Jusletter IT

Die Rechtsvisualisierung bzw. die visuelle Modellierung bieten sich für die Visualisierung für das Vorgehen von Sachverständigen als Werkzeug bestens an. Mit Hilfe dieser Methode soll für alle Beteiligten und Betroffenen noch klarer aufgezeigt werden, welche Prüfschritte insb. für Sachverständige notwendig sind um Lösungen zu erhalten. Als beispielhafte Leitlinien oder Vorschriften für Behörden dürfen der Leitfaden „IT-Forensik“ des BSI,² das „Forensic analysis Local Incident Response Handbook“ der ENISA,³ die „Leitlinien zu digitalforensischen Maßnahmen“ für die Bediensteten des OLAF,⁴ oder der „Electronic evidence guide“ (EEG) des CyberCrime@IPA⁵ genannt werden, die auf Vollständigkeit bedachte Sammelwerke darstellen. Diese Werke und die Fachliteratur sind auf technisch-organisatorische Methoden fokussiert, weniger auf Prozesse. Die in den verschiedenen Staaten geltenden rechtlichen Normvorschriften müssten nämlich in einer generischen Form abgebildet werden, was schlicht nicht möglich erscheint. Der Leitfaden „IT-Forensik“ des BSI und der EEG beschreiben Vorgehensmodelle, welche jedoch im Wesentlichen „Wasserfallmodelle“⁶ darstellen (vgl. dazu auch die Forensischen Prozesse nach COBIT⁷ und ITIL⁸). Die Erfahrung des IT-Forensikers lehrt jedoch, dass (analog zum Softwareengineering) Wasserfallmodelle nicht der Realität entsprechen, sondern eigentlich nur eine sehr abstrakte Sichtweise auf eine Vorgehensweise abbilden.

In dieser Publikation soll beispielhaft das Strafverfahren in Österreich behandelt werden, welches im Wesentlichen durch folgende Schritte grob gekennzeichnet ist:

• Vorermittlungen (nicht Teil des Strafverfahrens) ergeben Anfangsverdacht, oder Anzeige →
• Ermittlungsverfahren: Einstellung, Abbrechung, Diversion, oder Anklage →
• Hauptverfahren: Einstellung, Diversion, oder Urteil →
• Rechtsmittelverfahren: Zurückverweisung, Reformation, Kassation oder Bestätigung.

Diese hier nur überblicksmäßig beschriebenen Schritte beinhalten auch Iterationen, sodass bspw. ein Rechtsmittelverfahren erneut zu einem zweiten Rechtsgang allenfalls mit neuen Ermittlungen führen kann. Unter den Rollen wie Berufsrichter, Laienrichter, Haftrichter, Rechtsschutzbeauftragter, Staatsanwalt, Kriminalpolizei, Verdächtiger, Beschuldigter, Angeklagter, Verurteilter, Verteidiger, Zeugen, Opfer, Privatbeteiligte, Privatankläger, Subsidiarankläger, Vertreter und Dolmetscher können auch Sachverständige nach §§ 126, 127 StPO bestellt werden, was i.d.R. erfolgt, da gerade in IT-Fällen „besonderes Fachwissen“ erforderlich ist. Ebenso können Parteien eine „Person mit besonderem Fachwissen“ (Privatsachverständiger) gem. § 222 Abs. 3 bzw. § 249 Abs. 3 StPO beiziehen, welcher selbst Fragen an den vom Gericht bestellten Sachverständigen stellen darf.⁹

Die graphische Darstellung dieser Prozesse könnte nun auf mehrere Arten erfolgen, wie u.a. der Prozessablaufsicht und der Rollensicht, z.B. aus Sicht des Sachverständigen.

