Es ist eine klassische Szene aus einer Krimiserie: Eine Leiche wird von einem Spaziergänger in einem abgelegenen Waldstück gefunden. Hier hat sich ein Mord zugetragen. Schnitt. Die nächste Szene zeigt Ermittler in weißen Schutzanzügen, Scheinwerfer werden aufgebaut. Eine Polizistin findet im Gestrüpp das in der Mitte durchgebrochene Mobiltelefon des Opfers und hält es triumphierend in die Kamera. Ein wichtiges Beweisstück. Im Film wird das Gerät nun im Labor unter die Lupe genommen, und eine Gruppe hartgesottener Kriminalisten steht vor einer Vielzahl von blinkenden Bildschirmen und hält nach Hinweisen in verwackelten Handyfotos Ausschau oder durchkämmt die Nachrichten des Opfers.

Doch wie nahe ist die Darstellung einer solchen Ermittlung an der Realität, und kann man Morde nur mit Daten aufklären? Die Antwort auf die letzte Frage ist Ja, aber ein Mobiltelefon ist dabei nicht zwingend nötig, denn jeder hinterlässt digitale Spuren, und zwar mehr als gedacht.

Digitale Tatortarbeit ist mittlerweile Standard

Doch wie gehen Ermittler in der Realität vor, was ist der erste Ansatz? Das ist gar nicht so leicht zu sagen, denn die digitale Tatortarbeit ist mittlerweile genauso wichtig wie die "klassische" Spurensicherung vor Ort, und die beiden Bereiche voneinander zu trennen ist eigentlich nicht mehr möglich, heißt es aus dem Innenministerium.

Geht es um digitale Spurensicherung, dann ist oft das Cyber Crime Competence Center, kurz C4, im Bundeskriminalamt damit befasst. Die Ermittler dieser Einheit stellen unter anderem elektronisches Beweismaterial sicher und werten dieses aus. Schon beim ersten Punkt, der Sicherstellung, wird akribisch vorgegangen.

So wird die Lage am Tatort inklusive der elektronischen Geräte zuerst fotografiert. Anschließend wird die Stromversorgung eventueller Datenträger sichergestellt – an einem Handy mit leerem Akku lässt sich einerseits schwer ermitteln, andererseits kann so verhindert werden, dass die Geräte neu gestartet werden müssen und dabei eventuell Daten verloren gehen oder ein Laptop ohne Passwort erst gar nicht hochgefahren werden kann. Anschließend erstellen die Ermittler ein genaue 1:1-Kopie der Daten, und nur an dieser wird weitergearbeitet. Damit wird verhindert, dass die Daten während der Ermittlungsarbeit verändert oder unbrauchbar werden.

"Freilich gibt es heutzutage fast keinen Vorfall mehr, wo es keine IT-Komponente gibt, was natürlich die Wichtigkeit dieser Leistung immer deutlicher unterstreicht", erklärt Paul Eidenberger vom Criminal Intelligence Service, dem Büro für Kriminaltechnik im Bundeskriminalamt. Das Bild vom Kriminalisten, der sich mit Hoodie bekleidet vor dem PC in andere Systeme hackt, gehört aber in die Filmwelt, allein schon, weil es keine gesetzliche Befugnis für derartige Ermittlungstätigkeiten gibt.

Die erste Spur: Die Funkzellendaten

Bleiben wir bei der eingangs erwähnten Szene aus dem Krimiserie. Schon die Rufnummer des Opfers hilft den Ermittlern weiter. Damit können die Kriminalisten ein erstes grobes Bewegungsprofil erstellen und so die letzten Stunden im Leben des Mordopfers rekonstruieren. Das ist möglich, weil sich das Mobiltelefon automatisch in Funkzellen einwählt, um im Netz zu bleiben. Vereinfacht gesagt, verbindet sich das Handy immer wieder neu mit der nächsten Sendeanlage, aus dieser "Spur" können sich ganze Bewegungsabläufe einer Person rekonstruieren lassen. So kann etwa die Frage beantwortet werden, ob ein Verdächtiger zum Tatzeitpunkt in der Nähe des Tatorts war. Damit kann im städtischen Gebiet unter Idealbedingungen die Position eines Handys auf 500 Meter genau bestimmt werden. Auf dem Land ist das Netz weitmaschiger: Hier kann der Positionsradius eines Handys auf bis zu zehn Kilometer anwachsen. Ein wasserdichter gerichtlicher Beweis ist die Handyortung also nicht, aber sie kann zumindest Indizien liefern.

