Durchsuchung, Kopieren und Beschlagnahme bei informationstechnischen Systemen

Assist. Prof. Dr. Murat Volkan Dülger¹

Heute gibt es kaum noch eine Tat – sei es ein Computerdelikt, sei es eine klassische Straftat –, bei der keine informationstechnischen Systeme verwendet werden oder bei der die Spuren der Tat nicht über informationstechnische Systeme verfolgt werden. Die Ermittlung von Tat und Täter erfordert jedoch eine wissenschaftliche Herangehensweise und eine rechtliche Infrastruktur. In unserem Land ist diese Infrastruktur mit Art. 134 der türkischen Strafprozessordnung Nr. 5271 (CMK) geschaffen worden. In unserem Beitrag wird über die mit dieser wichtigen Gesetzesvorschrift getroffene Regelung informiert².

1. Gesetzliche Grundlage

Wird eine Straftat gegen informationstechnische Systeme oder unter Verwendung informationstechnischer Systeme begangen, so gehört die Untersuchung des betreffenden Systems zu den wichtigsten Maßnahmen, die zu treffen sind. Dieses System kann dem Täter, aber auch dem Opfer oder einem Dritten gehören. Diese Durchsuchung muss jedoch – ebenso wie Durchsuchungen in der Wohnung oder in Geschäftsräumen – auf der Grundlage einer gesetzlichen Norm erfolgen; denn es handelt sich um eine Maßnahme, die Grundrechte und Grundfreiheiten einschränkt. Andernfalls sind willkürliche und rechtswidrige Praktiken unvermeidlich. Dies würde zum einen die Erforschung der materiellen Wahrheit beeinträchtigen; zum anderen wären die erlangten Beweise, selbst wenn sie die Wahrheit wiedergeben, wegen ihrer rechtswidrigen Erlangung verbotene Beweise und könnten weder im Ermittlungsverfahren noch im gerichtlichen Verfahren verwertet werden. Aus eben diesen Gründen ist in Art. 134 CMK Nr. 5271 unter der Überschrift „Durchsuchung, Kopieren und Beschlagnahme bei Computern, Computerprogrammen und Computerdateien“ das Verfahren der Beweiserhebung in informationstechnischen Systemen geregelt worden. Darüber hinaus enthält auch Art. 17 der Verordnung über gerichtliche und präventive Durchsuchungen (Adli ve Önleme Aramaları Yönetmeliği) eine Regelung unter derselben Überschrift wie die Gesetzesvorschrift. Von einigen wenigen Formulierungen abgesehen, wird in der Verordnung jedoch Art. 134 CMK wörtlich wiederholt.

2. Vorliegen auf konkrete Beweise gestützter dringender Verdachtsgründe

In Art. 134 Abs. 1 CMK heißt es: „Liegen in einem wegen einer Straftat geführten Ermittlungsverfahren auf konkrete Beweise gestützte dringende Verdachtsgründe vor und besteht keine anderweitige Möglichkeit der Beweiserlangung, so ordnet der Richter auf Antrag des Staatsanwalts an, dass der vom Beschuldigten benutzte Computer, die Computerprogramme und die Computerdateien durchsucht, von den Computeraufzeichnungen Kopien angefertigt und diese Aufzeichnungen entschlüsselt und in Textform gebracht werden.“

In der Vorschrift wird ausdrücklich die Formulierung „vom Beschuldigten benutzt“ verwendet; denn das informationstechnische System, das durchsucht und kopiert werden soll, muss nicht dem Beschuldigten gehören. Für die Anwendung dieser Maßnahme genügt es, dass der Beschuldigte bei der Tatbegehung einen Computer benutzt hat, dessen Eigentümer er ist, den er gemietet oder geliehen hat oder der zur gemeinsamen Nutzung offensteht. Um an Beweise zu gelangen, reicht es jedoch nicht aus, allein das vom Täter benutzte informationstechnische System zu durchsuchen. In manchen Fällen kann es erforderlich sein, diese Maßnahme neben dem vom Täter benutzten System auch auf die informationstechnischen Systeme der betreffenden Personen, ja sogar ausschließlich auf diejenigen Dritter anzuwenden. Dass das Gesetz diese Konstellation nicht geregelt hat, ist unseres Erachtens ein erheblicher Mangel, der durch eine entsprechende Regelung behoben werden sollte.

