IT-Forensik & digitale Gutachten
Forensische Gutachten und Gegengutachten zu digitalen Beweismitteln, für Anwältinnen, Anwälte, Gerichte und Unternehmen. Drei Jahre Computer-Forensik bei der Kriminalpolizei Glarus. Heute unabhängig, mit dem Blick eines ehemaligen Ermittlers.
Operative Erfahrung, die den Unterschied macht
Wenn es um digitale Beweise geht, zählt jede Handlung und jede Unterlassung. Meine Erfahrung aus realen Ermittlungen bei der Kriminalpolizei Glarus, von Kapitaldelikten bis zu komplexen Cybercrime-Fällen, bringe ich in jedes Mandat ein.
Bei der Kriminalpolizei im Kanton Glarus habe ich das gesamte Spektrum abgedeckt: Hausdurchsuchungen, forensische Untersuchung von Smartphones und Computern unter den gängigen Betriebssystemen, OSINT-Ermittlungen sowie die Erstellung forensischer Gutachten für Staatsanwaltschaften. Ich weiss deshalb, wie ein Auswertungsbericht entsteht, welche Annahmen darin stecken und welche davon überprüfbar sind.
Meine Arbeit folgt forensischen Standards, unter anderem ISO/IEC 27037. Die Sicherung erfolgt mit Schreibschutz, mit dokumentierter Chain of Custody und mit Hashwerten, und Berichte verfassen wir so, dass technische Feststellungen und die daraus gezogenen Schlüsse getrennt erkennbar sind. Ob ein Beweismittel im Verfahren verwertet wird, entscheidet das Gericht nach StPO und nicht der Gutachter.
Die Handyauswertung der Staatsanwaltschaft überprüfen lassen
In vielen Verfahren ist die Auswertung eines Mobiltelefons das zentrale Beweismittel. Der Bericht dazu wird im Verfahren häufig als gegeben behandelt, obwohl er Annahmen enthält, die überprüfbar sind. Das sind die Punkte, an denen wir ansetzen.
Chatverläufe und gelöschte Nachrichten
Was in einem Auswertungsbericht als Chatverlauf erscheint, ist eine Zusammenstellung aus den Datenbanken der jeweiligen App. Wir klären, aus welcher Quelle ein Verlauf stammt, ob gelöschte Einträge wiederhergestellt wurden und ob die Reihenfolge der Nachrichten aus den Daten folgt oder aus der Darstellung des Werkzeugs.
Standortdaten und Bewegungsprofile
Ein Standort in einem Bericht kann aus dem GPS stammen, aus einer WLAN-Ortung, aus einer Funkzelle oder aus den Metadaten eines Fotos. Die Genauigkeit unterscheidet sich dabei um Grössenordnungen. Wir halten fest, worauf ein einzelner Punkt im Bericht beruht, und was daraus über den Aufenthalt einer Person folgt und was nicht.
Zeitangaben und ihr Bezugssystem
Zeitstempel auf einem Gerät stammen nicht aus einer einzigen Uhr. Sie können in UTC oder in Ortszeit geführt sein, sie können von der Geräteeinstellung abhängen oder vom Server der App. Wir halten fest, aus welchem Bezugssystem eine Zeitangabe stammt, bevor daraus ein Ablauf gebildet wird.
Vollständige Gerätesicherung oder Auszug daraus
Was in der Akteneinsicht als «tragbarer Fall» ankommt, ist häufig ein Auszug aus einer vollständigen Sicherung, ausgewählt von der auswertenden Stelle. Was vor und nach einem markierten Datensatz steht, ist darin nicht enthalten. Wir vergleichen beides, sofern die Gesamtsicherung vorliegt, und benennen, wenn sie fehlt. Was ein tragbarer Fall ist und was Sie stattdessen anfordern können.
Zuordnung eines Inhalts zu einer Person
Ein Gerät ist kein Mensch. Dass eine Nachricht auf einem Gerät liegt, sagt für sich genommen nicht, wer sie geschrieben hat. Wir prüfen, worauf sich eine Zuordnung im Bericht stützt und ob die naheliegenden Alternativen darin ausgeschlossen werden.
