Zunehmende Dauer bei der Auswertung von Hardware

Seit einiger Zeit muss ich feststellen, dass die ohnehin recht lange zeitliche Dauer bei der Auswertung von beschlagnahmter Hardware durch Ermittlungsbehörden noch weiter angestiegen ist. Während man früher von 6 Monaten bis zu 12 Monaten ausgehen konnte, hat sich dies rapide verschlechtert:

  • In einem sehr einfachen Fall, der keine Haftsache ist, wo es aber u.a. um Kinderpornographie geht, dauert die Auswertung eines Mobiltelefons aktuell 2 Jahre – und ein Abschluss ist nicht in Sicht.
  • In einem weiteren Fall dauerte das einfache analysieren einer Festplatte ein gutes Jahr, in einem weiteren Fall gar 1,5 Jahre. Beides war zwar keine Haftsache, allerdings wurde am Ende nur die übliche Analyse mit forensischer Software ohne Sichtprüfung durchgeführt.
  • Zum Vergleich: Selbst in einer Serie von Kapitalverbrechen, wo jemand in Haft ist und es lediglich um den Abgleich von 5 DNA-Funden geht, dauert die Analyse bereits 5 Monate an.

Es zeigt sich im gesamtbild, dass man aktuell bei der Auswertung von Hardware ganz erhebliche Zeit einplanen muss. Jedenfalls wo der Mandant nicht in Haft ist, läuft die Uhr insoweit eher für als gegen den Mandanten je länger es dauert. Dabei muss bei unberechtigter Beschlagnahme dann geprüft werden, ob eine Entschädigung für veraltete zurückgegebene Hardware zu leisten ist.

Polizeiliche Kriminalstatistik 2014: Entwicklung der IT-Straftaten

Ich hatte zuletzt etwas zur Statistik 2012 geschrieben, inzwischen gibt es einige bemerkenswerte Änderungen, auf die das BKA hinweist und die sich aus meiner Sicht ergeben:

  1. So ist als erstes zu sehen, dass seit dem Jahr 2014 Delikte des Cybercrime nur noch in der polizeilichen Statistik erfasst werden, wenn konkrete Anhaltspunkte für eine Tatbegehung in Deutschland vorliegen. Das bedeutet, dass Zahlen ab 2014 keine brauchbare Vergleichsbasis zu vorhergehenden Zahlen darstellen, man sollte daher die Zahlen getrennt betrachten.
  2. Für das Jahr 2013 war noch zu sehen, dass 64.426 Fälle von Cybercrime festgehalten wurden – dies stellte lediglich eine Steigerung von rund 1 Prozent gegenüber dem Vorjahr (63.959) dar.
  3. Im Jahr 2014 wurden dann fast 50.000 Straftaten im Bereich des Cybercrime im engeren Sinn festgestellt. Das BKA erfasst hierunter alle Straftaten, die sich gegen das Internet, Datennetze, informationstechnische Systeme oder deren Daten richten.
  4. Bei der Verteilung der Straftaten ist zu sehen, dass gut 22.300 Taten auf den Computerbetrug entfallen, was fast der Hälfte anteilig an den Straftaten entspricht. Weitere Straftaten mit Bedeutung waren die „Fälschung beweiserheblicher Daten” sowie die „Datenveränderung/Computersabotage“.
  5. Eine immer noch, insbesondere vom Mittelstand, unterschätze Gefahr sind gezielte Angriffe auf die Infrastruktur von Firmen (Stichwort Wirtschaftsspionage). Es ist seltsam, dass dieser Bereich zwar immer stärker von der Polizei betont wird, aber kaum von Unternehmen ernst genommen wird.

Download: Bundeslagebild Cybercrime 2014

Technische Kompetenz im Strafverfahren: Zeitstempel bei Anrufen

Im Rahmen eines Betäubungsmittelverfahrens wurde plötzlich relevant, wann von einem Handy Anrufe (in die Niederlande) getätigt wurden. Bei solchen Fragen wird dann gerne auf einen von der Polizei bzw. dem Zoll angefertigten “Datensicherungsbericht” zurückgegriffen. Zum Einsatz kommt dabei gerne die forensische Software “XRY” von MSAB, mit der eine vollständige Kopie von Handy und SIM Karte erzeugt und sodann ausgewertet wird. Das Problem nur in diesem Fall: Die ausgewertete Zeit des Handys wich vermutlich von der tatsächlichen Zeit ab – und es war sodann fraglich, ob zum relevanten Tatzeitpunkt wirklich ein telefonischer Kontakt stattgefunden hat. Wie so oft war der Verfasser des Berichts nicht vom Gericht geladen, er wurde sodann kurzerhand telefonisch dazu befragt, wie es sich mit den Zeitangaben im Bericht handelt (prozessual war das Vorgehen nicht tragbar, ich lasse das hier dahin gestellt).

