Jegliche Information mit Beweiswert, die in binärer oder elektronischer Form erzeugt, gespeichert, übertragen oder empfangen wird, einschließlich Dateien, Dateisystem‑Artefakte, Logs, Metadaten, Netzwerkmitschnitte, Cloud‑Daten, Mobilgeräte‑Artefakte, Anwendungsdaten und Zeitstempel, die für Ermittlungen oder ein Verfahren erhoben werden können.

Prinzip

Wahrung von Integrität, Authentizität und Kontext durch validierte Erfassungsmethoden, Hashing, sichere Aufbewahrung und umfassende Dokumentation, sodass ursprüngliche Bedeutungen und Zusammenhänge reproduzierbar und gerichtlich verwertbar bleiben.

Demonstration

Ein forensischer Ermittler verwendet einen Schreibblocker, um ein Abbild der Festplatte eines Verdächtigen zu erstellen, berechnet kryptografische Hashes des Abbilds und wichtiger Dateien, extrahiert E‑Mail‑Header und Browserverlauf mit Zeitstempeln und korreliert diese mit Netzwerklogs, um eine Chronologie zu erstellen.

Fehlanwendung

Das Behandeln von Screenshots oder gedruckten Kopien ohne Provenienz als gleichwertig mit Originalartefakten, das Verändern von Zeitstempeln bei Konvertierungen oder das Unterlassen der Sicherung von Metadaten und Kontextlogs, die für die Interpretation erforderlich sind.

Konsequenz

Richtig gehandhabt kann digitale Evidenz Zeitabläufe belegen, Akteure mit Handlungen verknüpfen, Aussagen untermauern und von anderen Gutachtern unabhängig nachanalysiert werden dank intakter Provenienz und reproduzierbarer Methoden.

Umkehrung

Werden digitale Objekte als generische Informationen ohne Wahrung technischer Eigenschaften oder Provenienz behandelt, gehen kritische Merkmale (Zeitstempel, Metadaten, Hash‑Integrität) verloren, was zu Fehlinterpretationen oder Ausschluss in Verfahren führen kann.

Abgrenzung

Beinhaltet elektronisch gespeicherte Informationen mit potenziellem Beweiswert; schließt ausschließlich abgeleitete Zusammenfassungen ohne dokumentierte Zuordnung zu den Originalen, nicht‑digitale Hörensagen oder Material ohne nachweisbare Provenienz aus.

Semantische Spannung

Es besteht eine Spannung zwischen ‚digitalen Daten‘ als neutraler Information und ‚digitaler Evidenz‘ als datenbasiertem Beweismittel; die Einordnung hängt von Kontext, Relevanz und dokumentierter Provenienz ab.

Synthese

Digitale Beweismittel sind elektronische Artefakte mit probativem Potenzial, deren Wert von der Erhaltung technischer Eigenschaften, des Kontexts und der nachweisbaren Herkunft abhängt, sodass sie reproduzierbar und verwertbar bleiben.