Blockchain in der digitalen Forensik | IT-Medienrecht

Technik und Einsatzfelder: Was Blockchain in der Forensik tatsächlich leistet

Blockchain wird in der digitalen Forensik nicht als Allheilmittel eingesetzt, sondern als beweisstützende Infrastruktur. Sie bietet dabei verschiedene relevante Anwendungsfälle. Dazu gehören die Beweissicherung mit Zeitankern, Chain-of-Custody-Protokolle, Integritätsnachweise bei Auswertungskopien sowie Provenance-Register für Medien.

Der Beweiswert steigt erheblich, wenn kryptografische Hashes mit qualifizierten Vertrauensdiensten (Zeitstempel, Siegel) kombiniert und dabei Verfahrensstandards eingehalten werden. Allerdings gibt es auch Grenzen. Das Datenschutzrecht, prozessuale Anforderungen und die praktische Interoperabilität mit Behörden, Gerichten und Plattformen setzen hier klare Rahmen. Weitere Informationen zur Rolle von Blockchain finden Sie in unserem Blog.

Beweissicherung durch Hashing und Zeitanker

Digitale Spuren wie Festplatten-Images, Log-Exports, Chatverläufe, Audio-/Videodateien oder Speicherabbilder werden forensisch gesichert. Anschließend werden sie gehasht (z. B. mit SHA-256) und in einem unveränderlichen Register verankert.

Ein solcher „Zeitanker“ macht objektiv überprüfbar, dass eine bestimmte Datenmenge zu einem spezifischen Zeitpunkt in genau dieser Form existierte. Die Vertraulichkeit der Inhalte bleibt dabei gewahrt, da lediglich der Hash (und gegebenenfalls Metadaten wie Hash-Algorithmus und Dateigröße) offengelegt wird.

Chain of Custody bei digitalen Beweisen

Die lückenlose Dokumentation ist zentral. Sie erfasst, wer wann mit welchem Zweck und Werkzeug auf eine forensische Kopie zugegriffen hat. Eine erlaubnisbasierte Kette (Konsortial-Ledger) kann Änderungen am Vorgangsstatus, Übergaben und Prüfsummenwechsel protokollieren. Auch Freigaben (z. B. bei Neu-Hashing nach Konvertierung) werden hier festgehalten.

Aus Effizienz- und Vertraulichkeitsgründen erfolgt der eigentliche Datentransfer meist off-chain. On-chain liegen lediglich Nachweise wie Hashes, Zeitstempel, Prüfgenehmigungen und Rolleninformationen.

Integrität von Auswertungskopien

In Ermittlungen und Zivilverfahren werden selten Originale analysiert. Stattdessen kommen 1-zu-1-Kopien (Images) oder extrahierte Datenbanken zum Einsatz. Hash-Verifikationen vor und nach der Auswertung sichern, dass die Daten durch die Analyse nicht verfälscht werden.

Werden Zwischenstände erzeugt (z. B. Transkripte, decodierte Container, extrahierte Chats), erhalten diese jeweils eigene Hashes und Zeitanker. Dies gewährleistet, dass der gesamte Auswertungsweg transparent und nachvollziehbar ist.

Provenance-Register für Medien

Die Entstehungshistorie (Provenance) von Fotos, Videos und Audios lässt sich über signierte Manifeste (z. B. C2PA/Content Credentials) und Blockchain-Anker belegen. In forensischen Lagen dient dies weniger der „Wahrheitserkennung“, sondern vielmehr der Beweisbarkeit von Entstehung, Unverändertheit und Veröffentlichungszeitpunkt.

Für synthetische Medien, wie Deepfakes, können Provenance-Signale Falsifikate entlarven oder umgekehrt legitime Inhalte schützen.

Umgang mit flüchtigen und volatilen Daten

Flüchtige Daten wie RAM-Dumps, Telemetriedaten oder temporäre Cloud-Artefakte sind nur punktuell sicherbar. Hier hilft eine forensische Momentaufnahme (Snapshot), deren Hash sofort verankert wird.

Ergänzend werden Erhebungskontext, Tool-Versionen, Prüfschritte und Zugangslagen detailliert dokumentiert. Der Blockchain-Anker ersetzt dabei nicht die ordnungsgemäße Erhebung, sondern macht sie später überprüfbar.

