erkennen lassen, von welchem Beweismittel ein Image stammt, wann es erzeugt wurde und welche Integritätswerte dazu gehören.

Warum sollte möglichst nicht direkt auf dem Original analysiert werden?

Bei klassischen Datenträgern besteht ein wesentliches Ziel darin, unnötige Veränderungen am Original zu vermeiden.

Deshalb kann zunächst eine forensische Sicherung erstellt und die eigentliche Untersuchung anschließend auf einer Arbeitskopie durchgeführt werden.

Das Original beziehungsweise die primäre Sicherung kann dadurch als Referenz erhalten bleiben.

Ob dieses Vorgehen technisch möglich und sinnvoll ist, hängt allerdings von der Geräteklasse und der konkreten Untersuchungsmethode ab.

Was ist eine Arbeitskopie?

Eine Arbeitskopie ist ein Datenbestand, der für die eigentliche Analyse verwendet wird, während die ursprüngliche forensische Sicherung unverändert aufbewahrt werden kann.

Diese Trennung bietet einen praktischen Vorteil: Sollte die Arbeitskopie beschädigt werden oder soll die Untersuchung mit einem anderen Werkzeug wiederholt werden, kann aus der unveränderten Sicherung eine neue Arbeitsgrundlage erzeugt werden.

Wie wird eine Übergabe dokumentiert?

Bei einer Übergabe sollte nachvollziehbar sein, welches Beweismittel oder welcher Datenbestand übergeben wurde, wer ihn übergeben und wer ihn übernommen hat und wann dies erfolgte.

Je nach Fall können zusätzlich Zweck, Verpackungszustand oder andere Besonderheiten dokumentiert werden.

Die Dokumentation sollte so eindeutig sein, dass die betreffende Übergabe später einem konkreten Beweismittel zugeordnet werden kann.

Was passiert bei einem Versand des Beweismittels?

Digitale Untersuchungsobjekte werden häufig per Paketdienst an ein forensisches Labor versandt.

In diesem Fall endet die Beweismittelkette nicht automatisch beim Versand. Vielmehr sollte nachvollziehbar dokumentiert werden, wann das Paket eingegangen ist, wer es entgegengenommen hat und welche Beweismittel sich darin befanden.

Auch der äußerliche Zustand der Verpackung kann bei Auffälligkeiten dokumentiert werden.

Muss jede Person dokumentiert werden, die ein Beweismittel berührt?

Entscheidend ist eine nachvollziehbare Dokumentation relevanter Zugriffe und Verantwortungswechsel.

Wie detailliert dies erfolgen muss, hängt vom konkreten Untersuchungsumfeld und den Anforderungen des Falls ab.

Bei besonders sensiblen oder potenziell gerichtsrelevanten Untersuchungen sollte klar erkennbar bleiben, welche Personen Zugriff auf Originale und zentrale Sicherungsbestände hatten.

Was bedeutet Zugriffskontrolle bei digitalen Beweismitteln?

Zugriffskontrolle bedeutet, dass digitale Beweismittel nicht beliebig für unberechtigte Personen zugänglich sein sollten.

Dies betrifft sowohl physische Geräte als auch forensische Images und exportierte Untersuchungsergebnisse.

Geeignete technische und organisatorische Maßnahmen können verhindern, dass Daten unbemerkt verändert, kopiert oder eingesehen werden.

Warum müssen auch digitale Kopien kontrolliert werden?

Ein physisches Smartphone lässt sich vergleichsweise einfach als einzelnes Objekt erkennen. Ein forensisches Image kann dagegen ohne sichtbare Spuren beliebig oft kopiert werden.

Gerade deshalb müssen auch digitale Beweisbestände eindeutig bezeichnet und kontrolliert gespeichert werden.

Die Möglichkeit einer verlustfreien Kopie ist für die Forensik sehr wertvoll, verlangt aber gleichzeitig eine saubere Verwaltung der unterschiedlichen Datenstände.

Was bedeutet Reproduzierbarkeit?

Reproduzierbarkeit bedeutet, dass ein fachkundiger Dritter nachvollziehen können sollte, auf welcher Datenbasis und mit welchen wesentlichen Methoden ein Untersuchungsergebnis entstanden ist.

