Gelöscht bedeutet nicht vernichtet. Wiederhergestellt bedeutet nicht vollständig.

Inhalt des Artikels

1. Das Foto, das „zurückkehrte“
2. Löschen ist kein einzelnes Ereignis
3. Die SSD hat die Regeln verändert
4. Ein Smartphone ist keine kleine Festplatte
5. Vier Bedeutungen von „wiederhergestellt“
6. Von Bytes zur Geschichte
7. Das Werkzeug ist kein Zeuge
8. Wie ein redlicher Befund klingt
9. Dasselbe Bild, ein anderer Satz

Analytisch-publizistischer Essay

Auf dem Monitor erscheint ein Foto. Es ist scharf, farbig und auf den ersten Blick vollständig. Die Forensiksoftware versieht es mit dem Wort deleted. Im Raum genügt ein einziger Satz: „Wir haben das gelöschte Bild wiederhergestellt.“ Er klingt präzise. Er klingt endgültig. Und binnen Sekunden erzeugt er eine Geschichte, die der Fund selbst womöglich überhaupt nicht enthält.

Betrachten wir diese Szene als Modell und nicht als Beschreibung eines konkreten Falls. Auf dem Bildschirm kann tatsächlich ein Bild zu sehen sein, das die gewöhnliche Benutzeroberfläche nicht mehr anzeigte. Es kann sich um die Originaldatei handeln, die dank erhaltener Metadaten gefunden wurde. Es kann aber ebenso ein anhand eines typischen JPEG-Headers herausgeschnittener Dateiteil sein, eine vom Betriebssystem erzeugte Vorschau, eine Cache-Kopie, ein von einer anderen Anwendung gespeicherter Anhang, ein Datensatz aus einem Backup oder eine Mischung von Blöcken, die das Werkzeug nach einer technischen Regel zusammengefügt hat.

All diese Ergebnisse können in der Alltagssprache als „wiederhergestelltes Foto“ bezeichnet werden. Forensisch sind sie jedoch nicht austauschbar. Sie unterscheiden sich in ihrer Herkunft, Vollständigkeit, ihren Metadaten, der Verbindung zu einer bestimmten Anwendung und darin, ob sich ihre Anwesenheit überhaupt mit dem Handeln einer konkreten Person verknüpfen lässt.

Digitale Forensik bringt die Vergangenheit nicht zurück. Sie erstellt aus dem, was von ihr übrig geblieben ist, ein technisch begründetes Modell der Vergangenheit.

NIST fasst in seiner umfassenden wissenschaftlichen Überprüfung digitaler Untersuchungsmethoden zwei Dinge zusammen, die sich nur schwer in einen einzigen populären Satz pressen lassen: Die verwendeten Techniken besitzen bei korrekter Anwendung eine solide Grundlage in der Informatik – und zugleich bekannte Grenzen. Nicht jede Spur lässt sich finden. Die Wiederherstellung gelöschter Daten kann nur einen Teil einer Datei zurückbringen, fremdes Material hinzufügen oder unzusammenhängende Fragmente verbinden. Zudem kann sich die Bedeutung eines Artefakts mit der Version des Systems, der Anwendung oder des Parsers verändern.^[1]

Genau hier beginnt der andere Kontext. Die eigentliche fachliche Frage lautet nicht: „Konnten wir etwas wiederherstellen?“ Sie lautet: „Welches Objekt haben wir gefunden, wie ist es entstanden, welche Eigenschaften haben wir unmittelbar beobachtet – und wo beginnt bereits die Inferenz?“

01 / Ein vielschichtiger VorgangLöschen ist kein einzelnes Ereignis

Wenn ein Mensch die Löschtaste drückt, sieht er eine einfache Veränderung: Der Eintrag verschwindet. Der Computer muss jedoch keinen einzigen physischen Akt ausführen, den man als Vernichtung der Daten bezeichnen könnte. Die Benutzerhandlung sinkt durch mehrere Systemschichten, und jede von ihnen kann eine andere Spur bewahren.

