Beweissicherung im Internet: Online-Inhalte sichern, bevor sie verschwinden

Warum Screenshot und PDF als Beweis selten genügen

Screenshot und PDF sind als Beweismittel nicht ausgeschlossen, belegen aber weder die Herkunft noch den Zeitpunkt noch die Unversehrtheit einer Seite.

Ein Screenshot ist vor deutschen Gerichten grundsätzlich als Beweis verwertbar, aber schwach: Er zeigt nicht, wie, wann und über welche Verbindung er entstanden ist, und er lässt sich mit jeder gängigen Bildbearbeitung verändern, ohne dass das Bild Spuren davon zeigt. Für ein PDF, das der Browser aus einer Seite erzeugt, gilt dasselbe, weil auch dort die Antwort des Servers, das Zertifikat der Website und ein unabhängiger Zeitnachweis fehlen. Da das Gericht nach § 286 ZPO frei würdigt, wie überzeugend ein Beweismittel ist, kann ein solches Bild an Überzeugungskraft verlieren, wenn die Gegenseite bestreitet, dass die Seite je so ausgesehen hat.

TrueScreen erfasst die Seite deshalb in einer forensischen Sitzung und schließt Adresse, kontrollierten Erfassungszeitpunkt und Hashwerte mit einem qualifizierten elektronischen Siegel und einem qualifizierten Zeitstempel ab. Damit lässt sich später nachrechnen, ob an der gesicherten Seite seit der Erfassung etwas verändert wurde.

Wer eine Webseite als PDF speichert oder einen Screenshot anfertigt, hat zumindest eine Gedächtnisstütze, sollte sich im Streitfall aber nicht allein darauf verlassen. Unter welchen Voraussetzungen ein Bildschirmfoto im Prozess trotzdem trägt und wie es sich ergänzen lässt, erklärt der Beitrag über Screenshots als Beweismittel vor Gericht.

Was ist forensische Beweissicherung im Internet?

Bei einer forensischen Erfassung wird mit dem Bild einer Seite zugleich festgehalten, woher es stammt, wann es entstanden ist und unter welchen Bedingungen.

Forensische Beweissicherung im Internet ist die Erfassung eines Online-Inhalts nach einem dokumentierten und wiederholbaren Verfahren, wie es die internationale Norm ISO/IEC 27037:2012 mit ihren Leitlinien für die Identifizierung, Sammlung, Erfassung und Sicherung digitaler Beweise beschreibt: Die Seite wird samt Adresse, Zeitpunkt und technischer Umgebung festgehalten, jede Datei erhält einen Hashwert, und eine lückenlose Beweiskette (Chain of Custody) zeigt, dass zwischen Erfassung und Vorlage nichts verändert wurde.

TrueScreen wendet dieses Verfahren auf Webseiten, Social-Media-Profile und -Beiträge sowie auf Videos und Live-Übertragungen an, die im Browser laufen. Gesichert wird dabei stets der Zustand, den der Inhalt im Moment des Abrufs hat.

Im Unterschied zum Screenshot hält eine forensische Erfassung Folgendes fest. Zur Herkunft gehören die Antwort des Servers und das TLS-Zertifikat der Website, zum Zeitpunkt ein qualifizierter Zeitstempel. Die Unversehrtheit sichern Hashwerte, an denen sich eine spätere Veränderung erkennen lässt, und die Umgebung beschreibt ein Bericht darüber, mit welchem System, welcher Verbindung und welchen Einstellungen erfasst wurde. Wie die einzelnen Glieder einer solchen Kette zusammenhängen, zeigt der Beitrag zur digitalen Beweiskette und Chain of Custody.

Wenn Inhalte verschwinden: Warum der Zeitpunkt entscheidet

Online-Inhalte verschwinden schneller, als die meisten annehmen, deshalb gehört die Sicherung an den Anfang eines Konflikts und nicht an sein Ende.

Wie flüchtig das Netz ist, hat das Pew Research Center 2024 gemessen: Von den Webseiten, die 2013 existierten, waren im Oktober 2023 38 % nicht mehr erreichbar, und von allen Seiten aus den Jahren 2013 bis 2023 war es insgesamt ein Viertel. Auf Nachrichtenseiten enthielten 23 % der untersuchten Seiten mindestens einen toten Link, und von den in der Studie erfassten Tweets war fast jeder fünfte (18 %) wenige Monate nach der Veröffentlichung nicht mehr öffentlich sichtbar.

