EncroChat und Sky ECC: Wie sich die Erhebung digitaler Beweise prüfen lässt

Sky-ECC-Chats im Verfahren Ostro: Was laut Presse geschah

Die Sky-ECC-Chats blieben im Verfahren Ostro nach dem Bericht von Calabria Inchieste außen vor, weil die Verteidigung ihre Erhebung durch französische Behörden nicht überprüfen konnte. Laut Bericht war für das Gericht entscheidend, dass die Verteidigung die Erhebung der Chats nicht prüfen konnte.

Nach dem Bericht von Calabria Inchieste vom 10. November 2026 hat ein Gericht in Catanzaro die Sky-ECC-Chats im Verfahren Ostro so behandelt, als existierten sie nicht („tamquam non esset“): Die Nachrichten waren von französischen Behörden erhoben und per Europäischer Ermittlungsanordnung nach Italien übermittelt worden, Frankreich hatte den Zugang zu den angeforderten Akten verweigert, und die Verteidigung konnte die Erhebung nicht überprüfen. Das Urteil ist erstinstanzlich, nicht rechtskräftig und gilt nur für dieses Verfahren.

Die Begründung stützt sich nach dem Bericht auf einen Grundsatz des Gerichtshofs der EU: Ein per Europäischer Ermittlungsanordnung erlangtes Beweismittel, das die Entscheidung überwiegend beeinflusst und das der Angeklagte nicht prüfen oder kommentieren kann, kann aus dem Verfahren auszuschließen sein. Ein Aktenzeichen nennt der Bericht nicht; formuliert hat der Gerichtshof diesen Grundsatz insbesondere im Urteil C-670/22 zu EncroChat, das auf eine Vorlage des Landgerichts Berlin zurückgeht.

Was ohne das Material hielt und was nicht

Nach dem Bericht von Calabria Inchieste hielten ohne die Chats einige Vorwürfe nicht, vor allem solche, die sich in entscheidender Weise auf die verschlüsselte Kommunikation stützten. Andere Vorwürfe blieben bestehen; sie beruhten dem Bericht zufolge auf gewöhnlicher Telefonüberwachung, Observationen und polizeilichen Ermittlungsergebnissen.

Was das Urteil nach dem Bericht nicht bedeutet

Das Urteil aus Catanzaro ist erstinstanzlich und gilt für das dort geführte Verfahren. Calabria Inchieste betont selbst, dass es nicht automatisch einen allgemeinen Ausschluss von Sky-ECC-Chats bedeutet: Art der Erhebung, Zugang zu den Akten und Gewicht des einzelnen Beweismittels seien jeweils im Einzelfall zu prüfen. Nach einem Bericht von Metis 2.0 vom 30. Oktober 2026 fiel der Ausgang in einem anderen Verfahren vor demselben Gericht anders aus: Dort wies das Gericht die Einwände der Verteidigung und den Antrag auf Rohdaten und technische Unterlagen zu Sky ECC zurück; die Chats blieben verwertbar.

EncroChat, Sky ECC und die Europäische Ermittlungsanordnung: Wie verschlüsselte Chats ins Strafverfahren gelangen

Verschlüsselte Chats aus EncroChat und Sky ECC gelangen meist über die Europäische Ermittlungsanordnung in ein Strafverfahren: Ein Staat erhebt die Daten, ein anderer fordert sie an und verwertet sie vor seinen Gerichten. Das Gericht, das solche Daten verwertet, hat sie nicht selbst erhoben.

Sky ECC und EncroChat: Was hinter den Kryptohandys steckte

EncroChat war ein Netz verschlüsselter Mobiltelefone, die laut Europol mit garantierter Anonymität verkauft wurden. Die französische Gendarmerie ermittelte ab 2017 gegen den Dienst, die Überwachung endete am 13. Juni 2020. In seiner Bilanz vom Juni 2023 nennt Eurojust mehr als 60.000 Nutzer und 115 Millionen Gespräche. Zu Sky ECC nennt Eurojust: Ermittler überwachten rund 70.000 von weltweit etwa 170.000 Nutzern, die täglich rund drei Millionen Nachrichten austauschten, bevor die Behörden am 9. März 2021 in Belgien und den Niederlanden einschritten.

