CMK Artikel 134, der kleinste Verfahrensfehler bei der Suche nach digitalen Beweismitteln widerlegt alle Beweise; Genehmigung der Friedensstrafe + Live-Analyse + Hash-Kette + Expertenbericht ist obligatorisch.
CMK Art. 134 – Computerdurchsuchungsverfahren
Hash-Kette
- MD5: Alt; Konfliktrisiko heute; allein reicht nicht aus.
- SHA-256: Standard; Obligatorisch für Gutachten.
- SHA-3: Neue Generation; Es wird vorzugsweise verwendet.
- Hash-Vergleich in jeder Phase (Beschlagnahme, Klonen, Überprüfung); Inkompatibilität = Beweise verfallen.
Typische Verfahrensfehler (Annullierung von Beweismitteln)
- Behördliche Genehmigung fehlt (Notfallausnahmenachweis fehlt).
- Rufen Sie nicht an, bevor ein Anwalt hinzugezogen wurde.
- Kein Hash-Zeitstempel.
- Untersuchung ohne Klonen.
- Unfähigkeit, Experten (nicht zertifiziert) zu ernennen.
- Das Gerät blieb eingeschaltet, RAM ging verloren.
Inhalt des Expertenberichts
- Geräteidentifikation (Marke, Modell, Seriennummer, IMEI).
- Beschlagnahmedatum und Hash.
- Klonmethode.
- Analysetool (FTK, Encase, Magnet AXIOM).
- Ergebnisse (Ordner, Datei, Anwendung, Protokoll).
- Hash-Vergleichsergebnis.
- Expertensignatur und Zertifikate (CHFI, EnCE, GCFE).
Häufig gestellte Fragen
Der Kunde hat sein Gerät gelöscht; Wird es zurückkommen?
Das Löschen der Software erfolgt auf Dateisystemebene. Möglicherweise befinden sich die Daten noch auf der Festplatte. Es kann mit einem forensischen Tool (FTK, Recuva Pro) wiederhergestellt werden. Wenn es sich um eine vollständige Datenträgerlöschung handelt (z. B. DBAN), erfolgt keine Wiederherstellung.
Was passiert, wenn es eine Hash-Nichtübereinstimmung gibt?
Die Integrität der Beweise wurde gebrochen; Das Gericht lehnt ab. Dies ist ein sehr starkes Argument in der gegnerischen Widerlegungsstrategie. Die Hash-Schritte sollten im Gutachten klar ersichtlich sein.
Das Gerät ist verschlüsselt und kann nicht geöffnet werden; was tun?
CMK Artikel 134/4 – keine Verpflichtung zur Angabe eines Passworts (Recht, nicht gegen sich selbst auszusagen). State-Breaking-Techniken (Brute-Force, Exploit, Vendor Request). Apple benötigt ein Anforderungs-MLAT-Verfahren.
Warum ist die RAM-Analyse wichtig?
Im RAM befinden sich möglicherweise offene Passwörter, geknackte Dateien und Verbindungssitzungen. Löscht den RAM, wenn das Gerät ausgeschaltet wird; Live-Analyse (Volatilität, FTK Imager) ist obligatorisch.
Wie widerlegen wir das Gutachten?
Unterbrechung der Hash-Kette, nicht zertifizierter Sachverständiger, unvollständige Methodik, Parallelbericht (Forensiker für Verteidigung), Einspruchsantrag + technische Frage bei der Anhörung.
Einschlägige Gesetzgebung
- HMK Art. 199-205 – Vorlage von Dokumenten und Beweisen.
- HMK Art.400-405 – Bestimmung; mit Zeuge / Sachverständiger.
- CMK Art. 134 – Computersuche, Kopieren; Hash-Kette.
- TCK Art. 243-245 – Computerkriminalität, digitale Beweiskette.
- E-Signatur-Gesetz (5070) – Elektronische Signatur und Zeitstempel.