Die Erforschung von Cyberkriminalität und die praktische Beweisführung in IT-Strafverfahren verlangen eine präzise Synthese aus technischer Informatik, digitaler Forensik und strafprozessualem Beweisrecht. In modernen Ermittlungsverfahren wegen Computerbetrugs (§ 263a StGB), Ausspähens von Daten (§ 202a StGB) oder Sabotagehandlungen an kritischen Infrastrukturen basieren Schuldvorwürfe fast ausnahmslos auf flüchtigen digitalen Spuren: Server-Logfiles, Speicherabbildern (RAM-Dumps), Netzwerk-Paketmitschnitten und Dateisystem-Artefakten. Eine fundierte strafrechtliche Bewertung verlangt dabei die strikte Einhaltung der anerkannten Anforderungen an die lückenlose Chain of Custody (CoC) im deutschen Computerstrafrecht, da jede Dokumentationslücke den Beweiswert digitaler Asservate vor Gericht vernichten kann.
Ebenso fehleranfällig ist die staatliche Zuordnung von IP-Adressen zu konkreten Tatverdächtigen. Durch die flächendeckende Implementierung von Carrier-Grade NAT (CGNAT) bei Mobilfunk- und Festnetzanbietern teilen sich hunderte Teilnehmer zeitgleich dieselbe öffentliche IPv4-Adresse. Welche gravierenden Risiken dies birgt, zeigt die rechtswissenschaftliche Analyse zum Thema Beweiswert von IP-Adressen, Carrier-Grade NAT (CGNAT) und anonymen Hinweisen im Ermittlungsverfahren: Ohne exakte Protokollierung des Quellports (Source Port) und des sekundengenauen Zeitstempels ist eine rechtssichere Individualisierung eines Tatverdächtigen technisch unmöglich.
1. Methodik der IT-Forensik: Bitgenaue Spiegelung und Hash-Validierung
Die digitale Forensik folgt strengen internationalen Standards (u. a. ISO/IEC 27037). Oberster Grundsatz ist die Unveränderlichkeit des Original-Beweismittels. Ermittlungsbehörden dürfen niemals an Original-Datenträgern arbeiten, sondern müssen vor jeder Analyse eine bitgenaue, forensische Kopie (Physical Bitstream Image) erstellen.
Hierbei gelten standardisierte Schutzvorkehrungen:
- Hardware-Schreibblocker (Write-Blocker): Das Quellmedium muss über physische Schreibblocker an die forensische Workstation angeschlossen werden, um jedes unbeabsichtigte Beschreiben des Speichers durch das Betriebssystem auszuschließen.
- Kryptographische Hash-Werte (SHA-256): Vor und unmittelbar nach dem Imager-Vorgang wird der kryptographische Hashwert (z. B. SHA-256 oder SHA-512) des Originalmediums und des erstellten Abbilds (RAW/DD oder Expert Witness Format E01) berechnet. Stimmen die Werte nicht bitgenau überein, ist das Image als unbrauchbar zu verwerfen.
- Speicherung flüchtiger Daten (Live-Forensik): Bei eingeschalteten Systemen muss vor dem Herunterfahren der Arbeitsspeicher (RAM) gesichert werden, da dort Verschlüsselungsschlüssel (BitLocker, VeraCrypt), offene Netzwerkverbindungen und aktive Malware-Prozesse abgelegt sind.
2. Chain of Custody: Lückenlose Dokumentation der Beweiskette
Digitale Daten sind per Definition leicht manipulierbar, kopierbar und flüchtig. Im deutschen Strafprozess unterliegen digitale Beweise der freien richterlichen Beweiswürdigung (§ 261 StPO). Umso strenger sind die Anforderungen an die Beweiskette (Chain of Custody):
Vom Moment der Sicherstellung an der Durchsuchungsörtlichkeit über den Transport, die Lagerung in der Asservatenkammer bis hin zur Auswertung im Landeskriminalamt (LKA) oder durch Sachverständige muss lückenlos protokolliert werden: Wer hatte wann, wo, wie und zu welchem Zweck Zugriff auf das Asservat? Fehlen Siegelprotokolle, sind Datenträger unversiegelt transportiert worden oder weichen die Hashwerte im späteren Gutachten ab, greift das Beweisverwertungsverbot bzw. die Erschütterung des Beweiswerts im Plädoyer der Verteidigung.
Vertiefende Gutachten zur Forensik: Forensische Begutachtung digitaler Asservate und E01-Container.
3. Phänomenologie von Cybercrime-Delikten im StGB
Das materielle Computerstrafrecht umfasst ein hochkomplexes Deliktsspektrum:
- § 202a StGB (Ausspähen von Daten): Setzt voraus, dass Daten gegen unberechtigten Zugang besonders gesichert sind und die Zugangssicherung überwunden wird.
- § 202b, § 202c StGB (Abfangen von Daten & Vorbereitung): Der sogenannte „Hackerparagraf“ (§ 202c StGB) stellt die Herstellung, Beschaffung oder den Vertrieb von Software unter Strafe, deren Zweck das Begehen von Straftaten ist. In der Praxis führt dies immer wieder zu Fehlanklagen gegen Sicherheitsforscher und Penetrationstester.
- § 263a StGB (Computerbetrug): Beeinflussung des Ergebnisses eines Datenverarbeitungsvorgangs durch unrichtige Gestaltung des Programms, Verwendung unrichtiger Daten oder unbefugte Verwendung von Daten.
- § 303a, § 303b StGB (Datenveränderung & Computersabotage): Löschen, Unbrauchbarmachen oder Stören wesentlicher IT-Infrastrukturen, häufig im Kontext von Ransomware-Angriffen oder DDoS-Attacken.
Lesen Sie die detaillierte Deliktsanalyse: Systematik und Phänomenologie moderner Cybercrime-Delikte.
4. Strafprozessuale Eingriffsbefugnisse: §§ 94, 110, 100a ff. StPO
Ermittlungsmaßnahmen im Cyberraum bewegen sich am Rande des verfassungsrechtlich Zulässigen (Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme, BVerfGE 120, 274):
Neben der Beschlagnahme von Hardware (§ 94 StPO) und der vorläufigen Durchsicht (§ 110 StPO) greifen Behörden auf telekommunikationsbezogene Zwangsmaßnahmen zurück: Telekommunikationsüberwachung (§ 100a StPO), Online-Durchsuchung (§ 100b StPO), Quellen-Telekommunikationsüberwachung (Quellen-TKÜ) und Erhebung von Verkehrsdaten (§ 100g StPO) sowie Bestandsdaten (§ 100j StPO). Jede dieser Maßnahmen unterliegt strengen Richtervorbehalten und Verhältnismäßigkeitsprüfungen.
Detaillierte Übersicht zu den Befugnissen: StPO-Praxisübersicht digitaler Ermittlungseingriffe.