Urteile für die Praxis

Bei der Auswertung sichergestellter Chat-Datenbestände zählt die lückenlose, nachvollziehbare Dokumentation der Herkunft und Integrität der Daten. Der technische Sachverständige liefert die Grundlage (Sicherung, Zuordnung, Integritätsnachweis) — die Frage der Verwertbarkeit beantwortet das Gericht.

Ein Datenschutzverstoß bei der Erhebung führt nicht automatisch zur Unverwertbarkeit. Für die forensische Aufbereitung von Videomaterial bleibt entscheidend, Authentizität, Zeitbezug und Unverändertheit sauber zu dokumentieren — die datenschutzrechtliche Bewertung ist davon zu trennen.

Header-Analyse und Server-Logs werden zum entscheidenden Beweismittel: Nicht der Sendezeitpunkt, sondern die nachweisbare Bereitstellung im Empfänger- Postfach ist maßgeblich. Genau diese Zustellkette lässt sich technisch anhand der Received-Zeilen und Mailserver-Protokolle rekonstruieren.

Die hohe Haftungsschwelle (Vorsatz/grobe Fahrlässigkeit) ist kein Freibrief: Sie unterstreicht, warum saubere Methodik, dokumentierte Anknüpfungstatsachen und eine Vermögensschaden-Haftpflicht zur Grundausstattung gehören. Der genaue Anwendungsbereich (auch im Ermittlungsverfahren) ist der Originalentscheidung zu entnehmen.

Das ist die methodische Kernpflicht auch der IT-Forensik: Jeder Befund muss belegbar und für Nicht-Techniker nachvollziehbar hergeleitet werden. Werkzeuge, Versionen, Hashwerte und Arbeitsschritte gehören ins Gutachten — „das Tool hat es so ausgegeben" reicht nicht.

In der Kassenforensik (TSE-Prüfung, Journal-Auswertung, Z-Bon-Abgleich) zählt jede aufgefundene nachträgliche Veränderung der Grundaufzeichnungen doppelt: als Beleg für die steuerliche Verkürzung und als eigenständiger Fälschungstatbestand. Die lückenlose, nachvollziehbare Dokumentation des Auslesevorgangs — Kassenjournal, TSE-Log, Hash der Rohdaten — wird damit zur Kernaufgabe des IT-Sachverständigen in Wirtschaftsstrafverfahren.

Grundsatzentscheidung für jede forensische Datensicherung im Strafverfahren: Der Auftrag zur Vollsicherung eines Datenträgers rechtfertigt keinen schrankenlosen Zugriff. Eine saubere, dokumentierte Eingrenzung auf verfahrensrelevante Daten (Scope, Suchbegriffe, Zeiträume) ist nicht nur gute Praxis, sondern verfassungsrechtlich geboten — und schützt das eigene Gutachten vor einem späteren Verwertungsverbot.

Praktisch wichtig für die Gutachtenerstellung: Ein Ausdruck einer E-Mail ist nach ZPO-Systematik regelmäßig nur Augenscheinsobjekt, kein elektronisches Dokument — die Beweiskraft hängt an der nachvollziehbaren Herkunft. Wer E-Mail-Beweise in ein Gutachten aufnimmt, sollte neben dem Ausdruck stets Header-Daten und Integritätsnachweis (Hash der Ursprungsdatei) mitliefern.

Zentral für jedes Kassenforensik-Gutachten mit Schätzungsbezug: Wo eine Nachkalkulation anhand von Wareneinsatz, TSE-Journal oder Z-Bons mit vertretbarem Aufwand möglich ist, ist sie einer Richtsatzschätzung methodisch vorzuziehen — und jede Wahl der Schätzungsmethode muss im Gutachten nachvollziehbar begründet werden, nicht nur mitgeteilt. Wer dennoch auf Richtsätze zurückgreift, sollte die vom Senat aufgezeigten Repräsentativitätsprobleme kennen und einordnen können.

Betrifft den eigenen Auftritt als gerichtlich bestellter Sachverständiger unmittelbar: Neutralität und Distanz zu den Parteien müssen während des gesamten Gutachtenprozesses erkennbar bleiben, nicht nur formal bei der Bestellung. Auch scheinbar technische Formulierungen im Gutachten können Anlass für einen Befangenheitsantrag geben — mit der Folge, dass das Gutachten nach erfolgreicher Ablehnung grundsätzlich nicht mehr verwertbar ist (§ 412 Abs. 2 ZPO).

Zentral für die Praxis der Datenträgersicherstellung: Ob ein biometrisch gesichertes Gerät durch Zwang entsperrt werden durfte, entscheidet über die Rechtmäßigkeit des Zugriffswegs und damit potenziell über die Verwertbarkeit der extrahierten Daten. Bei der Dokumentation der Sicherstellung gehört die Art der Entsperrung (biometrisch vs. Passworteingabe, mit oder ohne richterliche Anordnung) zwingend ins Protokoll.

Grundsatzentscheidung für den Umgang mit Server-, Firewall- und Proxy-Logs in jedem Gutachten: IP-Adressen sind nicht erst bei tatsächlicher Identifizierung, sondern schon bei bloßer rechtlicher Zuordnungsmöglichkeit personenbezogene Daten im Sinne der DSGVO. Wer Log-Daten für ein Gutachten auswertet, sammelt und weitergibt, unterliegt damit den vollen DSGVO-Pflichten — unabhängig davon, ob im konkreten Fall überhaupt eine Person namentlich ermittelt wird.