6 Die Beweismittelkette für digitale Beweismittel ist der dokumentierte Nachweis, dass eine vor Gericht vorgelegte Datei genau die Datei ist, die erfasst wurde, und dass jede Person und jedes System, die mit ihr in Berührung kamen, nachvollziehbar sind. Bei physischen Beweismitteln bedeutet die Beweismittelkette versiegelte Beutel, Unterschriften und ein Asservatenbuch. Bei digitalen Beweismitteln gelten dieselben Prinzipien, doch der Beutel ist ein Speichersystem, und die Unterschriften sind Hashes und Audit-Einträge. Reißt die Kette, kann die Verteidigung die Echtheit anfechten, und ein Gericht schließt das Beweismittel womöglich aus oder misst ihm weniger Gewicht bei. Die meisten Kontrollen, die die Kette intakt halten, liegen in der Beweismittelanwendung, doch die Speicherschicht darunter unterstützt sie entweder oder untergräbt sie. Dieser Artikel erklärt, wie. Was die Beweismittelkette für digitale Beweismittel belegen muss Eine belastbare Kette beantwortet vier Fragen: Wer hat die Datei erfasst, darauf zugegriffen, sie kopiert oder exportiert? Wann fand jede Aktion statt? Was wurde getan (angesehen, kopiert, geschwärzt, geteilt, gelöscht)? Wurde die Datei verändert? Kann die Behörde nachweisen, dass die Bits mit dem Erfassten identisch sind? Die ersten drei Antworten stammen aus Audit-Logs, die sowohl die Beweismittelanwendung als auch die Speicherplattform führen. Die vierte stammt aus kryptografischen Hashes und einem Speicher, der unbemerkte Veränderungen verhindert. Hashing: das digitale Siegel Eine kryptografische Hashfunktion erzeugt einen Fingerabdruck fester Länge für eine Datei. Ändert sich ein einziges Bit, ändert sich der Fingerabdruck vollständig. Beweismittelsysteme berechnen typischerweise beim Einlesen einen Hash (heute ist SHA-256 weit verbreitet) und speichern ihn mit den Metadaten der Datei. Jede spätere Kopie lässt sich erneut hashen und vergleichen. Eine Übereinstimmung zeigt, dass die Kopie mit dem Original identisch ist. Hashing hat auch rechtliches Gewicht. Die US-Beweisregel Federal Rule of Evidence 902(14), in Kraft seit dem 1. Dezember 2017, erlaubt die Selbstauthentifizierung von Daten, die von einem elektronischen Gerät, Speichermedium oder einer Datei kopiert wurden, wenn eine qualifizierte Person bestätigt, dass sie durch ein Verfahren der digitalen Identifizierung, etwa übereinstimmende Hashwerte, identifiziert wurden. Viele Bundesstaaten haben ähnliche Regeln oder Praktiken. Damit wird konsequentes Hashing bei Erfassung, Übertragung und Export zu einem Kernbestandteil der Beweismittelkette für digitale Beweismittel. Unveränderlichkeit: Veränderung unmöglich machen, nicht nur erkennbar Hashes belegen, ob sich eine Datei verändert hat. Unveränderlichkeit verhindert die Veränderung von vornherein. WORM-Kontrollen (Write Once, Read Many) wie Object Lock im Compliance-Modus hindern jeden daran, eine Datei vor Ablauf ihrer Aufbewahrungsfrist zu überschreiben oder zu löschen, auch Administratoren mit vollen Rechten. Für die Beweismittelkette ist das wichtig, weil damit eine ganze Klasse von Einwänden entfällt. Kann das Speichersystem die Datei nicht verändern, ist das Argument, sie könnte im gespeicherten Zustand verändert worden sein, deutlich schwächer. Zudem schützt es davor, dass Ransomware Beweismittel verschlüsselt oder sie versehentlich gelöscht werden. Versionierung ergänzt die Unveränderlichkeit. Wird eine geschwärzte Kopie erstellt, sollte sie ein neues Objekt mit eigenem Hash und eigener Herkunft sein, keine Änderung des Originals. Audit-Logs auf jeder Ebene Die Beweismittelanwendung protokolliert Benutzeraktionen: wer eine Datei gesucht, angesehen, heruntergeladen oder geteilt hat. Die Speicherschicht sollte eigene Logs über API-Aufrufe, administrative Aktionen, Richtlinienänderungen und Zugriffe von Dienstkonten führen. Zwei unabhängige Logs erschweren