Voraussetzung dafür, dass in informationstechnischen Systemen zur Beweiserlangung ermittelt werden darf, sind zunächst „das Vorliegen auf konkrete Beweise gestützter dringender Verdachtsgründe“ und „das Fehlen einer anderweitigen Möglichkeit der Beweiserlangung“. Die Voraussetzung des Vorliegens auf konkrete Beweise gestützter dringender Verdachtsgründe war in der ursprünglichen Fassung dieser Vorschrift nicht enthalten. Diese Formulierung ist durch die Änderung des Art. 134 CMK in die Vorschrift eingefügt worden, die mit Art. 11 des „Gesetzes zur Änderung des Antiterrorgesetzes, der Strafprozessordnung und einiger weiterer Gesetze“ Nr. 6526 vom 21.2.2014 vorgenommen wurde³. Danach müssen für die Anwendung der Zwangsmaßnahme der Durchsuchung (oder Beschlagnahme) in informationstechnischen Systemen zunächst zwei Voraussetzungen zusammen erfüllt sein. Die erste davon ist das mit der Gesetzesänderung in den Absatz eingefügte „Vorliegen auf konkrete Beweise gestützter dringender Verdachtsgründe“.

Weder die CMK noch unsere Lehre trifft eine Unterscheidung „konkreter Beweis – abstrakter Beweis“; eine solche Unterscheidung wäre auch logisch sinnlos. Beweise sind Tatsachen, die das verfahrensgegenständliche Geschehen repräsentieren und die konkret sind, gleichviel ob sie auf Aussagen, auf Urkunden oder auf Indizien beruhen; wir sind daher der Auffassung, dass der Begriff des konkreten Beweises hier nicht als Gegenbegriff zum abstrakten Beweis verwendet wird. Zwar wird im angelsächsischen Rechtssystem die Unterscheidung „konkreter (realer) Beweis – Geständnisbeweis“ getroffen⁴, doch gibt es im kontinentaleuropäischen Rechtssystem, dem auch unser Land angehört, keine solche Unterscheidung. So haben im Strafverfahrensrecht unseres Landes, wie oben dargelegt, die Aussagebeweise, die auch das Geständnis umfassen, die Qualität konkreter Beweise. Es bleibt somit als einzige Möglichkeit, dass dieser Begriff für erreichbare, realistische (rationale – vernünftige) Beweise steht⁵. Diese brauchen jedoch nicht eigens erwähnt zu werden, denn dies ist ohnehin eine Eigenschaft der im Strafverfahren verwertbaren Beweise und im Beweisbegriff enthalten.

Der dringende Verdacht wiederum ist diejenige Verdachtsform, die in der Regel als Vorbedingung für Zwangsmaßnahmen verlangt wird. So wird etwa in Art. 100 CMK für die Anordnung der Untersuchungshaft das Vorliegen eines solchen Verdachts verlangt, indem es dort heißt: „Liegen Tatsachen, die das Bestehen eines dringenden Tatverdachts belegen, … vor, so kann gegen den Beschuldigten oder Angeklagten Untersuchungshaft angeordnet werden“. Dringender Verdacht ist derjenige Verdacht, der hinsichtlich der Begehung der Tat durch den Beschuldigten/Angeklagten von konkreten Tatsachen gestützt wird und bei dem es aufgrund der ihm zugrunde liegenden Beweise in hohem Maße wahrscheinlich ist, dass eine Verurteilung ergehen kann. Nach dem Gesetz können die Person, die Sachen, die Wohnung, die Geschäftsräume oder andere dem Beschuldigten oder Angeklagten gehörende Orte durchsucht werden, wenn der begründete Verdacht besteht, dass der Täter ergriffen oder Beweismittel für die Straftat erlangt werden können (Art. 116 CMK). Ist am Ende des mit den vorhandenen Beweisen durchzuführenden Verfahrens die Wahrscheinlichkeit einer Verurteilung des Angeklagten größer als die Wahrscheinlichkeit seines Freispruchs, so liegt „hinreichender Verdacht (Beweis)“ vor. Für die Erhebung der öffentlichen Klage wird „hinreichender Verdacht“ verlangt (Art. 170 Abs. 2 CMK)⁶.