Über die graphische Darstellung solcher Sichten gibt es zahlreiche Vorschläge und Normen, wobei sich insb. in der Rechtsvisualisierung die Kahlig-Notation¹⁰ einen Namen gemacht hat, welche im Wesentlichen die Ablaufsicht für konkrete Anwendungsfälle abdeckt. Für die Rollensicht existieren gem. Recherchen keine speziellen Notationen für die Rechtsvisualisierung, jedoch bieten UML¹¹ (s.a. den Vorschlag¹² von Kahlig oder Wyner¹³), oder das weiter entwickelte SysML¹⁴ geeignete Notationen an, welche weit verbreitet sind. Obwohl es für den juristischen Bereich angepasste Notationen gibt, die besser geeignet sein könnten,¹⁵ wird hier aufgrund der breiten Zielgruppe auf das bekannte SysML zurück gegriffen. Da lt. Schweighofer „es viel einfacher ist, den Kern eines Textes zu verstehen, wenn passende grafische Notationen verfügbar sind“,¹⁶ wird in einem ersten Schritt der Ablauf eines Strafprozesses mit Hilfe eines vereinfachten SysML-Zustandsdiagramms modelliert. Aus diesem Grund wird in den folgenden Diagrammen der Übersichtlichkeit wegen auf Bedingungen verzichtet.

Der Ablauf wird mit Zustandsdiagrammen modelliert, wobei folgende Elemente zum Einsatz kommen:

Abbildung 1: SysML Elemente für Zustandsdiagramme

Für die Rollensicht eignet sich das SysML-Blockdiagramm, mit folgender Notation:

Abbildung 2: SysML Elemente für Blockdiagramme

Mit Hilfe eines Zustandsdiagramms soll der Ablauf von den Vorermittlungen bis zur Rechtskraft der Urteile oder Beschlüsse visualisiert werden. Die Abläufe sind durch normierte Prozessschritte wie bspw. Anträge vorgegeben, wobei die entsprechenden Gesetzesstellen als Pfad dargestellt werden. Grau hinterlegt sind die für Gerichts- und Privatsachverständige relevanten Aktivitäten, wobei Gerichtssachverständige erst ab dem Ermittlungsverfahren bestellt werden. Privatsachverständige können bereits ab der Erarbeitung einer Anzeige mitwirken, und wenn anzeigende Behörden sich eines nichtamtlichen Sachverständigen¹⁷ bedienen, ist dieser kein Gerichtssachverständiger i.S.d. StPO.

Für die Gebühren des Gerichtssachverständigen ist es von Bedeutung an welchem Gericht verhandelt wird, denn gem. § 25 Abs. 2 GebAG¹⁸ trifft den Sachverständigen die Warnpflicht insoferne, als „die tatsächlich entstehende Gebühr die Höhe des Kostenvorschusses, mangels eines solchen den Wert des Streitgegenstands oder 2 000 Euro, in Verfahren vor dem Landesgericht und im Ermittlungsverfahren der Staatsanwaltschaft aber 4 000 Euro übersteigt, so hat die oder der Sachverständige das Gericht beziehungsweise die Staatsanwaltschaft rechtzeitig auf die voraussichtlich entstehende Gebührenhöhe hinzuweisen“. Das bedeutet, dass vor dem Bezirksgericht eine Warnpflicht über die zu erwartenden Gebühren über dem Wert des Streitgegenstands oder von über 2.000,– Euro, vor dem Landesgericht oder Staatsanwaltschaft eine über 4.000,– Euro besteht, bei sonstigem Verlust des Gebührenanspruchs.

Für das Honorar des Privatsachverständigen ist die zivilrechtliche freie Honorarvereinbarung maßgeblich, so ferne dem keine gesetzlichen Gebührenbestimmungen entgegen stehen.

Das Rechtsmittelverfahren wurde bewusst stark vereinfacht dargestellt, da einerseits Gerichtssachverständige hier selten bestellt werden, und andererseits würde das Diagramm unübersichtlich werden. Für Privatsachverständige ist dieses jedoch bedeutsamer, da sie die Parteien im Berufungsverfahren und im zweiten Rechtsgang beratend und mit ergänzenden Gutachten zur Seite stehen.

