Ein Smartphone, ein Notebook oder ein Tablet wirkt auf den ersten Blick wie ein Werkzeug, das nur das tut, was sein Besitzer gerade von ihm verlangt. Tatsächlich entsteht bei der täglichen Nutzung jedoch eine Vielzahl zusätzlicher Informationen. Dateien werden geöffnet, Nachrichten verschickt, WLAN-Verbindungen aufgebaut, Programme gestartet, Fotos aufgenommen und Webseiten besucht. Viele dieser Vorgänge hinterlassen Spuren, obwohl der Nutzer sie niemals bewusst gespeichert hat. Manche Informationen bleiben nur kurze Zeit erhalten, andere können über Monate oder Jahre auf einem Gerät vorhanden sein. Wieder andere werden mit Cloud-Diensten synchronisiert und existieren dadurch an mehreren Stellen gleichzeitig. Digitale Geräte besitzen deshalb gewissermaßen ein Gedächtnis, das wesentlich umfangreicher sein kann als die sichtbaren Dateien und Apps auf dem Bildschirm vermuten lassen. Interessant wird dieses Gedächtnis immer dann, wenn später nachvollzogen werden soll, was zu einem bestimmten Zeitpunkt mit einem Gerät geschehen ist.
Eine Datei besteht aus mehr als ihrem sichtbaren Inhalt
Wer ein Foto öffnet, sieht zunächst nur das Bild. Für einen Computer besteht die Datei jedoch aus wesentlich mehr Informationen. Je nach Dateityp können beispielsweise Zeitangaben, technische Eigenschaften, Angaben zum verwendeten Gerät oder weitere sogenannte Metadaten enthalten sein. Auch das Dateisystem selbst verwaltet Informationen darüber, wann Dateien angelegt oder verändert wurden. Solche Daten entstehen nicht in erster Linie, um Nutzer zu überwachen. Ein Betriebssystem benötigt sie für ganz praktische Aufgaben. Dateien müssen sortiert, Programme verwaltet und Änderungen verarbeitet werden. Trotzdem können diese technischen Begleitinformationen später Hinweise liefern. Ein Bild kann beispielsweise Informationen über den Zeitpunkt seiner Aufnahme enthalten, eine Datei kann erkennen lassen, wann sie bearbeitet wurde, und bestimmte Dokumentformate speichern Angaben darüber, mit welchem Programm sie erstellt wurden. Wie zuverlässig einzelne Angaben sind, hängt allerdings stark vom jeweiligen System, Dateiformat und Nutzungsvorgang ab.
Löschen bedeutet nicht immer sofortiges Verschwinden
Besonders überraschend ist für viele Nutzer, dass eine gelöschte Datei nicht zwangsläufig im selben Augenblick vollständig vom Datenträger verschwindet. Bei klassischen Dateisystemen wird häufig zunächst nur vermerkt, dass der bislang belegte Speicherbereich wieder verwendet werden darf. Solange dieser Bereich noch nicht mit neuen Daten überschrieben wurde, können Teile einer Datei unter bestimmten Umständen weiterhin vorhanden sein. Bei modernen SSDs, Smartphones und verschlüsselten Speichern ist die Situation allerdings deutlich komplizierter. Funktionen wie TRIM, interne Speicherverwaltung und Verschlüsselung können eine spätere Wiederherstellung erheblich erschweren oder unmöglich machen. Genau deshalb lässt sich nicht pauschal behaupten, jede gelöschte Datei könne wiederhergestellt werden. In professionellen Untersuchungen spielt vielmehr die konkrete Kombination aus Gerät, Betriebssystem, Speichertechnik und zwischenzeitlicher Nutzung eine entscheidende Rolle.