Die Europäische Ermittlungsanordnung und der Zugang zu den Akten

Die Europäische Ermittlungsanordnung beruht auf der Richtlinie 2014/41/EU vom 3. April 2014. Sie erlaubt es unter anderem, Beweismittel anzufordern, die ein anderer Mitgliedstaat bereits erhoben hat. Für deren Bewertung enthält Art. 14 Abs. 7 eine Schutzklausel: Unbeschadet der nationalen Verfahrensvorschriften stellen die Mitgliedstaaten sicher, dass im Strafverfahren des Anordnungsstaats bei der Bewertung der so erlangten Beweismittel die Verteidigungsrechte gewahrt und ein faires Verfahren gewährleistet werden.

Schwierig kann es beim Zugang zu den Akten werden, denn Würdigung und Erhebung finden in verschiedenen Staaten statt. Im Verfahren Ostro hatte Frankreich nach dem Pressebericht den Zugang zu den angeforderten Akten verweigert.

Rechtliches Gehör und Beweisverwertungsverbot: Was der EuGH zu EncroChat entschieden hat

Der EuGH hat im EncroChat-Urteil eine Bedingung des fairen Verfahrens formuliert: Ist die betroffene Person nicht in der Lage, zu einem Beweismittel sachgerecht Stellung zu nehmen, und kann dieses die Würdigung der Tatsachen maßgeblich beeinflussen, so kann das Strafgericht verpflichtet sein, es unberücksichtigt zu lassen. Der Grundsatz schützt das Recht, sich zu einem Beweis äußern zu können, und überlässt die Verwertungsregeln im Übrigen dem nationalen Recht.

Nach dem Urteil des Gerichtshofs der EU vom 30. April 2024 (Große Kammer, C-670/22, M.N., EncroChat) kann das nationale Strafgericht nach Art. 14 Abs. 7 der Richtlinie 2014/41/EU, der unbeschadet der nationalen Verfahrensvorschriften gilt, verpflichtet sein, Informationen und Beweismittel unberücksichtigt zu lassen, wenn die betroffene Person „nicht in der Lage ist, sachgerecht zu diesen Informationen und Beweismitteln Stellung zu nehmen“, und diese „geeignet sind, die Würdigung der Tatsachen maßgeblich zu beeinflussen“ (Tenor Nr. 5, Rn. 131). Das Urteil betrifft EncroChat, nicht Sky ECC, und überlässt die Verwertung unionsrechtswidrig erlangter Beweise derzeit grundsätzlich dem nationalen Recht.

Begründet wird das in Rn. 105 mit dem Recht auf ein faires Verfahren; im deutschen Verständnis geht es um den Anspruch auf rechtliches Gehör. Mindestens so wichtig ist, was der Gerichtshof nicht gesagt hat.

In Deutschland hatte der Bundesgerichtshof die Verwertungsfrage schon vor dem EuGH beantwortet. Das Strafprozessrecht unterscheidet dabei, ob ein Beweis so erhoben werden durfte (Beweiserhebungsverbot) und ob er im Urteil verwertet werden darf (Beweisverwertungsverbot). Mit Beschluss vom 2. März 2022 (5 StR 457/21, BGHSt 67, 29) hielt der 5. Strafsenat die von Frankreich übermittelten EncroChat-Daten zur Aufklärung schwerer Straftaten für verwertbar, begrenzt in Anlehnung an § 100e Abs. 6 Nr. 1 StPO auf Taten, für die eine Maßnahme nach § 100b StPO angeordnet werden dürfte. Ein Beweisverwertungsverbot verneinte er, wie die Pressemitteilung des BGH und LTO berichten.

Das Bundesverfassungsgericht nahm eine Verfassungsbeschwerde gegen die Verwertung am 1. November 2024 nicht zur Entscheidung an (2 BvR 684/22), unter anderem, weil die Begründung nach dem EuGH-Urteil nicht fortgeschrieben worden war. Laut beck-aktuell stellte der BGH in einem weiteren Beschluss (5 StR 528/24) auf die Einordnung der Tat bei der Datenanforderung im Jahr 2020 ab. Die höchstrichterliche Linie bejaht damit die Verwertbarkeit. Das EuGH-Urteil hat dieses Ergebnis nicht geändert, aber eine Bedingung des fairen Verfahrens gesetzt, die Gerichte im Einzelfall prüfen: ob die betroffene Person zu maßgeblichen Beweismitteln sachgerecht Stellung nehmen konnte.

