Das Telefon war am Tatort. War sein Besitzer auch dort?

Der Satz „Sein Telefon war am Tatort“ mag wie ein einziger Schluss wirken, enthält aber mehrere unterschiedliche Behauptungen. Erstens gehört ein bestimmter Datensatz tatsächlich zu einem bestimmten physischen Gerät oder einer Teilnehmeridentität. Zweitens befand sich diese Identität zu dem betreffenden Zeitpunkt in einem bestimmten geografischen Gebiet. Drittens gehört das Gerät Person X. Viertens benutzte oder trug Person X es in diesem Moment tatsächlich. Und fünftens: Wenn das Gerät eine bestimmte Handlung ausführte, war es Person X, die diese Handlung vornahm.

Die ersten beiden Schritte können durch technische Aufzeichnungen sehr gut belegt sein. Die weiteren erfordern eine Attribution. Auch diese kann außerordentlich stark sein — etwa wenn das Telefon über lange Zeit ausschließlich von einer Person benutzt, kurz nach der Tat bei ihr sichergestellt, fortlaufend mit ihrer Uhr gekoppelt und in ihrer Gegenwart entsperrt wurde, wenn Kamerabilder ihre Bewegung bestätigen und mehrere unabhängige Systeme eine durchgehende Route aufzeichnen. Die Beweiskraft entsteht jedoch nicht dadurch, dass ein Gerät sprachlich in einen Menschen umbenannt wird. Sie entsteht erst durch die Verbindung der einzelnen Glieder.

Die Zeit ist ein eigenständiges Glied der Kette. „Um 2.13 Uhr“ kann den Moment bezeichnen, in dem das Gerät ein Ereignis erzeugte, die App es in eine Datenbank schrieb, ein Server es empfing oder der Anbieter es später in einem Betriebsdatensatz verbuchte. Das Telefon kann eine manuell eingestellte Zeitzone verwenden, der Server UTC und der Netzbetreiber eigene Berichtsregeln. Unterschiedliche Zeitstempel zu einer Achse zusammenzuführen bedeutet daher zunächst, ihren Ursprung, ihre Auflösung, ihre Zeitzone und ihren Bezug zum eigentlichen Ereignis zu klären. Genau deshalb empfiehlt der öffentliche Entwurf der SWGDE-Methodik für Version 2.0, mögliche Abweichungen der Gerätezeit zu dokumentieren; bei Betreiberdaten ist zusätzlich zu prüfen, wie Zeitzonen ausgewiesen werden.^[2][5] Dieselbe Zahl im Feld „Zeit“ bezeichnet technisch nicht zwangsläufig denselben Zeitpunkt.

Ein physisches Gerät ist ein konkretes Stück Hardware. Es kann eine Seriennummer, eine IMEI und weitere Kennungen besitzen. Eine SIM oder eSIM bildet eine andere Ebene: Sie trägt oder erschließt die Daten, die zur Authentifizierung einer Teilnehmeridentität gegenüber dem Mobilfunknetz erforderlich sind. Eine klassische UICC lässt sich zwischen Telefonen wechseln; bei einer eSIM wird das Profil sicher in ein eingebettetes Element geladen, und ein Gerät kann mehrere Betreiberprofile unterstützen.^[3][4]

Eine Telefonnummer wiederum ist die Adresse eines Dienstes — weder die Herstellungsnummer des Telefons noch die Identität eines Menschen. Sie kann einen SIM-Tausch, einen Gerätewechsel oder einen Anbieterwechsel überdauern. Ein Gerät kann mehrere Nummern bedienen, und bei manchen Diensten ist eine Nummer über mehrere Endgeräte erreichbar. Ein Datensatz mit einer Telefonnummer bestimmt daher nicht zwangsläufig ein konkretes Gerät; ein Datensatz mit einer IMEI wiederum sagt nicht, wer das Gerät gerade in der Hand hielt.

Ein Benutzerkonto — etwa eines Betriebssystems, einer Kommunikations-App oder eines Cloud-Dienstes — fügt eine weitere Ebene hinzu. Das Konto kann auf einem Telefon, Notebook, Tablet und Webclient angemeldet sein. Ein Cloud-Ereignis sagt deshalb häufig zuverlässig, dass der Dienst eine Anfrage aus einer bestimmten Sitzung, von einem Gerät, Token oder einer IP-Adresse erhalten hat. Ohne weitere Belege sagt es nicht, welche menschliche Hand die Anfrage ausgelöst hat.