Beweiswert und Verfahrensrecht: Vom Hash zur gerichtsfesten Aussage

Freie Beweiswürdigung und Beweismittel im digitalen Kontext

Nach der deutschen Zivilprozessordnung (ZPO) erfolgt die Beweiswürdigung grundsätzlich frei. Digitale Artefakte können je nach Aufbereitung als Urkundenbeweis (§§ 415 ff. ZPO), Augenschein (§§ 371 ff. ZPO) oder Sachverständigenbeweis (§§ 402 ff. ZPO) behandelt werden.

Ein bloßer Blockchain-Eintrag ist keine „Wahrheitsmaschine“, sondern ein Indiz. Er belegt die Integrität und Zeitlage eines Hashes, nicht aber automatisch die Authentizität des Inhalts oder die Rechtmäßigkeit seiner Erlangung. Die Verbindung aus forensischer Methodik (Dokumentation, Tool-Validierung, SOPs) und vertrauensdienstgestützten Nachweisen führt erst zu einer gerichtsfesten Aussage.

eIDAS-Vertrauensdienste als Beweishebel

Qualifizierte elektronische Zeitstempel und Siegel erhöhen die Glaubhaftigkeit digitaler Beweismittel. Ein qualifizierter Zeitstempel begründet die Vermutung, dass Daten zum angegebenen Zeitpunkt existierten und unverändert sind. Ein qualifiziertes elektronisches Siegel dokumentiert hingegen die Herkunft einer Organisation.

Mit eIDAS-2 wurde der Rahmen für qualifizierte elektronische Ledger konkretisiert. Datenaufzeichnungen in solchen Registern genießen die Vermutung einer korrekten, eindeutigen zeitlichen Reihenfolge und Integrität. Dies wandelt einen technischen Eintrag in einen rechtlich aufgeladenen Beweisbaustein um, der die Darlegungs- und Beweislast der Gegenseite faktisch erhöht. (Vgl. European Commission, EUR-Lex).

Admissibilität elektronischer Nachweise

Elektronische Signaturen dürfen in gerichtlichen Verfahren nicht allein aufgrund ihrer elektronischen Form zurückgewiesen werden. Qualifizierte elektronische Signaturen stehen der handschriftlichen Unterschrift rechtlich gleich.

Für forensische Protokolle bedeutet dies: Werden Prüfschritte, Hashes und Übergaben elektronisch signiert oder gesiegelt, steigt ihre prozessuale Robustheit. Es ist wichtig, dass die Signaturkette (Zertifikate, Sperrlisten, Zeitstempel) nachvollziehbar ist und die Schlüsselverwaltung sowie -rotation dokumentiert werden. (Vgl. European Commission).

Blockchain in Strafverfahren und eEvidence

Im strafrechtlichen Kontext kommen zusätzliche Regeln für Beschlagnahme, Sicherung und Herausgabe hinzu. Die grenzüberschreitende eEvidence-Verordnung (EU) 2023/1543 schafft Produktions- und Sicherungsanordnungen für elektronische Beweise.

Blockchain-Anker ändern die Eingriffsvoraussetzungen nicht. Sie erleichtern jedoch die internationale Verwertbarkeit durch überprüfbare Integritäts- und Zeitangaben. Bei Cloud-Daten senkt ein sauberer Chain-of-Custody-Pfad das Risiko von Verwertungswidersprüchen und Konflikten um Beweismittelspuren. (Vgl. EUR-Lex).

Grenzen des Blockchain-Beweiswerts

Ein Hash beweist nicht, welcher Inhalt vorlag, wenn der ursprüngliche Datenträger unzugänglich bleibt. Er belegt lediglich die Übereinstimmung zwischen zwei Datenständen. Der Beweiswert entsteht erst durch eine Kombination mehrerer Faktoren:

• Nachvollziehbare Erhebung der Daten.
• Dokumentierte Tool-Kette.
• Nachvollziehbare Hashing-Parameter.
• Zeitnahe Anker (innerhalb weniger Minuten/Stunden).
• Signaturen und Siegel.
• Sachverständige Einordnung.

Ohne diese Bausteine bleibt die Beweiskette angreifbar.

Datenschutz und Compliance: Hashes, Pseudonymisierung und Zweckbindung

Hashwerte als personenbezogene Daten

Hashes gelten häufig als „pseudonymisiert“, nicht als anonymisiert. Ob ein Hash personenbezogen ist, hängt maßgeblich von der Identifizierbarkeit ab. Verweist ein Hash auf einen konkreten Datensatz mit Personenbezug oder ist er über Zusatzwissen re-identifizierbar, bleibt er personenbezogen.

