Technische Beweisfragen
Hashwerte können Änderungen an einem konkreten Bitbestand erkennbar machen. Sie beweisen jedoch nicht automatisch, wer eine Datei erzeugt hat, wann sie entstanden ist oder ob die Erhebung rechtlich ordnungsgemäß war. Für technische Beweisfragen müssen Integrität, Herkunft, Erfassung und Verarbeitung getrennt dokumentiert werden.
Kurzantwort
Für jedes relevante Artefakt werden Quelle, Erfassungszeitpunkt, Verfahren, Hashalgorithmus und nachfolgende Verarbeitung dokumentiert. Hashgleichheit stützt die Aussage, dass zwei Bitfolgen identisch sind; sie ersetzt keine Provenienz- oder Zeitfeststellung. Jede Transformation, Extraktion oder Formatkonvertierung wird als eigener technischer Schritt nachvollziehbar gemacht.
Vom Untersuchungsstand zur nachvollziehbaren technischen Schlussfolgerung
1. Untersuchtes Artefakt eindeutig definieren
Vor jeder Integritätsaussage muss klar sein, was gehasht wurde: eine einzelne Datei, ein Datenträgerabbild, ein Archiv oder ein Export. Unterschiedliche Container können identische Nutzdaten enthalten und trotzdem unterschiedliche Hashwerte besitzen.
Dateiname, Pfad und sichtbarer Inhalt identifizieren den Bitbestand nicht eindeutig. Deshalb werden Umfang, Größe, Format und Quelle zusammen mit dem Hash dokumentiert.
2. Hashbildung reproduzierbar durchführen
Kryptografische Hashfunktionen erzeugen für einen gegebenen Bitbestand einen deterministischen Digest. Für technische Nachweise werden Algorithmus, Toolversion und Eingabebestand festgehalten, sodass die Berechnung unabhängig wiederholt werden kann.
Verwendet werden aktuelle, für Integritätszwecke geeignete Verfahren. Ein veralteter oder kollisionsanfälliger Algorithmus kann die Aussagekraft schwächen; die Wahl wird deshalb nicht als bloße Formalität behandelt.
3. Hashgleichheit korrekt interpretieren
Stimmen Hashwerte bei geeignetem Verfahren überein, ist das ein sehr starker technischer Hinweis auf identische Bitfolgen. Daraus folgt jedoch nicht, dass die Datei inhaltlich wahr, ursprünglich oder einer bestimmten Person zuzurechnen ist.
Ebenso bedeutet ein abweichender Hash nur, dass sich der Bitbestand unterscheidet. Ursache und fachliche Relevanz der Änderung müssen durch weitere Untersuchung geklärt werden.
4. Provenienz und Erhebungsweg separat dokumentieren
NIST SP 800-86 behandelt forensische Datenerhebung als dokumentierten technischen Prozess. Für die Begutachtung werden Quelle, Zugriffsmethode, Export oder Imaging-Verfahren und beteiligte Zwischenschritte festgehalten.
Kann ein Artefakt nur aus einer weitergeleiteten Datei oder einem Screenshot untersucht werden, ist das keine technische Gleichwertigkeit mit der Originalquelle. Die niedrigere Evidenztiefe wird ausdrücklich kenntlich gemacht.
5. Transformationen und Arbeitskopien nachvollziehbar halten
Entpacken, Dekodieren, Konvertieren oder Filtern kann neue Dateien erzeugen, deren Hash zwangsläufig vom Ausgangsartefakt abweicht. Jede solche Transformation erhält deshalb einen dokumentierten Ein- und Ausgangsbezug.
Arbeitskopien sollten von gesicherten Ausgangsartefakten getrennt werden. So bleibt nachvollziehbar, welche Befunde direkt am gesicherten Bestand und welche an abgeleiteten Daten entstanden sind.
6. Technische Integrität von rechtlicher Beweiswürdigung trennen
Die technische Untersuchung kann Integritäts- und Provenienzmerkmale beschreiben. Sie entscheidet nicht über prozessrechtliche Zulässigkeit, Beweiswert oder Beweislast.
