Antworten auf die Fragen, die zuerst gestellt werden

Nach einem Erstgespräch wird die Fragestellung eingegrenzt. Die Geräte werden übernommen und dokumentiert, es wird nach Möglichkeit eine gesicherte Kopie erstellt und diese ausgewertet. Am Ende steht ein Gutachten, das Vorgehen, Werkzeuge, Ergebnisse und Grenzen beschreibt.

Technische Lauschabwehr wird immer in den betroffenen Räumen durchgeführt. Smartphone- und Tablet-Forensik, Spyware-Prüfungen sowie Fahrzeuguntersuchungen sind bei geeigneten Voraussetzungen ebenfalls beim Auftraggeber möglich; weiterführende gerätebezogene Auswertungen erfolgen in den zentralen Untersuchungsräumen in Krefeld oder bei technischer Eignung im Forensiklabor in Vaterstetten bei München.

Ob ein Gutachten in einem Verfahren verwertet wird und welchen Beweiswert es besitzt, entscheidet das zuständige Gericht beziehungsweise die Ermittlungsbehörde. Unsere Untersuchungen sind auf eine fachlich nachvollziehbare Dokumentation ausgerichtet. Dazu gehören die dokumentierte Übergabe, Prüfsummen der gesicherten Daten, eine Beschreibung der angewandten Methoden sowie die klare Trennung zwischen technischem Befund und fachlicher Bewertung. Eine verbindliche Zusage zur späteren Verwertbarkeit kann nicht gegeben werden.

Es lassen sich Indikatoren prüfen: auffällige Prozesse, Konfigurationsprofile, Berechtigungen, Systemprotokolle und bekannte Merkmale verbreiteter Überwachungssoftware. Ein negativer Befund bedeutet, dass in den zugänglichen Daten keine Hinweise gefunden wurden – nicht, dass mit Sicherheit nie eine Überwachung stattgefunden hat. Aktuelle Betriebssysteme schränken den Zugriff auf Systembereiche zusätzlich ein.

Das hängt vom Schadensbild ab: logische Fehler, mechanische Defekte, überschriebene Bereiche und Verschlüsselung führen zu sehr unterschiedlichen Ergebnissen. Nach einer Erstanalyse wird eingeschätzt, was realistisch möglich ist. Ein bestimmter Rettungsumfang wird nicht zugesagt, und bereits überschriebene Daten sind nicht rekonstruierbar.

Fällt die Heranziehung in den Anwendungsbereich des JVEG, werden die vergütungsfähigen Leistungen nach den dort vorgesehenen Bestimmungen abgerechnet. Das betrifft insbesondere entsprechende Heranziehungen durch Gerichte, Staatsanwaltschaften und weitere in § 1 JVEG genannte Stellen. Bei anderen behördlichen oder privatrechtlichen Aufträgen werden Umfang und Vergütung vor der Beauftragung vereinbart.

Der Aufwand hängt von Gerätetyp, Datenmenge und Fragestellung ab; nach der Eingrenzung im Erstgespräch wird der voraussichtliche Umfang benannt, bevor ein Auftrag entsteht. Ausgewertet wird nur, was für die Fragestellung erforderlich ist. Daten werden getrennt vom Regelbetrieb verarbeitet, Zugriffe erfolgen nur bei nachgewiesener Berechtigung, Arbeitskopien werden nach Abschluss nach Absprache gelöscht.

Eine allgemein gültige Dauer gibt es nicht. Zeitbestimmend sind Gerätetyp, Datenmenge, Sicherungsverfahren, Verschlüsselung und der Umfang der Fragestellung. Eine belastbare Zeiteinschätzung wird nach der Erstanalyse genannt, bevor ein Auftrag entsteht; bestehende Fristen werden dabei berücksichtigt. Zeigt sich während der Arbeit ein höherer Aufwand, wird das vor der Fortsetzung abgestimmt.

Hilfreich sind: die konkrete Fragestellung, Art und Anzahl der betroffenen Geräte oder Datenträger mit Modellangabe, der relevante Zeitraum, bekannte Auffälligkeiten und bereits vorgenommene Handgriffe, bestehende Fristen sowie der Nachweis der Berechtigung für die betroffenen Geräte und Konten. Zugangsdaten werden nur angefragt, wenn sie für die vereinbarte Untersuchung erforderlich sind.