Digitale Spuren müssen richtig interpretiert werden
Einzelne technische Informationen sind häufig weniger eindeutig, als sie auf den ersten Blick erscheinen. Ein Zeitstempel beweist beispielsweise nicht automatisch, dass eine bestimmte Person zu diesem Zeitpunkt bewusst eine Datei geöffnet hat. Hintergrundprozesse können Daten verändern, Programme erzeugen automatische Kopien und Cloud-Dienste synchronisieren Inhalte zwischen verschiedenen Geräten. Auch falsche Systemzeiten oder spätere Veränderungen können eine Rolle spielen. Deshalb besteht professionelle IT-Forensik nicht einfach darin, möglichst viele Dateien aus einem Computer auszulesen. Entscheidend ist vielmehr, digitale Spuren nachvollziehbar zu sichern, verschiedene Informationsquellen miteinander zu vergleichen und daraus belastbare Zusammenhänge abzuleiten. Gerade die Interpretation unterscheidet eine systematische Untersuchung von der bloßen Suche nach interessanten Dateien. Ein einzelner Fund kann einen Hinweis liefern, erhält seine tatsächliche Bedeutung aber häufig erst im Zusammenhang mit weiteren Daten.
Browser führen ein erstaunlich detailliertes Eigenleben
Auch beim Surfen entstehen zahlreiche Informationen. Browser verwalten beispielsweise Verlaufseinträge, Cookies, zwischengespeicherte Inhalte, Downloads und Einstellungen für einzelne Webseiten. Einige dieser Daten sind offensichtlich, andere arbeiten weitgehend im Hintergrund. Cookies ermöglichen unter anderem, dass Nutzer eingeloggt bleiben oder ein Onlineshop den Inhalt eines Warenkorbs wiedererkennt. Zwischengespeicherte Dateien sorgen dafür, dass Webseiten beim nächsten Aufruf schneller geladen werden können. Der Browserverlauf erleichtert es, eine bereits besuchte Seite wiederzufinden. Aus technischer Sicht handelt es sich dabei um praktische Komfortfunktionen. Zusammengenommen können sie jedoch ein recht detailliertes Bild darüber liefern, welche Internetangebote auf einem Gerät verwendet wurden. Private oder Inkognito-Modi reduzieren bestimmte lokal gespeicherte Informationen, machen einen Nutzer aber keineswegs automatisch unsichtbar. Internetanbieter, Serverbetreiber oder andere beteiligte Systeme können weiterhin eigene Verbindungsdaten besitzen.
Smartphones sammeln besonders viele unterschiedliche Informationen
Das Smartphone ist für digitale Spuren besonders interessant, weil es zahlreiche früher getrennte Geräte miteinander verbindet. Es ist Telefon, Kamera, Kalender, Navigationsgerät, Kommunikationszentrale, Internetzugang und teilweise sogar Zahlungsmittel. Entsprechend unterschiedlich sind die Daten, die bei seiner Nutzung entstehen können. Messenger verwalten Nachrichten und Medien, Apps speichern Einstellungen, Kameras erzeugen Bilder und Videos, das Betriebssystem dokumentiert technische Vorgänge und verschiedene Dienste arbeiten mit Standortinformationen. Hinzu kommen Daten aus Cloud-Sicherungen oder synchronisierten Benutzerkonten. Moderne Smartphones schützen viele dieser Informationen allerdings sehr wirksam durch Verschlüsselung und andere Sicherheitsmechanismen. Dass ein Gerät theoretisch zahlreiche Daten enthält, bedeutet deshalb nicht automatisch, dass diese ohne Weiteres ausgelesen werden können. Die Sicherheit aktueller Mobilgeräte wurde in den vergangenen Jahren erheblich verbessert.