Gerade diese Trennung erhöht die Nachvollziehbarkeit: Das Gutachten kann präzise angeben, was technisch gesichert und reproduziert wurde, ohne daraus eine juristische Schlussfolgerung abzuleiten.
Bei großen Datensätzen kann ein Manifest mit Pfad, Größe und Hashwerten den Untersuchungsbestand versionieren. Wird daraus eine Auswahl analysiert, bleibt dokumentiert, aus welchem Gesamtbestand die Stichprobe stammt.
Hashwerte eignen sich auch zur Qualitätskontrolle beim Transfer zwischen Speichern. Sie belegen dabei die Identität der verglichenen Bitfolgen, nicht die Vollständigkeit eines ursprünglich unbekannten Quellbestands.
Ist ein identischer SHA-256-Wert gleichbedeutend mit bewiesener Authentizität?
Nein. Hashgleichheit stützt die technische Aussage, dass die verglichenen Bitfolgen identisch sind.
Authentizität umfasst zusätzliche Fragen nach Herkunft, Erzeuger, Zeitpunkt und Erhebungsweg.
Diese Aspekte benötigen eigene Evidenz und dürfen nicht in die Hashaussage hineingelesen werden.
Ist die Untersuchung für diesen Themenbereich technisch nachvollziehbar?
- Ist eindeutig dokumentiert, welcher konkrete Bitbestand gehasht wurde?
- Sind Hashalgorithmus, Tool und Zeitpunkt der Berechnung nachvollziehbar?
- Wurden Originalartefakt und Arbeitskopien technisch getrennt behandelt?
- Sind Exporte, Extraktionen und Transformationen als eigene Schritte dokumentiert?
- Wird Hashgleichheit nur als Integritätsaussage und nicht als Urheberschaftsnachweis verwendet?
- Ist die Herkunft des Artefakts unabhängig vom Hashwert beschrieben?
- Sind rechtliche Beweiswürdigung und technische Integritätsprüfung klar getrennt?
Konstruiertes Beispiel
Ein ZIP-Archiv wird bei Eingang mit SHA-256 gehasht. Für die Analyse werden Dateien entpackt und einzeln gehasht. Der Bericht dokumentiert sowohl den Hash des unveränderten Eingangsarchivs als auch die Hashwerte der extrahierten Arbeitsdateien und beschreibt den Extraktionsschritt.
Das Beispiel ist konstruiert und beschreibt kein reales Verfahren oder Mandat.
Quellen und fachliche Grundlage
- Kryptografischer Standard NIST FIPS 180-4 Secure Hash Standard für die SHA-2-Familie. Quelle öffnen.
- NIST-Leitlinie NIST SP 800-86 zur technischen Datenerhebung und forensischen Untersuchung im Incident-Kontext. Quelle öffnen.
- NIST-Rahmen NIST CSF 2.0 fordert im Incident-Kontext unter anderem die Erhaltung von Integrität und Provenienz gesammelter Daten und Metadaten. Quelle öffnen.
- Eigene Methodik Quellen und Methodik der Wissensplattform. Quelle öffnen.
Weiterführende Beiträge
- Technische Beweisfragen: Unterlagen sichern
- Zeitstempel, Metadaten & Versionszuordnung
- Alle Beiträge in diesem Themenbereich
Eigene Fachliteratur und Veröffentlichungen
Die folgenden eigenen Arbeiten dienen der fachlichen Vertiefung und methodischen Einordnung. Sie ersetzen keine erforderlichen Primär-, Norm-, Hersteller- oder sonstigen unabhängigen Fachquellen. Unveröffentlichte Manuskripte, Entwürfe und Lehrunterlagen werden hier bewusst nicht als öffentliche Quellen ausgewiesen.
Technische Untersuchung zum Themenbereich Technische Beweisfragen
Die konkrete Aussagekraft hängt vom Untersuchungsgegenstand, der verfügbaren Evidenz und der dokumentierten Prüfmethode ab.
Gerichte & Rechtsanwälte