ISO 21043: die internationale Norm für die Forensik

ISO 21043 ist eine internationale Normenreihe für die Forensik, erarbeitet vom Technischen Komitee ISO/TC 272. Sie legt Anforderungen und Empfehlungen für den gesamten forensischen Prozess fest, von der Spurensuche am Tatort über die Sicherung und Analyse der Asservate bis zur Interpretation der Ergebnisse und zur Berichterstattung vor Gericht. In Deutschland erscheint sie als DIN EN ISO 21043.

Was ISO 21043 regelt

ISO 21043 regelt den forensischen Prozess selbst und nicht die Ausstattung eines Labors. Die Reihe wurde vom Technischen Komitee ISO/TC 272 Forensic sciences erarbeitet und beschreibt, was mit einem Gegenstand von potenziellem forensischem Wert geschieht, sobald er an einem Tatort erkannt wird, bis zu dem Moment, in dem eine Aussage dazu vor Gericht vorgetragen wird. Nach Angaben des NIST liefert die Reihe Anforderungen und Leitlinien für den gesamten forensischen Ablauf und ersetzt bestehende Akkreditierungsnormen wie ISO/IEC 17025 und ISO/IEC 17020 ausdrücklich nicht. Die Reihe gliedert sich in fünf Teile: Begriffe und Definitionen, die Spurensuche mit Dokumentation, Sicherung, Transport und Lagerung von Asservaten, die Analyse, die Interpretation und die Berichterstattung. Teil 2 erschien 2018, Teil 1 wurde 2025 überarbeitet, die Teile 3, 4 und 5 kamen 2025 hinzu und schlossen die Reihe damit ab. Die Anwendung ist freiwillig und an keine eigene Zertifizierung geknüpft.

Für den deutschsprachigen Raum ist die Reihe über DIN zugänglich. DIN EN ISO 21043-1:2025-12 trägt den Titel "Forensik, Teil 1: Begriffe und Definitionen" und liegt als deutsche und englische Fassung vor. Für Organisationen, die mit Beweismitteln arbeiten, kommt es dabei vor allem auf den Anwendungsbereich an: Die Norm regelt nicht, wie ein Labor organisiert sein muss, sondern wie ein Asservat behandelt wird, damit das Ergebnis am Ende belastbar ist. Diesen Bereich hatten bisher weder die Laborakkreditierung noch die Leitfäden für digitale Beweismittel abgedeckt.

Der Aufbau der Normenreihe

Die Normenreihe folgt dem zeitlichen Ablauf eines forensischen Vorgangs und nicht der Organisationsstruktur einer Einrichtung: Jeder Teil deckt eine Phase ab und setzt den vorhergehenden voraus. Andere forensische Standards setzen an einzelnen Disziplinen oder Verfahren an; hier ist der Ablauf selbst das Ordnungsprinzip.

Teil 1: Begriffe und Definitionen

Teil 1 legt die Terminologie fest, auf der die übrigen Teile aufbauen. Die Ausgabe 2025 hat vorhandene Begriffe aktualisiert, weitere ergänzt und das Dokument redaktionell überarbeitet; die Fassung von 2018 wurde zurückgezogen. Nützlich wird das überall dort, wo Sachverständige, Auftraggeber und Gerichte dieselben Wörter unterschiedlich verstehen. Wenn "Sicherung", "Asservat" oder "Auswertung" in einem Gutachten definiert sind, verschiebt sich die Diskussion vor Gericht von der Semantik zurück auf die Sache.

Teil 2: Spurensuche, Dokumentation, Sicherung, Transport und Lagerung von Asservaten

Teil 2 ist der Kern der Reihe für alle, die Beweismittel erheben, und der einzige Teil, der bereits 2018 erschien. DIN EN ISO 21043-2:2020-08 formuliert dazu Anforderungen, die die Zuverlässigkeit von Ergebnissen im kriminaltechnischen Prozess sicherstellen sollen, und deckt den Schutz der Spuren während der Spurensuche, der Dokumentation, der Spurensicherung, des Transports und der Lagerung ab. Was hier verlangt wird, sind Anforderungen und keine Empfehlungen: Wer den Teil in sein Qualitätsmanagementsystem übernimmt, muss die Erfüllung nachweisen können.