Standortdaten entstehen an mehr Stellen als nur in Karten-Apps
Wer an Standortinformationen denkt, hat häufig zunächst Navigationsprogramme vor Augen. Tatsächlich kann der Aufenthaltsort eines Geräts aber auf unterschiedlichen Wegen eine Rolle spielen. GPS ist nur eine Möglichkeit. Auch WLAN-Netze, Mobilfunkverbindungen, Fotos oder bestimmte App-Funktionen können indirekte oder direkte Hinweise auf einen Standort liefern. Gleichzeitig muss sorgfältig unterschieden werden, was eine solche Information tatsächlich aussagt. Der Standort eines Smartphones ist nicht zwingend identisch mit dem Standort seines Besitzers. Ein Gerät kann zu Hause liegen, verliehen worden sein oder von einer anderen Person verwendet werden. Selbst präzise technische Daten benötigen deshalb einen Kontext. Genau dieser Unterschied zwischen einer technisch festgestellten Geräteeigenschaft und einer Aussage über das Verhalten eines Menschen ist bei der Bewertung digitaler Spuren besonders wichtig.
Nachrichten existieren häufig an mehreren Stellen gleichzeitig
Bei digitaler Kommunikation entsteht schnell der Eindruck, eine Nachricht liege ausschließlich auf dem eigenen Smartphone. Tatsächlich können je nach Dienst mehrere Systeme beteiligt sein. Daten befinden sich möglicherweise auf dem Gerät des Absenders, beim Empfänger, in Sicherungen oder auf Servern eines Anbieters. Manche Messenger arbeiten mit Ende-zu-Ende-Verschlüsselung, andere speichern bestimmte Inhalte oder Metadaten auf unterschiedliche Weise. Auch Screenshots, weitergeleitete Nachrichten oder exportierte Chatverläufe können zusätzliche Kopien erzeugen. Das macht pauschale Aussagen schwierig. Eine Nachricht, die auf einem Gerät gelöscht wurde, muss deshalb weder zwingend überall verschwunden noch an anderer Stelle noch vorhanden sein. Welche Spuren tatsächlich existieren, hängt von der konkreten Anwendung und deren Einstellungen ab. Gerade bei Messengern verändern Softwareupdates und neue Sicherheitsfunktionen außerdem regelmäßig die technische Ausgangslage.
Cloud-Dienste haben das digitale Gedächtnis erweitert
Früher lagen persönliche Daten hauptsächlich auf dem heimischen Computer. Heute werden Fotos, Dokumente, Kontakte und Einstellungen häufig automatisch synchronisiert. Das ist ausgesprochen praktisch. Ein verlorenes Smartphone bedeutet nicht mehr zwangsläufig den Verlust sämtlicher Bilder und ein Dokument kann auf mehreren Geräten weiterbearbeitet werden. Gleichzeitig wird dadurch schwieriger zu erkennen, wo eine Datei tatsächlich gespeichert ist. Das Löschen auf einem Gerät kann eine Löschung in der Cloud auslösen, muss es aber je nach Dienst nicht sofort tun. Manche Anbieter verwenden Papierkörbe oder Wiederherstellungszeiträume, andere halten zusätzliche Sicherungen vor. Auch lokale Kopien können bestehen bleiben. Die Grenze zwischen einem einzelnen Gerät und einem Benutzerkonto ist dadurch unschärfer geworden. Wer digitale Spuren verstehen möchte, muss deshalb inzwischen häufig das gesamte Zusammenspiel aus Gerät, Konto und Onlinediensten betrachten.
Auch Betriebssysteme hinterlassen technische Protokolle
Computer und Smartphones müssen ständig dokumentieren, was innerhalb des Systems geschieht. Programme stürzen ab, Updates werden installiert, Netzwerkverbindungen aufgebaut und Dienste gestartet. Für Administratoren und Entwickler sind Protokolldateien unverzichtbar, weil sich technische Probleme sonst kaum nachvollziehen ließen. Genau diese Daten können unter bestimmten Umständen auch Hinweise darauf liefern, wann ein System aktiv war oder welche Vorgänge stattgefunden haben. Allerdings sind solche Protokolle nicht dafür geschaffen, eine lückenlose Geschichte des Nutzerverhaltens zu erzählen. Manche Einträge werden nach einer bestimmten Zeit überschrieben, andere enthalten nur technische Informationen. Zudem unterscheiden sich Betriebssysteme erheblich darin, welche Ereignisse überhaupt protokolliert werden. Aus einer fehlenden Information lässt sich deshalb keineswegs automatisch schließen, dass ein bestimmter Vorgang nicht stattgefunden hat.