Von diesem war dann zu vernehmen, dass er mitteilte, die Systemzeit des Handys spiele keine Rolle, da sich die Zeitangaben in der Anrufliste des Telefons an Zeitstempeln des Providers orientieren und somit unabhängig von der Systemzeit des Telefons sind. Dass das schlichtweg Unsinn ist kann jeder mit seinem Handy/Smartphone im Handumdrehen nachprüfen – das Gericht übernahm diese Auskunft gleichwohl. Die Berufungsinstanz darf sich nun mit dem Thema “Technische Kompetenz im Strafverfahren” beschäftigen.

Hinweis: Es ist ein häufiges Problem bei Strafverfahren mit IT-Fragen, dass Ermittler auf der einen Seite Standard-Software verwenden, um deren Ergebnisse dann schlicht wiederzugeben; auf der anderen Seite werden bei Detailfragen dann aber auch noch falsche Informationen gegeben, die selbst bei Offenkundigkeit von Gerichten gerne übernommen werden.

Einzug von Hardware: Vorzugsweise sind Dateien zu löschen

In IT-Strafsachen spielt der Einzug von Hardware eine herausragende Rolle – die Staatsanwaltschaften und Gerichte sind hier häufig sehr interessiert, entsprechende Hardware dem Betroffenen zu entziehen; nicht selten hat man dabei das Gefühl, dass auf dem Weg noch eine zusätzliche Strafwirkung erzielt werden soll.

Tatsächlich aber ist die Einziehung keineswegs ohne weiteres Möglich, insbesondere ist regelmäßig die Verhältnismäßigkeit zu wahren. Da geht es dann darum, um nicht eine (teilweise) Löschung ausreicht oder ob man aus einem PC nicht lediglich die Festplatte ausbauen kann.

Auch beim Bundesgerichtshof (4 StR 128/14) ging es – wieder einmal, hier als Beispiel für weitere Rechtsprechung dieser Art – um eine Einziehung eines Laptops, diesmal nachdem auf dem Laptop rechtswidrig erzeugte Videos gespeichert wurden. Und wieder einmal muss der Bundesgerichtshofs daran erinnern, dass hier der Verhältnismäßigkeitsgrundsatz zu wahren ist.

“Einzug von Hardware: Vorzugsweise sind Dateien zu löschen” weiterlesen

Polizeiliche Kriminalstatistik 2012: Entwicklung der IT-Straftaten

Die Polizeiliche Kriminalstatistik 2012 wurde vorgestellt, dabei spielt erneut die “Cyberkriminalität” eine Rolle, wie der Pressemitteilung zu entnehmen ist:

Zunehmend beschäftigt die sog. Cyberkriminalität die Polizeien des Bundes und der Länder, also Straftaten, die unter Ausnutzung moderner Informations- und Kommunikationstechnik begangen werden, indem etwa Daten ausgespäht und abgefangen werden oder indem mit einer Schadsoftware Daten verändert oder Computer beschädigt werden. 2012 sind solche Delikte im Vergleich zum Vorjahr um 7,5 Prozent auf 63.959 Fälle angestiegen, bei einem vermutlich erheblichen Dunkelfeld.

Der Handreicher zur Statistik spricht insgesamt von 3,4% mehr an Straftaten in diesem Bereich. Von mir ein paar kurze Erläuterungen zu dieser Entwicklung,basierend auf der Gesamtstatistik. Im vorweggenommenen Fazit gibt es eine insgesamt überraschende Entwicklung, die bisher kaum Aufmerksamkeit erhalten hat: Bei den Persönlichkeitsrechtsverletzungen ist eine starke Steigerung zu verzeichnen, während im Bereich klassischer Delikte eher ein Rückgang zu sehen ist. Es scheint sich der Trend zu entwickeln, dass Delikte im individuellen Bereich, also zum Schutz der einzelnen Personen, “im Trend” liegen und Betroffene hier zunehmend zum Mittel der Strafanzeige greifen. Nachdem seit Jahren Smartphones unseren Alltag prägen während ein Bewusstsein zur Nutzung der damit verbundenen Möglichkeiten kaum vorhanden ist, eine ebenso überfällige wie vorhersehbare Entwicklung.
“Polizeiliche Kriminalstatistik 2012: Entwicklung der IT-Straftaten” weiterlesen

Aus der Praxis: Die Suche nach einem Handy durch die Staatsanwaltschaft per IMEI

In einer Strafsache zeigt sich bei mir nochmals deutlich, wie leicht manche Dinge heute fallen: Im Kern ging es darum, dass die Staatsanwaltschaft ein bestimmtes Handy suchte, von dem u.a. die IMEI (das ist eine interne und einmalige Seriennummer des Handys) bekannt war. Mittels richterlichem Beschluss wurden die drei grossen Provider aufgefordert, in Ihren Datenbeständen zu forschen, ob es Verbindungen bei Ihnen gab, die mittels dieser IMEI zu Stande kamen. Tatsächlich meldete sich am Ende ein Provider, der alleine an Hand der IMEI, die in stattgefundener Kommunikation erfasst wurde, einen Vertragspartner benennen konnte. Dauer des ganzen Prozederes: Weniger als 1 Woche.

