Chain of Custody — Beweismittelkette

Die Chain of Custody ist die lückenlose Dokumentation, wer ein digitales Beweismittel wann, wo und wie in den Händen hatte — von der Sicherung bis zur Auswertung. Sie belegt, dass die Beweise nicht unbemerkt verändert wurden, und entscheidet damit über ihre Verwertbarkeit. Ohne sie ist selbst der beste forensische Fund vor Gericht angreifbar.

Historie & Fakten. Das Prinzip stammt aus der klassischen Kriminalistik und überträgt sich auf digitale Beweise mit eigener Schärfe: Da sich Daten unbemerkt ändern lassen, muss jeder Schritt — Sicherstellung, Transport, Aufbewahrung, Zugriff — protokolliert und durch Hashwerte abgesichert sein. Ein zum Sicherungszeitpunkt gebildeter Hash belegt später, dass ein Datenträger-Abbild unverändert ist. Lücken in dieser Kette führen dazu, dass die Echtheit bestritten werden kann. Ausblick & Empfehlung. Mit den NIS2-Pflichten zur Vorfallsdokumentation gewinnt belastbare Beweissicherung über den reinen Strafprozess hinaus an Bedeutung. Praktisch heißt das: vor dem ersten Zugriff dokumentieren, Schreibschutz verwenden, Hashes bilden und festhalten, Zugriffe nachvollziehbar machen. Diese Disziplin — saubere Beweissicherung statt vorschnellem „Aufräumen“ — ist ein Markenzeichen professioneller DFIR-Arbeit, wie sie NEOSEC leistet.

Auch interessant