Auf der obersten Ebene kann eine Anwendung den Eintrag lediglich aus einer Liste entfernen. Eine Datenbank kann eine Zeile als gelöscht markieren, ihren Inhalt in freien Speicher verschieben oder die Änderung in ein Journal schreiben. Das Dateisystem kann die Verknüpfung zwischen Dateinamen und den Blöcken lösen, die den Inhalt trugen, und den Speicherbereich für weitere Schreibvorgänge freigeben. Der Speichercontroller kann logische Adressen anderen physischen Zellen zuordnen. Und außerhalb des Geräts können synchronisierte Kopien, Sicherungen, Vorschaubilder oder Cloud-Daten weiterbestehen.

Bei einem klassischen Dateisystem besteht der erste Schritt häufig nicht im Überschreiben des Inhalts, sondern in einer Änderung der Verwaltung: Der Eintrag ist nicht mehr aktiv, und sein Speicherbereich steht für weitere Nutzung zur Verfügung. Solange er nicht überschrieben wurde, kann der gesamte Inhalt oder ein Teil davon erhalten bleiben. Das hängt jedoch vom konkreten System, der Art des Löschens, der Fragmentierung, der anschließenden Aktivität und dem Medientyp ab. Fachliche Verfahren rechnen deshalb ausdrücklich mit der Suche nach relevanten gelöschten Daten im nicht zugeordneten Speicher sowie in verschiedenen Arten von Slack Space – nicht weil sie dort vorhanden sein müssen, sondern weil sie dort vorhanden sein können.^[1][2]

Ein anderer Fall ist der Papierkorb. Das Verschieben dorthin kann lediglich eine Standortänderung und die Ergänzung unterstützender Metadaten sein. Anders verhält es sich mit dem „dauerhaften“ Löschen über die Oberfläche. Wieder anders mit dem Entfernen aus der Datenbank einer Anwendung. Und nochmals anders mit der sicheren Sanitization eines Mediums, deren Ziel darin besteht, den Zugriff auf Zieldaten bei einem vorab angenommenen Aufwand unmöglich zu machen. Genau so definiert NIST Sanitization: nicht als metaphysische Abwesenheit jedes einzelnen Bits, sondern als Zustand, in dem die Datengewinnung für ein bestimmtes Angriffsmodell praktisch nicht durchführbar ist.^[4]

„Gelöscht“ beschreibt einen Zustand in einer bestimmten Systemschicht. Es sagt für sich allein nichts darüber aus, was in allen anderen geschehen ist.

Das hat eine unbequeme Konsequenz: Es lässt sich keine universelle Regel formulieren wie „Eine gelöschte Datei ist sieben Tage lang wiederherstellbar“ oder „Nach dem Leeren des Papierkorbs ist sie unwiderruflich verschwunden“. In beiden Aussagen fehlt fast der gesamte technische Kontext.

02 / Physisches MediumDie SSD hat die Regeln verändert – aber nicht nur in eine Richtung

Eine beliebte Analogie besagt, Löschen sei wie das Entfernen eines Eintrags aus dem Inhaltsverzeichnis eines Buches: Das Kapitel bleibe auf den Seiten erhalten, nur der Verweis gehe verloren. Für manche Situationen auf einer magnetischen Festplatte ist das eine nützliche Hilfe. Bei modernem Flash-Speicher beginnt sie jedoch in die Irre zu führen.

Eine SSD zeigt dem Betriebssystem keine einfache Karte nach dem Muster „Dieser logische Block befindet sich genau in dieser physischen Zelle“. Dazwischen arbeitet ein Controller mit einer Adressübersetzungsschicht. Wegen der Eigenschaften von NAND-Flash nutzt er Remapping, Schreiben an einen neuen Ort, Wear Leveling und Blockbereinigung. Ein Teil der physischen Kapazität muss zudem für gewöhnliche Benutzerbefehle gar nicht adressierbar sein. NIST weist deshalb bei modernen Medien ausdrücklich darauf hin, dass die physische Kapazität die für den Benutzer sichtbare Kapazität übersteigen kann und dass Daten an mehrere Orte weitergereicht werden können.^[4]

Mit dem TRIM-Befehl kann das Betriebssystem der SSD mitteilen, dass bestimmte logische Blöcke nicht mehr benötigt werden. Das ist jedoch nicht dasselbe wie ein physisches Löschen zu einem exakt bestimmbaren Zeitpunkt. Der Controller kann die Daten später in die Garbage Collection einbeziehen; aus Sicht gewöhnlicher Lesezugriffe können die Blöcke beginnen, Nullen zurückzugeben oder unzugänglich zu werden. Was in der physischen Schicht verbleibt und was sich mit einer konkreten Methode tatsächlich gewinnen lässt, hängt vom Gerät, der Firmware, der Verschlüsselung, dem Stromversorgungszustand und dem Akquisitionsweg ab.