Das bedeutet nicht, dass jede Untersuchung zwangsläufig zu jedem Zeitpunkt exakt wiederholt werden kann. Insbesondere Live-Systeme, Cloud-Dienste und mobile Geräte können dynamische Zustände besitzen.

Eine gute Dokumentation verbessert jedoch erheblich die Möglichkeit, Untersuchungsschritte fachlich nachzuvollziehen.

Warum gehören Werkzeuge und Versionen in die Dokumentation?

Forensische Programme entwickeln sich kontinuierlich weiter. Unterschiedliche Versionen können neue Dateiformate unterstützen, Artefakte anders interpretieren oder Fehlerkorrekturen enthalten.

Bei relevanten Untersuchungsschritten kann es deshalb sinnvoll sein, das verwendete Werkzeug und dessen Version zu dokumentieren.

Damit lässt sich später besser nachvollziehen, unter welchen technischen Bedingungen ein Ergebnis entstanden ist.

Was ist bei Smartphones anders?

Bei der Smartphone-Forensik ist die Beweismittelkette besonders anspruchsvoll, weil mobile Geräte ihren Zustand fortlaufend verändern können.

Ein eingeschaltetes Smartphone kann Netzwerkverbindungen aufbauen, Nachrichten empfangen, Daten synchronisieren oder Hintergrundprozesse ausführen.

Auch ein Neustart kann den kryptografischen Zustand und damit die Möglichkeiten einer späteren Extraktion verändern.

Deshalb sollte bereits der Zustand des Geräts bei der Übernahme möglichst genau dokumentiert werden.

Warum ist der Sperrzustand eines Smartphones relevant?

Bei modernen Smartphones kann es technisch einen erheblichen Unterschied machen, ob ein Gerät seit dem letzten Neustart bereits erfolgreich entsperrt wurde.

Bestimmte kryptografische Schlüssel und Datenklassen können abhängig vom Gerätezustand unterschiedlich verfügbar sein.

Der Zustand bei der Übernahme kann deshalb sowohl für die Sicherungsstrategie als auch für die spätere Dokumentation relevant sein.

Sollte ein Smartphone für die Beweissicherung ausgeschaltet werden?

Eine pauschale Regel wäre fachlich falsch.

Bei einem eingeschalteten und entsperrten Gerät kann ein Ausschalten wertvolle Zugriffsmöglichkeiten verändern. Andererseits können bei einem laufenden Gerät neue Daten eingehen oder Synchronisationsprozesse stattfinden.

Die geeignete Vorgehensweise hängt deshalb von Gerät, Zustand, Sicherheitsarchitektur und Untersuchungsziel ab.

Welche Rolle spielt die Chain of Custody bei Datendiebstahl?

Bei der Untersuchung eines möglichen Datendiebstahls können mehrere Geräte und Datenquellen beteiligt sein.

Beispielsweise können ein Firmenrechner, externe Datenträger, ein Smartphone und Serverprotokolle untersucht werden.

Damit später nachvollziehbar bleibt, welcher Befund aus welcher Quelle stammt, müssen die verschiedenen Untersuchungsobjekte eindeutig voneinander getrennt und dokumentiert werden.

Was passiert, wenn mehrere baugleiche Geräte untersucht werden?

Gerade bei Unternehmensuntersuchungen können mehrere identische Notebooks oder Smartphones vorhanden sein.

Eine eindeutige Beweismittelnummer und technische Gerätekennungen verhindern, dass Untersuchungsergebnisse dem falschen Gerät zugeordnet werden.

Die Gerätebezeichnung sollte während des gesamten Untersuchungsprozesses konsistent verwendet werden.

Welche Rolle spielen Seriennummern?

Seriennummern können helfen, ein physisches Gerät eindeutig zu identifizieren.

Sie sollten allerdings nicht als einzige Dokumentationsinformation betrachtet werden. Modell, Geräteart, Beweismittelkennung und weitere Merkmale können die Zuordnung ergänzen.

Welche Rolle spielen IMEI und andere Smartphone-Kennungen?

Bei mobilen Geräten können IMEI, Seriennummer und andere gerätespezifische Kennungen zur Identifikation beitragen.

Welche Kennungen tatsächlich dokumentiert werden können und sollten, hängt vom Gerät, vom Zugriffszustand und vom Untersuchungsauftrag ab.