In der Praxis lässt sich der Unterschied zwischen Eigentümer und Nutzer nicht mit einem einzigen „magischen“ Artefakt klären. Das Muster kann Kontakte, Konten, Fotos, Sprache, übliche Wege, bekannte WLAN-Netze, gekoppelte Geräte, Zahlungskarten, Entsperrverhalten, den Zeitpunkt der Sicherstellung und Aussagen aus dem Umfeld umfassen. Manche Angaben weisen auf eine langfristige Nutzung, andere auf den Besitz in einer bestimmten Minute hin. Die zeitliche Nähe entscheidet, ob ein Beleg aussagt: „X nutzt dieses Telefon gewöhnlich“ oder „X bediente es im kritischen Moment mit hoher Wahrscheinlichkeit“. Der erste Satz ist eine wichtige Grundlage. Der zweite ist ein eigenständiger Schluss.

Der öffentliche Entwurf zur Aktualisierung der SWGDE-Methodik auf Version 2.0 erklärt ausdrücklich, dass Artefakte eines Mobilgeräts helfen können, Eigentum, Besitz und Nutzung zu belegen, und dass Geräte- und Teilnehmerkennungen mit Betreiberdaten und weiteren Befunden verknüpft werden sollen.^[2] Das Schlüsselwort lautet „verknüpft“. Eine einzelne Kennung ist ein Glied der Kette, nicht die gesamte Kette.

Die größte visuelle Täuschung bei digitalen Beweisen entsteht, wenn unterschiedliche Datentypen mit demselben Symbol dargestellt werden. Auf der Karte leuchtet dann neben einer Adresse ein Punkt — unabhängig davon, ob er aus einer Satellitenberechnung, einer Mobilfunkzelle, einer WLAN-Datenbank, einer IP-Geolokalisierung oder einer internen Schätzung des Anbieters stammt. Die Benutzeroberfläche glättet die Unterschiede. Für den Beweiswert sind jedoch gerade sie entscheidend.

GPS – genauer gesagt GNSS – bezeichnet gewöhnlich eine Positionsschätzung, die das Gerät aus Funkmessungen und gegebenenfalls weiteren Sensoren oder Hilfsdaten berechnet. Ein korrekt gespeicherter Datensatz enthält mehr als Längen- und Breitengrad; wichtig sind auch Zeit, Quelle und geschätzte Unsicherheit. Android definiert die horizontale Genauigkeit beispielsweise als Radius, innerhalb dessen die tatsächliche Position mit einer Wahrscheinlichkeit von etwa 68 Prozent erwartet wird.^[6] Die Zahl der Dezimalstellen einer Koordinate ist daher nicht mit Genauigkeit gleichzusetzen. Das Ergebnis wird von der Satellitengeometrie, Signalabschattung, Atmosphäre und Qualität des Empfängers beeinflusst.^[7]

Außerdem stammt nicht jeder Eintrag mit der Bezeichnung „location“ unmittelbar von Satelliten. Mobile Betriebssysteme und Apps können eine kombinierte Schätzung verwenden, die GNSS, WLAN, Mobilfunk, Inertialsensoren oder den letzten bekannten Standort zusammenführt. Die forensische Bedeutung liegt deshalb nicht im Namen der Spalte, sondern darin, welcher Provider den Wert erzeugt hat, ob es sich um eine aktuelle Messung oder einen übernommenen Zustand handelt und wie die App den Eintrag speicherte. Ein Kartenpunkt ohne diese Angaben kann präziser wirken als die Datenbasis, aus der er entstand.

