Forensik: Was digitale Daten verraten

Ein weißer Kastenwagen mit Schiebetür und zwei Blaulichtern auf dem Dach, vorn und auf der Seite die Aufschrift „Polizei“: Von außen sieht der Forensik-Transporter aus wie ein ganz normales Polizeiauto. Erst wenn man die Tür öffnet, zeigt sich, dass das hier alles andere als ein gewöhnlicher Mannschaftswagen ist: Anstatt einer normalen Rückbank befinden sich drei Computerarbeitsplätze mit großen, an die Wand geschraubten Monitoren im fensterlosen Innenraum. Direkt darunter Steckdosen, USB- und Netzwerkanschlüsse, auf der Arbeitsplatte stehen Mäuse und Tastaturen bereit. Noch technischer wird es, wenn man die Kofferraumtüren aufklappt. Dann fällt der Blick auf eine Art mobiles Mini-Rechenzentrum mit mehreren Computergehäusen, einem luftgefederten Server-Swing-Rack und einem Netzwerk-Switch samt Verbindungskabeln. Der „Paladin“ ist das wahrscheinlich modernste Polizeifahrzeug Deutschlands, ein mobiles Labor der Forensik.

Seit dem vergangenen Jahr befindet er sich im Testbetrieb bei der Polizei in Oberfranken. Mehr als 200 Terabyte Speicher passen in den Kofferraum. Die empfindlichsten technischen Geräte haben eine eigene Stromversorgung und sind in einem Spezialgehäuse aufgehängt, sodass sie bei wackeliger Fahrt nicht kaputtgehen können. Angefordert wird das Hightech-Polizeiauto, wenn sich an einem Tatort Datenträger mit möglicherweise wichtigen Informationen befinden. In früheren Zeiten hätte man solche Beweisstücke aufwendig ins Labor schicken müssen. Mit dem Wagen kann die Forsensik-Auswertung sofort beginnen. So gewinnen die Ermittler wertvolle Zeit.

Das muss auch so sein, denn digitale Daten werden bei der Ermittlung von Straftäterinnen und Straftätern immer wichtiger. Geschieht irgendwo ein Verbrechen, hinterlassen Täter heutzutage nicht mehr nur Fingerabdrücke und DNA, sondern auch immer mehr digitale Spuren. Verräterische Bits und Bytes, die sich auf Handys, Festplatten, USB-Sticks, aber auch in anderen elektronischen Geräten wie Bluetooth-Boxen oder Smart-TVs oder in Online-Speichern befinden. Sie auszuwerten ist die Aufgabe der IT-Forensik.

Nahezu alle Deutschen nutzen heutzutage digitale Technik. Vor allem das Mobiltelefon, aber auch immer mehr „smarte“ Geräte, die im Haushalt irgendwo im Hintergrund laufen. Musik-boxen, Staubsauger, Fitnessgeräte, manche Babyfone und sogar Türschlösser sind heute digital und vernetzt. Sie bilden das „Internet der Dinge“, kommunizieren miteinander, sind mit Sensoren, Software und Technik ausgestattet. Wann solche Geräte ein- und ausgeschaltet werden, wer sie benutzt, wo sie benutzt werden, was genau damit gemacht wird: Alles befindet sich meist irgendwo in irgendeinem Speicher. Zur Freude der Mitarbeitenden der Forensik.

Forensik von digitalen Daten kann enorm bei der Aufklärung von Fällen helfen

In Florida wurde ein Flughafenmitarbeiter überführt, der Gepäck im Wert von mehr als 16.000 Dollar hatte mitgehen lassen. Was ihm nicht klar war: Einer der gestohlenen Koffer war mit einem „AirTag“-Tracker ausgestattet, sodass man ihn orten konnte. Das führte die Polizei zum Versteck des Diebesguts. Der Mann wurde daraufhin festgenommen. In Aachen schnappte die Polizei einen Fahrraddieb, der ein E-Bike geklaut hatte. Dumm für den Dieb: Das Fahrrad hatte ein eingebautes GPS, das regelmäßig die Standortdaten an einen Server schickte. In der Trierer Straße konnte die Polizei ihn stellen.

In Sachsen-Anhalt überführten Fahnder sogar einen Wilderer mithilfe von Datenspuren. Er hatte einen geschützten Seeadler geschossen und anschließend mit nach Hause genommen. Was er nicht wusste: Tierschützer hatten das seltene Tier mit einem GPS-Sender ausgestattet, der seine Bewegungen verfolgte. Als der 81-Jährige am nächsten Morgen die verräterische Elektronik entdeckte, versuchte er noch, die Tat zu verschleiern. Er warf den Sender und den Vogel in einen Fluss. Doch die Datenspur, die der Adler hinterlassen hatte, war da längst gespeichert. Sie führte die Polizei direkt zur Wohnadresse des Mannes. 