Der Zustand des Geräts bei der Sicherstellung
Wie viel sich aus einem Mobiltelefon überhaupt auslesen lässt, hängt vom Zustand ab, in dem es sichergestellt und danach behandelt wurde. Bei iPhones seit iOS 18 wechselt das Gerät 72 Stunden ohne Entsperrung selbsttätig in einen Zustand, aus dem sich deutlich weniger auslesen lässt: was zwischen AFU und BFU passiert. Ob ein Gerät zum fraglichen Zeitpunkt noch Sicherheitsupdates erhielt, ist bei einem Hacking-Vorwurf ein eigener Ansatzpunkt: Smartphones ohne Sicherheitsupdates.
Was in welcher Verfahrenslage noch möglich ist
Was sich technisch erreichen lässt, hängt davon ab, wo das Verfahren steht. Manches ist früh möglich und später nicht mehr.
Vorverfahren
Hier entscheidet sich, welche Spuren es später überhaupt noch gibt. Providerdaten und Logs sind flüchtig. Preservation Requests können nur Strafbehörden wirksam stellen, die Verteidigung kann aber schriftlich und begründet darauf hinwirken: welche Provider infrage kommen und wie eine solche Aufforderung aussieht. Wir sagen Ihnen, welche technischen Spuren in Ihrem Fall denkbar sind und wo sich der Aufwand nicht lohnt.
Siegelung und Entsiegelung
Wird ein Datenträger gesiegelt, Art. 248 StPO, entscheidet über das Entsiegelungsgesuch im Vorverfahren das Zwangsmassnahmengericht, Art. 248a StPO. Vor der Herausgabe fällt die Sichtung und Ausscheidung an: Daten, die dem Berufsgeheimnis unterliegen oder für das Verfahren nicht relevant sind, sollen nicht an die Behörde oder an die Gegenseite gelangen. Diese Triage übernehmen wir im Auftrag.
Erstinstanzliches Verfahren
Der Auswertungsbericht der Behörde liegt jetzt bei den Akten. Wir überprüfen seine methodische Grundlage und halten getrennt fest, welche Feststellungen die Daten tragen und welche Schlüsse darüber hinausgehen. Auf Wunsch trete ich als Sachverständiger auf und beantworte Rückfragen im Verfahren.
Berufung
In der Berufung geht es selten um eine neue Sicherung, sondern darum, ob eine technische Feststellung im Urteil trägt. Dafür braucht es die Grundlagen, auf denen sie beruht. Wie lange wir unsere Arbeitsgrundlagen aufbewahren, gehört deshalb in die schriftliche Vereinbarung und nicht in eine spätere Einzelentscheidung. Wer ein Gutachten in der Rechtsmittelinstanz stützen will, braucht es noch.
Revision
Für ein Revisionsverfahren zählt, ob sich ein technischer Sachverhalt heute anders darstellt als im rechtskräftigen Urteil, etwa weil eine Auswertung mit den damaligen Mitteln nicht möglich war. Ob eine Sicherung dafür etwas hergibt, lässt sich am Auswertungsbericht und an den vorhandenen Datenbeständen einschätzen, bevor Sie einen Schritt unternehmen. Ich habe in Verfahren vor oberen Instanzen und in Revisionsverfahren gearbeitet.
Kompetenzfelder
Auf diesem technischen Niveau arbeiten wir, unabhängig vom einzelnen Fall.
Authentizitätsprüfung
Echt oder gefälscht? Wir prüfen E-Mails und Dokumente forensisch: Header- und System-Analyse, Druckartefakte, Schrifttypen-Vergleich und Bildforensik.
Handyauswertung und Mobilgeräte-Analyse
Forensische Smartphone-Analyse (iOS und Android), einschliesslich der Suche nach Spionage-Software anhand der verfügbaren forensischen Werkzeuge und der öffentlich dokumentierten Indikatoren.
Datenrekonstruktion
Wiederherstellung gelöschter Daten sowie strukturierte Auswertung von Chat- und Kommunikationsverläufen.
Beweissicherung nach forensischem Standard
Sicherung nach ISO/IEC 27037, mit dokumentierter Chain of Custody und festgehaltenen Hashwerten.