Abbildung 3: Modellhafter Ablauf eines Strafverfahrens

In einem weiteren Schritt soll ein Vorschlag für ein Rollenmodell für Sachverständige mit Hilfe eines Block-Diagramms erarbeitet werden. Diese Rolle wird in § 125 Abs. 1 StPO normiert, dass Sachverständiger „eine Person ist, die auf Grund besonderen Fachwissens in der Lage ist, beweiserhebliche Tatsachen festzustellen (Befundaufnahme) oder aus diesen rechtsrelevante Schlüsse zu ziehen und sie zu begründen (Gutachtenserstattung)“. Weiters wird in § 127 leg.cit. normiert, dass „Sachverständige den Befund und das Gutachten nach bestem Wissen und Gewissen und nach den Regeln ihrer Wissenschaft oder Kunst oder ihres Gewerbes abzugeben haben. Sie haben Ladungen der Staatsanwaltschaft und des Gerichts zu befolgen und bei Verhandlungen, Vernehmungen und Tatrekonstruktionen Fragen zu beantworten“. Diesbezüglich wird auch auf die Tätigkeiten des Sachverständigen Bezug genommen, wie Erstellung von Befund und Gutachten und Beantwortung von Fragen, wobei „Befund und Gutachten streng zu trennen sind“.¹⁹

Schließlich ist u.a. die Mündlichkeit gem. § 12 StPO ein Grundsatz, wobei im Urteil nur das verwertet werden darf, was in der Hauptverhandlung vorgekommen ist (§ 258 Abs. 1). Hingewiesen wird an dieser Stelle auf das Verlesungsgebot nach § 252 Abs. 2 und das Verlesungsverbot von Schriftstücken nach § 252 Abs. 1 StPO gem. dem Grundsatz der Unmittelbarkeit (§ 13 StPO), bei sonstiger Nichtigkeit. Weiters ist das Fragerecht in Art. 6 Abs. 1 lit. d EMRK²⁰ und durch die Judikatur des EGMR²¹ festgehalten. Das Fragerecht der Parteien ist nach jeder Zeugen- oder Sachverständigenvernehmung nach § 249 StPO normiert.

Sohin spielen die Fragen an den und vom Sachverständigen eine zentrale Rolle in der Hauptverhandlung. Demzufolge kann der Prozess Hauptverfahren aus Abbildung 1 in die Rollensicht transferiert werden:

Abbildung 4: Rollen und Zusammenhänge im Hauptverfahren für den Sachverständigen

Letztlich sollen die Prüfschritte für IT-forensische Untersuchungen visualisiert werden, welche schließlich in einem Befund dokumentiert werden, und auf Basis dessen ein Gutachten erstellt wird.

Der Gutachtensauftrag (§§ 126, 127 StPO) legt nach Nimmervoll dar,²²

• „von welchem Sachverhalt der Sachverständige als „Arbeitshypothese“ ausgehen und mit den Mitteln seiner Fachkunde auf weitere Tatsachen schließen soll,
• welche Beweise der Sachverständige aufnehmen soll,
• welche Tatsachen ermittelt werden sollen,
• ob der Sachverständige bei mehreren ins Kalkül zu ziehenden Sachverhaltsvarianten zu jeder dieser Varianten (oder bloß zu einzelnen vorgegebenen) ein Gutachten abgeben soll.“²³

Ist der Gutachtensauftrag des Gerichts unklar, so hat der Gerichtssachverständige die Weisung des Gerichtes einzuholen.²⁴ Dazu geben die Standesregeln des Hauptverbandes der Allgemein beeideten und zertifizierten Sachverständigen Österreichs, welche für Gerichtsgutachter als bindend²⁵ gelten, näher Auskunft: „Insbesondere hat er sich an den ihm erteilten Auftrag zu halten und eine Auftragsüberschreitung zu vermeiden. Zweifel über den Umfang und Inhalt des Gutachtensauftrags sind durch Rückfragen beim Auftraggeber aufzuklären (vgl. § 25 Abs. 1 GebAG). Dabei ist der Sachverständige verpflichtet, den Auftraggeber auf allfällige weitere, für die Gutachtenserstattung relevante Umstände aufmerksam zu machen“.²⁶