Für die polizeiliche Ermittlungsarbeit kommt die Auswertung solcher Gerätedaten einer Revolution gleich. Thomas Gerth vom Landeskriminalamt Baden-Württemberg sieht in der IT-Forensik die „dritte große Zäsur in der Geschichte der Kriminaltechnik“ – auf einer Stufe mit der Entdeckung des Fingerabdrucks vor 120 Jahren und dem Beginn der DNA-Analyse in den 1980er-Jahren. Mehr als 80 Ermittlerinnen und Ermittler arbeiten in der Abteilung „Digitale Spuren“, die Gerth leitet. Darunter sind Fachleute für iPhones und für Android-Handys; Techniker, die auf die Analyse von Apps spezialisiert sind, und welche, die Audio- und Videodateien auswerten können. Das perfekte Verbrechen sei im digitalen Zeitalter kaum noch möglich, meint Gerth. Denn durch die Digitalisierung gelange die Polizei an immer präzisere Informationen. Früher habe man bei einem Mordopfer aufwendig die Umgebungs- und Körpertemperatur messen und daraus den Todeszeitpunkt errechnen müssen, sagt Gerth: „Mit den entsprechenden Daten einer Smartwatch wissen Sie heute auf die Sekunde genau, wann der Pulsschlag ausgesetzt hat.“

In Griechenland überführten Fahnder auf diese Weise den 33 Jahre alten Mörder seiner 20-jährigen Frau. Der Mann hatte zunächst behauptet, sie seien beide von Unbekannten überfallen worden, die das Paar erst gefesselt und dann seine Frau gewaltsam erstickt hätten. Doch dann werteten die Fahnder die Fitnessuhr aus, mit der seine Frau unter anderem ihren Herzschlag überwacht hatte. Die Daten zeigten, dass sie bereits früher gestorben war, als der Mann angegeben hatte. Sein Handy überführte ihn außerdem einer zweiten Lüge. Es zeigte, dass er zu der Zeit, als er sich angeblich gefesselt in der Hand der Täter befunden hatte, im Haus herumgelaufen war. Das Gerät hatte entsprechende Bewegungs- und Höhendaten gespeichert. Der Mann gestand.

„Das Problem ist heutzutage nicht mehr, dass es keine Spuren gibt, sondern dass es zu viele sind«, sagt Kriminalist Gerth. »Wir werden der Masse an Daten nicht mehr Herr.“ Es werde deshalb zunehmend wichtig, sich bei der digitalen Forensik auf das Wesentliche zu konzentrieren. Neulich hätten seine Beamten 600 Terabyte Videomaterial auswerten müssen. „Bis wir damit durch sind, ist die Tat schon lange verjährt.“

Die Menge an forensischen Daten stellt die Teams jedoch ebenso vor ein Problem

In Berlin flog der Kreditkartenbetrüger Shahin B. auf, weil die Mietwagen, die er bei seinen Taten benutzte, permanent Standortdaten aufzeichneten. Der Mann hatte sich unter falschem Namen Kreditkarten bestellt, mit denen er große Summen Bargeld abhob. Wie die Polizei herausfand, ließ er sich die Karten über Umwege an eine bestimmte, nicht überwachte DHL-Packstation schicken. Dort zeichneten ddas Ermittlerteam mithilfe von Videokameras auf, wann die Fächer geleert wurden. So konnten sie das Logo einer Mietwagenfirma ausmachen und dort nicht nur den Namen des Fahrers ermitteln, sondern auch das Bewegungsprofil des Wagens einsehen. Es deckte sich genau mit den Aktivitäten des Serientäters an der DHL-Packstation. Shahin B. wurde zu siebeneinhalb Jahren Gefängnis verurteilt. 

Dass der Fall aufgeklärt werden konnte, liegt auch daran, dass sich ein hoch spezialisiertes Ermittlungsteam auf die Spuren des Verdächtigen begeben hatte. Längst nicht alle Polizisten wissen aber, dass Mietwagen und Packstationen einen derart wertvollen Datenschatz bergen können. „Ermittlerinnen und Ermittler müssten bei jeder Tat das digitale Leben von Opfern wie Tätern mitdenken und im Blick haben“, schreibt der Wissenschaftler Dirk Labudde in seinem Buch „Digitale Forensik“. Dazu „muss sich die Ausbildung von Polizistinnen und Polizisten, aber auch von IT-Forensikerinnen und -Forensikern im Polizeidienst drastisch ändern“.

