So sichern Sie digitale Beweismittel: Nachweis von Integrität, Herkunft und Beweiskette

In allen Arbeitsabläufen zieht sich ein roter Faden durch: Es geht darum, wie eine Person einen Sachverhalt nachweisen, eine Schlussfolgerung begründen oder belegen muss, dass ein vorgeschriebener Prozess eingehalten wurde – und zwar anhand von Unterlagen als Beweismittel. Dies steht im Zusammenhang mit den Konzepten der Beweisführung, der Aufbewahrung von Beweismitteln und der Beweiskraft.

Es handelt sich dabei durchweg um evidenzbasierte Arbeitsabläufe, bei denen Unternehmen Ereignisse rekonstruieren, Verantwortlichkeiten klären, nachweisen müssen, dass Verpflichtungen oder Kontrollmaßnahmen erfüllt wurden, und gegenüber einem internen oder externen Entscheidungsträger stichhaltige Beweise vorlegen müssen.

Die Folgen einer unzureichenden Aufbewahrung sind gravierend. Im September 2022 kündigte die US-Börsenaufsichtsbehörde (SEC) Durchsetzungsmaßnahmen gegen 16 Unternehmen an der Wall Street wegen weitreichender Versäumnisse bei der Pflege und Aufbewahrung elektronischer Kommunikationsdaten. Die Unternehmen erklärten sich bereit, Gesamtstrafen in Höhe von mehr als $1,1 Milliarden. Die SEC erklärte, dass diese Versäumnisse dazu geführt hätten, dass ihren Ermittlern Informationen vorenthalten blieben, die ihnen im Rahmen der behördlichen Ermittlungen hätten zur Verfügung stehen müssen.

Im Jahr 2023 wurden weitere 11 Unternehmen wegen Versäumnissen bei der Aufbewahrung und Sicherung elektronischer Kommunikation angeklagt; die Unternehmen erklärten sich bereit, insgesamt $289 Millionen an Strafen. Die SEC bezeichnete diese Versäumnisse als Verstöße gegen die Aufbewahrungspflichten des Bundeswertpapierrechts und betonte erneut, wie wichtig die Aufbewahrung elektronischer Kommunikation für die Aufsicht und für Ermittlungen ist.

Und die Risiken gehen auch über die gesetzlich vorgeschriebene Aufbewahrung von Unterlagen hinaus. Im Vereinigten Königreich befand der High Court Raymond McKeeve der Missachtung des Gerichts für schuldig, nachdem elektronisches Material unter Umständen vernichtet worden war, in denen Aufbewahrungspflichten galten. Das Gericht verhängte daraufhin eine 25.000 Pfund Geldstrafe und erließ erhebliche Kostenentscheidungen. Das Unternehmen Ocado berichtete, dass seine Die Rechtskosten beliefen sich auf rund 1,1 Millionen Pfund.. Herr McKeeve, die betroffene Person, hat etwa 615.000 £ an Verfahrenskosten.

Die Aktenführung und die Sicherung digitaler Beweismittel sind eng miteinander verbunden. Die Aktenführung dient der Führung zuverlässiger Unternehmensunterlagen; die Sicherung digitaler Beweismittel schützt Informationen, die später möglicherweise benötigt werden, um den Sachverhalt zu klären.

Die Lehre daraus ist einfach: Bewahren Sie digitale Informationen nicht nur auf – sichern Sie sie so, dass Sie im entscheidenden Moment nachweisen können, worum es sich dabei handelt und warum man ihnen vertrauen kann.

Der Zweck einer betrieblichen Standardarbeitsanweisung (SOP) zur Beweissicherung besteht darin, eine kleine Reihe verbindlicher Kontrollmaßnahmen festzulegen, die die Integrität, Authentizität, Rückverfolgbarkeit und Reproduzierbarkeit von Beweismitteln vom Zeitpunkt ihrer Identifizierung bis hin zu ihrer endgültigen Vorlage oder Entsorgung gewährleisten. Die drei wichtigsten Leitfäden, die bei der Erstellung dieser SOP herangezogen wurden und die Sie zur Erstellung Ihrer eigenen SOP heranziehen können, sind:

• ISO/IEC 27037:2012 Informationstechnologie – Sicherheitstechniken – Leitlinien zur Identifizierung, Erfassung, Beschaffung und Sicherung digitaler Beweismittel;
• ’Wissenschaftliche Arbeitsgruppe für digitale Beweismittel“ (SWGDE) Bewährte Verfahren für die Sicherung digitaler Beweismittel (sowie 17-F-002-2.1, 18-F-002-2.0, 21-F-001-1.1, 23-F-004-1.1);
• NIST SP 800-86’Leitfaden zur Integration forensischer Techniken in die Incident Response“ und NIST IR 8387 Sicherung digitaler Beweismittel – Überlegungen für die mit Beweismitteln befassten Personen.