Dringender Verdacht schließlich liegt, über all dies hinausgehend, dann vor, wenn eine Verurteilung mit sehr hoher Wahrscheinlichkeit eintreten wird. Mit der Ergänzung des Wortlauts der Vorschrift sollte die Anwendung der hier untersuchten Zwangsmaßnahme demnach erschwert werden. Künftig ist bei der Beantragung und bei der Anordnung dieser Maßnahme mit großer Sorgfalt und Gewissenhaftigkeit vorzugehen. Andernfalls sind die Beweise rechtswidrig erlangt, und ihre Verwertung ist nicht möglich.

3. Fehlen einer anderweitigen Möglichkeit der Beweiserlangung

Wie oben bereits dargelegt, genügt „das Vorliegen auf konkrete Beweise gestützter dringender Verdachtsgründe“ für die Anordnung der hier untersuchten Durchsuchungs- (und Beschlagnahme-)Maßnahme nicht. Hinzukommen muss „das Fehlen einer anderweitigen Möglichkeit der Beweiserlangung“. Da zwischen den beiden Formulierungen die Konjunktion „und“ steht, müssen im konkreten Fall beide Vorbedingungen zusammen vorliegen, damit die Maßnahme angeordnet werden kann.

De lege lata ist eine Anordnung, die ergeht, ohne dass diese Voraussetzungen erfüllt sind, rechtswidrig; die aufgrund einer solchen Anordnung erlangten Beweise sind „rechtswidrig erlangte Beweise“ und dürfen gemäß Art. 217 Abs. 2 CMK dem Urteil nicht zugrunde gelegt werden.

Das Vorliegen auf konkrete Beweise gestützter dringender Verdachtsgründe sowie die Gründe, aus denen eine anderweitige Möglichkeit der Beweiserlangung fehlt und aus denen zu diesem Mittel gegriffen wird, müssen sowohl im Antrag der Staatsanwaltschaft als auch im Beschluss des Richters klar und mit Begründung dargelegt werden. In der bisherigen Praxis ist jedoch zu beobachten, dass diese Regel – von einigen Ausnahmen abgesehen – so gut wie nie beachtet wird und dass Anträge gestellt und Beschlüsse erlassen werden, indem lediglich „die Gesetzesvorschrift wiederholt“ wird. Die große Mehrzahl der ergangenen Beschlüsse ist daher rechtswidrig. Wir erwarten, dass nach der Änderung des Art. 134 CMK in dieser Frage nunmehr Sorgfalt geübt wird und sowohl die Anträge als auch die Beschlüsse so begründet werden, dass sie den gesetzlichen Voraussetzungen genügen.

Unklar ist ferner, in welchem Stadium des Ermittlungsverfahrens das als Vorbedingung ausgestaltete „Fehlen einer anderweitigen Möglichkeit der Beweiserlangung“ festzustellen ist. Nach der normativen Struktur des Art. 134 CMK muss wegen der Straftat, die Gegenstand des Ermittlungsverfahrens ist, bereits eine gewisse Beweiserhebung stattgefunden haben, diese muss ohne Ergebnis geblieben sein, und auch dies muss ausdrücklich protokolliert werden.