Europäische Leitlinien stellen klar, dass Pseudonymisierung weiterhin unter die DSGVO fällt; Hashing ist kein Garant für Anonymität. Praktisch bedeutet das: Rechtsgrundlage (Art. 6 DSGVO) und – bei sensiblen Inhalten – eine Art. 9-Prüfung sind erforderlich. Speicherbegrenzung, Zweckbindung und Betroffenenrechte gelten fort. (Vgl. EDPB, European Commission).

Rechtsgrundlagen und Interessenabwägungen

• Erfüllung rechtlicher Pflichten (z. B. § 257 HGB, § 147 AO für Geschäftsdokumente, flankiert durch interne Ermittlungen)
• Berechtigte Interessen (Aufklärung von Sicherheitsvorfällen, IP-Schutz, Litigation Hold)
• Im Beschäftigungskontext: § 26 BDSG

Die Abwägung muss die Schwere des Vorfalls, die Eingriffsintensität, technische Schutzmaßnahmen (Zugriffskontrolle, Verschlüsselung, Datensparsamkeit) und Transparenz berücksichtigen. In Hochrisiko-Szenarien ist eine Datenschutz-Folgenabschätzung sinnvoll.

Zweckbindung und Datenretention

Die Blockchain verleitet dazu, Daten „für immer“ zu speichern. Forensisch sinnvoll ist das jedoch nicht. On-chain sollten nur minimal notwendige Nachweise liegen, wie Hashes, Zeitstempel, Signaturen/Siegel und Rollenmetadaten.

Off-chain-Daten unterliegen klaren Aufbewahrungs- und Löschkonzepten. Für Hash-Anker empfiehlt sich ein Retention-Mapping: Wie lange ist der Nachweis erforderlich (z. B. bis zum Verjährungsende)? Welche Revoke- oder „Tombstone“-Mechanismen existieren? In Konsortial-Registern sind Governance-Regeln nötig, um veraltete oder fehlerhafte Einträge kenntlich zu machen.

Betroffenenrechte: Auskunft und Löschung

Betroffene können Auskunft über verarbeitete personenbezogene Daten verlangen. Bei Hash-Ankern lässt sich off-chain der Bezug herstellen und beauskunften. Der on-chain-Hash selbst ist grundsätzlich nicht löschbar.

Dies ist zulässig, wenn der Hash ohne Zusatzinformationen keine Identifikation zulässt und die off-chain-Daten nach Ende des Zwecks gelöscht werden. In Fällen, in denen der Hash eindeutig auf eine Person referenziert (z. B. Hash eines eindeutigen personenbezogenen Dokuments), ist sorgfältig zu prüfen, ob man statt „unlöschbar“ besser widerrufbare Nachweise nutzt (z. B. off-chain-Register mit qualifiziertem Zeitstempel). Die Leitlinie hierbei ist der Datenschutz durch Technikgestaltung (Art. 25 DSGVO).

Transparenz versus Geheimnisschutz

In Untersuchungen treffen Datenschutz und Geschäftsgeheimnisse aufeinander. Die Transparenz gegenüber Betroffenen muss mit dem Schutz sensibler Ermittlungsdetails austariert werden.

Möglich sind gestufte Hinweise (allgemeine Incident-Policies, spezifische Information nach Abschluss der Sicherung), dokumentierte Interessenabwägungen und Einschränkungen, soweit gesetzlich zulässig (z. B. zur Wahrung von Ermittlungszwecken).

Implementierung und Verträge: So wird die Kette belastbar

Governance und Standardarbeitsanweisungen (SOPs)

Um die Belastbarkeit der Kette zu gewährleisten, müssen klare Verantwortlichkeiten definiert werden:

• Wer sichert, wer hasht, wer verankert, wer signiert, wer verifiziert?
• Rollen müssen sauber getrennt werden (Vier-Augen-Prinzip).
• Schlüssel sollten in Hardware Security Modulen (HSM) verwaltet werden.
• Notfall-Key-Rotation muss geübt und Sperrlisten gepflegt werden.
• Tool-Versionen, Hash-Algorithmen und Parametrisierung sind zu dokumentieren; Änderungen müssen versioniert werden.

Für externe Dienstleister sind klare Service Level Agreements (SLAs) erforderlich. Diese umfassen Reaktionszeiten, Audit-Rechte, Geheimhaltungspflichten und Beweisführungspflichten.

Technische Architektur für Blockchain-Beweissicherung

On-chain sollten ausschließlich Nachweise gespeichert werden. Die eigentlichen Inhalte verbleiben in beweissicheren, verschlüsselten Repositories (WORM-Speicher, Audit-Logs, Zugriffskontrolle).