Teil 3: Analyse

Teil 3 behandelt die Untersuchung der gesicherten Asservate, also die Phase zwischen Eingang im Labor und Befund. Auch hier gilt eine Abgrenzung, die für digitale Sachverhalte entscheidend ist: Die Wiederherstellung von Daten aus digitalen Speichermedien fällt nach den Angaben der europäischen Fassung EN ISO 21043-3:2025 nicht in den Anwendungsbereich, sondern wird an ISO/IEC 27037 verwiesen.

Teil 4: Interpretation

Teil 4 behandelt die Bewertung von Befunden. Er unterscheidet zwischen der ermittlungsunterstützenden Fragestellung, die nach möglichen Erklärungen sucht, und der bewertenden Fragestellung, bei der zwei konkurrierende Hypothesen gegeneinander abgewogen werden. Berger sieht in einer 2025 in PMC veröffentlichten Arbeit gerade in dieser Trennung den Kern der Reihe, weil sie den Sachverständigen davon abhält, unbemerkt die Rolle des Entscheiders zu übernehmen.

Teil 5: Berichterstattung

Teil 5 betrifft die Darstellung der Ergebnisse, also Gutachten, Berichte und mündliche Erläuterung. Für die deutsche Praxis wirkt dieser Teil am unmittelbarsten, denn nach § 286 ZPO würdigt das Gericht die Beweise frei. Ein Bericht, der den Befund von seiner Bewertung und von der verbleibenden Unsicherheit trennt, liefert dem Gericht dafür überhaupt erst die Grundlage.

Warum die Norm nicht ISO/IEC 21043 heißt

ISO 21043 ist die korrekte Bezeichnung, ISO/IEC 21043 ist es nicht. Der Grund liegt in der Gremienstruktur und nicht in einer Nachlässigkeit bei der Schreibweise. Das Kürzel ISO/IEC kennzeichnet Dokumente, die aus dem gemeinsamen Technischen Komitee JTC 1 von ISO und IEC für Informationstechnik stammen; daher tragen ISO/IEC 27037 und ISO/IEC 17025 dieses Präfix. ISO 21043 dagegen wurde von ISO/TC 272 Forensic sciences erarbeitet, einem Komitee, das allein unter der ISO angesiedelt ist und sich mit dem forensischen Prozess und nicht mit Informationstechnik befasst. Die falsche Form hat es dennoch bis in die Fachliteratur geschafft: Eine 2024 in IEEE Xplore veröffentlichte Arbeit von Meuwly (Dokument 10701603) verwendet durchgehend "ISO/IEC 21043", obwohl der ISO-Katalog die Reihe ohne IEC-Zusatz führt. Wer nach Normtexten oder Beschaffungsunterlagen sucht, sollte deshalb beide Schreibweisen prüfen, aber nur die eine verwenden.

Wo ISO 21043 endet und ISO/IEC 27037 beginnt

Anders als ISO/IEC 27037, das ausschließlich digitale Beweismittel behandelt, regelt ISO 21043 den forensischen Prozess für Asservate jeder Art. Die Grenze zwischen beiden wird nicht durch Auslegung gezogen, sondern von den Normen selbst. Wie A2LA festhält, gilt Teil 2 der ISO 21043 nicht für die Wiederherstellung von Daten aus digitalen Speichermedien und Lesegeräten; dafür wird auf die einschlägigen Anforderungen in ISO/IEC 27037 verwiesen. Daraus folgt eine Abfolge und keine Alternative. Handelt es sich um einen physischen Gegenstand, der Daten trägt, etwa ein am Tatort sichergestelltes Mobiltelefon, regelt ISO 21043-2, wie dieser Gegenstand erkannt, dokumentiert, gesichert, transportiert und gelagert wird, während ISO/IEC 27037 regelt, wie die Daten identifiziert, gesammelt, erfasst und erhalten werden. Entsteht der Inhalt dagegen von vornherein digital, etwa eine Webseite oder eine Nachricht, liegt die Erfassung bei ISO/IEC 27037, und ISO 21043 liefert die Prozessdisziplin darum herum.

Die Tabelle zeigt auch die zweite Trennlinie: Prozessnormen und Akkreditierungsnormen sind zwei verschiedene Kategorien, und keine Anwendungspraxis macht aus der einen die andere. Wie sich ISO/IEC 17025 und ISO/IEC 17020 zu ISO 21043 verhalten, behandelt der Abschnitt zur Anwendung ohne Akkreditierung weiter unten.