Inhalt und Methode: Was die Gegenseite an einem digitalen Beweis prüfen kann

Ein digitaler Beweis ist nachprüfbar, wenn die Gegenseite selbst kontrollieren kann, wie, wann und woher er erfasst wurde und ob er sich seitdem verändert hat. TrueScreen sorgt bei Beweisen, die eine Partei selbst vorlegt, für genau diese Kontrolle: Wer einen zertifizierten Chat erhält, prüft das Zertifizierungspaket mit Standardwerkzeugen selbst, statt sich auf die Angaben des Vorlegenden zu verlassen.

Ein Screenshot zeigt, was auf einem Bildschirm stand, verrät aber für sich genommen weder Gerät noch Zeitpunkt noch, ob etwas fehlte. Bei einem Inhalt ohne dokumentierte Herkunft bleibt der Gegenseite oft nur das Bestreiten; eine dokumentierte Erhebung lässt sich prüfen.

Die Ende-zu-Ende-Verschlüsselung von WhatsApp ändert daran wenig: Sie schützt die Nachricht auf dem Übertragungsweg, doch was eine Partei vor Gericht vorlegt, stammt vom Bildschirm ihres eigenen Geräts. Für die Nachprüfung kommt es dann darauf an, ob sich die digitale Beweiskette von der Erfassung bis zur Vorlage belegen lässt.

Außerhalb des Strafprozesses: keine Regel, aber dieselbe Frage der Gegenseite

Der Grundsatz des EuGH stammt aus dem Strafprozess und betrifft Beweise, die Behörden erhoben haben. Die Frage, die er aufwirft, nämlich wie ein Beweis erhoben wurde und ob sich das prüfen lässt, kann jedoch jede Gegenseite stellen, etwa wenn Sie WhatsApp-Beweise in einem Zivil- oder Arbeitsgerichtsverfahren vorlegen. Eine Regel des Zivilprozesses ist das nicht, wohl aber eine Frage, auf die man vorbereitet sein sollte. Im Fall Ostro blieb der Verteidigung der Zugang zur Methode nach dem Pressebericht verwehrt; wer selbst einen Beweis vorlegt, kann das Gegenteil tun und sie von Anfang an offenlegen.

Funktion

Eine TrueScreen-Zertifizierung prüfen

Mit dem öffentlichen Prüfdienst von TrueScreen prüft jeder Empfänger Siegel, Zeitstempel und Hashwerte, ohne jemandem vertrauen zu müssen.

Mehr erfahren →

Wie wird ein digitaler Beweis nachprüfbar, den eine Partei selbst erhebt?

TrueScreen macht einen Beweis, den eine Partei selbst erhebt, nachprüfbar, indem es ihn an der Quelle erfasst: Die Unterhaltung wird aufgezeichnet, während sie über den Bildschirm läuft, in einer kontrollierten Umgebung, in der Veränderungen während der Erfassung verhindert werden, und zusammen mit dem Inhalt bleiben Datum und Uhrzeit, Gerät und Netzwerk der Erfassung dokumentiert. Am Ende steht ein Zertifizierungspaket, das jeder Empfänger selbst prüfen kann.

Eine nachprüfbare Beweisvorlage beginnt bei der Erfassung und nicht erst im Gerichtssaal. So entsteht ein zertifizierter Beweis, den Sie vor Gericht vorlegen können; welches Gewicht er hat, beurteilt das Gericht. Angreifen lässt sich jeder Beweis: Wird eine Zertifizierung angefochten, können Quellcode und Aktivitätsprotokolle von TrueScreen in einer forensischen Prüfung unter einer Vertraulichkeitsvereinbarung (NDA) untersucht werden. TrueScreen sichert dabei das Wie, nicht das Was: Belegt wird, wie ein Inhalt erfasst wurde, nicht, ob er wahr oder vollständig ist.

