The Art of Chain of Custody

Nicht die Datei ist der Beweis, sondern ihr Weg

Eine Excel-Datei mit Kundenpreisen, gefunden auf dem privaten Cloud-Speicher eines ausgetretenen Mitarbeiters. Inhaltlich eindeutig. Und trotzdem ist die erste Frage der Gegenpartei nicht: Was steht drin? Sondern: Woher stammt die Datei, wer hatte sie in der Hand, und woher wissen Sie, dass sie unverändert ist?

Genau diese Fragen beantwortet die Chain of Custody. Kann man sie nicht beantworten, wird aus einem Beweis eine Behauptung mit Anhang.

Was eine Beweiskette ist

Das US-amerikanische National Institute of Standards and Technology (NIST) definiert die Chain of Custody als chronologische Dokumentation, die Sicherstellung, Gewahrsam, Kontrolle, Übergabe, Analyse und Verbleib eines physischen oder elektronischen Beweismittels belegt [1]. Die IETF-Richtlinie RFC 3227 formuliert es praktischer: Man muss klar beschreiben können, wie ein Beweismittel gefunden wurde, wie es behandelt wurde und was alles damit geschah [2].

Konkret heisst das, für jedes Beweismittel und jeden Schritt festzuhalten:

• Wer hat gesichert, übergeben, ausgewertet?
• Was genau wurde gesichert – Gerät, Postfach, Datei – und mit welchem Hashwert?
• Wann und wo – mit Zeitzone?
• Wie – mit welcher Methode, welchem Werkzeug, welcher Version?
• Warum – auf welcher Grundlage und mit welchem Auftrag?

Der Hashwert ist dabei der digitale Fingerabdruck. Stimmt er bei der Sicherung, bei jeder Übergabe und bei der Vorlage überein, ist belegt, dass sich die Daten nicht verändert haben.

Warum digitale Beweise besonders verletzlich sind

Bei Papier gibt es ein Original und Kopien. Bei Dateien gibt es das nicht: Eine Kopie mit identischem Hashwert ist die Datei. Umgekehrt verändert jede Konvertierung die Datei, auch wenn man es nicht sieht. Schreiber und Kettiger zeigen in der Schweizer Richterzeitung, dass beim Ausdrucken oder Umwandeln einer E-Mail in ein PDF der Header und der übrige Quellcode wegfallen – also genau die Angaben, mit denen sich Absender, Server und Zeitpunkt prüfen lassen [6]. Trotzdem ist diese Form heute weit verbreitet [6].

Daraus folgt eine einfache Regel: Jede Veränderung muss begründet und dokumentiert sein – sonst ist sie ein Angriffspunkt.

Woran man eine saubere Beweiskette erkennt

ISO/IEC 27037 verlangt für den Umgang mit digitalen Beweismitteln vier Eigenschaften: Nachprüfbarkeit (Auditability), Wiederholbarkeit (Repeatability), Reproduzierbarkeit (Reproducibility) und Begründbarkeit (Justifiability) [3]. Jede Handlung muss von einer qualifizierten Drittperson nachvollzogen werden können; jede Abweichung vom Standardvorgehen muss begründet sein.

Die ACPO-Grundsätze aus Grossbritannien gelten seit Jahren als fachlicher Massstab [4]. Ihr Kern in vier Punkten: Keine Handlung darf Daten verändern, auf die man sich später stützen will. Wer auf Originaldaten zugreifen muss, muss dafür qualifiziert sein und sein Vorgehen erklären können. Über alle Schritte ist ein Audit Trail zu führen, mit dem eine unabhängige Drittperson zum selben Ergebnis kommt. Und die Gesamtverantwortung liegt bei der fallführenden Person.

RFC 3227 ergänzt zwei Grundsätze, die in der Praxis oft verletzt werden: erst sichern, dann analysieren – und nie auf der Beweiskopie arbeiten, sondern auf einer weiteren Arbeitskopie [2].

Für die Verwertung in einem Verfahren sind in der Schweiz insbesondere die Zivilprozessordnung [7] und die Strafprozessordnung [8] massgeblich. Wie viel Gewicht ein elektronisches Beweismittel erhält, hängt in der Praxis wesentlich davon ab, ob seine Echtheit, Unverfälschtheit und Herkunft nachvollziehbar sind [6] – genau das leistet eine saubere Beweiskette. Wie ein Beweismittel im konkreten Verfahren einzubringen ist, beurteilt Ihre Anwaltskanzlei.

Was Aufsichtsbehörden erwarten

Aufsichtsbehörden prüfen vor allem das Format. Die US-Börsenaufsicht SEC verlangt in ihren Data Delivery Standards, dass elektronische Dateien im Originalformat geliefert werden. Wird dedupliziert, müssen die Metadaten der Duplikate – etwa Custodian und Speicherort – erhalten und mitgeliefert werden [9]. Die US-Wettbewerbsbehörde FTC sieht in ihren Produktionsvorgaben ein eigenes Feld für den Hashwert der Originaldatei vor [10].