Ein Mobilfunkdatensatz beantwortet eine andere Frage: Mit welcher Funkzelle und gegebenenfalls welchem Sektor kommunizierte das Gerät zu diesem Zeitpunkt? Die aktuelle SWGDE-Methodik beschreibt solche Daten als Grundlage dafür, ein Mobilgerät einem ungefähren geografischen Gebiet zuzuordnen. Zugleich stellt sie ausdrücklich fest, dass CDR-Daten allein nicht überzeugend zeigen, wer das Gerät benutzte, und gewöhnliche Zell- oder Sektorinformationen keine genaue Kreuzung oder Adresse bestimmen können.^[5] Timing Advance kann das Gebiet weiter eingrenzen, arbeitet jedoch mit einem Bereich abgeleiteter Entfernungen und nicht mit einem einzigen Punkt.

WLAN kann eine bloße Liste der vom Telefon gesehenen Access Points, einen Datensatz über die Verbindung mit einem bestimmten Zugangspunkt, das Protokoll eines Unternehmensnetzwerk-Controllers oder eine spezialisierte Entfernungsmessung bezeichnen. Android unterscheidet den gewöhnlichen Scan umliegender Access Points von Wi-Fi RTT: Dabei messen kompatible Geräte die Signallaufzeit und können mit mehreren bekannten Punkten den Standort deutlich feiner schätzen.^[8] Der Satz „Das Telefon war im WLAN“ bleibt daher unvollständig, solange nicht feststeht, ob damit nur die Sichtbarkeit des Netzes, eine tatsächliche Verbindung, ein Serverprotokoll oder eine Entfernungsmessung gemeint ist.

Eine IP-Adresse beschreibt in erster Linie einen Netzwerkpfad. Eine öffentliche IPv4-Adresse kann mittels NAT von mehreren Geräten eines Haushalts und bei Carrier-Grade NAT sogar von mehreren Kunden gemeinsam genutzt werden. Die IETF weist deshalb darauf hin, dass IP-Adresse und Zeitpunkt allein zur Unterscheidung von Nutzern möglicherweise nicht ausreichen; auch der Quellport und präzise Betreiberprotokolle können entscheidend sein.^[10] Eine IP-Adresse kann ein Ereignis zuverlässig mit einem Netzwerkausgang oder einer Zugriffssitzung verknüpfen. Allein zeigt sie gewöhnlich weder einen Raum noch ein Gerät oder einen Menschen.

Ein Cloud-Konto ist kein eigenständiger Ortungssensor. Es ist ein Ort, an den Daten vom Telefon, Webclient, aus einer serverseitigen Inferenz oder einer Synchronisierung gelangen können. Ein Cloud-Datensatz kann wertvoller als eine lokale Datenbank sein, weil er außerhalb des untersuchten Geräts entstand und eine eigene Zeitachse besitzt. Zugleich übernimmt er die Bedeutung des ursprünglichen Mechanismus: Eine vom Telefon synchronisierte Koordinate bleibt eine Koordinate des Geräts; eine Anmeldung von einer IP-Adresse bleibt ein Sitzungsereignis.

Bluetooth- und andere Näherungsartefakte können bestätigen, dass sich zwei Funkmodule gegenseitig erfassten, koppelten oder miteinander kommunizierten. Besonders aussagekräftig ist dies, wenn eines der Elemente fest installiert ist und sein Protokoll unabhängig gesichert wurde. Die RSSI-Signalstärke ist jedoch kein universelles Maßband. Messungen des NIST zeigten, dass Geräteausrichtung, menschlicher Körper, Wände und Umgebung den Zusammenhang zwischen RSSI und Entfernung erheblich beeinflussen; außerhalb idealisierter Bedingungen nahm die Genauigkeit stark ab.^[9]

Metadaten von Fotografien können nach dem Exif-Standard Zeit- und Geodaten enthalten.^[12] Damit ist jedoch zunächst vor allem belegt, dass die betreffende Datei solche Metadaten enthält. Für einen Schluss auf den Aufnahmeort müssen Herkunft und Kontinuität der Datei, Exporte, Bearbeitungen, Zeiteinstellungen und die Übereinstimmung mit weiteren Spuren geprüft werden. Dasselbe gilt für Anwendungsaufzeichnungen: Eine Datenbank kann einen Zustand originalgetreu bewahren, den eine bestimmte Programmversion erzeugt hat. Der Ermittler muss jedoch die Bedeutung der Felder, die Zeitquelle, die Synchronisierung und den Unterschied zwischen Nutzer- und Systemereignis kennen. NIST und SWGDE warnen gleichermaßen, dass sich die Bedeutung eines Artefakts mit der Softwareversion ändern kann und eine automatisch erstellte Zeitachse nicht alle Ereignisse enthalten muss.^[1][2]