De lege ferenda sind wir der Überzeugung, dass es äußerst verfehlt ist, diese Voraussetzung zu verlangen, zumal bei Ermittlungen wegen Computerkriminalität und wegen mittels informationstechnischer Systeme begangener Straftaten. Denn bei Straftaten, die gegen informationstechnische Systeme oder mittels informationstechnischer Systeme begangen werden, besteht der erste notwendige Schritt darin, die im System befindlichen Daten und Verbindungen festzustellen, ohne dass die Struktur des Systems und die Datenintegrität beeinträchtigt werden. Bei Ermittlungen wegen dieser Straftaten besteht in der Regel auch gar keine andere Möglichkeit der Beweiserlangung. Wird aber erst dann, nachdem man versucht hat, auf andere Weise Beweise zu erlangen, als letztes Mittel die Untersuchung der informationstechnischen Systeme in Angriff genommen, so ist es viel zu spät, und es wird außerordentlich schwierig, an Täter und Beweise zu gelangen. Eben dies ist auch der Grund dafür, dass diese Vorschrift in der Praxis in sämtlichen Ermittlungsverfahren so angewandt wird, als gäbe es eine solche Vorbedingung nicht.

Gegen diese unsere Auffassung lässt sich allerdings auch eine Gegenansicht vorbringen, die nicht ohne Berechtigung ist: Würde bei jeder strafrechtlichen Ermittlung als Erstes die Zwangsmaßnahme der Durchsuchung und Beschlagnahme in informationstechnischen Systemen angewandt, so bliebe von der Sicherheit personenbezogener Daten und vom Schutz des Privatlebens nichts übrig. Auch dieser Kritik lässt sich jedoch dadurch begegnen, dass die in Art. 134 CMK eingefügte Voraussetzung des „Vorliegens auf konkrete Beweise gestützter dringender Verdachtsgründe“ wirklich angewandt wird.

Im Sinne dieser Überlegungen ließen sich die fehlerhafte Norm und die verfehlte Praxis unter Berücksichtigung der Schnelligkeit, die Ermittlungen wegen Computerdelikten erfordern, teilweise korrigieren, und zwar durch eine in Art. 134 Abs. 1 einzufügende Ausnahmebestimmung mit dem Wortlaut: „Für die im Abschnitt über Straftaten im Bereich der Informationstechnik des türkischen Strafgesetzbuchs (TCK) sowie in dessen Art. 135, 136, 138, 142 Abs. 2 Buchst. e und 158 Abs. 1 Buchst. f geregelten Straftaten wird die Voraussetzung, dass eine anderweitige Möglichkeit der Beweiserlangung fehlt, nicht verlangt“. In ihrer heutigen Gestalt ist jedoch die Vorschrift fehlerhaft, und die Praxis sowie die mit dieser Methode erlangten Beweise sind rechtswidrig.

Außerdem hätte es genügt, in der Vorschrift anstelle der Begriffe „Computer, Computerprogramme und Computerdateien“ kurz von einem „informationstechnischen System“ zu sprechen. Obwohl im TCK eine zeitgemäße Terminologie verwendet wird, ist man in der CMK leider nicht ebenso verfahren. Was mit dem Begriff der Computerdatei ausgedrückt werden soll, sind fest eingebaute oder tragbare Mittel jeder Art, die Daten tragen und der Speicherung dienen.

4. Die Maßnahme der Durchsuchung und des Kopierens

Wie sich aus dem Wortlaut des Art. 134 Abs. 1 klar ergibt, umfasst diese Maßnahme in der Regel die Durchsuchung der vom Beschuldigten benutzten informationstechnischen Systeme, die Anfertigung einer Kopie der im System befindlichen Daten sowie die Entschlüsselung der Aufzeichnungen und ihre Übertragung in Textform. Das heißt: Die Regel ist die Durchsuchungsmaßnahme; das vom Beschuldigten benutzte informationstechnische System wird an seinem Standort belassen, und der Kopiervorgang wird am Standort des Systems durchgeführt. Auch nehmen die Polizeikräfte das Original des Systems oder des Datenträgers nicht mit. Dies ist die Regel, und vorrangig sind diese Maßnahmen anzuwenden.

In der ursprünglichen Fassung der CMK war geregelt, dass auf Antrag des Beschuldigten oder seines Verteidigers eine Kopie der angefertigten Sicherungen dem Antragsteller auszuhändigen ist. Auch wir haben damals allen Kolleginnen und Kollegen, die in Ermittlungsverfahren die Verteidigung übernahmen, eindringlich nahegelegt, sich diese Kopie unbedingt aushändigen zu lassen, da sie von großer Bedeutung ist, um später die Integrität und damit die Zuverlässigkeit der Beweise überprüfen zu können.