Was ist bei Cloud-Daten zu beachten?

Bei Cloud-Daten existiert häufig kein physischer Datenträger, der vom Untersucher übernommen werden kann.

Die Beweismittelkette muss deshalb stärker auf die Herkunft und den Sicherungsprozess des digitalen Datenbestands ausgerichtet werden.

Relevant können beispielsweise das verwendete Konto, der Zeitpunkt der Sicherung, die verwendete Schnittstelle, das eingesetzte Werkzeug und die erzeugten Exportdateien sein.

Warum ist der Zeitpunkt einer Cloud-Sicherung wichtig?

Cloud-Daten sind dynamisch. Nachrichten können hinzukommen, Dateien können verändert und Kontoeinstellungen angepasst werden.

Eine Sicherung bildet deshalb einen bestimmten verfügbaren Zustand zu einem bestimmten Zeitpunkt ab.

Dieser Zeitpunkt sollte nachvollziehbar dokumentiert werden.

Was ist bei E-Mail-Beweismitteln zu beachten?

Bei E-Mails reicht ein Ausdruck oder Screenshot für eine tiefgehende technische Untersuchung häufig nicht aus.

Je nach Fragestellung können vollständige Nachrichten einschließlich Headerinformationen, Mailboxdaten oder serverseitige Informationen relevant sein.

Die Chain of Custody sollte erkennen lassen, aus welcher Quelle die untersuchten E-Mail-Daten stammen und auf welchem Weg sie gesichert wurden.

Was ist bei Screenshots zu beachten?

Ein Screenshot dokumentiert lediglich eine sichtbare Darstellung zu einem bestimmten Zeitpunkt. Er enthält nicht automatisch sämtliche technischen Informationen der zugrunde liegenden Daten.

Ein Screenshot eines Messenger-Chats ist deshalb nicht mit einer forensischen Extraktion des betreffenden Geräts gleichzusetzen.

Für die Bewertung sollte nachvollziehbar bleiben, wer den Screenshot erstellt hat, von welchem System er stammt und ob weitere Originaldaten verfügbar sind.

Kann eine Chain of Custody nachträglich erstellt werden?

Vergangene Vorgänge können nachträglich dokumentiert werden, wenn verlässliche Informationen darüber vorhanden sind.

Eine rückwirkende Dokumentation ist jedoch nicht dasselbe wie eine zeitnah geführte Beweismittelkette.

Fehlende Informationen sollten nicht durch Annahmen ergänzt werden. Wenn ein Abschnitt der Beweismittelkette nicht sicher rekonstruiert werden kann, sollte diese Unsicherheit offen dokumentiert werden.

Was ist eine Unterbrechung der Chain of Custody?

Von einer Lücke kann gesprochen werden, wenn für einen relevanten Zeitraum nicht nachvollziehbar ist, wer ein Beweismittel kontrolliert hat oder was damit geschehen ist.

Die Bedeutung einer solchen Lücke hängt vom konkreten Fall ab.

Sie bedeutet nicht automatisch, dass die digitalen Daten manipuliert wurden. Sie kann aber Fragen zur Nachvollziehbarkeit und zum Beweiswert aufwerfen.

Macht eine Lücke das gesamte Beweismittel wertlos?

Das lässt sich nicht pauschal beantworten.

Eine unvollständige Dokumentation bedeutet nicht automatisch, dass ein technischer Befund falsch ist. Die Auswirkungen hängen unter anderem davon ab, welche Information fehlt, ob Integritätswerte vorhanden sind und ob andere Umstände den Datenbestand nachvollziehbar absichern.

Die rechtliche Würdigung ist zudem eine andere Frage als die technische Bewertung.

Ist eine lückenlose Chain of Custody automatisch ein Beweis für die Richtigkeit der Analyse?

Nein. Eine perfekte Beweismittelkette kann eine fehlerhafte technische Interpretation nicht korrigieren.

Die Chain of Custody dokumentiert den Umgang mit dem Beweismittel. Ob eine forensische Analyse fachlich richtig ist, hängt von Untersuchungsmethode, Werkzeugen, Datenqualität und Interpretation ab.

Ist Chain of Custody automatisch gleichbedeutend mit Gerichtsverwertbarkeit?

