Das Tätigkeitsspektrum des Sachverständigen umfasst technische Fragestellungen aus dem Bestellungsgebiet „Systeme und Anwendungen der Informationsverarbeitung“.
Die nachfolgende Übersicht beruht auf tatsächlich bearbeiteten Aufgabenstellungen aus gerichtlichen Gutachten und Privatgutachten. Sie ist exemplarisch und nicht abschließend. Neben klassischen Fragestellungen zu Computerhardware und Software gehören hierzu insbesondere IT-Projekte, Datenmigrationen, elektronische Kommunikation, Online-Banking sowie die Auswertung digitaler Daten und technischer Protokolle.
In Zivilprozessen
Hardware, IT-Systeme und technische Schäden
Im Bereich der Systeme der Informationsverarbeitung werden insbesondere Funktionsstörungen, technische Mängel, Schäden und deren Ursachen untersucht.
- Server-, Storage-, RAID- und NAS-Systeme
- PCs, Workstations und Notebooks
- Festplatten, SSDs und andere Datenträger
- Peripherie- und Netzwerkkomponenten
- Drucker, Scanner und Multifunktionsgeräte
- Kassensysteme und Zeiterfassungssysteme
- Apple-Produkte
- Spielkonsolen, Navigationsgeräte sowie andere computerbasierte Consumer-Elektronik
- 3D-Drucker und vergleichbare digital gesteuerte Geräte
Gegenstand eines Gutachtens kann beispielsweise die Frage sein, ob ein Gerät oder System einen technischen Mangel aufweist, wodurch eine Funktionsstörung oder ein Schaden verursacht wurde und ob nachträgliche Eingriffe oder Veränderungen feststellbar sind.
Untersucht werden unter anderem Fertigungs- und Bauteilfehler, Flüssigkeits- und Feuchtigkeitsschäden, mechanische Beschädigungen, Stör- und Fremdeinflüsse sowie Schäden nach Reparaturen oder sonstigen Eingriffen. Bei Überspannungsschäden wird der Schadensumfang untersucht, nicht jedoch die Ursache der Überspannung.
Soweit dies für die Beweisfrage erforderlich ist, können auch Schadensumfang, Reparaturfähigkeit, Neuwert, Wiederbeschaffungswert, Zeitwert und Restwert von Rechnern, Geräten und Systemkomponenten bestimmt werden.
Smartphones, Tablets und mobile Geräte
Auch Smartphones, Tablets und andere mobile Geräte können Gegenstand sachverständiger Untersuchungen sein.
- ob ein bestimmtes Foto oder Video mit einem bestimmten Gerät aufgenommen wurde
- wann eine Aufnahme erstellt, verändert oder gespeichert wurde
- welche technischen Metadaten zu einer Datei vorhanden sind
- ob und wann eine bestimmte E-Mail oder Nachricht mit einem Gerät erstellt oder versandt wurde
- welche auf dem Gerät oder in einer Sicherung vorhandenen Daten Rückschlüsse auf einen streitigen Vorgang zulassen
- die zeitliche Einordnung von Dateien, Benutzeraktivitäten und Kommunikationsvorgängen
- die Untersuchung vorhandener Geräte- und Anwendungssicherungen
- die Auswertung eines bereits vorhandenen datenforensischen Images
Für die Übernahme eines Auftrags ist deshalb nicht entscheidend, ob ein Smartphone oder Tablet beteiligt ist, sondern welche Daten für die Beantwortung der konkreten Beweisfrage benötigt werden und auf welchem technischen Weg diese Daten zugänglich gemacht, gesichert und ausgewertet werden können.
Software, IT-Projekte und Softwaremängel
Einen wesentlichen Tätigkeitsschwerpunkt bilden seit vielen Jahren Fragestellungen zu Software und IT-Projekten. Untersucht werden Standardsoftware, Branchensoftware und Individualsoftware ebenso wie kaufmännische und administrative Anwendungen in Handels-, Handwerks-, Produktions- und Industrieunternehmen.
- Funktionsfähigkeit und Fehler von Software
- Abweichungen zwischen vereinbarter und tatsächlich vorhandener Funktionalität
- Anforderungen aus Leistungsbeschreibungen, Pflichtenheften und sonstigen Projektunterlagen
- technische Abnahmefähigkeit einer Software
- Fehler und Funktionsdefizite nach Einführung oder Änderung eines Systems
- Betriebssysteme, Datenbanken und Serverdienste
- Schnittstellen zwischen unterschiedlichen Anwendungen und Systemen
- Zusammenspiel von Server- und Client-Komponenten
- ERP-, Warenwirtschafts- und Shop-Systeme
- technische Ursachen eines gescheiterten oder streitigen IT-Projekts
Bei umfangreicheren Projekten kann insbesondere zu untersuchen sein, welche Leistungen vereinbart waren, welche Funktionen tatsächlich umgesetzt wurden, welche Fehler vorhanden sind und welchem Teil des Projekts festgestellte Abweichungen technisch zugeordnet werden können.