Der Gesetzgeber hat die Kritik aus Lehre und Praxis an der Regelung berücksichtigt und Art. 134 CMK durch Art. 11 des Gesetzes Nr. 6526 vom 21.2.2014 geändert⁷; er hat die in Abs. 4 enthaltene Formulierung „auf Verlangen“ aus der Vorschrift gestrichen und durch die Formulierung „nach Absatz 3 angefertigten“ ersetzt. Damit steht die Aushändigung einer Kopie der infolge der Durchsuchungsmaßnahme angefertigten Sicherung an den Beschuldigten oder seinen Verteidiger nicht mehr im Belieben, sondern ist zwingend geworden. Wir dürfen festhalten, dass wir diese Änderung begrüßen.

5. Die Maßnahme der Beschlagnahme

In Art. 134 Abs. 2 ist dagegen als Ausnahme von Abs. 1 die Maßnahme der Beschlagnahme geregelt. Danach gilt: „Kann auf Computer, Computerprogramme und Computerdateien nicht zugegriffen werden, weil das Passwort nicht entschlüsselt werden kann, oder können verborgene Informationen nicht erreicht werden, so können diese Geräte und Hilfsmittel beschlagnahmt werden, damit die Entschlüsselung vorgenommen und die erforderlichen Kopien angefertigt werden können. Sind die Entschlüsselung vorgenommen und die erforderlichen Kopien angefertigt, so werden die beschlagnahmten Geräte unverzüglich zurückgegeben.“

Obwohl dieser Absatz ganz eindeutig eine Ausnahme regelt, ist diese Ausnahme – wie es bei vielen Ausnahmebestimmungen in den Rechtsvorschriften unseres Landes geschieht, die in der Praxis zur Regel gemacht werden – auch bei Durchsuchungen informationstechnischer Systeme zur Regel gemacht worden. Die Polizeikräfte wenden bei sämtlichen Durchsuchungen, die sie nach Art. 134 CMK durchführen, die Ausnahmebestimmung des Abs. 2 an; zu diesem Zweck fertigen sie gemeinsam mit den übrigen an der Maßnahme beteiligten Polizeikräften ein Protokoll darüber an, dass das zu durchsuchende informationstechnische System mit einem Passwort versehen sei, und erfüllen so ihre Aufgabe in der Vorstellung, sich durch diese Umgehung des Gesetzes zumindest dem Anschein nach gesetzeskonform zu verhalten. Zur Begründung erklären sie, „sie hätten nicht genügend Personal und würden mit keiner Arbeit fertig, wenn sie versuchten, Durchsuchung und Kopieren am Standort des Systems vorzunehmen“. Dieser Vorwand, der in Wahrheit ein großes Maß an Realität enthält, gibt weder das Recht, die Gesetzesvorschrift abzuändern, noch macht er den so erlangten Beweis rechtmäßig. Denn die angefertigten Protokolle enthalten keinerlei Vermerk dazu, welche Art von Passwort oder verborgenen Daten vorhanden war und weshalb die auf diesem Gebiet sachkundige IT-Polizei dies nicht hat unwirksam machen können. Dieses Protokoll hat daher weder einen Bezug zur Wirklichkeit noch ist es überprüfbar, und es hat auch rechtlich keinerlei Wert. Dieses Vorgehen ist eine offenkundige Gesetzesumgehung und rechtswidrig. Die Art und Weise, wie die Maßnahme durchgeführt wird, ist eine rechtswidrige Methode der Beweiserlangung, und die auf diesem Wege erlangten Beweise sind verbotene Beweise, die in keinem Stadium des Verfahrens verwertet werden dürfen.