Bis heute ist wenig bekannt, was technisch möglich ist. Manche gehen immer noch davon aus, dass nur Handykarten “geortet” werden können. Tatsächlich bieten die Daten bei Providern regelmäßig umfassende Informationen, speziell die IMEI bietet einen guten Ansatzpunkt bei Ermittlungen, zumal sie bei jedem einzelnen Kommunikationsvorgang übermittelt wird. Speziell gestohlene Handys lassen sich auf dem Weg recht schnell wieder auffinden…

Öffentlichkeitsfahndung: Rechtmäßigkeit der Fahndung im Internet oder auf Facebook

Früher gab es ihn mal in der StPO, heute findet man das Wort nicht mehr: Den “Steckbrief”, der umgangssprachlich immer noch verwendet wird, in der modernen Sprache der Strafprozessordnung aber zur “Ausschreibung zur Fahndung” wurde.

Zunehmend sieht sich die Polizei damit konfrontiert, dass derartige Fahndungsaufrufe immer weniger Menschen erreichen – während Zeitungen und Plakatwände um Beachtung kämpfen, nutzen wahre Menschenmassen dagegen soziale Netze im Internet. Es ist naheliegend, darüber nachzudenken, so genannte “Steckbriefe” über derartige soziale Netze zu verteilen. Nicht nur dass man mehr Menschen erreicht, es verbreitet sich auch noch quasi als Selbstläufer.

Aber: Ist es zulässig?

“Öffentlichkeitsfahndung: Rechtmäßigkeit der Fahndung im Internet oder auf Facebook” weiterlesen

Alltägliche Akribie: Ermittlungen der Polizei in sozialen Netzen

Ich sehe immer wieder, wie hilfreich soziale Netze für Ermittlungsbehörden sein können. Dazu kurz zwei Beispiele aus früheren Fällen:

  • Ein Verdächtiger war dem Zeugen nur unter seinem ausgefallenen Spitznamen bekannt. Nachdem man bei der Polizei mit der Ermittlung des Verdächtigen nicht vorwärts kam, besannte man sich auf Facebook und begann hier mit der Suche. Dabei fand man recht schnell ein Foto, auf dem ein Betroffener mit seinem Spitznamen “getaggt” war. Das schöne: Man hatte nicht nur auf Anhieb ein Foto samt Spitznamen, sondern auch noch gleich den Link zum Profil mit Klarnamen. Die Polizei dankt.
  • Wiederum ein Verdächtiger sollte an einem Raub beteiligt gewesen sein. Hier suchten die Tatopfer selber bei Facebook und fanden dann jemanden, der ihnen passend erschient – ein Ausdruck wurde der Polizei übergeben, hier wurde dann der Betreffende zum Verdächtigen im Ermittlungsverfahren.

Es zeigt sich in meinem Alltag immer wieder, dass auch bei alltäglichen Bagatelldelikten eine “Ermittlung” auf Facebook & Co. immer zu erwarten ist, nicht zuletzt, weil der Arbeitsaufwand hier sehr überschaubar ist. Gleichzeitig besteht eine extrem hohe Fehlerquote, etwa weil man Profilbilder sieht, die möglichen Zeugen nicht wie strafprozessual vorgeschrieben als Wahllichtbildvorlage präsentiert werden.

IT-Strafrecht: 1164 Euro Schadensersatz für beschlagnahmtes Notebook

Bei Ermittlungen im Zusammenhang mit IT-Straftaten werden die zugehörigen Rechner der Beschuldigten regelmässig sicher gestellt bzw. beschlagnahmt. Wenn sich am Ende herausstellt, dass der Verdacht sich nicht erhärtet hat und das Verfahren eingestellt wird, erhält der Betroffene sein Gerät natürlich zurück – aber da die Justiz mitunter langsam arbeitet, vergeht hierbei häufig viel Zeit.