Gutachten und Gegengutachten
Fachliche Beurteilung digitaler Beweismittel, mit Erfahrung bis hin zu Verfahren vor oberen Instanzen und in Revisionsverfahren.
Leistungen für Kanzleien, Unternehmen und Behörden
In diesen Bereichen unterstützen wir Sie:
Strafverfahren & strafrechtliche Verteidigung
Beweissicherung und Gegengutachten: wir überprüfen behördliche Forensik-Berichte, halten fest, welche Feststellungen die Daten tragen und welche darüber hinausgehen, und bereiten technische Sachverhalte verständlich für Gericht und Mandant auf. Dokumentierte Chain of Custody und festgehaltene Hashwerte. Auf Wunsch trete ich als Sachverständiger im Verfahren auf.
Arbeitsrechtliche Untersuchungen
Sicherung von E-Mails, Chatverläufen, Zugriffslogs und Arbeitszeitdaten bei Kündigungen, Verdacht auf Pflichtverletzungen oder Wettbewerbsverstössen. Diskret und verhältnismässig.
Compliance & interne Untersuchungen
Aufklärung von Verstössen gegen interne Richtlinien, Datenschutzverletzungen, Betrug oder Korruption. Wir sichern Beweise und erstellen Berichte für Geschäftsleitungen.
Triage und Ausscheidung vor der Herausgabe
Sichtung und Ausscheidung von Daten, die dem Berufsgeheimnis unterliegen oder für das Verfahren nicht relevant sind, bevor sie an Behörden oder die Gegenseite gelangen. Diese Triage fällt im Entsiegelungsverfahren an, über das das Zwangsmassnahmengericht entscheidet.
Wirtschaftsdelikte & Cybercrime
Analyse von Betrugsfällen, Identitätsdiebstahl, Ransomware-Angriffen, IP-Diebstahl oder Sabotage. Rekonstruktion von Vorfällen und Identifikation von Schwachstellen.
Digitale Gutachten
Fundierte Gutachten auf Basis forensischer Analysen und OSINT-Recherchen. Von der Identitätsprüfung über die Nachverfolgung digitaler Spuren bis zur Beweisaufnahme, verständlich aufbereitet für Gerichte und Mandanten.
Typische Mandate
Damit Sie sich ein Bild machen können, womit wir arbeiten:
- Hausdurchsuchung und Gerätesicherstellung: Einschätzung, was Behörden forensisch tatsächlich auswerten können
- Prüfung und Gegengutachten zu behördlichen Forensikberichten
- Handyauswertung und Smartphone-Analyse (iOS und Android): Chatverläufe, gelöschte Nachrichten, Standortdaten
- Cybercrime-Verfahren und Wirtschaftsdelikte
- Analyse von Mobilgeräten auf Spionage- und Schadsoftware
OSINT-Ermittlungen, Open Source Intelligence
OSINT ergänzt die klassische IT-Forensik: die systematische Auswertung öffentlich verfügbarer Informationen, also Social Media, öffentliche Register, Handelsregister, Medienarchive, Foren, Webarchive und spezialisierte Datenbanken. Wir liefern den Kontext zur technischen Beweissicherung oder bearbeiten OSINT-Aufträge als eigenständiges Mandat.
Mein Hintergrund: OSINT-Analysen bei der Kriminalpolizei, vertieft durch Weiterbildungen, unter anderem bei Arno Reuser von Reuser Information Services. Wir protokollieren die Rechercheschritte, damit die Herkunft einer Feststellung nachvollziehbar bleibt.
Typische Anwendungsfälle:
- Hintergrundrecherchen: vor Geschäftsabschlüssen oder Partnerschaften (Due Diligence)
- Unabhängige Beweisprüfung: für Strafverteidiger und Kanzleien
- Identitätsverifikation: Überprüfung von Personen, Profilen und behaupteten Hintergründen
- Digitale Spurensuche: als Ergänzung zur klassischen technischen Beweissicherung
Incident Response, wenn es gerade passiert
Ein Verschlüsselungstrojaner läuft, ein Konto ist übernommen, Daten sind abgeflossen. In dieser Lage entscheidet sich nicht nur, wie schnell der Betrieb wieder läuft. Es entscheidet sich auch, ob sich hinterher noch feststellen lässt, was überhaupt passiert ist.
