Malte ZanderInhalt
Eine Kanzlei braucht nach einem Takedown fünf Dinge: eine einseitige Fallübersicht, die unveränderten Rohdaten der Fälschung, ein Protokoll mit Prüfsummen, die Korrespondenz mit Hostern und Registraren sowie Nachweise zu Ihren Rechten und zum Schaden. Übergeben Sie alles in einer geordneten Struktur mit Inhaltsverzeichnis, damit die Kanzlei ohne Rückfragen prüfen kann, welcher Weg sich lohnt.
- ISO/IEC 27037 beschreibt, wie digitale Beweise identifiziert, gesammelt, erfasst und gesichert werden (ISO).
- Das Berkeley-Protokoll legt Mindeststandards für das Sammeln, Sichern und Prüfen von Online-Informationen fest (UC Berkeley).
- Die Verarbeitung personenbezogener Daten, die für die Verhinderung von Betrug unbedingt erforderlich ist, stellt nach der DSGVO ein berechtigtes Interesse dar (DSGVO, Erwägungsgrund 47).
- Hoster in der EU müssen Ihnen ihre Entscheidung zu einer Meldung mitteilen und die möglichen Rechtsbehelfe nennen (DSA, Artikel 16).
Was fragt eine Kanzlei nach einem Takedown?
Immer dieselben Fragen. Was ist passiert, wo und wann? Wer steckt dahinter, soweit erkennbar? Welche Rechte sind betroffen? Welcher Schaden ist entstanden? Was haben Sie bereits unternommen, und mit welchem Ergebnis? Ein gutes Beweispaket beantwortet diese Fragen, bevor sie gestellt werden. Es spart Ihnen Abstimmungsschleifen und der Kanzlei Stunden. Diese Übersicht ist keine Rechtsberatung, sie beschreibt nur, was Kanzleien typischerweise brauchen.
Die Checkliste
| Bestandteil | Inhalt | Format |
|---|---|---|
| Fallübersicht | Eine Seite: was, wo, wann, wer, Schaden, Stand | |
| Screenshots | Desktop und Mobil, vollständige URL, Zeitstempel | Originaldateien, PNG |
| Quelltext und Archivkopie | HTML, eingebundene Dateien, Archiv mit Zeitstempel | HTML, WARC oder PDF |
| Registrierungsdaten | RDAP-Ausgabe der Domain | Rohdaten als Text oder JSON |
| DNS und Hosting | Einträge, IP-Adressen, Netzdaten, CDN | Rohdaten mit Zeitstempel |
| Zertifikat | Aussteller, Gültigkeit, Namen, Logeintrag | Zertifikatsdatei und Link |
| Protokoll | Wer hat was wann womit erfasst | Tabelle oder PDF |
| Prüfsummen | SHA-256 jeder Datei | Textdatei |
| Korrespondenz | Meldungen, Bestätigungen, Entscheidungen, Vorgangsnummern | E-Mails als Datei, nicht weitergeleitet |
| Rechte | Markenurkunden, Registerauszüge, Vollmachten | |
| Schaden | Kundenmeldungen, betroffene Transaktionen, interne Aufwände | Anonymisiert, wo möglich |
Die Fallübersicht auf einer Seite
Sie ist das wichtigste Dokument, weil die Kanzlei damit in fünf Minuten versteht, worum es geht. Diese Struktur hat sich bewährt:
Fall: [Kurzname, etwa "Fake-Login ihre-marke-login.com"]
Was: [Phishing-Seite, Fake-Shop, gefälschte Prüfseite] imitiert [Marke, betroffene Seite]. Sie [fragt Zugangsdaten ab, verkauft Waren, bestätigt gefälschte Zertifikate].
Wo: [vollständige URL], Domain registriert am [Datum] bei [Registrar], gehostet bei [Hoster], hinter [CDN, falls vorhanden].
Wann: erster Hinweis am [Datum, Uhrzeit, Zeitzone] durch [Quelle], online bis [Datum oder "weiterhin"].
Wer: [bekannte Angaben zum Betreiber oder "unbekannt"], verknüpft mit [frühere Fälle].
Schaden: [Zahl der Kundenmeldungen, bekannte Verluste, Supportaufwand].
Stand: gemeldet an [Kanäle] am [Datum]. Ergebnis: [entfernt am, gesperrt am, offen].
Frage an die Kanzlei: [etwa Abmahnung, Domainstreit, Strafanzeige prüfen].
Was gehört zu den Rohdaten?