es, Manipulationen zu verbergen, und geben Prüfern die Möglichkeit zum Abgleich. Gute Audit-Logs auf Speicherebene sind: Vollständig und decken Lese-, Schreib- und Löschvorgänge sowie Konfigurationsänderungen ab. Zeitsynchronisiert, damit Ereignisse systemübergreifend übereinstimmen. Vor Veränderung geschützt, idealerweise selbst auf unveränderlichem Speicher abgelegt. Mindestens so lange aufbewahrt wie die Beweismittel, die sie beschreiben; manche Gesetze verlangen, dass Löschprotokolle dauerhaft aufbewahrt werden. Die Prinzipien erläutert der Beitrag Audit-Trail für Speicher. Integritätsprüfungen im Zeitverlauf Beweismittel, die über Jahre aufbewahrt werden, sind einem leiseren Risiko ausgesetzt: Bitfäule und Medienausfall. Speicherplattformen, die für jedes Objekt Prüfsummen speichern und regelmäßig verifizieren, können Beschädigungen erkennen und reparieren, bevor sie jemandem auffallen. Diese Hintergrundprüfung bedeutet in Kombination mit Erasure Coding oder Replikation, dass eine Datei, die Jahre später abgerufen wird, noch immer ihrem ursprünglichen Hash entspricht. Die Mechanismen beschreiben die Beiträge zur Integritätsprüfung bei Objektspeicher und zur Datenhaltbarkeit in Speichersystemen hoher Dichte. Zugriffskontrolle und Funktionstrennung Bei der Beweismittelkette geht es auch darum, zu begrenzen, wer Beweismittel überhaupt berühren darf: Rollenbasierter Zugriff, damit Streifendienst, Kriminalpolizei, Staatsanwaltschaft und Aktenverwaltung nur sehen, was sie brauchen. Multi-Faktor-Authentifizierung, die die CJIS Security Policy für den Zugriff auf Informationen der Strafjustiz verlangt. Trennung zwischen Speicheradministratoren und Verwahrern der Beweismittel, damit niemand allein sowohl die Aufbewahrungsrichtlinie ändern als auch auf Beweismittel zugreifen kann. Verschlüsselung im Ruhezustand und bei der Übertragung mit verwalteten Schlüsseln. Die im Juni 2026 veröffentlichte CJIS Security Policy 6.1 hat die Mindeststärke der Verschlüsselung für zentrale Kontrollen auf 256 Bit angehoben. Die Funktionstrennung verdient besondere Aufmerksamkeit in kleineren Behörden, in denen womöglich ein einziger IT-Administrator alles verwaltet. Selbst dort können Änderungen der Aufbewahrungsrichtlinie eine zweite Freigabe erfordern, und Aktionen auf Speicherebene lassen sich an einem Ort protokollieren, den der Administrator nicht verändern kann. Allein diese beiden Kontrollen beantworten viele der Fragen, die die Verteidigung typischerweise stellt. Die Beweismittelkette über Kopien und Übertragungen hinweg Beweismittel wandern: von der Kamera zur Dockingstation, von dort ins Repository, vom Repository zur Staatsanwaltschaft und von dort zur Verteidigung. Jede Station ist ein Punkt, an dem die Kette reißen kann. Zu guter Praxis gehören Hashing vor und nach jeder Übertragung, sichere Übertragungsverfahren, die Protokollierung jedes Exports mit Angaben zum Empfänger und Exporte mit einem Manifest der Hashes. Werden Beweismittel an einen zweiten Standort repliziert oder auf neuen Speicher migriert, sollte dieselbe Verifizierung durchgeführt und dokumentiert werden. Wie die Kette typischerweise reißt Die meisten Probleme mit der Beweismittelkette sind keine dramatischen Manipulationen. Es sind Lücken, die es schwer machen zu beweisen, dass nichts passiert ist: Beweismittel, die auf USB-Sticks oder in freigegebene Ordner kopiert werden – außerhalb des Beweismittelsystems, ohne erfassten Hash und ohne Protokoll darüber, wer sie in der Hand hatte. Gemeinsam genutzte Administratorkonten, sodass die Logs zeigen, dass „admin“ etwas getan hat, aber nicht, welche Person. Abweichende Uhrzeiten zwischen Kamera-Docks, Servern und Speicher, die die Reihenfolge der Ereignisse schwer rekonstruierbar machen. Kürzere Aufbewahrung der Logs als der Beweismittel, sodass die Zugriffsprotokolle verschwunden sind, wenn Jahre später