Zwei Wege, und die Wahl gehört an den Anfang
Der eine Weg ist die Wiederherstellung: Schadsoftware entfernen, Systeme neu aufsetzen, Zugänge zurücksetzen, weiterarbeiten. Das ist oft das Dringendste, und manchmal ist es alles, was ein Betrieb braucht.
Der andere Weg ist die Wiederherstellung mit Beweissicherung: bevor ein System neu aufgesetzt wird, wird es forensisch gesichert. Das kostet am Anfang Zeit und ist die Voraussetzung für alles, was danach noch kommen kann, für eine Anzeige, für die Versicherung, für eine Meldung, wenn Personendaten betroffen sind, und für die Frage, welche Daten den Betrieb verlassen haben.
Wer zuerst aufräumt und danach fragt, was geschehen ist, hat die Antwort meistens mit aufgeräumt. Deshalb stellen wir diese Frage am Telefon, bevor wir anfangen, und nicht erst im Bericht. Welcher Weg richtig ist, entscheiden Sie, und Sie entscheiden es in Kenntnis dessen, was der schnellere Weg kostet.
Was wir übernehmen
- Erste Lagebeurteilung am Telefon: was sofort vom Netz soll, und was Sie besser nicht abschalten, weil damit Spuren verschwinden.
- Forensische Sicherung der betroffenen Systeme, bevor daran gearbeitet wird, falls Sie den zweiten Weg wählen.
- Eindämmung und Wiederherstellung des Betriebs, zusammen mit Ihrem IT-Dienstleister, wenn Sie einen haben.
- Auswertung: Einstiegspunkt, Zeitraum, betroffene Konten und Daten, soweit die Spuren es hergeben.
- Bericht mit getrennt erkennbaren technischen Feststellungen und Schlüssen, verwendbar für Anzeige, Versicherung oder Geschäftsleitung.
Der Ansatz ist derselbe wie für die übrige forensische Arbeit, CHF 280 pro Stunde, exkl. MWST. Eine Bereitschaft rund um die Uhr haben wir nicht und sagen sie darum auch nicht zu. Rufen Sie an, dann sagen wir Ihnen, ob wir sofort einsteigen können oder nicht.
So arbeiten wir mit Ihnen zusammen
Erstkontakt & Situationsanalyse
Sie kontaktieren uns telefonisch oder per E-Mail. Wir besprechen die Situation vertraulich. Diese erste Einschätzung dauert zwanzig Minuten und ist kostenlos, auch dann, wenn sie lautet, dass sich eine Überprüfung nicht lohnt.
Beweissicherung nach forensischem Standard
Sie übergeben uns die Geräte (Smartphones, Computer, Server) oder wir kommen zu Ihnen. Wir erstellen ein forensisches Image mit Write-Blocker (Schreibschutz) und halten Hashwerte fest, damit die Integrität der Sicherung überprüfbar bleibt. Die Auswertung erfolgt anschliessend auf einem Arbeitsplatz, der ausschliesslich dafür verwendet und für die Auswertung vom Netz getrennt ist, auf Basis des gesicherten Images.
Forensische Analyse
Wir analysieren gelöschte Dateien, Chatverläufe, Zugriffsprotokolle und Metadaten und dokumentieren, welche Quellen ausgewertet wurden und welche nicht.
Bericht & Gutachten
Sie erhalten einen Bericht oder eine Executive Summary, technisch fundiert und für Juristen verständlich. Technische Feststellungen und die daraus gezogenen Schlüsse sind darin getrennt erkennbar.
Begleitung im Verfahren (optional)
Ich unterstütze Sie als Sachverständiger bei Rückfragen oder Gerichtsterminen.
Woran Sie unsere Arbeit messen können
Behördenerfahrung
Drei Jahre operative Praxis in der Kriminalpolizei Glarus. Ich kenne die Anforderungen von Gerichten und Staatsanwaltschaften aus eigener Ermittlungsarbeit.
Forensische Standards
ISO/IEC 27037, dokumentierte Chain of Custody, Hashwerte.
