DemoDashboard, Melde-Widget und Takedown live sehen
EN Anmelden Kostenloser Fraud-Scan
Beweise und ErmittlungErklärung

Beweiskette für digitale Beweise, einfach erklärt

Wer hat was wann erfasst, und ist es unverändert? Wie Sie mit Protokoll und Prüfsummen eine Beweiskette für Fake-Websites führen.

Malte ZanderMit KI erstellt, vom Autor geprüft 5 Minuten Lesezeit
Inhalt
  1. Was ist eine Beweiskette?
  2. Warum braucht man sie bei Fake-Websites?
  3. Die fünf Angaben pro Beweisstück
  4. Was ist eine Prüfsumme, einfach erklärt?
  5. Eine Vorlage für Ihr Protokoll
  6. Wo und wie bewahren Sie Beweise auf?
  7. Welche Fehler brechen die Kette?
  8. Wie viel Aufwand ist angemessen?
  9. Wie hilft AI Fraud Protect?
  10. Häufige Fragen
Kurz gesagt

Eine Beweiskette dokumentiert lückenlos, wer welches digitale Beweisstück wann, wie und womit erfasst hat, wo es seitdem liegt und wer darauf zugegriffen hat. Eine Prüfsumme wie SHA-256 belegt dabei, dass eine Datei seit der Erfassung nicht verändert wurde. Für Fake-Websites genügt ein schlankes Protokoll mit fünf Angaben pro Datei, wenn Sie es von Anfang an konsequent führen.

Die wichtigsten Fakten
  • ISO/IEC 27037 ist der internationale Leitfaden zum Identifizieren, Sammeln, Erfassen und Sichern digitaler Beweise (ISO).
  • Das Berkeley-Protokoll legt Mindeststandards für das Sammeln, Sichern und Prüfen von Online-Informationen fest (UC Berkeley).
  • SHA-256 ist im US-Standard FIPS 180-4 festgelegt. Solche Prüfsummen dienen dazu zu erkennen, ob Daten seit ihrer Berechnung verändert wurden (NIST).

Was ist eine Beweiskette?

Die Antwort auf die Frage, warum man einem digitalen Beweisstück glauben sollte. Eine Datei kann kopiert, verändert und neu gespeichert werden, ohne dass man es ihr ansieht. Die Beweiskette, im Englischen Chain of Custody, schließt diese Lücke. Sie zeigt für jedes Beweisstück den Weg von der Erfassung bis zur Übergabe: wer es erstellt hat, wann, womit, wo es lag, wer es weitergegeben hat und dass es unterwegs nicht verändert wurde.

Warum braucht man sie bei Fake-Websites?

Weil die Fälschung selbst verschwindet. Nach einem erfolgreichen Takedown gibt es die Seite nicht mehr. Was bleibt, sind Ihre Screenshots, Kopien und Daten. Wenn später eine Kanzlei abmahnen, ein Gericht entscheiden oder die Polizei ermitteln soll, müssen diese Dateien glaubwürdig sein. Ohne Beweiskette lässt sich jeder Screenshot bestreiten. Mit Beweiskette lässt sich zeigen, dass er genau so am angegebenen Tag entstanden ist.

Die fünf Angaben pro Beweisstück

Für Fake-Websites reicht ein schlankes Protokoll. Halten Sie zu jeder Datei fest:

  1. Was: Dateiname und kurze Beschreibung, etwa "Screenshot Desktop der Login-Fälschung".

  2. Woher: die vollständige URL oder Quelle, etwa die RDAP-Abfrage für die Domain.

  3. Wann: Datum, Uhrzeit und Zeitzone der Erfassung.

  4. Wer und womit: Person, Gerät, Browser oder Werkzeug.

  5. Prüfsumme: der SHA-256-Wert der Datei direkt nach der Erfassung.

Dazu kommen Einträge für jede Übergabe: an wen, wann, über welchen Weg, und die Prüfsumme, die der Empfänger bestätigt.

Was ist eine Prüfsumme, einfach erklärt?

Ein digitaler Fingerabdruck. Ein Verfahren wie SHA-256 berechnet aus einer Datei eine lange Zeichenfolge. Ändert sich auch nur ein Bit in der Datei, ergibt sich eine völlig andere Zeichenfolge. Wer die Prüfsumme bei der Erfassung notiert, kann später zeigen, dass die Datei unverändert ist: Er berechnet die Prüfsumme erneut und vergleicht. SHA-256 ist im Standard FIPS 180-4 festgelegt und auf allen gängigen Systemen mit Bordmitteln verfügbar (NIST).