Die historische Studie von Wei und Kollegen aus dem Jahr 2011 zeigte, warum sich von Festplatten übernommene Verfahren nicht automatisch auf damalige SSDs übertragen ließen: Durch das interne Mapping konnten ältere Kopien außerhalb der logischen Sicht verbleiben, und manche Implementierungen von Löschbefehlen verhielten sich nicht wie erwartet.^[3] Diese Arbeit ist als Demonstration des architektonischen Problems wichtig, nicht als Tabelle zur Schätzung heutiger Geräte. Konkrete Zahlen aus fünfzehn Jahre alten getesteten Laufwerken dürfen nicht als Eigenschaft eines aktuellen Smartphones oder einer heutigen SSD ausgegeben werden.

Moderne Verschlüsselung fügt ein weiteres Paradox hinzu. Die Bytes können auf dem physischen Medium weiterhin existieren, ohne den zugehörigen Schlüssel aber praktisch unzugänglich sein. Auf Apple-Geräten mit Data Protection wird jede Datei oder jeder Dateibereich durch einen eigenen Schlüssel geschützt, der in eine weitere Schlüsselhierarchie eingebunden ist; das schnelle Entfernen eines übergeordneten Schlüssels kann Dateien kryptografisch unzugänglich machen, ohne den gesamten Flash-Speicher schrittweise überschreiben zu müssen.^[8]

Damit kehrt sich die ursprüngliche Intuition um. Bei einer alten Festplatte fragten wir vor allem, ob der Inhalt überschrieben wurde. Bei einem modernen Gerät müssen wir zusätzlich fragen, ob von den physischen Zellen über Controller, Dateisystem und Schlüssel überhaupt ein Weg zu einem lesbaren Artefakt führt. Vorhandensein, Adressierbarkeit und Lesbarkeit sind drei verschiedene Eigenschaften.

03 / Mobiles ÖkosystemEin Smartphone ist keine kleine Festplatte

Auf einem Smartphone liegt ein wesentlicher Teil bedeutender Daten nicht als eigenständiges Dokument mit Name, Pfad und Symbol vor. Er befindet sich in Anwendungsdatenbanken, Konfigurationsdateien, Protokollen, Caches, Datenbankjournalen und vom Betriebssystem verwalteten Speichern. Eine „gelöschte Nachricht“ muss deshalb keine Datei sein. Sie kann aus einer Zeile, mehreren verknüpften Tabellen, einem Eintrag in einer WAL-Datei, einem Anhang an einem anderen Pfad und einer Vorschau im Cache bestehen.

SQLite, das in zahllosen Anwendungen eingesetzt wird, dokumentiert selbst, dass gewöhnliches Löschen von Inhalten in der Regel nicht das sofortige Entfernen der ursprünglichen Bytes bedeutet; der Speicherbereich wird für eine weitere Nutzung markiert. Der Befehl VACUUM baut die Datenbank neu auf und kann Spuren gelöschter Inhalte daraus entfernen, während der Modus secure_delete verändert, wie freigegebene Inhalte überschrieben werden. Gleichzeitig können ein Rollback-Journal oder eine WAL bestehen, in denen weitere Versionen von Datenbankseiten gespeichert sind.^[5]

Auch der Satz „VACUUM entfernt Spuren“ bedeutet daher nicht: „Auf dem gesamten Smartphone existiert keine zusammenhängende Spur mehr.“ Er beschreibt das Verhalten einer konkreten Datenbank. Eine Kopie desselben Inhalts kann im Dateisystem, in einer anderen Datenbank, einem Backup, einer Benachrichtigung, einem Suchindex, einem Anhang oder einem synchronisierten Konto fortbestehen.