Diskretion
Vertraulichkeit, NDA auf Wunsch. Arbeitsgrundlagen werden nach schriftlicher Vereinbarung aufbewahrt und auf Ihre Weisung gelöscht.
Ersteinschätzung am Telefon
Zwanzig Minuten, kostenlos. Sie erfahren, ob eine Sicherung dringend ist und was Sie bis dahin besser nicht tun.
Verständliche Gutachten
Wir bewerten die Aussagekraft von Beweisen für Ihr Verfahren, technisch fundiert und für Juristen verständlich.
Häufig gestellte Fragen
Kann ich die Handyauswertung der Staatsanwaltschaft überprüfen lassen?
Ja. Wir überprüfen den Auswertungsbericht und, soweit vorhanden, die Sicherung, auf der er beruht: aus welcher Quelle die Inhalte stammen, ob eine vollständige Gerätesicherung vorliegt oder ein Auszug daraus, aus welchem Bezugssystem die Zeitangaben stammen und worauf sich die Zuordnung eines Inhalts zu einer bestimmten Person stützt. Ob dabei etwas für Ihr Verfahren herauskommt, ist vorher offen. Im Erstgespräch, zwanzig Minuten und kostenlos, sagen wir Ihnen, ob sich der Aufwand aus unserer Sicht lohnt, auch dann, wenn die Antwort Nein lautet.
Was brauche ich, damit Sie ein Gutachten erstellen können?
Vier Dinge. Erstens eine konkrete Fragestellung, also was das Gutachten beantworten soll. Zweitens die Unterlagen, die Sie haben: den Auswertungsbericht der Behörde und den tragbaren Fall oder die vollständige Gerätesicherung. Drittens Zugang zum Gerät oder zum Datenträger, falls eine eigene Sicherung nötig ist. Viertens eine schriftliche Beauftragung, denn jeder Auftrag beginnt mit einer schriftlichen Bestätigung mit Kostendach. Fehlt etwas davon, klären wir im Erstgespräch, was sich mit dem Vorhandenen beantworten lässt und was nicht.
Wie läuft eine forensische Untersuchung ab?
Sie kontaktieren uns vertraulich. Wir erstellen ein forensisches Image Ihrer Geräte mit Write-Blocker und werten es auf einem Arbeitsplatz aus, der ausschliesslich für forensische Auswertungen verwendet und für die Auswertung vom Netz getrennt ist. Sie erhalten einen Bericht, in dem technische Feststellungen und die daraus gezogenen Schlüsse getrennt erkennbar sind.
Nach welchen Standards arbeiten Sie?
Meine Arbeit folgt forensischen Standards, unter anderem ISO/IEC 27037. Die Sicherung erfolgt mit Schreibschutz, mit dokumentierter Chain of Custody und mit Hashwerten. Ob ein Beweismittel im Verfahren verwertet wird, entscheidet das Gericht nach StPO und nicht der Gutachter.
Wie schnell können Sie reagieren?
Rufen Sie an. Am Telefon klären wir mit Ihnen, ob eine Sicherung dringend ist und was Sie bis dahin besser nicht tun. Eine feste Reaktionsfrist sagen wir ohne schriftliche Vereinbarung nicht zu.
Was kostet eine forensische Untersuchung?
Der Ansatz für IT-Forensik, Gutachten und Incident Response beträgt CHF 280 pro Stunde, exkl. MWST. Forensik ist explorativ, deshalb rechnen wir nach Aufwand ab und nicht mit Pauschalen. Jeder Auftrag beginnt mit einer schriftlichen Bestätigung mit Kostendach. Im Erstgespräch, zwanzig Minuten und kostenlos, schätzen wir den Rahmen ein, auch dann, wenn die Einschätzung lautet, dass sich eine Überprüfung nicht lohnt.
Sie sind als Privatperson von Online-Betrug, Cyberstalking oder Identitätsdiebstahl betroffen? Was wir für Privatpersonen tun
Erste Einschätzung, ob sich eine Überprüfung lohnt: zwanzig Minuten am Telefon, kostenlos. Auch dann, wenn sie lautet, dass sie sich nicht lohnt.
Erstgespräch vereinbaren