Nein. Die Beweismittelkette ist ein wichtiger Bestandteil einer nachvollziehbaren digitalen Untersuchung, entscheidet aber nicht allein über die rechtliche Verwertbarkeit.

Diese kann von weiteren Faktoren abhängen, darunter die Herkunft der Daten, die Rechtmäßigkeit ihrer Erlangung, die konkrete Verfahrensart und die Bewertung durch das zuständige Gericht.

Technische Forensik und rechtliche Beweiswürdigung müssen deshalb voneinander unterschieden werden.

Welche Rolle hat ein Sachverständiger?

Ein Sachverständiger muss nicht nur technische Ergebnisse erzeugen, sondern deren Entstehung nachvollziehbar darstellen können.

Das betrifft insbesondere die Identifikation des Untersuchungsobjekts, die Datensicherung, wesentliche Untersuchungsschritte und die fachliche Interpretation der gefundenen Spuren.

Bei einem Sachverständigenbüro für IT- und Mobile-Forensik ist eine nachvollziehbare Dokumentation deshalb nicht bloß Verwaltungsarbeit, sondern Teil der methodischen Qualität.

Praxisbeispiel: Firmen-Notebook bei Verdacht auf Datenabfluss

Ein Unternehmen übergibt ein Notebook, das von einem ausgeschiedenen Mitarbeiter genutzt wurde. Es besteht der Verdacht, dass vertrauliche Unternehmensdaten auf externe Datenträger übertragen wurden.

Bei der Übernahme wird das Notebook eindeutig gekennzeichnet. Hersteller, Modell, Seriennummer und äußerlicher Zustand werden dokumentiert.

Der Datenträger wird anschließend unter kontrollierten Bedingungen forensisch gesichert. Die erzeugte Sicherung erhält eine eindeutige Zuordnung zum ursprünglichen Beweismittel. Integritätswerte werden dokumentiert.

Die Analyse erfolgt auf einer dafür vorgesehenen Arbeitsgrundlage.

Im späteren Bericht kann dadurch nicht nur dargestellt werden, welche USB-Artefakte oder Dateizugriffe festgestellt wurden. Ebenso lässt sich nachvollziehen, von welchem konkreten Gerät die untersuchten Daten stammen.

Praxisbeispiel: Smartphone in einem Streitfall

Ein Smartphone wird zur Untersuchung übergeben, weil bestimmte Messenger-Kommunikation beweisrelevant sein könnte.

Bei der Übernahme wird dokumentiert, welches Gerät vorliegt und in welchem Zustand es sich befindet.

Die anschließende Extraktion wird dem konkreten Gerät und der verwendeten Methode zugeordnet.

Dadurch bleibt später nachvollziehbar, dass die ausgewerteten Nachrichten nicht aus einer beliebigen Exportdatei stammen, sondern aus einem dokumentierten Sicherungsvorgang des betreffenden Geräts.

Praxisbeispiel: zwei identische USB-Sticks

In einer Unternehmensuntersuchung werden zwei USB-Sticks desselben Herstellers und mit gleicher Kapazität übergeben.

Würden sie lediglich als „USB-Stick 1“ und „USB-Stick 2“ ohne weitere Identifikation behandelt, könnte eine spätere Verwechslung schwer erkennbar sein.

Eine eindeutige Beweismittelkennung und die Dokumentation technischer Identifikationsmerkmale reduzieren dieses Risiko.

Praxisbeispiel: Zweitgutachten nach mehreren Monaten

Mehrere Monate nach einer Untersuchung soll ein zweiter Sachverständiger die ursprünglichen Ergebnisse überprüfen.

Existieren eine nachvollziehbare Beweismitteldokumentation, die ursprüngliche Sicherung und passende Integritätswerte, kann der zweite Untersucher wesentlich besser nachvollziehen, welche Datenbasis der ersten Analyse zugrunde lag.

Fehlen dagegen Herkunftsinformationen und Zuordnungen, kann selbst ein technisch intaktes Image nur schwer in den ursprünglichen Sachverhalt eingeordnet werden.