Das Gerät ist dann regelmäßig nicht mehr das, was zeitgemäß ist oder man hatte durch Ersatzgeräte Kosten, die aufgefangen werden müssen. Entschädigungen in diesem Zusammenhang sind noch Neuland – wir haben für einen Mandanten hier Entschädigung geltend machen können. Eine Entscheidung mit Modellcharakter.
“IT-Strafrecht: 1164 Euro Schadensersatz für beschlagnahmtes Notebook” weiterlesen

Beschlagnahme von Emails und Zufallsfunde

Eine Entscheidung des Landgerichts Mannheim (24 Qs 2/10) verdient in höchstem Maße Beachtung: Es ging um die Beschlagnahme von Emails eines Beschuldigten beim Provider. Dass eine solche Beschlagnahme grundsätzlich nach den alther gebrachten Regelungen der StPO möglich ist, steht ausser Frage (dazu BGH, 1 StR 76/09 und das BVerfG, 2 BvR 2099/04).

Nun hat sich aber folgendes Ergeben: Es wurde eine Durchsuchungs- und Beschlagnahmeanordnung (auch hinsichtlich der E-mails beim Provider) erlassen. Demzufolge waren E-Mails im Zusammenhang mit Straftaten zwischen dem 01.08.2008 und einschliesslich Dezember 2009 zu beschlagnahmen.

Im Zuge dieser Anordnung räumte der Provider der Ermittlungsbehörde einen zeitlich und inhaltlich unbeschränkten “Gastzugang” zum Account des Beschuldigten ein, das heisst, die Behörde konnte sich einloggen und auf die EMails Zugriff nehmen. Die Chronologie war dabei wie folgt:

  • 26.02.2010 : Gerichtsbeschluss
  • 03.03.2010: Polizei übermittelt Beschluss an Provider
  • 10.03.2010: Provider richtet Gastaccount ein

Durch den Gastaccount dann kamen aber auch EMails zu Tage, die nach dem 08.02.2010 datierten und auf eine vollkommen neue Straftat hinwiesen, die auch vom bisherigen Beschluss nicht umfasst war. Die Staatsanwaltschaft erwirkte danach beim Amtsgericht einen weiteren Beschlagnahmbeschluss auf Grund der aufgetauchten E-Mails.

Gestritten wurde nun darüber, ob das verwertet werden durfte.
“Beschlagnahme von Emails und Zufallsfunde” weiterlesen

Landestrojaner ohne Rechtsgrundlage im Einsatz?

Sowohl Heise als auch Golem berichten (unter Rückgriff auf den Spiegel), dass im Bundesland Bayern eine Trojaner-Software zum aushorchen von Rechnern Tatverdächtiger (“Landestrojaner”) gleich mehrfach zum Einsatz kam. Nun wird in den Raum geworfen, dass es hierfür gar keine Rechtsgrundlage gibt (dazu auch der Beitrag bei Carsten Hoenig). Besonders scharf ist die Formulierung bei ijure:

aus der Rechtswissenschaft zumindest gibt es soweit ersichtlich keine einzige Stimme, die für die Zulässigkeit der Quellen-TKÜ auf der bisherigen rechtlichen Grundlage einträte.

Solche Sätze sind gefährlich, denn es reicht nur eine einzige Stimme, um sie zu widerlegen. Und wenn man dann als Ausnahme auch noch den Standardkommentar zur StPO anführen kann, der auf jedem Richtertisch in Deutschland steht, wird es haarig. So liest man nämlich in der Kommentierung des §100a StPO beim Meyer/Goßner unter Rn.7a folgendes:

Die Internet-Telefonie wird von §100a erfasst […] auch die so genannte Quellen-TKÜ nebst den erforderlichen Begleitmaßnahmen;

Auch sonst muss man nicht lange suchen: Bär ist einer der Verfechter dieser Ansicht (dazu nur Bär, Handbuch zur EDV-Beweissicherung im Strafverfahren, Rn. 321 oder die sehr kritische Besprechung von Bär in der MMR 2008, S.423ff.). Eine Darstellung findet man Online bei Buermeyer/Bäcker in der HRRS (interessanterweise ist einer der Autoren zugleich der Autor der obigen Zeilen).

“Landestrojaner ohne Rechtsgrundlage im Einsatz?” weiterlesen

Darf eine Staatsanwaltschaft Domains beschlagnahmen?

Ein Artikel in der ZEIT-Online beschäftigt sich mit der Frage des Vorgehens im Fall “kino.to”: Hier wurde die laufende Webseite abgeschaltet, die Server-Hardware beschlagnahmt und der Inhalt der Webseite durch eine eigene Seite ersetzt. Nun fragt sich nicht nur Thomas Stadler: Geht das überhaupt? Ich versuche – in aller Kürze – ein wenig auszuhelfen.

“Darf eine Staatsanwaltschaft Domains beschlagnahmen?” weiterlesen