Hinzu kommt die Verschlüsselung. Android unterstützt seit Version 7 dateibasierte Verschlüsselung, und Geräte, die mit Android 10 oder höher auf den Markt kamen, müssen sie verwenden; Dateien können durch unterschiedliche Schlüssel geschützt sein, und Benutzerdaten werden unter anderem in Speicher aufgeteilt, der vor beziehungsweise erst nach dem Entsperren durch den Benutzer verfügbar ist.^[7] Bei iOS und iPadOS ist der Zugriff auf Inhalte mit einer Hierarchie dateispezifischer Schlüssel, Schutzklassen, der Secure Enclave und dem Gerätezustand verknüpft.^[8] Das Ergebnis einer Akquisition kann deshalb dramatisch davon abhängen, ob das Smartphone gerade eingeschaltet, entsperrt oder neu gestartet ist, welche Methode zur Verfügung steht und was die konkrete Kombination aus Hardware und System zulässt.

Dasselbe Prinzip gilt umfassender. Ein Foto kann automatisch heruntergeladen, eine Nachricht aus einem Backup wiederhergestellt, ein Browserverlauf synchronisiert, eine Miniatur beim Durchsehen eines entfernten Albums erzeugt und ein Kontakt bei einer Migration übertragen worden sein. Der physische Speicherort des Artefakts entspricht dem Ort, an dem es gefunden wurde. Er muss nicht dem Ort entsprechen, an dem es entstand, und ebenso wenig der Person, die seine Entstehung veranlasste.

04 / Sprache des ErgebnissesVier Bedeutungen des Wortes „wiederhergestellt“

Das Wort „Wiederherstellung“ verdeckt Unterschiede, die im Labor sichtbar bleiben sollten. NIST beschreibt drei gebräuchliche technische Familien: Wiederherstellung auf Grundlage von Dateisystemmetadaten, Carving anhand charakteristischer Dateistrukturen und Wiederherstellung gelöschter Einträge innerhalb von Anwendungsformaten, etwa Datenbanken.^[1] In der Praxis ist eine vierte Kategorie hilfreich: eine abgeleitete Kopie, die nicht das ursprüngliche Objekt, sondern dessen technischer Nachkomme ist.

1. Anhand von Metadaten wiederhergestellte Datei

Sind brauchbare Dateisystemstrukturen erhalten, lässt sich ein Inhalt mitunter mit seinem ursprünglichen Namen, Pfad und weiteren Angaben verknüpfen. Das ist kontextreicher als bloßes Carving. Doch auch hier beweist der Name eines Kontos oder Verzeichnisses nicht automatisch, wer den Inhalt erstellt hat, ob jemand von der Datei wusste oder wann genau sie gelöscht wurde. Zeitstempel können unterschiedliche Bedeutungen haben, sich beim Kopieren verändern und durch Zeitzone oder Anwendungsverhalten beeinflusst werden.

2. Aus nicht zugeordnetem Speicher herausgeschnittene Datei

File Carving sucht nach typischen Headern, Footern oder der inneren Struktur eines bekannten Formats, ohne sich auf ursprüngliche Dateimetadaten zu stützen. Es kann wertvollen Inhalt finden, verliert aber häufig dessen Namen, Pfad und Beziehung zu anderen Objekten. Ist eine Datei fragmentiert oder teilweise überschrieben, kann das Ergebnis unvollständig sein; im Extremfall kann es Bestandteile verschiedener ursprünglicher Objekte enthalten. NIST nennt gerade das Risiko fehlender Daten und der Verbindung unzusammenhängenden Materials als bekannte Grenze der Wiederherstellung.^[1]

3. Gelöschter Datenbankeintrag

Ein Eintrag kann eine Kontakt-ID, den Text einer Nachricht, ein Löschkennzeichen oder einen Zeitwert enthalten. Seine Bedeutung hängt jedoch davon ab, ob das Schema der konkreten Anwendungsversion richtig erkannt wurde. Eine Zahl kann eine Zeit in Sekunden, Millisekunden oder Ortszeit sein – oder lediglich eine interne Reihenfolge. Nach teilweisem Überschreiben kann ein Wert zu einer anderen Zeile gehören. Ein Parser, der früher zu einer Anwendungsversion passte, kann dasselbe Feld nach einem Update falsch interpretieren.

4. Vorschau, Cache oder synchronisierte Kopie

Eine Miniatur kann das Original überdauern und dennoch wie dessen kleinere, überzeugende Version aussehen. Ein Cache kann durch automatisches Laden, Vorladen oder Synchronisieren entstehen. Ein solcher Fund kann belegen, dass eine bestimmte Systemkomponente den Inhalt verarbeitet hat. Er muss nicht beweisen, dass ein Mensch ihn bewusst geöffnet, erstellt oder überhaupt gesehen hat. Das hängt vom Mechanismus der konkreten Anwendung und von stützenden Spuren ab.

