eDiscovery oder Forensik? Wo der Unterschied liegt und warum er für Ihren Fall zählt

Dieselben Daten, andere Fragen

Der Laptop eines ausgetretenen Mitarbeiters, sein Exchange-Postfach, ein Teams-Kanal: Am Anfang liegt in beiden Disziplinen dasselbe Material auf dem Tisch. Der Unterschied liegt in der Frage, die man daran stellt.

• eDiscovery fragt: Was steht in den Daten – und was davon ist für den Fall relevant?
• Forensik fragt: Was ist auf dem System passiert – wer hat wann was getan, und wurde etwas verborgen oder gelöscht?

Wer diese beiden Fragen verwechselt, bezahlt entweder für eine Tiefe, die er nicht braucht, oder merkt zu spät, dass die entscheidende Spur nie gesichert wurde.

eDiscovery: vom Datenberg zum relevanten Dokument

Den Referenzrahmen für eDiscovery liefert das Electronic Discovery Reference Model (EDRM). Es beschreibt neun Phasen von der Information Governance über Identifikation, Sicherung und Sammlung bis zu Processing, Review, Analyse, Produktion und Präsentation [1]. Wichtig: Das EDRM versteht sich ausdrücklich als konzeptionelles Modell, nicht als starrer Ablauf. Phasen können ausgelassen, in anderer Reihenfolge durchlaufen oder mehrfach wiederholt werden [1].

Den Kern bilden drei Phasen:

• Processing reduziert das Datenvolumen und bringt die Daten in eine Form, die sich prüfen lässt [1].
• Review bewertet die Dokumente auf Relevanz und auf geschützte Inhalte (Privilege) [1].
• Analyse wertet Inhalt und Kontext aus – Muster, Themen, Personen, Gesprächsverläufe [1].

Das Ergebnis ist ein geprüftes, kodiertes Dokumentenset: die Grundlage für eine Edition, eine Antwort an eine Behörde oder eine belastbare Chronologie des Sachverhalts. eDiscovery arbeitet in der Breite – viele Custodians, oft Hunderttausende oder Millionen Dokumente.

Forensik: Ereignisse rekonstruieren

Digitale Forensik ist nach der Definition des US-amerikanischen National Institute of Standards and Technology (NIST) die Anwendung wissenschaftlicher Methoden auf die Identifikation, Sammlung, Untersuchung und Analyse von Daten – unter Wahrung ihrer Integrität [2]. NIST gliedert den Prozess in vier Phasen: Collection, Examination, Analysis und Reporting [2].

Forensik arbeitet in der Tiefe. Sie interessiert sich weniger für den Inhalt eines Dokuments als für die Spuren, die eine Handlung hinterlässt: gelöschte Dateien, unallozierten Speicher, Systemprotokolle, angeschlossene USB-Geräte, Browser- und Synchronisationsartefakte. Das Ergebnis ist ein Bericht mit Befunden, Zeitlinie und einer nachvollziehbaren, reproduzierbaren Methodik – also etwas, das einer Überprüfung durch Gegenpartei oder Gericht standhalten muss.

Die Weiche wird bei der Sicherung gestellt

Beide Disziplinen beginnen mit der Sicherung – und genau dort fällt die folgenreichste Entscheidung. Die EDRM Collection Standards unterscheiden unter anderem [3]:

• Forensisches Image: eine exakte, sektorweise Kopie des Datenträgers, die aktive und inaktive Daten erfasst. Verifizierbar auf Geräte- und Dateiebene, aber aufwendiger.
• Gezielte Sammlung (Targeted Collection): nur aktive Dateien und Ordner aus dem Dateisystem.
• Nicht-forensische Kopie: Kopieren über das Betriebssystem. Stark abhängig von den Custodians; Filter bei der Sammlung können Dateien übersehen.

Das EDRM empfiehlt zudem, ein forensisches Image im Rahmen einer forensischen Analyse von einem qualifizierten, gerichtserfahrenen Examiner auswerten zu lassen [3].

Daraus folgt eine einfache Regel: Eine gezielte Sammlung reicht für eDiscovery – aber sie schliesst Forensik nachträglich aus. Was nicht gesichert wurde, lässt sich nicht analysieren. Ist der Laptop erst neu aufgesetzt und an die nächste Person übergeben, sind die Spuren weg.