Was Teil 2 für die lückenlose Beweiskette verlangt

ISO 21043-2 stellt Anforderungen an alle Schritte, die der Analyse vorausgehen: Spurensuche, Dokumentation, Sicherung, Transport und Lagerung von Asservaten. Das Ziel ist Kontinuität, also die Nachvollziehbarkeit jedes einzelnen Asservats von dem Moment an, in dem es erkannt wird, bis zu dem Moment, in dem es untersucht wird, wobei jede Übergabe und jede Zustandsänderung dokumentiert sein muss. Die Ausgabe von 2018 formuliert diese Punkte als Anforderungen, was für eine Organisation, die den Teil in ihr Qualitätsmanagementsystem übernimmt, den Unterschied zwischen einer guten Absicht und einer nachweispflichtigen Vorgabe ausmacht. Konkret heißt das: Wer ein Asservat entgegennimmt, muss festhalten, von wem, wann, in welchem Zustand und unter welchen Lagerbedingungen, und diese Angaben müssen zusammen mit dem Asservat weitergereicht werden. Für digital entstandenes Material gilt dieselbe Logik der lückenlosen Beweiskette, doch die technischen Schritte der Erfassung liegen bei ISO/IEC 27037, weil Teil 2 die Datenwiederherstellung aus Speichermedien ausdrücklich ausklammert.

Hier unterscheidet sich digitales Material von einem Gegenstand. Ein Asservat lässt sich versiegeln, beschriften und übergeben; eine Datei nicht. Wo eine Organisation die Erfassung selbst dokumentieren muss und nicht die Datei nachträglich prüfen will, stellt TrueScreen eine zertifizierte Erfassungsumgebung bereit, die den technischen Kontext der Aufnahme protokolliert.

Was sich mit den Teilen von 2025 geändert hat

Mit der Veröffentlichung der Teile 3, 4 und 5 im Jahr 2025 deckt ISO 21043 erstmals den vollständigen Weg vom Tatort bis zum Gericht ab. Bis dahin bestand die Reihe aus einer Terminologie und einem einzigen operativen Teil, was ihre Wirkung begrenzte: Wer Asservate normgerecht sicherte, hatte für Analyse, Bewertung und Bericht weiterhin keine gemeinsame Grundlage. Teil 3 schließt die Untersuchungsphase an, Teil 4 ordnet die Bewertung von Befunden, Teil 5 regelt die Berichterstattung.

Am stärksten greift Teil 4 in die bisherige Praxis ein. Die Trennung zwischen ermittlungsunterstützender und bewertender Fragestellung verlangt vom Sachverständigen, die Hypothesen offenzulegen, gegen die er einen Befund abwägt. Was vorher als Erfahrungsurteil in einem Satz stehen konnte, wird damit prüfbar. Für die deutsche Praxis ist das anschlussfähig, weil das Gericht nach § 286 ZPO ohnehin frei würdigt und ein offengelegtes Bewertungsgerüst diese Würdigung erleichtert, statt sie vorwegzunehmen.

Teil 5 wirkt sich auf die Form aus, in der Ergebnisse den Adressaten erreichen. Ein Bericht, der offenlegt, worauf eine Schlussfolgerung beruht und wo sie endet, ist schwerer angreifbar als einer, der alles zu einem Satz verdichtet. Ob digitale Beweise am Ende vor Gericht zulässig sind, entscheidet die Norm nicht, doch sie beeinflusst, wie gut sich die dahinterliegende Arbeit erklären lässt.

Wie Organisationen ISO 21043 anwenden, ohne dafür akkreditiert zu sein

Eine Akkreditierung nach ISO 21043 gibt es nicht, und das ist keine Übergangslage, sondern die Konstruktion der Reihe. Nach Darstellung von A2LA wurden die Teile der ISO 21043 nicht entwickelt, um ISO/IEC 17025 und ISO/IEC 17020 zu ersetzen, sondern um gemeinsam mit ihnen angewendet zu werden; forensische Dienstleister können sich nach ihnen nicht als eigenständigen Normen akkreditieren lassen, sie aber in ihr Qualitätsmanagementsystem aufnehmen. Das NIST vertritt dieselbe Position und weist darauf hin, dass ISO 21043 die geltenden Akkreditierungsnormen nicht ersetzt und die Anwendung freiwillig bleibt. Die Akkreditierung bleibt damit dort verankert, wo sie heute liegt: bei ISO/IEC 17025 für Laboratorien und bei ISO/IEC 17020 für Inspektionsstellen, mit ISO 21043 als fachlicher Schicht darüber. In Deutschland begutachtet die DAkkS als nationale Akkreditierungsstelle nach ISO/IEC 17025 und ISO/IEC 17020, in Österreich die Akkreditierung Austria. Wer Ausschreibungsunterlagen liest, in denen eine Zertifizierung nach ISO 21043 gefordert wird, sollte diese Anforderung deshalb hinterfragen, denn eine Stelle, die sie ausstellen könnte, gibt es nicht.