Deine Leitregel sollte lauten: Ändere niemals etwas, das du nicht ersetzen kannst; übertrage niemals etwas, dessen Herkunft du nicht zurückverfolgen kannst; verlasse dich niemals auf Beweise, deren Integrität du nicht überprüfen kannst.

Dies soll keine spezialisierten forensischen Verfahren ersetzen. Die SWGDE weist ausdrücklich darauf hin, dass ihre Best-Practice-Dokumente keine Schulungshandbücher sind, keinen Anspruch auf Vollständigkeit erheben und möglicherweise nicht auf alle Umstände anwendbar sind. Wenn eine Situation eine Abweichung erfordert, sollten die Abweichung und die ergriffenen Maßnahmen sorgfältig dokumentiert werden.

Jede Übergabe von Beweismitteln sollte auf eine eindeutige Beweismittel-Kennung zurückverfolgbar sein und mindestens folgende Angaben enthalten: wer das Beweismittel übergeben hat, wer es entgegengenommen hat, wann die Übergabe stattfand und aus welchem Grund sie erfolgte. SWGDE 17-F-002 legt diese Elemente ausdrücklich als Mindestanforderungen an die Informationen zur Beweismittelkette bei der Übergabe digitaler Beweismittel fest. Das Ziel ist nicht bürokratische Komplexität, sondern Kontinuität. Die Organisation sollte jederzeit in der Lage sein, folgende Fragen zu beantworten:

• Wo sind die Beweise?
• Wer hat das Sorgerecht?
• Wann hat sich das Sorgerecht geändert?
• Warum hat sich das geändert?
• Wurde die Integrität überprüft?

Wenn diese Fragen nicht beantwortet werden können, weist der Prozess der Beweismittelverwaltung eine Lücke in der Rückverfolgbarkeit auf.

Beachten Sie, dass die Stärke einer SOP darin liegt, dass die Kontrollmaßnahmen stabil bleiben, während die Umsetzung immer ausgefeilter wird. Eine kleine Organisation könnte ein kontrolliertes Beweismittelregister, standardisierte Erfassungsformulare, kryptografische Hash-Funktionen, verschlüsselte Speicherung und dokumentierte Übergaben nutzen. Ein größeres Unternehmen kann schrittweise rollenbasierte Zugriffskontrollen, unveränderliche oder schreibgeschützte Beweismittel-Repositorien, automatisierte Hash-Überprüfung, manipulationssichere Prüfprotokolle usw. hinzufügen. Wichtig ist, dass diese Funktionen erweitern die ursprünglichen Steuerelemente beizubehalten, anstatt sie zu ersetzen.

Informieren Sie sich im Referenzrahmen über alle Inhalte und weitere spezifische Anwendungsfälle, die möglicherweise besser zu Ihrem eigenen Arbeitsablauf passen.

Bevor Sie mit der Arbeit beginnen, sollten Sie auch mögliche Herausforderungen bedenken, mit denen Sie möglicherweise konfrontiert werden, selbst wenn bereits ein Plan vorliegt.

Das Ziel ist es immer, sich diesen Herausforderungen zu stellen und sie zu digitale Beweismittel in eine Dokumentation, die das Unternehmen überprüfen, erläutern und verteidigen kann.

Im Arbeitsablauf zur Beweissicherung arbeiten wir mit den Phasen “Fingerprint” und “Verify”: Dabei erstellen wir einen kryptografischen Hashwert des gesicherten Datensatzes, ordnen diesen Hashwert sicher einem bekannten Zeitpunkt zu und überprüfen später, ob der Datensatz noch übereinstimmt. Connecting Software’s Truth Enforcer erfüllt diese spezifische Anforderung: Es erstellt einen kryptografischen Fingerabdruck einer Datei und speichert diesen in einem unveränderlichen Blockchain-Ledger, sodass die Datei später auf Änderungen überprüft werden kann, ohne dass das zugrunde liegende Dokument die Kontrolle der Organisation verlässt.

„Truth Enforcer“ könnte innerhalb dieser Arbeitsabläufe eine eigenständige Integritätsprüfung bieten: die Feststellung und anschließende Überprüfung des Status eines Datensatzes.