Ein Computer kann Spuren von angeschlossenen Geräten behalten
Auch der Anschluss externer Hardware kann Informationen hinterlassen. USB-Speicher, Drucker, Smartphones oder andere Geräte müssen vom Betriebssystem erkannt und verwaltet werden. Dadurch können technische Einträge entstehen, aus denen später hervorgeht, dass ein bestimmter Gerätetyp oder unter Umständen sogar ein konkretes Gerät mit einem Rechner verbunden war. Solche Informationen sind im normalen Alltag kaum sichtbar. Für das Betriebssystem sind sie jedoch sinnvoll, weil bekannte Hardware beim nächsten Anschluss schneller eingerichtet werden kann. Auch hier gilt allerdings: Der Nachweis einer technischen Verbindung sagt zunächst nur etwas über Geräte aus. Wer das angeschlossene Gerät verwendet hat und welche Dateien dabei tatsächlich übertragen wurden, ist eine andere Frage und benötigt zusätzliche Hinweise.
Fotos können mehr erzählen als das Motiv
Digitale Fotos gehören zu den interessantesten Beispielen für versteckte Zusatzinformationen. Neben dem sichtbaren Bild können Kameras und Smartphones Metadaten speichern, die beispielsweise Aufnahmezeit, Kameramodell oder technische Einstellungen enthalten. Wenn Standortinformationen für die Kamera aktiviert waren, können je nach Gerät auch geografische Angaben Teil der Bilddaten sein. Viele soziale Netzwerke und Messenger verändern Fotos beim Hochladen oder entfernen bestimmte Metadaten, weshalb die ursprünglichen Angaben nicht zwangsläufig in jeder Kopie erhalten bleiben. Trotzdem zeigt das Beispiel sehr gut, wie unterschiedlich sichtbarer Inhalt und technische Informationen sein können. Ein Urlaubsfoto besteht für den Betrachter aus Strand und Meer, für einen Computer kann dieselbe Datei zusätzlich aus einer ganzen Reihe strukturierter Datenfelder bestehen.
Datensicherung verändert die Frage nach gelöschten Informationen
Backups sind eigentlich dazu gedacht, Datenverlust zu verhindern. Genau deshalb können sie ältere Zustände eines Systems bewahren, die auf dem aktuellen Gerät längst nicht mehr vorhanden sind. Eine Datei wurde vielleicht am Montag gelöscht, existiert aber noch in einer Sicherung vom Sonntag. Dasselbe kann für Nachrichten, Datenbanken oder andere Informationen gelten. In Unternehmen existieren teilweise mehrere Generationen von Sicherungen, während private Nutzer möglicherweise automatische Cloud-Backups verwenden, ohne sich im Alltag weiter damit zu beschäftigen. Für die Rekonstruktion früherer Datenbestände können solche Sicherungen ausgesprochen wertvoll sein. Umgekehrt sollte jedem bewusst sein, dass eine Datei nicht unbedingt vollständig verschwindet, nur weil sie aus ihrem ursprünglichen Ordner entfernt wurde. Wer sensible Informationen wirklich beseitigen möchte, muss deshalb auch vorhandene Sicherungen und synchronisierte Kopien berücksichtigen.