Kehren wir zu dem Telefon zurück, das im Sektor am Tatort eingebucht war. Diese Angabe ist keineswegs wertlos. Stimmen Zeit, Kennungen und Betreiberdaten überein, erhöht sie die Wahrscheinlichkeit, dass sich das Gerät oder der betreffende Anschluss im versorgten Gebiet befand. Sie kann die Behauptung widerlegen, das Telefon habe Dutzende Kilometer entfernt gelegen. Sie kann eine Route, ein wiederkehrendes Muster oder einen Kontakt zwischen zwei Geräten sichtbar machen.

Allein klärt die Angabe jedoch nicht sämtliche Alternativen. Das Telefon kann sich beim Eigentümer befunden haben, aber ebenso bei einem Haushaltsmitglied, Kollegen oder Mittäter. Es kann im Fahrzeug geblieben sein, während die Person anderswohin ging. Die SIM kann in einem anderen Gerät gesteckt haben. Das Konto kann das Ereignis über einen verbundenen Client erzeugt haben. Je nach Umständen sind manche Erklärungen sehr wahrscheinlich, andere lediglich theoretisch. Forensische Redlichkeit bedeutet nicht, sie alle gleich zu gewichten. Sie bedeutet festzustellen, welche Frage die isolierte Angabe noch nicht beantwortet hat.

Dieselbe Disziplin gilt auch in umgekehrter Richtung. Das Fehlen eines Datensatzes beweist nicht zwangsläufig die Abwesenheit eines Menschen: Das Gerät kann ausgeschaltet gewesen sein, kein einschlägiges Netzwerkereignis erzeugt haben oder außerhalb des Umfangs der erhobenen Daten liegen. Eine digitale Spur ist gewöhnlich die Antwort eines bestimmten Mechanismus. Sie beantwortet nicht automatisch jede Frage, die wir ihr gern stellen würden.

Fünf Artefakte bedeuten nicht zwangsläufig fünf Beweise. Eine lokale Datenbank, ihre Vorschau in einem Forensikwerkzeug und ein Export derselben Datenbank können drei Darstellungen eines einzigen Ereignisses sein. Ebenso können ein Serverdatensatz und eine Benachrichtigung auf dem Telefon dieselbe Ursache haben. Bei der Bewertung von Konvergenz ist daher nicht nur zu fragen, ob die Angaben übereinstimmen, sondern auch, ob sie unabhängig voneinander entstanden.

Ein stärkeres Bild könnte so aussehen: Der Netzbetreiber erfasst das Gerät in einem Sektor, der dem betreffenden Stadtviertel entspricht; eine App auf dem Telefon speichert eine GNSS-Position mit einem plausiblen Unsicherheitsradius; der WLAN-Controller des Gebäudes protokolliert die Verbindung desselben Geräts; eine Kamera zeigt eine bestimmte Person, die mit dem Telefon eintrifft; der Server eines Kommunikationsdienstes empfängt eine Nachricht aus einer authentifizierten Sitzung, und derselbe Inhalt erscheint beim Empfänger. Jede Quelle beantwortet eine etwas andere Frage. Erst ihre Überlappung verkleinert den Raum für alternative Erklärungen.

Konvergenz bedeutet nicht, dass jeder zusätzliche Punkt die Gewissheit automatisch vervielfacht. Haben zwei Spuren dieselbe Quelle oder ist eine aus der anderen entstanden, ist ihre Unabhängigkeit begrenzt. Dennoch ist das Prinzip grundlegend: Eine alternative Erklärung muss nach und nach nicht nur einen Datensatz, sondern die gesamte Gruppe übereinstimmender Ereignisse erklären. Je mehr unterschiedliche Mechanismen, Dateninhaber und Zeitachsen sich überschneiden, desto schwieriger wird eine andere Erklärung, ohne neue unbelegte Annahmen einzuführen.

Die Stärke eines digitalen Beweises liegt nicht im präzisesten Punkt. Sie liegt in der Zahl unabhängiger Wege, die zu derselben Geschichte führen.