Im Streitfall geht es selten um ganze Websites, sondern um einzelne Zustände: ein Beitrag, der gelöscht oder nachträglich geändert wird, eine Anzeige, die die Plattform entfernt, ein Shop, der Preise und Geschäftsbedingungen austauscht, ein Profil, das plötzlich nur noch Freunden zugänglich ist. Jede dieser Änderungen überschreibt genau den Stand, auf den es später ankommt.

Eine Erfassung wirkt nur ab ihrem eigenen Zeitpunkt, denn sie belegt, wie die Seite in diesem Moment aussah, nicht aber, dass sie vorher anders war. Wer also abwartet, ob sich ein Streit wirklich entwickelt, riskiert, dass der entscheidende Inhalt bis dahin verschwunden ist, gleich ob später eine Strafanzeige folgt oder ein Auskunftsantrag, wie ihn der Entwurf eines Gesetzes gegen digitale Gewalt vorsieht.

TrueScreen gibt dafür eine klare Regel vor: Wenn ein Inhalt jeden Moment verschwinden kann und die Zeit drängt, ist die Browser Extension der schnellste Weg, und wenn absehbar ist, dass die Gegenseite die Art der Erfassung angreifen wird, ist der Forensic Browser die richtige Wahl.

Öffentliche Webarchive: was sie belegen und was nicht

Ein öffentliches Webarchiv kann zeigen, dass eine Adresse zu einem bestimmten Zeitpunkt gespeichert wurde, hängt aber davon ab, ob und wie vollständig die Seite dort gelandet ist.

Die Wayback Machine des Internet Archive speichert seit 1996 Webseiten und hat nach eigenen Angaben im Oktober 2025 die Marke von einer Billion archivierter Seiten überschritten. Wer wissen will, wie eine Website früher aussah, kann dort die gespeicherten Aufnahmen nach Datum durchsuchen.

Die Hilfeseiten des Internet Archive nennen selbst die Grenzen (Stand 15.10.2026): Manche Websites fehlen, weil die automatischen Crawler sie nicht kannten, weil sie passwortgeschützt oder per robots.txt gesperrt waren oder weil ihre Betreiber den Ausschluss beantragt haben. JavaScript-Elemente sind nach denselben Angaben oft schwer zu archivieren, nicht jeder gespeicherte Tag einer Website ist vollständig, und fehlende verlinkte Seiten werden aus der zeitlich nächsten Aufnahme oder aus dem Live-Web geladen. Für Gerichtsverfahren erhält das Internet Archive nach eigenen Angaben regelmäßig Anfragen nach bestätigten Aufzeichnungen und verweist dafür auf ein eigenes Verfahren mit einer standardisierten Erklärung (Affidavit).

Für die Beweissicherung ist ein solches Archiv deshalb eine nützliche Ergänzung, aber kein Ersatz, weil es nur öffentlich zugängliche Seiten erfasst und weder Inhalte hinter einem Login noch das belegt, was eine bestimmte Person gesehen hat. TrueScreen ist kein fortlaufendes Webarchiv, sondern erfasst eine Seite genau dann, wenn Sie die Erfassung starten, auch hinter einem Login, sofern die Anmeldung innerhalb der aufgezeichneten Sitzung erfolgt.

Der Rechtsrahmen: ISO/IEC 27037, eIDAS und freie Beweiswürdigung

Die Vermutungen der eIDAS-Verordnung betreffen die Unversehrtheit der versiegelten Daten und die Richtigkeit des Zeitpunkts; über den Beweiswert insgesamt entscheidet das Gericht in freier Würdigung.

Der Rechtsrahmen für die Beweissicherung im Internet hat zwei Ebenen: ISO/IEC 27037 beschreibt, wie digitale Beweise ordnungsgemäß identifiziert, gesammelt, erfasst und gesichert werden, und die eIDAS-Verordnung (EU) Nr. 910/2014 knüpft an qualifizierte Vertrauensdienste gesetzliche Vermutungen. Für ein qualifiziertes elektronisches Siegel (Art. 3 Nr. 27) gilt die Vermutung der Unversehrtheit der Daten und der Richtigkeit ihrer Herkunftsangabe (Art. 35 Abs. 2), für einen qualifizierten elektronischen Zeitstempel (Art. 3 Nr. 34) die Vermutung der Richtigkeit von Datum und Uhrzeit sowie der Unversehrtheit der damit verbundenen Daten (Art. 41 Abs. 2). Als Verordnung gilt eIDAS unmittelbar in allen Mitgliedstaaten der Europäischen Union.

ISO/IEC 27037 wurde 2012 veröffentlicht. TrueScreen folgt ISO/IEC 27037 bei Erfassung und Sicherung und schließt jede Erfassung mit einem qualifizierten elektronischen Siegel und einem qualifizierten Zeitstempel ab, die international anerkannt sind und in der gesamten Europäischen Union die Vermutungen der eIDAS-Verordnung genießen.