Nicht das Foto erzeugte den Unterschied. Es war der Weg, auf dem es auf den Bildschirm gelangte.

05 / Epistemische GrenzeVon den Bytes zum Menschen führen mehrere Brücken

Ein digitaler Fund beginnt auf einer vergleichsweise niedrigen Ebene: Eine bestimmte Bytefolge existiert in einer konkreten Akquisitionsquelle. Software kann darin eine JPEG-Struktur, einen SQLite-Eintrag, eine Plist, ein Protokoll oder einen Zeitwert erkennen. Erst danach stellt sich die Frage, was dieses Artefakt als Ereignis bedeutet – und ganz zuletzt, ob sich das Ereignis mit einem Menschen, seinem Wissen und seiner Absicht verknüpfen lässt.

Diese Ebenen verschmelzen in gewöhnlichen Erzählungen leicht miteinander. Aus „Im Browser-Cache befand sich ein Bild“ wird „Der Nutzer besuchte die Seite“. Aus „In der Datenbank befand sich ein Nachrichteneintrag“ wird „Der Eigentümer des Smartphones schrieb die Nachricht“. Aus „Die Datei lag im Verzeichnis des Kontos“ wird „Der Kontoinhaber speicherte sie dort“. Jeder dieser Schlüsse kann richtig sein. Keiner ist jedoch allein im ersten Satz enthalten.

Bei einem Foto lässt sich beispielsweise unmittelbar beschreiben, dass eine bestimmte Bytefolge einem dekodierbaren JPEG entspricht und an einem bestimmten Offset gefunden wurde. Man kann Abmessungen, gegebenenfalls interne Metadaten und den Grad der Vollständigkeit angeben. Fehlt der Dateieintrag, wäre es nicht redlich, automatisch einen ursprünglichen Namen oder Pfad hinzuzufügen. Steht im EXIF das Modell einer Kamera, ist das eine in der Datei gespeicherte Angabe – keine unbestreitbare Bestätigung dafür, dass genau dieses Gerät und eine bestimmte Person das Bild aufgenommen haben. Metadaten lassen sich verändern, entfernen und beim Kopieren übertragen.

Bei Zeitangaben ist die Grenze noch schärfer. Eine einzelne Zahl kann die Erstellung eines Objekts in einer Anwendung, die Änderung einer Datei, eine Synchronisation, einen Import, eine Serverzeit oder den Moment bezeichnen, in dem das System eine Vorschau erzeugte. Erst Dokumentation, Tests derselben Anwendungsversion und der Vergleich mit weiteren Spuren erlauben zu bestimmen, was das betreffende Feld tatsächlich repräsentiert.

Diese Zurückhaltung schwächt den Beweis nicht. Im Gegenteil: Sie zeigt, wo er stark ist. Ein Fund kann die Existenz eines bestimmten Inhalts in einer konkreten Systemschicht sehr überzeugend belegen, auch wenn er dessen Urheber nicht nachweist. In anderen Fällen kann die Kombination aus Datenbankeintrag, Anwendungslog, Netzwerkkommunikation, Systemereignis und Benutzerinteraktion eine deutlich stärkere Schlussfolgerung ermöglichen. Entscheidend ist nicht die Zahl farbiger Einträge im Bericht, sondern ob sie gemeinsam denselben Mechanismus erklären und ob vernünftige Alternativen bestehen.

06 / AutomatisierungDas Werkzeug ist kein Zeuge. Es ist ein Übersetzer.

Forensiksoftware kann innerhalb von Stunden eine Datenmenge verarbeiten, deren manuelle Sichtung einen Menschen Monate kosten würde. Sie erkennt Formate, rekonstruiert Datenbanken, gruppiert Kommunikation, normalisiert Zeitangaben und erstellt Zeitleisten. Gerade diese Stärke erzeugt jedoch die Illusion, ein Eintrag in einer grafischen Oberfläche sei ein unmittelbarer Abdruck der Wirklichkeit.