Wie schon in der Einleitung festgehalten, bilden die publizierten Vorgehensmodelle eine Methodik nach Wasserfall ab, welche nicht der Realität entsprechen. Die Praxis lehrt nämlich, dass verschiedenste Tätigkeiten iterativ vorgenommen werden müssen, und schließlich komplexe Zusammenhänge bilden, welche graphisch per se nicht abbildbar sind. Jedenfalls beginnt der Prozess mit der Beauftragung eines Befunds, und meistens eines Gutachtens, samt allfälligen Rückfragen, und endet mit dessen Fertigstellung. Des Weiteren kann es zur mündlichen Erörterung des Gutachtens bzw. einer Ergänzung oder Erstattung eines weiteren Gutachtens kommen. Damit wären die Tätigkeiten für einen Sachverständigen abgeschlossen.

In Analogie dazu gilt obiges grds. auch für Privatgutachten, zumal der Privatgutachter als Auftragnehmer nach Maßgabe des ABGB²⁷ gegenüber dem Auftraggeber haftet (Gewährleistung §§ 922 ff. i.V.m. der Sachverständigenhaftung gem. §§ 1299 ff. ABGB).

Für die folgende Modellierung gründet der forensische Prozess auf folgenden zwei Grundprinzipien:

• Datenintegrität: Elektronische Erkenntnisse dürfen während des forensischen Prozesses in keiner Weise geändert werden, einschließlich der anfänglichen Datenerfassung,
• Audit Trail: Eine Aufzeichnung aller bei der Behandlung digitaler Beweise ergriffenen Aktionen muss erstellt werden und konserviert werden.

Dazu muss der gesamte forensische Prozess in allen Phasen chronologisch dokumentiert sein, sodass eine unverfälschte Beweismittelkette entsteht. Wichtig dabei sind die Zeitstempel, welche zumeist auf eine bekannte Erfolgszeit fokussiert sind. Wesentlich sind aber gem. der Handlungstheorie die in der Computerforensik oft vorerst unbekannte Tatzeit, welche erst durch die Beweismittelkette rekonstruiert werden muss. Gem. § 67 Abs. 1 StGB²⁸ „hat eine mit Strafe bedrohte Handlung der Täter zu der Zeit begangen, da er gehandelt hat oder hätte handeln sollen; wann der Erfolg eintritt, ist nicht maßgebend“.²⁹

Für die Bestimmung der Schuld oder Unschuld des Angeklagten muss mit an Sicherheit grenzender Wahrscheinlichkeit feststehen, dass kein Freispruchgrund vorliegt. Vgl. dazu die freie Beweiswürdigung gem. § 14 und den Freispruch gem. § 259 Abs. 3 StPO. Zu diesem Zweck entwickelte Casey³⁰ ein 7-stufiges Bewertungsmodell, welches digitale Beweise aufgrund der Manipulationsfestigkeit und der Häufigkeit des Vorkommens gleichartiger Spuren einer Wahrscheinlichkeit zuordnet.

Diese Stufen sind wie folgt definiert:

• Fehlerhaft C0: Die Spuren widersprechen Fakten oder stimmen nicht überein.
• Sehr unwahrscheinlich C1: Die Spuren sind höchst fragwürdig.
• Unwahrscheinlich C2: Es gibt nur eine Quelle, die nicht manipulationsgeschützt ist.
• Möglich C3: Die Quelle war schwieriger zu manipulieren, aber es gibt nicht genügend Spuren, um eine feste Schlussfolgerung zu stützen, oder es gibt ungeklärte Inkonsistenzen in den verfügbaren Spuren.
• Wahrscheinlich C4: Die Spuren waren entweder gegen Manipulationen geschützt, oder mehrere unabhängige Quellen stimmen überein.