Der Unterschied auf einen Blick

Wann Sie was brauchen

eDiscovery, wenn es um Inhalte geht: Editionsbegehren im Zivilverfahren, Auskunftsbegehren von Aufsichtsbehörden, interne Untersuchungen wegen Korruptions- oder Compliance-Verdacht, bei denen die Kommunikation selbst der Beweis ist.

Forensik, wenn es um Handlungen geht: Verdacht auf Datenabfluss per USB oder Cloud, Verdacht auf Löschung oder Manipulation, Zweifel an der Echtheit eines Dokuments, Cybervorfälle.

Beides, wenn Inhalt und Handlung zusammengehören – und das ist häufiger, als man denkt. Typisches Beispiel: der Verdacht, ein ausgetretener Mitarbeiter habe Geschäftsgeheimnisse mitgenommen. Die Forensik zeigt, dass am Abend vor der Kündigung Konstruktionsdaten auf einen USB-Stick kopiert wurden. Die eDiscovery zeigt in den E-Mails, mit wem er in den Wochen davor über einen Wechsel gesprochen hat. Erst zusammen ergibt sich ein Bild, das trägt.

Die Disziplinen befruchten sich dabei gegenseitig: Dateinamen und Zeitstempel aus der Forensik werden zu Suchbegriffen im Review; Hinweise aus dem Review führen zu weiteren Geräten, die forensisch untersucht werden müssen.

Der rechtliche Rahmen

Die Referenzmodelle stammen aus dem angelsächsischen Raum; international ergänzt ISO/IEC 27037 sie mit Leitlinien zur Identifikation, Sammlung und Sicherung digitaler Beweismittel [4]. Für Untersuchungen in der Schweiz sind zudem insbesondere das Datenschutzgesetz [5], das Arbeitsrecht im Obligationenrecht [6] und – bei Bezügen zu ausländischen Verfahren oder Behörden – das Strafgesetzbuch [7] zu beachten.

Welche Vorgaben im konkreten Fall gelten und wie weit eine Datensammlung gehen darf, ist eine rechtliche Frage und gehört zu einer Anwaltskanzlei. Wir arbeiten in solchen Mandaten eng mit der rechtlichen Vertretung unserer Kunden zusammen.

Unabhängig davon gilt für beide Disziplinen: Die lückenlose Dokumentation der Beweiskette (Chain of Custody) ist kein Zusatz, sondern Voraussetzung für die Verwertbarkeit.

Fazit: drei Fragen vor dem Start

1. Geht es um Inhalt oder um Handlung? Inhalt spricht für eDiscovery, Handlung für Forensik.
2. Könnte jemand bestreiten, dass die Daten vollständig und unverändert sind? Dann braucht es forensische Methoden – mindestens bei der Sicherung.
3. Wer wird das Ergebnis prüfen? Gegenpartei, Gericht und Behörde stellen unterschiedliche Anforderungen an Methode und Nachweis.

Und wenn die Antworten noch nicht klar sind: forensisch sichern, gezielt auswerten. Die Analyse lässt sich jederzeit vertiefen. Die Sicherung lässt sich nicht nachholen.

Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung. Für die rechtliche Beurteilung Ihres Falls wenden Sie sich bitte an eine Anwaltskanzlei.

Quellen

[1] EDRM (edrm.net): EDRM Model – https://edrm.net/wiki/edrm-model/

[2] Kent, K. et al.: NIST Special Publication 800-86 – Guide to Integrating Forensic Techniques into Incident Response, National Institute of Standards and Technology, 2006 – https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-86.pdf

[3] EDRM (edrm.net): EDRM Collection Standards – https://edrm.net/frameworks-and-standards/edrm-model/edrm-stages-standards/edrm-collection-standards/

[4] ISO/IEC 27037:2012 – Guidelines for identification, collection, acquisition and preservation of digital evidence – https://www.iso.org/standard/44381.html

[5] Bundesgesetz über den Datenschutz (Datenschutzgesetz, DSG), SR 235.1 – https://www.fedlex.admin.ch/eli/cc/2022/491/de

[6] Obligationenrecht (OR), SR 220 – https://www.fedlex.admin.ch/eli/cc/27/317_321_377/de

[7] Schweizerisches Strafgesetzbuch (StGB), SR 311.0 – https://www.fedlex.admin.ch/eli/cc/54/757_781_799/de

Inhalte von edrm.net stehen unter der Lizenz Creative Commons Attribution 4.0 International.