In Art. 134 Abs. 3 ist mit den Worten „Bei der Beschlagnahme von Computern oder Computerdateien wird eine Sicherung sämtlicher im System befindlicher Daten angefertigt.“ bestimmt, was bei Anwendung der Ausnahmebestimmung des Abs. 2 zu geschehen hat. In diesem Zusammenhang ist Abs. 4 durch das Gesetz Nr. 6526 geändert worden; mit den Worten „Von der nach Absatz 3 angefertigten Sicherung wird eine Kopie erstellt und dem Beschuldigten oder seinem Vertreter ausgehändigt; dies wird in das Protokoll aufgenommen und unterschrieben.“ ist die Aushändigung einer Kopie der angefertigten Sicherung an den Beschuldigten oder seinen Verteidiger bei Anwendung der Beschlagnahmemaßnahme zur Pflicht gemacht worden.

So lauten die Regelungen; die Praxis sieht jedoch anders aus. Wenn sich die Polizeikräfte zur Durchführung der Maßnahme der Durchsuchung, des Kopierens und der Beschlagnahme bei informationstechnischen Systemen an den Standort des Systems begeben, wenden sie, wie oben dargelegt, unter Umgehung des Gesetzes die Beschlagnahmemaßnahme an und nehmen auch die Sicherung in den Dienststellen vor, in denen sie selbst arbeiten. Die für die Sicherung erforderlichen Datenspeichermedien verlangen sie zudem vom Beschuldigten. Diese Praxis ist durch und durch rechtswidrig. Denn wird die Zwangsmaßnahme der Beschlagnahme angewandt, so ist der Sicherungsvorgang für die Zuverlässigkeit und Unparteilichkeit der Ermittlungen und für ihre Vereinbarkeit mit dem Recht auf ein faires Verfahren von größter Bedeutung. Im Einzelnen:

Die Festplatte oder der Datenträger des informationstechnischen Systems, auf das die Maßnahme angewandt wird, hat beispielsweise eine Speicherkapazität von 320 GB. Diese wird jedoch nie vollständig genutzt. Nimmt man etwa an, dass sich auf dieser Festplatte 100 GB Daten befinden, so sind die übrigen 220 GB leer. Werden nur die mit Daten belegten Bereiche gesichert, so können in die leer gebliebenen Bereiche von 220 GB später andere Daten geschrieben werden. Daher muss die gesamte Festplatte mit ihren belegten und leeren Bereichen unverändert gesichert, also – so der Fachausdruck – ein „Image erstellt“ und im Anschluss daran der „Hashwert“ ermittelt, die Festplatte also nach dem Vorgang gewissermaßen versiegelt werden. Werden die Vorgänge nicht in Gegenwart des Beschuldigten und des Verteidigers durchgeführt, so werden stets der Verdacht und die Behauptung im Raum stehen, vor der Erstellung des Images seien Daten platziert und erst danach sei das Image erstellt worden. Dies beeinträchtigt auch die Glaubwürdigkeit korrekt und fair geführter Ermittlungen. Damit das Recht auf ein faires Verfahren nicht verletzt wird, müssen jedoch sämtliche Ermittlungs- und Verfahrenshandlungen sowohl dem Anschein als auch dem Inhalt nach unparteiisch und rechtmäßig sowie nach dem Grundsatz des redlichen Vorgehens vorgenommen werden. Im Übrigen werden IT-forensische Untersuchungen informationstechnischer Systeme stets an diesen Sicherungen vorgenommen; am Original darf keinerlei Vorgang vorgenommen werden, damit das Original des Beweismittels aufbewahrt wird und für eine Überprüfung bei etwaigen späteren Einwendungen unversehrt erhalten bleibt.

In der Praxis werden informationstechnische Systeme jedoch von den Polizeikräften unter Umgehung der Gesetzesvorschrift von ihrem Standort entfernt und in die Polizeidienststellen verbracht; die Sicherung und die Ermittlung der Hashwerte erfolgen in Abwesenheit des Beschuldigten und/oder seines Verteidigers. Diese Praxis ist eindeutig rechtswidrig! Die Beweiserlangung mit dieser Methode ist rechtswidrig, und die erlangten Beweise sind verbotene Beweise; sie können weder verwertet noch dem Urteil zugrunde gelegt werden. Leider werden heute in nahezu allen in unserem Land geführten Verfahren – „einschließlich derjenigen, die in der Öffentlichkeit die größte Beachtung finden“ – derartige Beweise verwertet, und das Recht auf ein faires Verfahren wird verletzt.