Für den Zeitanker ist die Nutzung qualifizierter Zeitstempel pro Hash empfehlenswert. Optional kann zusätzlich ein Eintrag in ein qualifiziertes elektronisches Ledger erfolgen. Für den Nachweis der Organisationsherkunft bieten sich qualifizierte elektronische Siegel an. Verifikations-Frontends sollten für interne Juristen, Dritte (z. B. forensische Gegengutachter) und, wo sinnvoll, Gerichte bereitgestellt werden.

Wichtige Vertragsklauseln

Bei der Zusammenarbeit mit externen Forensik-Dienstleistern und Cloud-Providern sind spezifische Vertragsklauseln unerlässlich:

• Regelungen zu Eigentum und Zugriff auf Beweise/Artefakte, Herausgabepflichten und Exportformate.
• Pflicht zu Hash-/Zeitstempel-Pipelines, Dokumentationsstandards (ISO/IEC-Anlehnung) und Nachweispflichten für Tool-Integrität.
• Bestimmungen zu Vertraulichkeit, Schutz von Geschäftsgeheimnissen, DSGVO-Rollen (Auftragsverarbeitung, gemeinsame Verantwortliche) und Subprozessorketten.
• Beweislast- und Mitwirkungsklauseln für Verfahren (ZPO/StPO), inklusive Sachverständigenunterstützung.

Eine sorgfältige Vertragsgestaltung mit Dienstleistern ist hierbei essenziell, um Verantwortlichkeiten und Standards klar zu definieren.

Interoperabilität und internationale Zusammenarbeit

In grenzüberschreitenden Fällen muss die Kette international anschlussfähig sein. eIDAS-konforme Zeitstempel und Siegel werden EU-weit anerkannt. Qualifizierte elektronische Ledger bieten zudem eine einheitliche Vermutungsgrundlage.

In Drittstaatenverfahren können neutrale, öffentliche Zeitanker zusätzlich hilfreich sein. Für die Zusammenarbeit mit Behörden sind klare Übergaberoutinen zu etablieren, die auch eine Hash-Verifikation beim Empfang umfassen.

Grenzen und Fehlannahmen: Wogegen Blockchain nicht hilft

Mythos 1: „Blockchain macht alles wahr.“

Nein. Die Integrität eines Hashes sagt nichts über die Wahrhaftigkeit des Inhalts, die Authentizität des Erstellers oder die Rechtmäßigkeit der Datenerhebung aus. Diese Fragen bleiben beweis- und materiellrechtlich zu klären.

Mythos 2: „On-chain bedeutet Anonymität.“

Falsch. Hashes können personenbezogen sein, insbesondere wenn sie eindeutig einem Datensatz zugeordnet werden können oder über Zusatzwissen re-identifizierbar sind. Pseudonymisierung bleibt eine personenbezogene Datenverarbeitung und ist somit an die DSGVO gebunden. (Vgl. EDPB, European Commission).

Mythos 3: „Public Chain hat immer höheren Beweiswert.“

Nicht zwingend. Entscheidend sind die Zeit, die Integrität und die Identität der Daten sowie die Anschlussfähigkeit an Rechtsvermutungen. Ein qualifiziertes elektronisches Ledger in der EU kann – je nach Implementierung – stärkere gesetzliche Vermutungen auslösen als ein beliebiges öffentliches Ledger ohne Vertrauensdienststatus. (Vgl. EUR-Lex).

Mythos 4: „Alles muss für immer gespeichert werden.“

Unnötig und riskant. Forensisch genügt es, die Nachweise dauerhaft zu sichern und die Inhalte zweckgebunden zu verwahren oder zu löschen. Dies senkt Datenschutzrisiken und reduziert gleichzeitig Angriffsflächen.

Fazit

Blockchain ist in der digitalen Forensik ein Nachweis-Werkzeug, kein Wahrheitsgenerator. In Verbindung mit qualifizierten Zeitstempeln, elektronischen Siegeln und – wo passend – qualifizierten elektronischen Ledgern entsteht eine robuste Beweiskette. Diese belegt Integrität und Chronologie und ist in Europa rechtlich anschlussfähig.

Wer Datenschutz von Beginn an einplant (minimale on-chain-Daten, klare Retention, Betroffenenrechte) und die klassischen Forensik-Grundsätze sauber abarbeitet, schafft Verfahren, die in Ermittlungen und Zivilprozessen belastbar sind – auch grenzüberschreitend.