Alles, was Sie bei der Sicherung erhoben haben, im Originalzustand. Zusammenfassungen sind hilfreich, ersetzen aber nicht die Rohdaten. Eine Kanzlei oder ein Gutachter will die RDAP-Antwort sehen, nicht Ihre Abschrift davon. Wie Sie Screenshots belastbar erstellen, zeigt Screenshots als Beweis, wie Sie eine Seite archivieren, Fake-Seiten archivieren.
Warum Protokoll und Prüfsummen?
Weil sie die Glaubwürdigkeit der Beweise tragen. Das Protokoll hält fest, wer welche Datei wann und womit erstellt hat. Die Prüfsumme belegt, dass die Datei seitdem nicht verändert wurde. Beides zusammen ergibt die Beweiskette, die Gegenseite und Gericht nachvollziehen können. Wie das einfach geht, erklärt Beweiskette für digitale Beweise.
Welche Korrespondenz gehört dazu?
Alle Meldungen an Hoster, Registrare, CDNs, Plattformen und Browser, jeweils mit Datum, Empfänger und Vorgangsnummer, dazu Eingangsbestätigungen und Entscheidungen. Hoster in der EU müssen Ihnen ihre Entscheidung mitteilen und die Rechtsbehelfe nennen (DSA, Artikel 16). Diese Nachrichten zeigen, was Sie unternommen haben, und können für weitere Schritte wichtig sein. Speichern Sie E-Mails als Dateien mit allen Kopfzeilen, nicht als weitergeleitete Nachrichten.
Und die personenbezogenen Daten?
Mit Augenmaß. Beweise enthalten oft Daten über Personen, etwa Namen aus Registrierungsdaten, E-Mail-Adressen von Opfern oder Kundennummern. Die DSGVO erkennt die Verhinderung von Betrug als berechtigtes Interesse an, soweit die Verarbeitung dafür unbedingt erforderlich ist (DSGVO, Erwägungsgrund 47). Übergeben Sie deshalb nur, was für den Fall nötig ist, schwärzen oder anonymisieren Sie Kundendaten in Kopien und dokumentieren Sie, wer Zugriff hat.
Wie übergeben Sie das Paket?
In einer festen Ordnerstruktur mit Inhaltsverzeichnis:
00_Fallübersicht.pdf mit der Seite von oben.
01_Beweise mit Screenshots, Quelltext, Archivkopien, RDAP-, DNS-, Hosting- und Zertifikatsdaten.
02_Protokoll_und_Pruefsummen mit Erfassungsprotokoll und Prüfsummenliste.
03_Korrespondenz mit allen Meldungen und Antworten.
04_Rechte mit Markenurkunden und Vollmachten.
05_Schaden mit anonymisierten Kundenmeldungen und Aufwänden.
Übertragen Sie das Paket über einen geschützten Weg, nicht als offenen E-Mail-Anhang, und vermerken Sie die Übergabe im Protokoll.
Wie hilft AI Fraud Protect?
AI Fraud Protect erstellt für jeden Fall automatisch ein Beweispaket mit Screenshots, Registrierungs-, DNS-, Hosting- und Zertifikatsdaten und hält alle Meldungen und Antworten am Fall fest. Wenn Ihre Rechtsabteilung oder Kanzlei übernimmt, liegt der Fall vollständig dokumentiert vor. Jede Meldung prüft und versendet ein Mensch.
Starten Sie den kostenlosen Fraud-Scan für einen Kurzreport innerhalb von 48 Stunden oder fragen Sie eine Demo an, um Erkennung, Beweise und Takedown in der App zu sehen.
Häufige Fragen
Wann sollte ich die Kanzlei einschalten?
Wenn derselbe Täter wiederkommt, ein Betreiber bekannt ist, Kunden Geld verloren haben oder Sie eine Domain dauerhaft zurückholen wollen. Für einzelne Phishing-Seiten reicht meist der Takedown.
Muss ich die Fake-Seite noch online haben, um Beweise zu übergeben?
Nein, wenn Sie vor dem Takedown gesichert haben. Genau deshalb kommen Beweise immer vor der Meldung.
Reichen Screenshots für eine Abmahnung?
Das entscheidet die Kanzlei. Je vollständiger Rohdaten, Protokoll und Prüfsummen sind, desto stärker ist die Ausgangslage.
Wie lange bewahren wir das Paket auf?
So lange, wie rechtliche Schritte möglich sind oder laufen. Legen Sie die Frist mit Ihrer Rechtsabteilung fest und löschen Sie danach dokumentiert.
Quellen
ISO/IEC 27037:2012, Leitfaden zum Identifizieren, Sammeln, Erfassen und Sichern digitaler Beweise
UC Berkeley Human Rights Center: Berkeley Protocol on Digital Open Source Investigations
Digital Services Act, Artikel 16, mit dem amtlichen Text auf EUR-Lex