Eine Organisation, die die Reihe übernehmen will, beginnt in der Regel bei Teil 2 und gleicht den eigenen Ablauf gegen dessen Anforderungen ab. Die daraus abgeleiteten Vorgaben gehören anschließend in die bestehende Dokumentation des Qualitätsmanagementsystems und nicht in ein zweites System daneben. Entscheidend bleibt der Nachweis, denn eine Anforderung, deren Erfüllung sich nicht belegen lässt, hält im Termin keiner Befragung stand.

Was das für Organisationen bedeutet, die digitale Inhalte als Beweismittel erzeugen

Organisationen setzen TrueScreen, die Data Authenticity Platform, ein, um eine forensische Methodik bereits im Moment der Erfassung anzuwenden, damit die Kontinuität nicht nachträglich rekonstruiert werden muss. Der Anlass dafür ergibt sich unmittelbar aus der Logik von Teil 2: Was dort für einen Gegenstand verlangt wird, nämlich eine ununterbrochene und dokumentierte Kette von der Erkennung bis zur Untersuchung, lässt sich bei digital entstandenem Material nur an einer einzigen Stelle herstellen, und zwar bei der Aufnahme selbst.

Ein Sachverständiger dokumentiert eine Baustelle mit dem Smartphone. Es gibt kein physisches Asservat, das sich verpacken und versiegeln ließe, denn die Aufnahme entsteht bereits als Datei. Die Kontinuität, die Teil 2 für ein materielles Asservat verlangt, muss deshalb im Moment der Aufnahme aufgebaut werden, mit Hashwert, Zeitstempel und Protokollierung des Erfassungskontexts, weil danach nichts mehr zu rekonstruieren ist.

TrueScreen ist eine Data Authenticity Platform, die Fotos, Videos, Audiodateien, Dokumente, Screenshots, E-Mails und Webseiten im Moment der Erfassung mit einem kryptografischen Hashwert und einem qualifizierten Zeitstempel versiegelt. Das qualifizierte elektronische Siegel stammt dabei von einem qualifizierten Vertrauensdiensteanbieter, der über eine Schnittstelle eingebunden ist; TrueScreen selbst tritt nicht als Vertrauensdiensteanbieter auf. Rechtlich greifen dabei die eIDAS-Verordnung (EU) 910/2014 mit der Vermutungswirkung für qualifizierte Zeitstempel und Siegel, ergänzt durch das deutsche Vertrauensdienstegesetz, sowie § 371a ZPO für elektronische Dokumente. Die Verarbeitung personenbezogener Daten in der Aufnahme unterliegt unverändert der DSGVO, was bei der Dokumentation von Personen, Fahrzeugen oder Arbeitsplätzen mitzuplanen ist. Für die technische Umsetzung stehen der Forensic Browser und die API-Integration zur Verfügung.

Quellen

• NIST, ISO 21043 Standards
• A2LA, Bridging the Gap: How ISO 21043 Elevates Forensic Lab Quality and Credibility
• Berger, Finally a really forensic worldwide standard: ISO 21043, PMC 2025
• Morrison u. a., A guide to ISO 21043 Forensic sciences, Science & Justice 2025
• DIN Media, DIN EN ISO 21043-1:2025-12
• DIN Media, DIN EN ISO 21043-2:2020-08
• iTeh Standards, EN ISO 21043-3:2025
• § 371a ZPO, Beweiskraft elektronischer Dokumente
• Verordnung (EU) Nr. 910/2014 (eIDAS)
• ISO 21043-1:2025, Forensic sciences, Teil 1: Begriffe und Definitionen, ISO-Katalog
• ISO 21043-2:2018, Forensic sciences, Teil 2: Spurensuche, Dokumentation, Sicherung, Transport und Lagerung von Asservaten, ISO-Katalog
• ISO 21043-3:2025, Forensic sciences, Teil 3: Analyse, ISO-Katalog
• ISO 21043-4:2025, Forensic sciences, Teil 4: Interpretation, ISO-Katalog
• ISO 21043-5:2025, Forensic sciences, Teil 5: Berichterstattung, ISO-Katalog