IT-Strafrecht, Cybercrime und digitale Beweismittel.
Ich bin Fachanwalt für Strafrecht und Fachanwalt für IT-Recht. Ich verteidige in Verfahren, in denen digitale Abläufe, technische Systeme und Datenstrukturen den Kern des Vorwurfs bilden. Beide Fachanwaltstitel zugleich führen bundesweit nur wenige Verteidiger.
Digitale Ermittlungen als Ausgangspunkt.
Strafverfahren mit IT-Bezug beginnen mit Daten und deren Sicherstellung. Datenträger werden gespiegelt, Netzwerke analysiert, Kommunikationsvorgänge rekonstruiert. Die Ermittlungsbehörden setzen dafür EnCase, X-Ways Forensics oder Cellebrite ein, teils auch Silent SMS und Überwachungssoftware.
Diese Werkzeuge erzeugen Spuren. Ob daraus belastbare Ergebnisse werden, ist eine andere Frage. So folgen etwa Zeitstempel der Systemzeit des jeweiligen Geräts, nicht der Wirklichkeit. Eine Datei im Benutzerverzeichnis sagt nichts darüber, wer sie dort gespeichert hat. Protokolleinträge lassen sich lesen, aber ihre Deutung ist selten eindeutig.
Ich prüfe, ob die Auswertung methodisch nachvollziehbar ist und ob die Beweiskette lückenlos dokumentiert wurde. Wo das nicht der Fall ist, ist die digitale Beweislage angreifbar.
Rechtliche Bewertung von IT-Straftaten.
Das IT-Strafrecht verteilt sich über mehrere Vorschriften, unter anderem die §§ 202a bis 202c, 303a und 303b sowie § 263a StGB. Diese Normen sind technologieoffen formuliert. Was ein unbefugter Zugang ist, was als Datenveränderung gilt, entscheidet sich am technischen Sachverhalt.
Hier liegt die eigentliche Arbeit: den technischen Vorgang so genau zu erfassen, dass sich die rechtliche Bewertung darauf stützen lässt. Wer beides trennt, verliert.
Forschung und Forensik.
Ich stehe im fachlichen Austausch mit dem Nationalen Forschungszentrum für angewandte Cybersicherheit ATHENE und dem Fraunhofer-Institut für Sichere Informationstechnologie SIT. Aus diesem Austausch fließen Erkenntnisse zu Angriffstechniken, Sicherheitsarchitekturen und forensischen Standards in meine Verteidigungsarbeit ein.
Verfahren, die ich bearbeite.
Meine Mandate reichen von Ermittlungsverfahren wegen Straftaten im Internet bis zu Verfahren mit erheblicher wirtschaftlicher Tragweite. Cyberangriffe auf Unternehmen gehören dazu, DDoS-Attacken über Botnetze, Datendiebstahl und Ermittlungen im Darknet. Cyberkriminalität gegen Unternehmen bringt regelmäßig eine zweite Ebene mit: Neben dem Strafverfahren stehen Fragen der Haftung und der internen Aufklärung.
Ein eigener Schwerpunkt sind Verfahren um EncroChat, Sky ECC und ANOM und grenzübergreifende Verfahren mit Mandanten aus dem In- und Ausland, die in aller Regel von den zuständigen Generalstaatsanwaltschaften geführt werden. Ob die im Ausland erhobenen Daten in einem deutschen Strafverfahren verwertet werden dürfen, ist nach wie vor umstritten. Entscheidend sind Herkunft der Daten, Art ihrer Sicherung und die Rechtsgrundlage der Erhebung.
Internationale Dimension des Cyberstrafrechts.
Cyberdelikte überschreiten Grenzen. Daten werden in einem Land erhoben, in einem zweiten übertragen und in einem dritten ausgewertet. Für die Verteidigung ist entscheidend, nach welchem Recht und mit welcher Methode das geschah. Weichen die ausländischen Standards von den deutschen ab, entstehen Angriffspunkte, die in der Akte oft nicht auf den ersten Blick sichtbar sind.
Wie ich arbeite.
Am Anfang steht die Akteneinsicht. Ohne den vollständigen Akteninhalt lässt sich nicht beurteilen, worauf der Vorwurf technisch beruht, und ohne diese Beurteilung ist jede Verteidigungsstrategie Spekulation.
Bei digitalen Beweismitteln prüfe ich zuerst die Erhebung: Welche Datenträger wurden sichergestellt, wann wurden sie gespiegelt, mit welchem Werkzeug, und ist der Hashwert der Kopie dokumentiert? Fehlt diese Dokumentation oder weicht sie ab, steht die Authentizität der ausgewerteten Daten in Frage, bevor es überhaupt um deren Inhalt geht.
Danach folgt die Auswertung selbst. Forensische Software erzeugt Berichte, die nach Eindeutigkeit aussehen. Tatsächlich beruhen sie auf Annahmen, die im Bericht nicht sichtbar sind: Zeitstempel folgen der Systemzeit des jeweiligen Geräts und können abweichen, gelöschte Daten werden aus Fragmenten rekonstruiert, und die Zuordnung einer Datei zu einem Benutzerkonto sagt nichts darüber, wer an der Tastatur saß. Ich prüfe, welche dieser Annahmen die Ermittler getroffen haben und ob sie im konkreten Fall zutreffen können.
Die dritte Ebene ist die rechtliche. Ausländische Daten unterliegen anderen Erhebungsstandards als deutsche. Ob sie hier verwertet werden dürfen, hängt von der Rechtsgrundlage der Erhebung ab, von der Frage, ob deutsche Stellen an ihr mitgewirkt haben, und davon, ob die Erhebung überhaupt nachvollziehbar dokumentiert ist. Diese Prüfung führt in umfangreichen Verfahren regelmäßig zu Ansatzpunkten, die aus der Akte nicht ohne Weiteres hervorgehen.
Wo die technische Prüfung an ihre Grenzen stößt, ziehe ich Sachverständige hinzu. Die Einschätzung, ob ein Gutachten erforderlich ist und welche Fragestellung es beantworten muss, gehört zur Verteidigung und nicht zum Gutachten selbst.