eine Berufung eingelegt wird. Nicht verifizierte Migrationen, bei denen Beweismittel ohne Hashing vorher und nachher auf neue Hardware oder zu einem neuen Anbieter verschoben wurden. Schwärzungen, die über Originale gespeichert werden und keine unveränderte Kopie hinterlassen. Jeder dieser Fehler lässt sich mit einer Richtlinie und einem Speicher vermeiden, der sie durchsetzt. Was Staatsanwaltschaft und Verteidigung verlangen Wird ein Beweismittel angefochten, sind die Fragen vorhersehbar. Die Staatsanwaltschaft will eine lückenlose Historie zeigen: ursprünglicher Hash, jeder Zugriff und Export und die Bestätigung, dass die vorgelegte Version dem Original entspricht. Die Verteidigung fragt womöglich, wer administrative Rechte auf dem Speicher hatte, ob Löschungen möglich waren, ob Dateien desselben Vorfalls fehlen und woher die Behörde weiß, dass die Zeitstempel stimmen. Eine Behörde, die diese Fragen aus Aufzeichnungen statt aus dem Gedächtnis beantworten kann, ist in einer weit stärkeren Position. Das Speicher- und Protokollierungsdesign von Anfang an auf diese Fragen auszurichten, ist günstiger, als die Antworten später zu rekonstruieren. Checkliste: Speicherfunktionen für die Beweismittelkette digitaler Beweismittel Hash beim Einlesen berechnet und mit den Metadaten gespeichert. Erneute Verifizierung bei jeder Kopie, jedem Export und jeder Migration. WORM-Aufbewahrungssperren, die Administratoren nicht aufheben können. Versionierung, damit Schwärzungen und Bearbeitungen niemals Originale überschreiben. Unabhängige, unveränderliche Audit-Logs auf Speicherebene. Integritätsprüfung im Hintergrund mit automatischer Reparatur. MFA, rollenbasierter Zugriff und Funktionstrennung. Verschlüsselung im Ruhezustand und bei der Übertragung gemäß den aktuellen CJIS-Vorgaben. Export-Manifeste mit Hashes und Nachweisen zur Beweismittelkette. Fazit Die Beweismittelkette für digitale Beweismittel beruht auf Hashing, Unveränderlichkeit, Protokollierung, Integritätsprüfungen und strenger Zugriffskontrolle. Die Beweismittelanwendung orchestriert sie, doch die Speicherschicht entscheidet, ob diese Kontrollen über das Jahrzehnt oder länger tragen, das manche Beweismittel überdauern müssen. Behörden, die Speicher bewerten, sollten nicht nur fragen, wie viel er fasst, sondern wie er belegt, dass sich das Gespeicherte nie verändert hat. Die übrigen Anforderungen beschreibt unser Überblicksartikel zum Speicher für digitale Beweismittel. Häufig gestellte Fragen Welcher Hash-Algorithmus sollte für digitale Beweismittel genutzt werden? SHA-256 ist heute weit verbreitet. Ältere Algorithmen wie MD5 und SHA-1 finden sich noch in älteren Werkzeugen, gelten aber als schwächer, daher erfassen viele Behörden SHA-256 zusätzlich oder stattdessen. Ersetzt unveränderlicher Speicher das Hashing? Nein. Unveränderlichkeit verhindert Veränderungen; Hashing belegt, dass keine stattgefunden hat. Gerichte und Prüfer erwarten beides. Wer sollte digitale Beweismittel löschen dürfen? Nur befugte Verwahrer gemäß einem genehmigten Aufbewahrungsplan und ohne aktiven Legal Hold, und jede Löschung sollte dauerhaft protokolliert werden. Was geschieht mit der Beweismittelkette bei einer Speichermigration? Jedes Objekt sollte vor und nach dem Umzug gehasht und das Ergebnis dokumentiert werden. Plattformen, deren Hardware sich ohne Massenmigration im laufenden Betrieb erneuern lässt, verringern dieses Risiko. Sind Speicher-Logs vor Gericht zulässig? Logs können die Authentifizierung unterstützen, wenn sie vollständig, vor Manipulation geschützt und von einer qualifizierten Person erläutert werden. Die Zulässigkeitsregeln variieren je nach Rechtsordnung. Weiterführende Artikel Speicher für digitale Beweismittel Aufbewahrung digitaler Beweismittel Speicher für Bodycam-Aufnahmen Cloud-DEMS oder On-Premises-Speicher für Beweismittel Audit-Trail für Speicher