Im letzten Absatz des Art. 134 schließlich findet sich mit den Worten „Auch ohne Beschlagnahme der Computer und Computerdateien kann eine Kopie aller oder eines Teils der im System befindlichen Daten angefertigt werden. Die kopierten Daten werden auf Papier ausgedruckt; dies wird im Protokoll festgehalten und von den Beteiligten unterschrieben.“ ein Absatz, der im Widerspruch zu den vorstehenden Regelungen steht. Denn wie oben dargelegt, besteht bei der Beweiserlangung aus informationstechnischen Systemen die Regel darin, dass am Standort des Systems durchsucht wird und die Systemdaten kopiert werden; die Beschlagnahme ist dagegen die Ausnahme. Die Regelung dieses Absatzes erweckt jedoch den Eindruck, als sei die Beschlagnahme die Regel und die Anfertigung einer Kopie am Standort des Systems ohne Anwendung dieser Maßnahme die Ausnahme. Dieser Absatz ist daher eine Regelung, die unnötigerweise in der Vorschrift steht und Unklarheit stiftet.

6. Art. 134 CMK ist eine Sonderregelung

Dass Art. 134 trotz der allgemeinen Durchsuchungsvorschriften der Art. 116 und 123 CMK aufgenommen wurde, zeigt, dass es sich um eine Sonderregelung handelt. Ist daher bei einer auf Art. 116 gestützten Durchsuchung der Geschäftsräume oder der Wohnung des Beschuldigten nicht zusätzlich eine Anordnung über eine Durchsuchung nach Art. 134 ergangen, so dürfen die vom Beschuldigten benutzten Computer nicht durchsucht werden. Selbst für die Durchsuchung eines Mobiltelefons mit Computereigenschaften, das bei einer auf Art. 116 gestützten Durchsuchung beim Beschuldigten aufgefunden wird, bedarf es einer Anordnung nach Art. 134. Durchsuchungen, die ohne Beachtung dessen vorgenommen werden, sind eine Beweiserlangung mit rechtswidriger Methode, und der erlangte Beweis ist ein verbotener Beweis.

7. Kritik an der Praxis und die angewandte Methode

Bei genauem Hinsehen ist weder in Art. 134 CMK noch in der Verordnung von der „Erstellung eines Images“ oder vom „Hashwert“ die Rede. Stattdessen werden die Begriffe „Sicherung“ und „Kopieren“ verwendet. Wie oben erläutert, sind jedoch die Anfertigung einer Sicherung oder Kopie eines Datenträgers einerseits und die Erstellung eines Images mit anschließender Ermittlung des Hashwerts andererseits ganz unterschiedliche Vorgänge. Bei der Sicherung und beim Kopieren werden weder die leeren Sektoren mitkopiert noch lassen sich Datenintegrität und Datensicherheit gewährleisten. Das aber nimmt digitalen Daten die Eigenschaft, „zuverlässiger Beweis“ zu sein. Dass diese Verfahren weder in der CMK noch in der Verordnung geregelt sind, ist ein großer Mangel.

In der Praxis dagegen erstellen die Ermittlungsbeamten „allein aus eigenem guten Willen und aus dem Wunsch heraus, ihre Aufgabe ordentlich zu erfüllen“, unter Beachtung der einschlägigen internationalen Standards in jedem Ermittlungsverfahren ein Image und ermitteln den Hashwert. Täten sie dies jedoch nicht, so gäbe es in unseren Rechtsvorschriften keine gesetzliche Grundlage, aufgrund deren man sie zur Rede stellen könnte, weshalb sie diesen Standard nicht angewandt haben. Dieser große Mangel muss umgehend durch eine Änderung sowohl der CMK als auch der Verordnung behoben werden.