Datenmigration und Altdatenübernahme
Ein wiederkehrender Gegenstand von Gutachten sind Fehler bei der Datenmigration oder Altdatenübernahme, insbesondere beim Wechsel von einem bestehenden Programm, einer Datenbank oder einem ERP-System auf eine neue Software.
- Vollständigkeit der übernommenen Daten
- fehlende Datensätze
- veränderte oder abgeschnittene Inhalte
- falsch zugeordnete Felder
- verlorene Dokumente oder Historien
- Beziehungen zwischen Datensätzen nach der Migration
- Abgrenzung zwischen Fehlern der Ausgangsdaten und während der Migration entstandenen Fehlern
Bei der Ursachenanalyse kann zwischen Fehlern des Quellsystems, des Exports, der Datenzuordnung, der Transformations- oder Migrationslogik, der Importschnittstelle und des Zielsystems zu unterscheiden sein.
E-Mail-Versand, Übertragung und Zugang
Ein weiterer Tätigkeitsschwerpunkt betrifft technische Beweisfragen zu E-Mails und elektronischer Kommunikation. Hierzu gehören insbesondere Fragestellungen dazu, ob und wann eine bestimmte E-Mail erstellt oder versandt wurde, welchen technischen Übertragungsweg sie genommen hat und welche technischen Informationen über ihren Zugang beim Empfänger vorhanden sind.
Die Untersuchung kann sich sowohl auf Mailserver und andere beteiligte Systeme als auch auf Computer, Smartphones, Tablets, vorhandene Backups und die dort gespeicherten Daten von E-Mail-Anwendungen erstrecken.
- vollständige E-Mail-Dateien und deren Header
- Versand- und Empfangsprotokolle
- Mailserver-Protokolle
- Zeitstempel und Message-IDs
- Informationen über beteiligte Mailserver
- Zustellmeldungen und Delivery Status Notifications (DSN)
- lokale Daten von E-Mail-Programmen und Endgeräten
- vorhandene Geräte- und Anwendungssicherungen
Weitere Fragestellungen betreffen die Authentizität des Absenders, mögliche Veränderungen einer Nachricht sowie die Rekonstruktion streitiger Versand- und Zugangsvorgänge. Auch Fax-Zugang und vergleichbare elektronische Übermittlungsvorgänge können Gegenstand einer technischen Untersuchung sein.
Online-Banking, Zahlungs- und Autorisierungssysteme
Untersucht werden technische Vorgänge bei Online-Banking, elektronischen Zahlungssystemen und Authentisierungsverfahren.
- TAN- und Freigabeverfahren
- Zwei-Faktor-Authentisierung
- Registrierung und Freigabe von Endgeräten
- technische Autorisierung von Zahlungsvorgängen
- Karten- und PIN-Verfahren
- Geldautomaten
- System- und Serverprotokolle
- Zeitpunkte und Abläufe behaupteter Freigaben
- Zuordnung von Transaktionen zu Geräten, Sitzungen und technischen Identifikatoren
Hierbei kann insbesondere zu untersuchen sein, welcher technische Vorgang einem im System dokumentierten Freigabe- oder Autorisierungseintrag zugrunde liegt und anhand welcher Protokoll- und Systemdaten sich der tatsächliche Ablauf nachvollziehen lässt.
Webseiten, Webserver, Shops und digitale Protokolldaten
Bei Streitigkeiten über Webseiten und internetbasierte Systeme können sowohl sichtbare Inhalte als auch die dahinterliegenden technischen Daten untersucht werden.
- aktuelle und frühere Webseiteninhalte
- Funktionsstörungen von Webseiten und Webanwendungen
- Webserver und deren Konfiguration
- Shop-Systeme und deren Schnittstellen
- Logdateien, IP-Adressen und Zeitstempel
- Sessions und Session-IDs
- Datenbankeinträge und Webformulare
- unterschiedliche Darstellung auf Desktop- und Mobilgeräten
- technische Veränderungen und Manipulationen
- Angriffsszenarien und Schadsoftware
Anhand vorhandener Protokoll- und Datenbankinformationen kann gegebenenfalls rekonstruiert werden, welche technischen Vorgänge zu einem bestimmten Zeitpunkt innerhalb eines Websystems stattgefunden haben. Dies kann auch die technische Untersuchung elektronischer Bestätigungs- und Einwilligungsvorgänge betreffen.