Weiters sind für einen Schuldspruch jedenfalls relevant:³¹

• Fast sicher C5: Beweise aus mehreren unabhängigen Quellen, die vor Manipulationen geschützt sind, stimmen überein. Es gibt jedoch kleine Unsicherheiten wie Datenverlust.
• Sicher C6: Die Beweise sind manipulationssicher und/oder weisen eine hohe statistische Konfidenz auf.

Für die Visualisierung dieser Schritte wird eine Notation vorgeschlagen, welche aus der Kombination aus Zustands- und Blockdiagramm besteht (Abbildung 1 und Abbildung 2), da diese Notationen den Prozess der Beweisaufnahme und das folgende Gutachten am besten dokumentieren. Abgeleitet aus den vorher genannten Schritten und den Phasen wie in der Literatur³² beschrieben, wird folgendes Modell erstellt. Die Gesetzesstellen werden hier weggelassen, da diese bereits in den vorherigen Diagrammen dargestellt wurden.

Abbildung 5: Erstellung eines IT-forensischen Gutachtens im Strafverfahren

Abgeleitet aus den Erfordernissen im Strafverfahren (Abbildung 3) über die Rolle des Sachverständigen im Strafverfahren (Abbildung 4) konnte aufgrund der Erfordernisse der IT-Forensik wie der Datenintegrität und einer nachvollziehbaren Beweismittelkette ein Prozess (Abbildung 5) modellhaft unter Zuhilfenahme von SysML visualisiert werden, welcher der Realität sehr nahe kommt. Dieser Prozess zur Erstellung eines IT-forensischen Gutachtens kann wie ersichtlich durchaus komplex sein, so wie es in der Praxis im Regelfall auch vorkommt. Dieser konnte hier durch den Einsatz existierender Visualisierungsmethoden veranschaulicht werden. Als Werkzeuge können Modellierungstools wie Visio (oder hier draw.io³³) zum Einsatz kommen, welche aber lediglich für die Darstellung der Prozesse geeiǵnet sind.

Dieses Prozessmodell kann nun dazu dienen, die Qualität von Gutachten zu verbessern, indem die Spuren strukturiert gesichert und geschützt werden, eine nachvollziehbare Analyse dieser Spuren erfolgt, ein vollständiger und richtiger Befund erstellt werden kann, damit letztendlich die Fragen an den Sachverständigen mit an Sicherheit grenzender Wahrscheinlichkeit beantwortet werden können. Ergeben sich in diesem Prozess Zweifel oder Neuerungen, so müssen Analysen oder sogar Befundaufnahmen abermals durchgeführt werden.

Schließlich werden im Gutachten die Spuren nach dem 7-stufigen Bewertungsmodell nach Casey bewertet, wobei dieses letztlich gemeinsam mit den beantworteten Fragen ein Bewertungswerkzeug für den Richter hins. einer Verurteilung oder Freispruch bildet.

Zukünftig könnten solcherart Prozesse auch mit Hilfe von Software-Werkzeugen unterstützt werden, damit die Qualität und Nachvollziehbarkeit von Befundaufnahmen mit den zahlreichen heterogenen Spuren, und schließlich dem Gutachten gesteigert werden. Dabei könnten „Knowledge Graphs“ eine technische Grundlage bilden, die eine flexible Struktur im Gegensatz zum statischen relationalen Datenbankmodell einsetzen. Doncel³⁴ zeigte bereits, dass im juristischen Bereich „Legal Knowledge Graphs“ konkret mit einer Neo4j³⁵ Datenbank (vgl. Sullivan³⁶) umgesetzt werden können. Alternativ dazu können auch Metamodellierungsplattformen wie bspw. ADOxx³⁷ zum Einsatz kommen, mit welchen es einfacher erscheint die Modellierungsansätze umzusetzen.³⁸ Auch existieren für ADOxx fertige Implementierungen für UML,³⁹ welche darüber hinaus anpassbar sind. Fill und Haiden⁴⁰ zeigten bereits anhand des Beispiels der gesetzlichen Erbfolge, dass „der Mehrwert einer formalen Beschreibung der Modelle durch die Umsetzung von automatischen Berechnungsmechanismen“ umgesetzt werden konnte.