Wie oben bereits dargelegt, geht ein gewichtiger Vorwurf gegen die Ermittlungsbeamten dahin, dass die Durchsuchung (die Erstellung des Images) nicht am Standort des Datenträgers, sondern unter Anwendung der Beschlagnahmemaßnahme in der Dienststelle der Ermittlungsbeamten vorgenommen und die Beschlagnahme, die die Ausnahme ist, zur Regel gemacht wird. Die betreffenden Beamten führen hierfür einige Gründe an, die nicht ohne Berechtigung sind, und entwickeln auch Lösungswege, die sie anwenden. Einige dieser Gründe sind:

• das Fehlen von IT-Forensikern und Tatortermittlungsteams in ausreichender Zahl und mit ausreichender Qualifikation,

• der Umstand, dass die Entschlüsselung von Passwörtern oder das Auffinden verborgener Daten meist viel Zeit und besondere Ausrüstung erfordert,

• die Belästigung der Personen, die sich in der Wohnung oder den Geschäftsräumen aufhalten, in denen sich das durchsuchte informationstechnische System befindet, während der zeitaufwendigen Durchsuchung oder der Umstand, dass diese Orte für die Arbeit ungeeignet und/oder unhygienisch sind,

• das Fehlen einer unterbrechungsfreien Stromversorgung zur Gewährleistung der Datenintegrität an dem Ort, an dem das Image des informationstechnischen Systems erstellt werden soll, sowie die Notwendigkeit, diese Vorgänge – insbesondere wenn eine Datenrettung erforderlich ist – in staubfreien und mit Spezialausrüstung versehenen Umgebungen vorzunehmen.

Diese Liste ließe sich noch verlängern, und es ist auch eine Tatsache, dass diese Gründe nicht ohne Berechtigung sind. Um sich zum einen der genannten Widrigkeiten zu entledigen und zum anderen dem – berechtigten – Einwand vorzubeugen, die Beweise seien rechtswidrig erlangt worden, wenden die Ermittlungsbeamten folgende Methode an:

Nachdem sie die Anordnung über die Anwendung der Durchsuchungs- und Beschlagnahmemaßnahme nach Art. 134 CMK erwirkt haben, begeben sie sich an den Ort, an dem die Maßnahme vollzogen werden soll, trennen sämtliche vom Beschuldigten benutzten Geräte, die Daten tragen können, ordnungsgemäß vom Strom, legen sie in eigens angefertigte Beutel und versiegeln deren Öffnung. Sämtliche dabei vorgenommenen Handlungen halten sie in einem Protokoll fest. Wenn die in die Dienststelle verbrachten Geräte untersucht werden sollen, werden je nach Lage der Beschuldigte und/oder sein Verteidiger in die Dienststelle geladen, in der die Untersuchung stattfindet, und in einen für diesen Vorgang hergerichteten besonderen Raum geführt. Während die IT-Forensiker in ihren staubfreien Spezialräumen die Geräte untersuchen, verfolgen der Beschuldigte und/oder sein Verteidiger in dem ihnen zugewiesenen Raum die Bilder, die von den dort angebrachten Kameras übertragen werden, live auf Monitoren. Auf diese Weise befreien sich die Ermittlungsbeamten einerseits von der Pflicht, die Untersuchung am Standort der Geräte vorzunehmen, und untersuchen diese in ihren eigenen Labors; andererseits versuchen sie, dem Einwand zu entgehen, es sei in die Daten eingegriffen und rechtswidrig Beweis erlangt worden.

Dies ist lediglich eine Methode, die die Ermittlungsbeamten selbst geschaffen haben und anwenden. Sie, eine ähnliche oder eine weiterentwickelte Methode muss so bald wie möglich auf eine gesetzliche Grundlage gestellt und so bald wie möglich in die Praxis umgesetzt werden. Andernfalls werden in unserem Land weiterhin „rechtswidrige Beweise“ erlangt, und Ermittlungen wegen Computerkriminalität und wegen mittels informationstechnischer Systeme begangener Straftaten können nicht so geführt werden, „wie es sein sollte“.