Dazu gehört beispielsweise, Autos als Datenquelle zu nutzen. Auf der Autobahn 8 klärte die Polizei eine Unfallflucht auf, indem sie die Daten aus einem bei der Tat abgerissenen Außenspiegel auswertete. Ein Porsche-Fahrer wurde als Täter ermittelt. Er hatte mit seinem Wagen einen Reisebus gestreift und ins Schleudern gebracht. Manche modernen E-Fahrzeuge sind rollende vernetzte Computer, die stets aufzeichnen, wo sie sich befinden und zum Teil sogar, wen sie transportieren. „Im Zweifelsfall kann das Auto zum Zeugen gegen den Fahrer werden“, sagt Kay Nehm, der Präsident des Deutschen Verkehrsgerichtstags.

E-Autos der Marke Tesla stehen im Ruf, besonders viele Daten zu sammeln. Die Geschwindigkeit, die Stellung des Gaspedals, Bremsen, Beschleunigung, Bewegungsrichtung und sogar die Türöffnung werden von den Autos aufgezeichnet und abgespeichert. In Berlin überführte die Polizei mit solchen Daten einen Fahrer, der mit 160 Kilometern pro Stunde durch die Stadt gerast war, dann einen Ampelmast gerammt hatte und anschließend versuchte, Fahrerflucht zu begehen. 

Ermittlerteams sowie die Polizei müssen besonders auf die digitalen Datenauswertung geschult werden

Zur Entstehung digitaler Datenspuren trügen gerade auch „profane, diskret agierende Alltagsdinge“ bei, schreibt der Bochumer Medienwissenschaftler Simon Rothöhler in seinem Buch „Medien der Forensik“. Sie entstünden „zu jeder Zeit, oftmals intentionslos im Rücken der User:innen“ und setzten sich oftmals „aus Daten zusammen, von denen etwaige Täter nicht nur nicht wollten, sondern auch nicht wussten, dass sie automatisch gesammelt und gespeichert wurden“.

Wie im „Alexa“-Mordfall in Regensburg. Ein 54-jähriger Mann hatte seine 45 Jahre alte Ex-Freundin in ihrer Wohnung getötet. Eigentlich war ihre Beziehung bereits beendet gewesen. Doch eines Abends machte sie ihm wohl doch noch einmal auf. Der Mann erwürgte die Frau, die nicht mehr mit ihm zusammen sein wollte. Was er übersehen hatte: In ihrem Schlafzimmer stand ein Lautsprecher mit „Alexa“-Sprachsteuerung, der nicht nur die an ihn gerichteten Befehle des Mannes ausführte, sondern dabei seine Stimme gleich zweimal aufzeichnete: einmal vor und einmal nach der Tat. Die Firma Amazon, die „Alexa“-Lautsprecher baut und betreibt, stellte die Aufnahmen dem Gericht als Beweismittel zur Verfügung. Der Mann wurde zu zehn Jahren Gefängnis verurteilt.

Ob solche Daten von der Polizei und vor Gericht benutzt werden dürfen, ist nicht unumstritten. Wenn harmlose Lautsprecher zu verräterischen Wanzen werden, wenn selbst parkende Autos mit eingebauten Kameras jeden filmen, der an ihnen vorbeigeht, freut das zwar die Ermittelnden, führt aber letztlich in die totale Überwachung. Und kann dazu führen, dass auch Unbescholtene ins Visier der Fahnder geraten. 

Zachary McCoy aus Gainesville in Florida zum Beispiel. Der 30-Jährige war zufällig mit seinem Fahrrad an einem Haus in der Nachbarschaft vorbeigefahren, während dort eingebrochen wurde. Dort lebte eine 97 Jahre alte Frau. Um den Täter zu suchen, hatten die Fahnder rund um den Tatort Bewegungsdaten von Google-Nutzern ausgewertet. McCoy verwendete beim Fahrradtraining eine Fitness-App , die seine Route exakt protokollierte. So fiel der Polizei sein komplettes Bewegungsprofil in die Hände. Und das zeigte, dass er zum fraglichen Zeitpunkt gleich dreimal innerhalb einer Stunde am Tatort vorbeigefahren war.

Dass gegen ihn ermittelt wurde, erfuhr der unschuldige Radfahrer zehn Monate nach der Tat, weil die Polizei bei Google beantragte, dass sein Name herausgegeben würde. Wie in solchen Fällen üblich, wurde McCoy durch das Unternehmen über diesen Schritt informiert. Er nahm sich einen Anwalt und ging zur Polizei. Dort konnte er den Verdacht, der durch die Datenspur auf ihn gefallen war, rasch entkräften. Er legte Screenshots seiner Handy-App vor, die zeigten, dass er die Strecke am Einbruchshaus nicht nur am Tattag, sondern auch an vielen anderen Tagen gefahren war. Die Polizisten glaubten ihm, dass seine Anwesenheit am Tatort dem Zufall geschuldet war. Der Verdacht wurde wieder fallen gelassen.

McCoy hatte somit seine Unschuld bewiesen. Ebenfalls mit Daten.