Bei einer konkreten Nachricht verlängert sich die Beweiskette um ein weiteres Glied. Eine lokale Datenbank kann einen ausgehenden Datensatz zeigen. Ein Server kann bestätigen, dass er die Nachricht aus einer authentifizierten Sitzung erhielt. Das Telefon des Empfängers kann Inhalt und Zustellzeit belegen. Damit lässt sich sehr gut nachweisen, dass ein bestimmtes Konto oder ein bestimmter Client die Nachricht erzeugt oder versandt hat.

Die Urheberschaft einer bestimmten Person kann dennoch weitere Belege erfordern. Das Konto kann auf einem verbundenen Computer geöffnet gewesen sein; jemand anders kann das Gerät kurz bedient haben; der Text kann früher vorbereitet, automatisiert versandt, diktiert oder über einen Fernzugriff eingefügt worden sein. NIST definiert den Erfolg digitaler Authentisierung in erster Linie als Nachweis des Besitzes und der Kontrolle über einen an das Konto gebundenen Authentifikator.^[11] Das ist eine äußerst bedeutsame Tatsache, aber nicht dasselbe wie die unmittelbare Beobachtung eines Menschen an der Tastatur.

Andererseits darf nicht aus jeder theoretischen Möglichkeit eine gleichwertige Alternative werden. Erschien die Nachricht in einer aktiven Sitzung auf dem Telefon, befand sich das Gerät bei Person X, zeigt eine Kamera ihren Umgang damit, knüpft der Kommunikationsstil an das vorherige Gespräch an und gibt es keine Hinweise auf einen verbundenen Client oder Fernzugriff, kann die Attribution sehr stark sein. Der richtige Satz lautet nicht: „Urheberschaft lässt sich niemals beweisen.“ Er lautet: „Der Schluss auf die Urheberschaft muss durch Spuren gestützt werden, die über die bloße Existenz der Nachricht im Konto hinausgehen.“

In einem forensischen Bericht ist es sinnvoll, mindestens vier Ebenen zu trennen. Beobachtung benennt, was gefunden wurde: etwa eine Datenbankzeile, ein Serverprotokoll oder die Kennung einer Funkzelle. Technische Interpretation erklärt, wie ein solches Artefakt gewöhnlich entsteht. Indiz beschreibt seine Beziehung zur Ermittlungshypothese. Und eine Schlussfolgerung verbindet mehrere Indizien zu einer Aussage über einen vergangenen Vorgang.

Ein kryptografischer Hash kann zuverlässig belegen, dass sich die gewonnenen Daten ab einem bestimmten Zeitpunkt nicht verändert haben. Er beweist weder, dass der Inhalt vor der Sicherung wahrheitsgemäß entstand, noch dass die Gerätezeit stimmte oder eine bestimmte Person den Datensatz erzeugte. Die Beweismittelkette schützt die Integrität des Beweises. Die Attributionsanalyse behandelt seine Bedeutung. Diese beiden Fragen zu verwechseln ist ebenso fehlerhaft, wie einen korrekten Hash nur deshalb anzuzweifeln, weil der Urheber der Datei noch unbekannt ist.

Ebenso ist zwischen der Zulässigkeit eines Beweises und seinem Beweisgewicht zu unterscheiden. Ein korrekt gesicherter und authentischer Export kann ein einwandfreies Beweismittel sein und dennoch nur eine begrenzte Aussage stützen — etwa die Existenz eines Kontos im System, nicht die Identität des Urhebers. Umgekehrt kann ein inhaltlich überzeugendes Artefakt durch eine unklare Provenienz oder nicht dokumentierte Transformation geschwächt werden. Ein redliches Gutachten nennt daher nicht nur den Befund, sondern auch den Weg dorthin, bekannte Grenzen und das Maß, in dem er eine konkrete Hypothese stützt. NIST beschreibt diesen Übergang als Analyse, die aus Artefakten eine Rekonstruktion relevanter Ereignisse erstellt; die Rekonstruktion ist ein fachliches Ergebnis und kein automatischer Werkzeugausdruck.^[1]

Das tschechische Verfassungsgericht hat wiederholt betont, dass Indizienbeweise gegenüber unmittelbaren Beweisen nicht minderwertig sind. Sie können für sich genommen zur Feststellung der Schuld ausreichen, wenn sie miteinander verknüpft sind und eine geschlossene Kette bilden, die keine vernünftige Alternative offenlässt.^[13] Digitale Artefakte fügen sich genau in diese Logik ein. Einzeln können sie Teilumstände belegen. In ihrer Gesamtheit können sie eine äußerst überzeugende Rekonstruktion ergeben. Entscheidend ist, ob zwischen der beobachteten Angabe und dem endgültigen Schluss eine verborgene Lücke bleibt.