Das ist er nicht. Er ist das Ergebnis eines Algorithmus, einer Parserregel, einer Signaturdatenbank, von Einstellungen und einer konkreten Werkzeugversion. Zwei Programme können dieselben Bytes unterschiedlich benennen; eines kann ein Artefakt übersehen, ein anderes es einlesen, ein drittes ein verändertes Anwendungsschema falsch interpretieren. Ein Werkzeug-Update kann aus derselben Akquisition weitere Einträge gewinnen; das neue Ergebnis bedeutet dabei nicht, dass im Beweisabbild inzwischen neue Daten erschienen wären. Verändert hat sich die Fähigkeit, sie zu erkennen.

Die SWGDE empfiehlt deshalb, bedeutsame Artefakte wann immer praktikabel zu verifizieren: eine Stichprobe zwischen mehreren Werkzeugen zu vergleichen, den Rohspeicherort nachzuvollziehen und manuell zu prüfen, ob der Inhalt korrekt dekodiert wurde. Widersprüche sollen nicht verborgen, sondern erklärt und dokumentiert werden. Dasselbe Dokument warnt, dass eine vom Werkzeug erzeugte Zeitleiste gewöhnlich nur einen Ausschnitt der erkannten und geparsten Daten darstellt – keine vollständige Liste sämtlicher Vorgänge auf dem Gerät.^[6]

Eine eigene Rolle spielt der Hash. Ein kryptografischer Fingerabdruck eignet sich hervorragend, um zu überprüfen, ob eine analysierte Kopie bitgenau unverändert geblieben ist oder ob zwei Objekte denselben Inhalt besitzen. NIST zählt ihn zu den grundlegenden Mechanismen für Integrität und Erhaltung digitaler Beweismittel.^[10] Ein Hash sagt jedoch nicht, dass die Akquisition alles erfasst hat, was technisch zugänglich war. Er verifiziert nicht die Korrektheit des Parsers. Er beweist nicht die Bedeutung eines Zeitfeldes. Und er rechtfertigt schon gar nicht den Sprung von einer Datei zur Absicht eines Menschen.

Wir können vollkommen belegen, dass wir eine Kopie nicht verändert haben – und uns dennoch darin irren, was ihr Inhalt bedeutet.

Digitale Fehler sind zudem häufig nicht zufällig. Verwechselt ein Parser die Bedeutung eines bestimmten Feldes, kann er denselben Fehler über Hunderte Einträge hinweg konsistent wiederholen. Das Ergebnis wirkt dann systematisch, übersichtlich und überzeugend. Die SWGDE gründet Vertrauen deshalb auf Fehlerminderung: validierte Methoden, Tests, Kenntnis der Grenzen, menschliche Kontrolle und korrekte Interpretation – nicht bloß auf den Ruf eines Werkzeugs oder darauf, dass „der Bericht fehlerfrei erzeugt wurde“.^[9]

07 / Sprache der GewissheitWie ein redlicher forensischer Befund klingt

Der Unterschied zwischen einer präzisen und einer überzogenen Aussage wirkt oft nicht dramatisch. Er besteht aus einigen wenigen Wörtern, die Beobachtung und Inferenz voneinander trennen. Gerade diese Wörter entscheiden jedoch darüber, ob ein Bericht Daten beschreibt oder eine Geschichte ergänzt, die die Daten selbst nicht tragen.

Der zweite Satz ist nicht „übervorsichtig“. Er enthält mehr Information. Er sagt, mit welcher Methode das Objekt gefunden wurde, wo es lag, was fehlt und welcher Schluss nicht belegt ist. Zugleich bestreitet er keineswegs, dass das Bild selbst für den Fall bedeutsam sein kann.

Die letzte Zeile ist besonders wichtig. Das Fehlen eines Fundes ist nicht automatisch ein Beweis für Vernichtung. Die Daten können im gewöhnlichen Betrieb überschrieben worden sein, außerhalb des Akquisitionsumfangs liegen, verschlüsselt, entfernt gespeichert, vom Parser nicht unterstützt oder auf dem betreffenden Gerät nie vorhanden gewesen sein. Ebenso ist die Anwesenheit eines Artefakts nicht automatisch ein Beweis bewussten Handelns. Es kann automatisch, durch Synchronisation, durch die Wiederherstellung eines Backups oder durch die Tätigkeit einer anderen Komponente entstanden sein.

Beide Aussagen besitzen dieselbe Struktur: Ein technischer Zustand ist nicht dasselbe wie eine menschliche Geschichte.