Eine Vorlage für Ihr Protokoll

So kann ein Eintrag aussehen. Führen Sie ihn als Tabelle oder Textdatei neben den Beweisen:

Vorlage

Fall: [Kurzname des Falls, Fallnummer]

Datei: [Dateiname], [Beschreibung]

Quelle: [vollständige URL oder Abfrage]

Erfasst am: [Datum, Uhrzeit, Zeitzone], von [Name], mit [Gerät, Browser oder Werkzeug, Version]

SHA-256: [Prüfsumme]

Ablage: [Speicherort, Zugriff nur für (Personen oder Rolle)]

Übergaben: [Datum, an wen, über welchen Weg, Prüfsumme bestätigt ja oder nein]

Wo und wie bewahren Sie Beweise auf?

So, dass niemand sie unbemerkt ändern kann. Bewährt haben sich ein eigener Ablageort pro Fall mit beschränktem Zugriff, schreibgeschützte Originale und Arbeitskopien für Markierungen oder Schwärzungen. Bearbeiten Sie nie das Original. Vermerken Sie, wer Zugriff hat, und protokollieren Sie jede Weitergabe. Für die Übergabe an eine Kanzlei zeigt Das Beweispaket, das Ihre Kanzlei wirklich braucht eine bewährte Struktur.

Welche Fehler brechen die Kette?

  • Originale bearbeiten: Ein zugeschnittener oder markierter Screenshot ist kein Original mehr.

  • Prüfsumme zu spät: Eine Prüfsumme, die erst Wochen später berechnet wird, belegt nur den Zustand ab dann.

  • Weiterleiten statt übergeben: Dateien, die per Messenger oder als weitergeleitete E-Mail reisen, verlieren oft Metadaten oder werden komprimiert.

  • Lücken im Protokoll: Ein fehlender Eintrag bei einer Übergabe reicht, um Zweifel zu säen.

  • Unklare Zeitangaben: Ohne Zeitzone lässt sich eine Uhrzeit nicht eindeutig zuordnen.

Wie viel Aufwand ist angemessen?

So viel, wie der Fall wahrscheinlich braucht. Für einen einfachen Takedown reichen gute Screenshots und Daten mit Zeitstempel. Sobald ein Fall vor Gericht gehen könnte, Kunden geschädigt wurden oder ein Täter wiederholt auftaucht, lohnt sich das vollständige Protokoll mit Prüfsummen. Weil Sie das beim Fund selten wissen, ist es klug, es von Anfang an zu führen: Nachholen lässt es sich nicht. Ob und wie eine Beweiskette vor Gericht trägt, klären Sie mit Ihrer Kanzlei. Diese Übersicht ist keine Rechtsberatung.

Wie hilft AI Fraud Protect?

AI Fraud Protect erfasst für jeden Fund Screenshots, vollständige URL und Registrierungs-, DNS-, Hosting- und Zertifikatsdaten mit Zeitstempel und hält das Beweispaket am Fall fest. Alle Meldungen und Antworten werden mitdokumentiert, sodass der Weg jedes Falls nachvollziehbar bleibt. Jede Meldung prüft und versendet ein Mensch.

Sehen Sie, welche Fälschungen Ihren Namen nutzen.

Starten Sie den kostenlosen Fraud-Scan für einen Kurzreport innerhalb von 48 Stunden oder fragen Sie eine Demo an, um Erkennung, Beweise und Takedown in der App zu sehen.

Kostenlosen Fraud-Scan startenDemo anfragen

Häufige Fragen

Brauche ich forensische Spezialsoftware?

Für die meisten Fälle nicht. Ein Werkzeug für Prüfsummen, ein geschützter Ablageort und ein sauberes Protokoll reichen. Spezialsoftware hilft bei großen Fallzahlen und komplexen Verfahren.

Wie berechne ich eine SHA-256-Prüfsumme?

Mit Bordmitteln: Unter Windows mit Get-FileHash in der PowerShell, unter macOS und Linux mit shasum oder sha256sum im Terminal.

Muss jede Person, die Beweise erfasst, im Protokoll stehen?

Ja. Wer etwas erfasst oder weitergibt, gehört ins Protokoll. Halten Sie den Kreis klein.

Reicht eine Beweiskette auch für Behörden?

Sie ist eine gute Grundlage. Behörden haben eigene Anforderungen, die sie Ihnen bei Bedarf nennen.

Quellen

Mehr aus dieser Reihe

Zur Blog-ÜbersichtRead in English