Viel genauer lässt sich die Position freilich bestimmen, wenn die Ermittler einmal das Mobiltelefon entsperrt haben. Nicht nur lassen sich über Ortungsdienste und Navigationssysteme Bewegungen nachvollziehen. Theoretisch wäre es sogar denkbar, dass die Bluetooth-Funktion des Mobiltelefons eine Spur hinterlässt, wenn es sich automatisch mit mehreren Geräten verbindet.

Ist das Smartphone einmal entsperrt

Ein Mobiltelefon gegen den Willen eines Verdächtigen zu entsperren ist noch einmal eine ganz eigene Herausforderung. Hierfür gibt es diverse kommerzielle Lösungen, welche davon in Österreich zum Einsatz kommen, ist ein wohl gehütetes Geheimnis. Man ist übrigens nicht verpflichtet, den Ermittlern den Entsperrcode des Mobiltelefons mitzuteilen.

Aber oft müssen diese Programme zum Knacken von Handys gar nicht erst zum Einsatz kommen – Gesichtserkennung und Fingerabdrucksensor machen es möglich. So reicht es schon, einem Verdächtigen das Smartphone vor das Gesicht zu halten. Der Legende zufolge hat die Wirtschafts- und Korruptionsstaatsanwaltschaft so Zugriff auf das Smartphone von Heinz-Christian Strache erlangt. "Haben die Ermittler erst einmal Zugriff auf das Handy, dann gibt es eigentlich keine Grenzen mehr, da gibt es eine Vielzahl an Spuren", erklärt Edgar Weippl, Professor für Sicherheit und Datenschutz an der Universität Wien. Das Problem ist hier eher, aus der Datenmenge an Chatnachrichten, Mails, Telefonaten und dem Surfverhalten von Opfer oder Verdächtigem relevante Information auszusieben.

Aber bei den Kriminalisten gilt: Jede Spur ist wertvoll. "Je mehr Informationen, desto besser, schneller, effizienter und erfolgversprechender ist ein Ermittlungsverfahren. Je nach Art des Falls können die erfassten Daten Rückschlüsse auf Tatverdächtige, Tätergruppen oder sonstige Tatbeteiligte geben", erklärt Eidenberger.

In einer Rückblende unseres Krimis wird gezeigt, wie der noch gesichtslose Täter nach der begangenen Tat effektvoll das Handy seines Opfers in der Mitte durchbricht und in den Wald schleudert, um so eine Auswertung zu verhindern. Das ist Unsinn: "Das bringt gar nichts, weil sie dabei nicht die Speicherchips zerstören", sagt Weippl.

Autos sind ganz große Datensammler

In der Nähe des Tatorts, abgestellt auf einem entlegenen Forstweg, wird schließlich das Auto des Opfers gefunden. Im Film ist das ein Hinweis, der den Ermittlern zum Durchbruch verhilft, aber auch im echten Leben hält die Elektronik von Autos eine wahren Datenschatz für die Polizistinnen und Polizisten bereit – sie sammeln nämlich deutlich mehr Daten, als vielen Autofahrerinnen und Autofahrern bewusst sein dürfte. Egal ob man das Gaspedal durchtritt, den Blinker einschaltet oder die Heizung wärmer stellt – vieles wird aufgezeichnet und gespeichert.

Diese Daten sind auch für Mordermittler Gold wert, können sie doch Aufschluss über das Fahrverhalten eines Täters und so Indizien über dessen Identität geben. Wie wird das Gaspedal gedrückt? Handelt es sich um einen notorischen Nichtblinker? Wird die Bremse sanft oder ruckartig betätigt? Aus all diesen Werten kann sich ein Gesamtbild ergeben, das im Idealfall zum Täter führt. Aber das ist längst nicht alles, wie Uni-Professor Weippl weiß. "Die Einstellung elektrisch verstellbarer Sitze kann Hinweise auf den Körperbau des Täters liefern." Aber auch die Position eines Autos zu verstecken, wird immer schwieriger, denn selbst ohne eingeschaltetes Navi ist es darüber hinaus möglich, die Aufenthaltsdaten von Fahrzeugen zu ermitteln, erklärt der Experte.