Online-Auktionen und elektronische Geschäftsabläufe
- Rekonstruktion von Auktionsverläufen
- streitige oder nachträglich nicht mehr verfügbare Inhalte
- Plausibilitätsprüfung technischer Nutzerdaten und IP-Adressen
- Benutzerkonten und Identitätsmerkmale
- automatisierte Bietvorgänge und Biet-Agenten
- technische Abläufe von Shop- und Plattform-Systemen
In Strafprozessen und Ermittlungsverfahren
In Strafverfahren und Ermittlungsverfahren werden insbesondere Computer, Datenträger und sonstige EDV-Asservate auf beweiserhebliche digitale Spuren untersucht.
- forensische Auswertung beschlagnahmter Computer und Datenträger bezüglich gesuchter Dateien, Inhalte und Merkmale
- Wiederherstellung gelöschter Daten auf Datenträgern, soweit dies technisch noch möglich ist
- Analyse von Benutzeraktivitäten und Dateien
- Untersuchung von Erstellungs-, Änderungs- und Zugriffszeitpunkten
- Prüfung der Plausibilität und Authentizität von Zeitangaben
- Untersuchung früherer Dateiversionen und der Herkunft von Dateien
- Auswertung von Geo-Tracking-fähigen Geräten und gespeicherten Positionsinformationen
- Auswertung von Hard- und Software bei Lizenz- und Urheberrechtsverletzungen
- Untersuchung gefälschter oder manipulierter Hardware, Datenträger und Komponenten
- Untersuchung digitaler Daten im Zusammenhang mit Betriebs- und Geschäftsgeheimnissen
- Recherche und Rekonstruktion von Benutzeraktivitäten im Internet
- Untersuchung technischer Spuren bei der Nutzung von Internetdiensten
Folgende Arbeiten werden von uns nicht bearbeitet
Die nachfolgende Abgrenzung soll bereits vor einer Anfrage deutlich machen, welche Aufgabenstellungen vom Sachverständigenbüro nicht übernommen werden.
Smartphones und Tablets – Abgrenzung
Die Untersuchung von Smartphones und Tablets ist nicht generell ausgeschlossen. Nicht angeboten werden jedoch Aufträge, bei denen zur Beantwortung der Beweisfrage zunächst eine spezialisierte mobilforensische Extraktion des Geräts erforderlich ist, die den Einsatz hierfür vorgesehener Mobilforensik-Systeme, beispielsweise Cellebrite, voraussetzt.
Smartphones und Tablets können dagegen insbesondere untersucht werden, wenn
- ein Zugang zum Gerät und zu den für die Beweisfrage relevanten Daten möglich ist,
- bereits ein datenforensisches Image oder eine geeignete Datensicherung vorliegt,
- ein Backup erstellt oder ein bereits bestehendes Backup verwendet werden kann oder
- die Beweisfrage ohne eine spezialisierte Extraktion des vollständigen Geräteinhalts beantwortet werden kann.
Damit können insbesondere Fragestellungen zur Entstehung und Bearbeitung von Fotos und Videos, zu E-Mails und anderen Kommunikationsvorgängen, zu Dateien, Metadaten und zeitlichen Abläufen auch dann bearbeitet werden, wenn ein Smartphone oder Tablet das betreffende Endgerät ist.
Nicht bearbeitete Aufgabenstellungen
- Beweisfragen zu Software auf Großrechnern (Mainframes)
- Beweisfragen zu Mess- und Regeltechnik sowie zu Fehlern in Steuerungen
- Beweisfragen zu SAP-Produkten
- Beweisfragen zu Konstruktion und Fertigung (CAD/CAM)
- Gewitter/Blitzschlag: Beweisfragen nach der Ursache von Überspannungsschäden
- Beweisfragen zu falschen Verbindungspreisabrechnungen in Telekommunikationsrechnungen
- Kinder- und Tierpornografiefälle
- Verfahren und Untersuchungen im Zusammenhang mit sexuellem Missbrauch, auch wenn Computer, Smartphones, Datenträger, Internetdienste oder andere informationstechnische Systeme Gegenstand der technischen Beweisfrage sind
Diese Ausschlüsse gelten auch dann, wenn die betreffende Fragestellung im weiteren Sinne einen Bezug zu Computern, Elektronik oder Informationstechnik aufweist.
Gerichtsgutachten und Privatgutachten
Der überwiegende Teil der Tätigkeit erfolgt im Auftrag von Gerichten und Strafverfolgungsbehörden.
Die beschriebenen Untersuchungen können jedoch auch im Rahmen eines Privatgutachtens oder einer technischen Beweissicherung vor oder während eines Rechtsstreits durchgeführt werden. Dies kann insbesondere sinnvoll sein, wenn ein IT-Projekt gescheitert ist, Software oder Hardware Mängel aufweist, eine Datenmigration fehlerhaft verlaufen ist oder digitale Beweise gesichert werden müssen, bevor ein System verändert, repariert, aktualisiert oder außer Betrieb genommen wird.
Eine ausführlichere Auswahl tatsächlich bearbeiteter Beweisfragen enthält die Seite „Aufgabenstellungen früherer Gutachten“.