In der Schweiz setzt die FINMA für komplexe Sachverhalte Untersuchungsbeauftragte ein [11]. Auch deren Feststellungen sind nur so belastbar wie die Herleitung der Daten, auf die sie sich stützen.

Die Beweiskette auf einen Blick

Die EDRM Collection Standards halten fest, dass Drag-and-Drop-Kopien Metadaten verändern, keinen automatischen Audit Trail erzeugen und schwer zu reproduzieren sind [5]. Wer so sammelt, muss damit rechnen, die Daten später forensisch korrekt neu erheben zu müssen – sofern sie dann noch existieren.

Was in der Praxis hilft

Schreiber und Kettiger empfehlen für den Umgang mit elektronischen Beweismitteln unter anderem [6]:

• Beweismittel beim Empfang und vor jedem Versand über ihren Hashwert identifizieren – nicht über den Dateinamen.
• Beweismittel so speichern und übermitteln, dass sie nicht unbeabsichtigt verändert werden.
• Ist eine Konvertierung unvermeidbar, im Beweismittelverzeichnis beide Fassungen aufführen: Ausgangsdatei und eingereichte Datei, je mit Dateiname, Format und Hashwert (z. B. SHA-256) – und mit dem Grund für die Veränderung.

Dazu kommt, was jede gute Untersuchung auszeichnet: Die Dokumentation entsteht während der Arbeit, nicht danach. Ein nachträglich rekonstruiertes Protokoll ist selbst ein Angriffspunkt.

Fazit: fünf Fragen an jede Beweiskette

1. Lässt sich jedes Beweismittel lückenlos bis zur Quelle zurückverfolgen?
2. Stimmen die Hashwerte bei Sicherung, Übergabe und Vorlage überein?
3. Ist jede Person, die Zugriff hatte, namentlich dokumentiert?
4. Ist jede Veränderung – Konvertierung, Filterung, Deduplizierung – begründet und festgehalten?
5. Könnte eine unabhängige Fachperson das Vorgehen wiederholen und zum selben Ergebnis kommen?

Wo eine dieser Fragen mit «Nein» beantwortet werden muss, liegt die Schwachstelle nicht im Inhalt, sondern im Weg. Die Beweiskette lässt sich nicht nachträglich herstellen. Sie entsteht mit dem ersten Handgriff – oder gar nicht.

Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung. Für die rechtliche Beurteilung Ihres Falls wenden Sie sich bitte an eine Anwaltskanzlei.

Quellen

[1] National Institute of Standards and Technology (NIST), OSAC Lexicon: Chain of Custody Records – https://www.nist.gov/glossary-term/20081

[2] Brezinski, D. / Killalea, T.: RFC 3227 – Guidelines for Evidence Collection and Archiving, IETF, 2002 – https://www.rfc-editor.org/rfc/rfc3227

[3] ISO/IEC 27037:2012 – Guidelines for identification, collection, acquisition and preservation of digital evidence – https://www.iso.org/standard/44381.html

[4] Association of Chief Police Officers (ACPO, heute National Police Chiefs’ Council): ACPO Good Practice Guide for Digital Evidence, Version 5, 2012

[5] EDRM (edrm.net): EDRM Collection Standards – https://edrm.net/resources/frameworks-and-standards/edrm-model/edrm-stages-standards/edrm-collection-standards/

[6] Schreiber, C. / Kettiger, D.: Elektronische Beweismittel – neue Herausforderungen, in: «Justice – Justiz – Giustizia» 2024/2 (Richterzeitung) – https://www.advo-schreiber.ch/dok/Schreiber_Kettiger_Richterzeitung_2024_2_el_Beweismittel.pdf

[7] Schweizerische Zivilprozessordnung (ZPO), SR 272 – https://www.fedlex.admin.ch/eli/cc/2010/262/de

[8] Schweizerische Strafprozessordnung (StPO), SR 312.0 – https://www.fedlex.admin.ch/eli/cc/2010/267/de

[9] U.S. Securities and Exchange Commission: Data Delivery Standards, Rev. 08/2026 – https://www.sec.gov/files/sec-dds-aug-2026.pdf

[10] U.S. Federal Trade Commission: Preparing Native Files (Bureau of Competition Production Guide) – https://www.ftc.gov/tips-advice/competition-guidance/bc-production-guide/preparing-collections/native-files

[11] Bundesgesetz über die Eidgenössische Finanzmarktaufsicht (FINMAG), SR 956.1 – https://www.fedlex.admin.ch/eli/cc/2008/736/de

Inhalte von edrm.net stehen unter der Lizenz Creative Commons Attribution 4.0 International.