Doch an all diese Daten zu kommen, ist nicht immer einfach, schließlich haben Autohersteller wenig Interesse daran Zugriff auf ihre geheimsten Systeme zu gewähren. "Derartige forensische Analysen sind immer sehr spezifisch, und meist ist eine eigene Software des Herstellers nötig, da kommt es sehr auf die Zusammenarbeit an. Das dürfte bei Kapitalverbrechen ganz gut funktionieren, wird aber sicher nicht bei jedem Handtaschendiebstahl gemacht. Aber: Fahrzeuge sind ganz große Datensammler", sagt Weippl.

Die magischen Fototricks

Zurück zum Film: Auf dem Handy finden Forensikerinnen und Forensiker ein wackeliges Handyfoto, das im Dunkeln in aller Eile aufgenommen wurde. Das Opfer hat es also noch geschafft, den Mörder zu fotografieren. Die Aufnahme ist aber von geringer Qualität: Sie wurde nachts offenbar während einer körperlichen Auseinandersetzung gemacht. Aber: Ein Teil des Gesichts des Täters ist erkennbar. Im Film würde jetzt der Nerd in der Ermittlergruppe mit einem magischen Programm das Bild vergrößern und schärfen, bis der Täter eindeutig identifizierbar ist.

Das ist in der Realität nicht möglich, denn jeder Bildpunkt stellt eine Information dar. Ist keine Information vorhanden, weil die Auflösung der Kamera nicht reicht, dann ist es nicht möglich, diese mit einer Software herzustellen. Das Tool aus Serien wie "CSI" bleibt magisch. Auch KI-Systeme sind für Mordermittlungen unbrauchbar: "Information, die nicht da ist, kann auch eine künstliche Intelligenz nicht erschaffen", erklärt Weippl.

OSINT wird immer wichtiger

Was aber in der Realität bei Ermittlungen immer mehr Bedeutung gewinnt, ist nicht die künstliche, sondern die Schwarmintelligenz. Nehmen wir an, auf dem erwähnten Foto ist im Hintergrund die Ecke einer Plakatwand zu erkennen, darauf eine Werbung für einen Kinofilm. Das wirkt auf den ersten Blick nicht wie ein Ansatz, für einen Hollywood-Blockbuster werden tausende identische Werbewände tapeziert. Die Ermittler veröffentlichen das Bild dennoch, und schon bald meldet sich ein Zeuge: Ja, genau das Plakat hängt in seiner Straße.

Den Hinweis lieferte die Tatsache, dass das Plakat ein wenig schief aufgeklebt war. Unrealistisch? Nein. Open Source Intelligence heißt das Zauberwort. Ganze Internetcommunitys haben es sich zur Aufgabe gemacht, Orte zu finden, an denen Bilder gemacht wurden. Dies geschieht anhand der kleinsten Details: Wie ist der Schattenwurf am Fenster? Welche Gebäude sind im Hintergrund zu sehen? Welche Tapete hängt in der Wohnung, und welches Preispickerl klebt noch am Kochlöffel in der Küche?

Diese Schwarmintelligenz führte beispielsweise zur Ergreifung des Kanadiers Luca M., der einen chinesischen Studenten ermordet hatte und nach Deutschland geflohen war. Zuvor postete M. Videos, in denen er Katzen tötete – das rief eine engagierte Online-Community auf den Plan, die es schaffte, anhand kleinster Details den Mörder zu überführen. Dieser Fall wurde sogar in der Netflix-Doku "Don’t f*** with Cats" verewigt.

Schwarmintelligenz für Europol

Schwarmintelligenz machen sich mittlerweile auch die Ermittler von Europol zunutze. Sie veröffentlichen regelmäßig Objekte, die im Hintergrund von kinderpornografischem Material zu sehen sind. Anhand auffälliger Muster auf T-Shirts, Tapeten oder Aufnähern auf Kappen oder Hauben bitten die Ermittler um die Schwarmintelligenz der Community und hoffen, so die Täter zu überführen.

In unserer zugegeben recht einfachen Krimi-Episode führen die digitale Forensik und schließlich das Wissen der Community zum entscheidenden Hinweis auf den Aufenthaltsort des Täters – seine Spur an Daten hat maßgeblich dazu beigetragen, ihn zu verraten. Am Ende bleibt die Frage: Ist es überhaupt möglich, keine digitale Spur zu hinterlassen? Nein, sind sich sowohl der Kriminalist als auch der Uniprofessor sicher. (Peter Zellinger, 15.12.2022)