In deutschen Zivilverfahren entscheidet das Gericht nach § 286 ZPO unter Berücksichtigung des gesamten Inhalts der Verhandlungen und einer etwaigen Beweisaufnahme nach freier Überzeugung, ob eine Tatsachenbehauptung wahr ist. Eine forensische Erfassung ersetzt diese Würdigung nicht, gibt ihr aber prüfbare Anhaltspunkte, weil sich Herkunft, Zeitpunkt und Unversehrtheit der gesicherten Seite technisch nachvollziehen lassen.

Wichtig ist die Grenze dessen, was eine Zertifizierung aussagt. TrueScreen ist kein Vertrauensdiensteanbieter und keine Zertifizierungsstelle und steht für das Wie und das Wann der Erfassung, nicht für das Was: Ob ein Inhalt wahr ist oder wer ihn verfasst hat, bleibt eine Frage der Beweiswürdigung. Wie jedes Beweismittel kann auch eine zertifizierte Erfassung angegriffen werden, und für diesen Fall lassen sich Code und Protokolle im Rahmen eines Gutachtens unter einer Vertraulichkeitsvereinbarung prüfen. Eine Zertifizierung ersetzt dabei keine Sachverständigen.

Wie sichert TrueScreen eine Webseite als Beweis?

TrueScreen sichert Webseiten als Beweis mit dem Forensic Browser, mit der zertifizierten Navigation in der TrueScreen App und mit der Browser Extension.

Der Forensic Browser ist eine Desktop-Anwendung auf Chromium-Basis für macOS ab Version 11 (Apple Silicon und Intel) und Windows ab Version 10 (64 Bit), die jede Sitzung mit leeren Browserdaten startet. Er bietet diese Modi: Bei der gezielten Erfassung (Targeted acquisition) wählen Sie die Seiten selbst aus, auch solche, die nur nach einem Login erreichbar sind. Die vollständige Aufzeichnung (Full recording) hält die gesamte Sitzung als MP4-Video mit Ton und Mauszeiger fest und eignet sich für Videos, Livestreams und Chats. Die automatische Erfassung (Automatic acquisition) arbeitet eine Liste von Adressen, eine Sitemap oder einen Crawl ab, scrollt die Seiten, klappt Kommentare auf und lehnt Cookie-Banner ab, nimmt aber keine Social-Media-Profile als Quelle an.

Für jede Seite sichert der Forensic Browser das Originalbild als PNG, das gerenderte DOM, das Original-HTML des Servers und ein MHTML-Archiv. Er markiert Text, der in der gerenderten Seite steht, in der Antwort des Servers aber fehlt, kennzeichnet versteckten Text mit dem jeweiligen Grund und speichert die TLS-Zertifikate der besuchten Websites. Der Bericht dokumentiert unter anderem den kontrollierten Erfassungszeitpunkt, die gegenüber den Websites angegebene Identität, das TLS-Protokoll, Cookies, erklärte Auffälligkeiten, die öffentliche IP-Adresse der bedienenden Person sowie eine Prüfung auf virtuelle Maschinen und Debugger. Nur die vollständige Aufzeichnung kann zusätzlich den Netzwerkverkehr als PCAP mitschneiden, und diese Option ist standardmäßig ausgeschaltet.

Die Integrität der Daten sichert eine Kette von SHA-256-Hashwerten, in der jedes Glied aus dem vorherigen Glied, dem Arbeitsschritt, der Uhrzeit und dem Fingerabdruck der Daten berechnet wird. Die Formeln liegen dem Paket bei, sodass jede Person die Kette mit einem beliebigen SHA-256-Werkzeug nachrechnen kann. Die Hashkette selbst ist kein Siegel: Abgeschlossen wird jede Erfassung mit dem qualifizierten elektronischen Siegel und dem qualifizierten Zeitstempel.

Die Browser Extension für Chrome und Edge erstellt zertifizierte Screenshots des sichtbaren Bereichs oder der ganzen Seite sowie Videos des geöffneten Tabs. Sie läuft im eigenen Browser mit den bereits geöffneten Sitzungen, erreicht deshalb auch Inhalte hinter einem Login und ist der schnellste Weg. Der Forensic Browser ergänzt dies um eine saubere Umgebung und das Netzwerkprotokoll (HAR).