Typische Fehler bei der Chain of Custody

Ein häufiger Fehler ist eine zu allgemeine Bezeichnung des Untersuchungsobjekts. Angaben wie „Handy des Kunden“ oder „Firmenlaptop“ können bei mehreren Geräten zu Verwechslungen führen.

Problematisch sind außerdem undokumentierte Übergaben, fehlende Zeitangaben, nicht zuordenbare forensische Images und unklare Dateinamen.

Auch ein Hashwert ohne eindeutige Information darüber, welcher Datenbestand gehasht wurde, besitzt nur eingeschränkten Dokumentationswert.

Ein weiterer Fehler besteht darin, die Chain of Custody erst am Ende einer Untersuchung rekonstruieren zu wollen. Eine zeitnahe Dokumentation ist wesentlich zuverlässiger.

Wie lässt sich eine gute Beweismittelkette praktisch organisieren?

Jedes Untersuchungsobjekt sollte unmittelbar nach der Übernahme eine eindeutige Kennung erhalten.

Diese Kennung sollte anschließend konsequent in Sicherungsprotokollen, Dateinamen, Arbeitsunterlagen und Berichten verwendet werden.

Übergaben und relevante Bearbeitungsschritte sollten zeitnah dokumentiert werden. Digitale Sicherungen sollten eindeutig ihrem Ursprungsobjekt zugeordnet sein.

Wo technisch sinnvoll, ergänzen Hashwerte diese Dokumentation durch eine überprüfbare Integritätskontrolle.

FAQ zur Chain of Custody

Was bedeutet Chain of Custody auf Deutsch?

Im Zusammenhang mit digitalen Beweismitteln wird Chain of Custody häufig mit Beweismittelkette oder Gewahrsamskette übersetzt.

Was ist eine digitale Beweismittelkette?

Sie dokumentiert nachvollziehbar, welches digitale Beweismittel übernommen wurde, wer damit umgegangen ist, welche Sicherungen entstanden sind und welche relevanten Übergaben oder Bearbeitungsschritte stattgefunden haben.

Warum braucht man eine Chain of Custody?

Sie hilft dabei, Herkunft und Umgang mit einem Beweismittel nachvollziehbar zu dokumentieren und das spätere Untersuchungsergebnis mit der ursprünglichen Datenquelle zu verbinden.

Beginnt die Chain of Custody erst im Forensiklabor?

Nicht zwingend. Idealerweise beginnt eine kontrollierte Dokumentation bereits bei der ersten relevanten Sicherstellung oder Übergabe des Untersuchungsobjekts.

Was muss bei der Geräteübernahme dokumentiert werden?

Mindestens sollte das Gerät eindeutig identifizierbar sein. Je nach Fall können Beweismittelkennung, Geräteart, Hersteller, Modell, Seriennummer, Zustand, Übergabezeitpunkt und beteiligte Personen relevant sein.

Was ist eine Beweismittelnummer?

Eine Beweismittelnummer beziehungsweise eindeutige Kennung dient dazu, ein Untersuchungsobjekt während des gesamten Prozesses unverwechselbar zu identifizieren.

Ist ein Hashwert Bestandteil der Chain of Custody?

Er kann ein wichtiger technischer Bestandteil der Integritätskontrolle sein. Er ersetzt jedoch nicht die Dokumentation von Übergaben und Zugriffen.

Kann ein Hashwert beweisen, wer Zugriff auf eine Festplatte hatte?

Nein. Ein Hashwert kann Datenintegrität überprüfen, enthält aber keine Information darüber, welche Person ein Gerät besessen oder darauf zugegriffen hat.

Muss das Originalbeweismittel immer untersucht werden?

Nein. Bei geeigneten Datenträgern kann zunächst eine forensische Sicherung erstellt und die Analyse anschließend auf einer Arbeitskopie durchgeführt werden.

Warum arbeitet man mit einer Kopie?

Dadurch kann das ursprüngliche Beweismittel beziehungsweise die primäre Sicherung möglichst unverändert erhalten bleiben, während die Analyse auf einer dafür vorgesehenen Arbeitsgrundlage erfolgt.

Muss auch eine Arbeitskopie dokumentiert werden?

Bei beweisrelevanten Untersuchungen sollte nachvollziehbar sein, aus welcher Ausgangssicherung die verwendete Arbeitskopie entstanden ist.