Zeit ist bei digitalen Spuren ein entscheidender Faktor
Datenträger und Betriebssysteme verändern sich ständig. Speicherbereiche werden neu verwendet, Protokolle überschrieben und Cloud-Dienste synchronisieren aktuelle Zustände. Deshalb können Informationen, die unmittelbar nach einem Ereignis noch vorhanden sind, Wochen später bereits verschwunden sein. Gleichzeitig kann jede weitere Nutzung eines Geräts neue Daten erzeugen und ältere Bereiche verändern. Bei wichtigen Untersuchungen wird deshalb versucht, den ursprünglichen Zustand möglichst wenig zu verändern. Ein unbedachtes Durchsuchen des Geräts kann selbst neue Spuren erzeugen, beispielsweise weil Dateien geöffnet oder Programme gestartet werden. Für den normalen Privatnutzer spielt das kaum eine Rolle. Sobald digitale Daten jedoch als Beweismittel oder zur detaillierten Rekonstruktion eines Vorgangs benötigt werden, wird die Art der Sicherung entscheidend.
Ein Zeitstempel ist noch kein Beweis für eine Handlung
Digitale Daten wirken oft besonders objektiv, weil sie aus einem technischen System stammen. Doch auch Computerinformationen benötigen Interpretation. Eine Datei mit einer bestimmten Uhrzeit wurde möglicherweise automatisch kopiert. Ein Browseraufruf kann durch einen Hintergrundprozess ausgelöst worden sein und ein Standortwert besitzt immer eine bestimmte Genauigkeit. Selbst scheinbar eindeutige Zeitangaben können durch Zeitzonen, falsch eingestellte Systemuhren oder Synchronisationsvorgänge beeinflusst werden. Deshalb ist es problematisch, aus einem einzelnen Datenpunkt sofort weitreichende Schlüsse zu ziehen. Je wichtiger eine Aussage ist, desto wichtiger wird der Vergleich verschiedener Quellen. Stimmen Dateiinformationen, Protokolle, Kommunikationsdaten und andere Hinweise miteinander überein, entsteht ein deutlich belastbareres Bild als aus einem isolierten Fund.
Digitale Privatsphäre beginnt mit dem Wissen über die eigenen Daten
Man muss kein Ermittler sein, um von diesem Wissen zu profitieren. Schon im Alltag ist es hilfreich zu verstehen, dass digitale Informationen häufig länger und an mehr Orten existieren, als man vermutet. Wer ein altes Smartphone verkauft, sollte es korrekt zurücksetzen. Wer Fotos veröffentlicht, kann sich überlegen, welche Zusatzinformationen darin enthalten sein könnten. Bei gemeinsam genutzten Computern lohnt sich ein Blick darauf, welche Konten angemeldet bleiben und welche Daten automatisch synchronisiert werden. Auch Backups verdienen Aufmerksamkeit, weil sie sowohl Schutz vor Datenverlust als auch zusätzliche Kopien persönlicher Informationen darstellen. Datenschutz besteht deshalb nicht nur aus komplizierten Cookie-Bannern und Datenschutzerklärungen. Ein erheblicher Teil beginnt bei der Frage, welche Spuren wir auf den eigenen Geräten selbst hinterlassen.
Die digitale Welt besitzt ein erstaunlich langes Gedächtnis
Unsere Geräte zeichnen nicht bewusst eine vollständige Chronik unseres Lebens auf. Trotzdem entstehen aus zahllosen kleinen technischen Vorgängen Informationen, die zusammengenommen überraschend viel erzählen können. Dateien besitzen Metadaten, Browser speichern Komfortinformationen, Apps verwalten eigene Datenbestände und Cloud-Systeme erzeugen zusätzliche Kopien. Gleichzeitig verschwinden andere Spuren schnell wieder oder lassen sich aufgrund moderner Verschlüsselung überhaupt nicht sinnvoll auslesen. Gerade diese Mischung macht das Thema so faszinierend. Digitale Spuren sind weder allwissend noch bedeutungslos. Sie sind kleine technische Fragmente, deren Aussagekraft davon abhängt, wie sie entstanden sind und in welchem Zusammenhang sie betrachtet werden. Wer das versteht, sieht Computer und Smartphones vielleicht ein wenig anders: nicht nur als Geräte, auf denen wir Informationen speichern, sondern als Systeme, die bei ihrer täglichen Arbeit ständig selbst neue Informationen erzeugen.