1. Benenne das Objekt. Ganze Datei, Fragment, Datenbankzeile, Vorschau, Cache, Backup und Log sind keine Synonyme.
2. Benenne die Quelle. Aktives Dateisystem, nicht zugeordneter Speicher, WAL, Cloud-Export und synchronisierte Kopie besitzen unterschiedliche Provenienz.
3. Benenne die Methode. Logische Extraktion, Full-File-System-Akquisition, Carving und manuelles Parsing liefern unterschiedliche Einblicke.
4. Benenne die Lücke. Ein fehlender Pfad, eine unbekannte Bedeutung der Zeitangabe, eine nicht überprüfte Anwendungsversion oder die Unmöglichkeit, die Herkunft zu bestimmen, gehören zum Ergebnis.

Forensische Präzision ist kein Wettbewerb um den härtesten Satz. Sie ist die Fähigkeit, jeder Aussage genau den Grad an Gewissheit zuzuordnen, den ihre Stützen erlauben.

08 / Rückkehr zum BildDasselbe Foto. Ein anderer Satz.

Kehren wir in den Raum vom Anfang zurück. Auf dem Monitor ist noch immer dasselbe Bild zu sehen. Es ist ebenso scharf, ebenso farbig und für das menschliche Auge ebenso überzeugend. Verändert hat sich nur die Beschreibung darunter.

Am Anfang lautete sie: „Wir haben ein gelöschtes Foto wiederhergestellt.“ Mit zusätzlichem Kontext könnte sie anders lauten: „Im nicht zugeordneten Speicher wurden Bilddaten erkannt, die einem JPEG entsprechen. Die Datei lässt sich darstellen, ihr ursprünglicher Verzeichniseintrag wurde jedoch nicht gefunden. Der ursprüngliche Name und Pfad sind unbekannt. Der Fund kann die Originaldatei, eine Kopie oder ein abgeleitetes Objekt sein; die verfügbaren Daten bestimmen für sich allein weder, wer ihn erstellt oder gesehen hat, noch wer das Verschwinden der ursprünglichen Referenz verursachte.“

Die zweite Formulierung ist weniger filmreif. Sie enthält keinen Moment der triumphalen „Rückkehr der Wahrheit“. Dafür enthält sie etwas Wertvolleres: die Grenze zwischen dem, was gefunden wurde, und dem, was wir über den Fund erst noch denken.

Das bedeutet nicht, digitalen Spuren nicht zu vertrauen. Es bedeutet, ihnen präzise zu vertrauen. Eine vollständige Datei mit verifiziertem Pfad, konsistenten Metadaten, Anwendungseinträgen und stützenden Logs erlaubt einen anderen Schluss als ein anonymes Fragment. Eine Spur kann zur Bestimmung des Urhebers schwach und zugleich zum Nachweis der Existenz eines Inhalts stark sein. Unsicherheit ist kein Schalter, der einen Beweis entwertet. Sie ist eine Angabe über die Reichweite einer konkreten Aussage.

Die Öffentlichkeit mag die Vorstellung, Technik stelle Daten entweder wieder her oder eben nicht. Die Realität ist weniger sauber. Etwas kann ohne Namen überdauern. Ein Name kann ohne Inhalt überdauern. Ein Datenbankeintrag kann ohne Anhang überdauern. Eine Vorschau kann ohne Original überdauern. Bytes können ohne Schlüssel überdauern. Und mehrere unvollständige Spuren können gemeinsam ein verlässlicheres Bild ergeben als eine einzelne, vollkommen wirkende Datei.

Der schwierigste Teil digitaler Forensik beginnt nicht in dem Augenblick, in dem Daten fehlen. Er beginnt, wenn wir etwas finden und dem Drang widerstehen müssen, den Rest zu ergänzen.

Auf dem Monitor befindet sich also nicht die Vergangenheit. Dort liegt ihr technischer Überrest: manchmal nahezu vollständig, ein anderes Mal verzerrt, abgeleitet oder aus seinem Zusammenhang gerissen. Der Wert einer Analyse entsteht nicht dadurch, dass sie daraus eine eindrucksvolle Geschichte macht. Er entsteht dadurch, dass sie präzise zeigt, welche Teile der Geschichte von den Daten getragen werden – und welche nicht mehr.

Forensische Redlichkeit beginnt nicht mit dem, was wir wiederherstellen konnten. Sie beginnt mit dem, was wir uns zu ergänzen weigerten.