Was passiert, wenn die Chain of Custody eine Lücke hat?

Die Bedeutung hängt vom konkreten Fall ab. Eine Lücke beweist nicht automatisch eine Manipulation, kann aber die Nachvollziehbarkeit des Beweismittels beeinträchtigen.

Ist ein Beweismittel mit unterbrochener Chain of Custody automatisch unbrauchbar?

Nein. Eine solche pauschale Aussage wäre nicht fachgerecht. Die Auswirkungen müssen anhand der konkreten Umstände bewertet werden.

Ist Chain of Custody gesetzlich immer exakt vorgeschrieben?

Eine allgemeingültige Antwort für jeden denkbaren deutschen Untersuchungs- und Verfahrenskontext gibt es nicht. Die konkreten rechtlichen Anforderungen hängen vom jeweiligen Verfahren, Auftrag und Beweismittel ab.

Ist eine perfekte Chain of Custody automatisch gerichtsfest?

Nein. Sie verbessert die Nachvollziehbarkeit, ersetzt aber weder eine fachgerechte Sicherung noch eine korrekte Analyse oder die rechtliche Prüfung der Beweisverwertbarkeit.

Gilt die Chain of Custody auch für Smartphones?

Ja. Gerade bei Smartphones ist zusätzlich der Gerätezustand wichtig, weil Sperrstatus, Verschlüsselung, Netzwerkverbindungen und Neustarts die verfügbaren Daten beeinflussen können.

Gilt die Chain of Custody auch für Cloud-Daten?

Ja. Dort konzentriert sich die Dokumentation stärker auf Datenquelle, Benutzerkonto, Sicherungszeitpunkt, Akquisemethode und erzeugte Export- beziehungsweise Sicherungsbestände.

Gilt sie auch für E-Mails?

Ja. Bei beweisrelevanten E-Mail-Untersuchungen sollte nachvollziehbar sein, aus welcher Quelle die untersuchten Nachrichten stammen und wie sie gesichert wurden.

Reicht ein Screenshot als digitales Beweismittel?

Ein Screenshot kann eine sichtbare Information dokumentieren, besitzt aber nicht automatisch dieselbe technische Aussagekraft wie die zugrunde liegenden Originaldaten oder eine forensische Sicherung.

Wer sollte die Chain of Custody führen?

Die Verantwortlichkeiten sollten innerhalb des jeweiligen Untersuchungsprozesses eindeutig geregelt sein. Entscheidend ist, dass relevante Übergaben und Bearbeitungsschritte nachvollziehbar dokumentiert werden.

Wie lange muss eine Chain-of-Custody-Dokumentation aufbewahrt werden?

Das lässt sich nicht pauschal für jeden Fall beantworten. Aufbewahrungsfristen können von Auftrag, Vertragsverhältnis, Verfahrensart, Datenschutzanforderungen und weiteren rechtlichen Vorgaben abhängen.

Chain of Custody verbindet das Beweismittel mit dem Untersuchungsergebnis

Eine forensische Analyse ist nur so nachvollziehbar wie ihre Datenbasis. Deshalb muss nicht nur dokumentiert werden, was auf einem Gerät gefunden wurde. Ebenso wichtig ist die nachvollziehbare Zuordnung zwischen Untersuchungsobjekt, Sicherung und Analyse.

Eine professionelle Chain of Custody dokumentiert diesen Weg. Sie zeigt, welches Beweismittel übernommen wurde, wie es gekennzeichnet wurde, welche relevanten Übergaben stattfanden und welche Sicherungsbestände daraus entstanden sind.

Hashwerte können diese Dokumentation technisch ergänzen, indem sie die Integrität definierter Datenbestände überprüfbar machen. Sie ersetzen die Beweismittelkette jedoch nicht.

Gerade bei komplexen Untersuchungen mit mehreren Computern, Smartphones, Datenträgern oder Cloud-Daten verhindert eine strukturierte Beweismittelkette, dass technische Ergebnisse ihre eindeutige Verbindung zur ursprünglichen Datenquelle verlieren.

Damit wird aus einem digitalen Fund ein nachvollziehbar dokumentierter forensischer Befund, dessen Entstehungsweg auch zu einem späteren Zeitpunkt überprüft werden kann.

Zurück zur Wissensübersicht