Ebenso deutlich sind die Grenzen. TrueScreen kann nicht nachträglich zertifizieren, wie ein Dritter seine Daten erhoben hat: Material, das andere bereits gesammelt haben, etwa abgefangene Kommunikation, Daten oder verschlüsselte Chats in den Händen von Behörden, liegt außerhalb dessen, was eine Zertifizierung von TrueScreen bestätigt. Eine forensische Extraktion von Geräten gehört nicht dazu, und den Sachverständigen ersetzt die Zertifizierung nicht: Er bewertet, TrueScreen sichert die Erfassung ab. Bei einer Datei, die bereits existiert, etwa einem exportierten Chat oder einem vorhandenen Screenshot, hält die Zertifizierung Inhalt und Datum ab diesem Moment fest; wie die Datei ursprünglich entstanden ist, bestätigt sie nicht.

Ein Beispiel: Ein Unternehmen muss vor dem Arbeitsgericht den Chat vorlegen, in dem ein ehemaliger Mitarbeiter Preislisten an einen Wettbewerber weitergab. Bei Screenshots wird die Gegenseite fragen, woher sie stammen und ob sie vollständig sind. Wurde der Chat dagegen auf dem Firmenhandy an der Quelle erfasst, erhält der Sachverständige der Gegenseite das Paket, berechnet die Hashes neu und kontrolliert die Versiegelung selbst, ohne dem Unternehmen glauben zu müssen. Für die eigene Beweisvorlage heißt das konkret:

1. 1

   An der Quelle in einer kontrollierten Umgebung erfassen

   Erfassen Sie den Inhalt dort, wo er entsteht, und nicht erst als Kopie. Chats auf dem Telefon nehmen Sie mit der TrueScreen App auf, die den Bildschirm aufzeichnet, während Sie durch die Unterhaltung scrollen. Für Chats, die Sie am Computer als Webdienst öffnen, etwa WhatsApp Web, und für Webseiten ist der Forensic Browser die empfohlene Wahl, denn er erfasst auch den Netzwerkverkehr und die Anhänge der Unterhaltung. Während der Erfassung werden Veränderungen verhindert.

2. 2

   Das Zertifizierungspaket unverändert aufbewahren

   Zum Paket gehören das versiegelte Dokument, die SHA-256-Hashes jeder zertifizierten Datei und der technische Bericht der Erfassung. Bei der App kommt ein Bericht zu Umgebung, Gerät und Netzwerk hinzu, je nach gewählter Vorlage auch mit Sitzungsprotokoll; beim Forensic Browser sind es eine Hash-Kette, die Uhrzeitprüfung, der Seitenquelltext und die TLS-Zertifikate sowie, falls er aufgezeichnet wurde, der Netzwerkverkehr. Als letzter Schritt der Zertifizierung wird das Paket mit einem qualifizierten elektronischen Siegel und einem qualifizierten Zeitstempel versiegelt, sodass jede spätere Veränderung erkennbar wird. Siegel und Zeitstempel allein würden die Beweiskette nicht tragen; das leistet erst die vollständige Abfolge von Erfassung, Prüfung, Bericht und Versiegelung. Bewahren Sie das Paket so auf, wie Sie es erhalten haben: Die Beweiskette hängt nicht davon ab, wer es verwahrt.

3. 3

   Der Gegenseite die Prüfung ermöglichen

   Geben Sie der Gegenseite das vollständige Paket. Es ist in sich geschlossen: Der Empfänger prüft Unversehrtheit und Siegel anhand des versiegelten Dokuments, der SHA-256-Hashes und des technischen Berichts mit Standardwerkzeugen, ohne TrueScreen und ohne dem Vorlegenden vertrauen zu müssen. Zusätzlich steht der kostenlose öffentliche Prüfdienst von TrueScreen zur Verfügung, der im Browser arbeitet, Siegel und Zeitstempel kontrolliert und die SHA-256-Hashes neu berechnet. Diese Nachprüfbarkeit gibt der Gegenseite die Möglichkeit, die Erfassung selbst zu kontrollieren.

Fazit