Wenn aus dem forensischen Image etwas entfernt wird

Die Integrität einer forensischen Sicherung wird über einen Hashwert belegt. Dieser Wert bezieht sich auf das Image als Ganzes und nicht auf einzelne Dateien darin.

Daraus folgt etwas, das im Verfahren selten ausgesprochen wird.

Was ein Ausschluss bewirkt

Werden aus einem forensischen Image Daten oder Ordner ausgeschlossen, verändert das dieses Image. Es entsteht ein anderes Beweismittel, und die Integrität des ursprünglichen Images ist damit nicht mehr gewährleistet.

Für die Empfänger der bereinigten Fassung heisst das: Sie können nicht sagen, welche Änderungen gegenüber dem ursprünglichen Image vorgenommen wurden. Das liesse sich nur mit einer vergleichenden Untersuchung beider Asservate feststellen.

Woher diese Beschreibung stammt

Sie stammt nicht von mir. Sie steht in einer Stellungnahme der IT-Forensik der Polizei Basel-Landschaft, die das Bundesstrafgericht in einem Entscheid vom März 2026 wiedergibt.

Nicht zu verwechseln mit dem tragbaren Fall

Ein tragbarer Fall, der nur markierte Daten enthält, ist etwas anderes. Dort bleibt das vollständige Image unverändert bestehen. Liegt es dem Empfänger ebenfalls vor, lässt sich die Auswahl dagegen prüfen. Wird dagegen aus dem Image selber etwas entfernt, ist die herausgegebene Fassung eine andere. Zum Unterschied zwischen Auszug und Gesamtsicherung: Tragbarer Fall vs. vollständige Gerätesicherung.

Die andere Seite gehört dazu

Eine Aussonderung geschieht in der Regel aus gutem Grund, etwa zum Schutz von Geheimnisbereichen oder von Daten unbeteiligter Personen. Der Befund ist keine Kritik daran. Er beschreibt, was sie technisch kostet.

Wer eine Auswahl erhält statt der vollständigen Sicherung, kann die Auswahl nicht aus eigener Kraft überprüfen.