Jeder Beweis lässt sich mit hypothetischen Möglichkeiten umgeben. Das Telefon könnte verliehen worden sein. Das Konto könnte kompromittiert worden sein. Die Kamera könnte einen Doppelgänger erfasst haben. Die Zeit könnte falsch gewesen sein. Würde die bloße Vorstellbarkeit einer Alternative genügen, ließe sich nahezu nichts beweisen — digital ebenso wenig wie auf andere Weise.

Eine vernünftige Alternative muss in den Umständen eine Stütze finden, den gesamten Spurenbestand erklären und darf nicht immer neue, durch nichts belegte Ausnahmen verlangen. Die Feststellung, dass zwei Personen in einem Haushalt das Telefon regelmäßig teilten, hat ein anderes Gewicht als der rein theoretische Satz, „jeder hätte es haben können“. Eine belegte aktive Sitzung auf einem Notebook wiegt anders als die Möglichkeit, jemand habe das Konto „vielleicht gehackt“, obwohl die Protokolle keinerlei Hinweis darauf enthalten.

Forensische Präzision ist daher keine endlose Liste aller denkbaren Szenarien. Sie ist eine kalibrierte Bewertung: Was beweist die Spur unmittelbar, was stützt sie stark, was lässt sie lediglich zu, und welche Alternativen sind noch realistisch? Ein solcher Ansatz schwächt digitale Beweise nicht. Er befreit sie von überzogenen Behauptungen, die beim ersten fundierten fachlichen Einwand zusammenbrechen könnten.

Zu Beginn des Falls klang der Satz einfach: „Sein Telefon war in der Nähe des Tatorts.“ Nach Ergänzung des Kontexts mag ein redlicher Schluss weniger effektvoll, dafür wesentlich präziser lauten: „Die auf Person X registrierte Teilnehmeridentität nutzte im kritischen Zeitraum einen Sektor, der das Umfeld versorgt. Weitere Artefakte eines konkreten Geräts, ein unabhängiges WLAN-Protokoll und eine Bildaufzeichnung stützen den Schluss, dass Person X das Gerät zu diesem Zeitpunkt bei sich hatte.“

Eine solche Formulierung weicht der Entscheidung nicht aus. Im Gegenteil: Sie zeigt, welche Teile des Schlusses auf einem unmittelbaren technischen Datensatz, welche auf einem Nutzungsmuster und welche auf dem Zusammentreffen unabhängiger Beweise beruhen. Kommt später eine über das Konto versandte Nachricht hinzu, ist erneut eine andere Frage zu stellen: Beweisen wir die Aktivität einer Sitzung, die Bedienung des Telefons oder die Urheberschaft einer konkreten Person?

Digitale Technologien haben keine Welt ohne Ungewissheit geschaffen. Sie haben eine Welt mit einer gewaltigen Menge an Spuren geschaffen — häufig präziser, zeitlich feiner und widerstandsfähiger gegen die Fehler menschlicher Erinnerung als alles, worüber Ermittler früher verfügten. Ihr Wert ist gerade dann außergewöhnlich, wenn wir die Grenzen der einzelnen Mechanismen respektieren und unterschiedliche Quellen einander überprüfen lassen.

Das größte Problem liegt daher häufig nicht im Mangel an Daten, sondern in der Sprache. Aus einer technisch präzisen Angabe können wir in einem einzigen Satz eine menschliche Geschichte formen, die präziser ist, als die Angabe erlaubt. Und der gefährlichste forensische Fehler muss nicht entstehen, wenn die Spur ungenau ist. Er kann entstehen, wenn die Spur präzise ist — und unser Schluss noch präziser als sie.