Auf dem Smartphone erfasst die TrueScreen App Webseiten über die zertifizierte Navigation, und Chats sichert sie mit der Bildschirmaufzeichnung. Beiträge, Kommentare und Bewertungen in sozialen Netzwerken werden wie jede andere Webseite zertifiziert, Chats im Web wie WhatsApp Web über den Forensic Browser. Das Ergebnis ist ein zertifizierter Beweis mit vollem rechtlichem und beweisrechtlichem Wert weltweit, dessen Würdigung im Einzelfall beim Gericht liegt. Einen Überblick über alle Wege bietet die Seite Webseite zertifizieren.

1. 1

   Den passenden Weg wählen

   Drängt die Zeit, weil der Inhalt jederzeit gelöscht werden kann, nehmen Sie die Browser Extension. Rechnen Sie damit, dass die Gegenseite die Erfassung angreift, wählen Sie den Forensic Browser, und wer nur das Smartphone zur Hand hat, nutzt die TrueScreen App.

2. 2

   Die Sitzung starten und sich darin anmelden

   Im Forensic Browser beginnt jede Sitzung mit leeren Browserdaten. Liegt der Inhalt hinter einem Login, melden Sie sich innerhalb der aufgezeichneten Sitzung an, damit auch dieser Schritt dokumentiert ist, und wählen anschließend den passenden Modus.

3. 3

   Die Inhalte vollständig erfassen

   Erfassen Sie nicht nur den strittigen Inhalt, sondern auch den Kontext: Adresse, sichtbares Datum, Profil des Urhebers und die Kommentare. Videos und Livestreams halten Sie mit der vollständigen Aufzeichnung fest. Schneiden Sie dabei auch den Netzwerkverkehr als PCAP mit, darf die Sitzung höchstens 20 Minuten dauern und 1 GB umfassen.

4. 4

   Die Erfassung abschließen und hochladen

   Schließen Sie die Erfassung ab und laden Sie sie hoch. Das Ergebnis ist mit Hashkette, qualifiziertem elektronischem Siegel und qualifiziertem Zeitstempel gesichert: Eine Veränderung wird während der Erfassung verhindert und ist danach erkennbar.

5. 5

   Das Paket prüfen und weitergeben

   Das Paket enthält Bericht, Dateien und die Formeln der Hashkette und lässt sich auch ohne TrueScreen prüfen. Geben Sie es unverändert an Ihre Anwältin, Ihren Anwalt oder die Sachverständigen weiter.

Praxisfälle: betrügerische Anzeige und ehrverletzender Beitrag

In diesen Fällen gilt dieselbe Reihenfolge: zuerst der Inhalt, der am schnellsten verschwinden kann, danach der Kontext, der ihn einem Anbieter oder einer Person zuordnet.

Betrügerische Anzeige und Fake-Shop

Eine Anzeige in einem sozialen Netzwerk wirbt für stark reduzierte Markenware und führt zu einem Shop, der nach der Zahlung nicht liefert. Zuerst sichern Sie die Anzeige selbst, solange sie noch ausgespielt wird, mit dem Namen des Werbetreibenden und der Zieladresse, und zwar mit der gezielten Erfassung im Forensic Browser oder, wenn sie gleich verschwinden könnte, mit der Browser Extension. Danach folgt der Shop: Startseite, Produktseite mit Preis, Impressum, Geschäftsbedingungen und der Bestellvorgang bis zur Zahlungsseite, bei vielen Unterseiten auch über die automatische Erfassung mit einer Liste von Adressen. Mit diesem Paket lässt sich Online-Betrug bei der Polizei anzeigen und der Fake-Shop bei der Plattform melden. Ähnlich gehen Sie bei Kopien echter Websites vor, wie der Beitrag über Beweise bei Phishing und geklonten Seiten zeigt.

Ehrverletzender Beitrag in sozialen Netzwerken

Ein Beitrag in einem sozialen Netzwerk stellt über eine Person ehrverletzende Behauptungen auf, und darunter häufen sich Kommentare. Zuerst sichern Sie den Beitrag mit Adresse, sichtbarem Datum, Namen des Kontos und vollständigem Text oder Video, dann die aufgeklappten Kommentare und schließlich das Profil, von dem der Beitrag stammt. Ändert sich der Beitrag später oder kommen neue Hasskommentare hinzu, erfassen Sie erneut, denn jede Erfassung gilt nur ab ihrem Zeitpunkt. Die Zertifizierung belegt, wie und wann der Beitrag zu sehen war, nicht aber, dass seine Behauptungen falsch sind oder wer hinter dem Konto steht, und diese Fragen klären andere Beweise. Wer Beleidigungen im Internet anzeigen will, findet weitere Hinweise im Beitrag über Social-Media-Beweise vor Gericht.

Fazit