Wird eine Sicherung später infrage gestellt, geht es selten um das Auswertungsergebnis. Es geht um die Frage, ob nachvollziehbar ist, woher der Datenbestand stammt und ob er seither unverändert geblieben ist.
Übernahme und Identifizierung
Am Anfang steht die eindeutige Zuordnung: Wer übergibt, wann, an wen, in welchem Zustand. Festgehalten werden Gerätetyp, Hersteller, Modell, Serien- beziehungsweise IMEI-Nummer, sichtbare Beschädigungen, Zubehör, Zustand von Siegeln und Verpackung, Ladezustand und Betriebszustand bei Übergabe. Fotografien ergänzen die Beschreibung.
Wichtig ist auch, was nicht übergeben wurde: fehlende Netzteile, nicht mitgelieferte Datenträger, unbekannte Kennwörter. Diese Lücken bestimmen später den Umfang der möglichen Aussagen.
Zugriffsbeschränkung und Aufbewahrung
Zwischen Übernahme und Sicherung wird das Material verschlossen aufbewahrt, der Zugang ist auf die bearbeitenden Personen beschränkt. Mobilgeräte werden funkisoliert, damit keine Fernlöschung und keine Synchronisation den Zustand verändert.
Jeder Wechsel des Aufbewahrungsorts und jede Herausgabe wird mit Datum, Uhrzeit und beteiligten Personen protokolliert. Das gilt auch für interne Übergaben.
Schreibgeschützte Sicherung, soweit möglich
Bei Datenträgern erfolgt die Sicherung über einen Schreibblocker, sodass das Original während des Auslesens nicht verändert wird. Bei laufenden Systemen, Mobilgeräten, virtuellen Umgebungen und Cloud-Konten ist das technisch nicht durchgängig möglich.
In diesen Fällen wird dokumentiert, welche Veränderungen der Sicherungsvorgang notwendigerweise verursacht: entsperrte Geräte, gestartete Dienste, erzeugte Protokolleinträge, angelegte Backups. Eine offengelegte Einschränkung ist überprüfbar; eine verschwiegene ist ein Mangel.
Prüfsummen
Über das erzeugte Abbild wird eine kryptografische Prüfsumme gebildet, üblicherweise SHA-256, und im Gutachten festgehalten. Vor jeder weiteren Bearbeitung wird sie erneut berechnet und verglichen.
Kann ein Bereich nicht fehlerfrei gelesen werden – etwa bei defekten Sektoren –, wird das mit Angabe der betroffenen Bereiche vermerkt, statt das Abbild als vollständig auszuweisen.
Werkzeuge und Versionen
Protokolliert werden eingesetzte Hardware und Software mit Versionsstand, verwendete Parameter, Start- und Endzeit sowie Systemzeit und Zeitzone der Arbeitsumgebung. Der Grund ist praktisch: Auswertungsergebnisse hängen von der Werkzeugversion ab. Ohne diese Angabe ist eine spätere Nachprüfung durch eine andere Stelle nicht sinnvoll durchführbar.
Ergebnisse, die von einem einzelnen Werkzeug ohne Gegenprüfung stammen, werden im Gutachten als solche gekennzeichnet.
Bearbeitung ausschließlich auf Kopien
Nach der Sicherung wird das Original für die planmäßige Auswertung nicht mehr verwendet. Alle Auswertungsschritte laufen auf Arbeitskopien. Ist ausnahmsweise eine ergänzende Sicherung am Original erforderlich, werden Anlass, Zeitpunkt, Vorgehen und mögliche Auswirkungen gesondert dokumentiert. Das Abbild bleibt unverändert verfügbar. Wird eine Kopie beschädigt, lässt sie sich aus dem Abbild neu erzeugen – der Ausgangszustand bleibt reproduzierbar.
Was Dokumentation leistet und was nicht
Die Dokumentation belegt den technischen Ablauf: Übernahme, Zustand, Sicherungsverfahren, Integritätsnachweis, Auswertungsschritte, Ergebnisse und ihre Grenzen. Sie unterscheidet zwischen Feststellung und Deutung.
Sie ersetzt keine rechtliche Bewertung. Ob und wie eine Untersuchung in einem Verfahren berücksichtigt wird, entscheidet die zuständige Stelle beziehungsweise das Gericht. Sicherungswege, Prüfsummen, eingesetzte Werkzeuge und Auswertungsschritte werden nachvollziehbar dokumentiert. Eine zusätzliche gutachterliche Einordnung wird nur vereinbart, wenn sie für den konkreten Auftrag vorgesehen und fachlich möglich ist.
Abrechnung bei behördlicher Heranziehung
Fällt eine Heranziehung in den Anwendungsbereich des JVEG, werden die vergütungsfähigen Leistungen nach den dort vorgesehenen Bestimmungen abgerechnet. Bei anderen behördlichen oder privatrechtlichen Aufträgen werden Umfang und Vergütung vor der Beauftragung vereinbart.
Nächster Schritt
Für eine Übergabe genügen zunächst: Gerätetyp, Zustand, bekannte Zugangsdaten, Fragestellung und Zeitraum. Bis zur Übergabe sollte das Gerät nicht weiterverwendet, nicht zurückgesetzt und nicht aktualisiert werden.