Software zur forensischen Websicherung auswählen: Kriterien, die zählen, und wie Sie sie prüfen

Nach welchen Kriterien wählen Sie eine Software zur forensischen Websicherung aus?

Entscheidend ist, ob eine dritte Person Erfassung, Beweiskette und Siegel ohne den Anbieter nachvollziehen kann, und jedes Kriterium lässt sich vor dem Kauf an einer Testerfassung prüfen. Bitten Sie den Anbieter um ein vollständiges Beispielpaket und lassen Sie es von jemandem durchsehen, der das Werkzeug nicht kennt. Was dieser Person fehlt, wird im Streitfall auch der Gegenseite fehlen.

Eine Software zur forensischen Websicherung erfasst Webinhalte so, dass Herkunft, Zeitpunkt und Unversehrtheit für Dritte nachprüfbar bleiben. TrueScreen verknüpft im Forensic Browser die einzelnen Schritte einer Erfassung in einer Kette von SHA-256-Hashwerten, die jeder mit einem beliebigen SHA-256-Werkzeug nachrechnen kann.

Kontrollierte Umgebung und saubere Sitzung

Eine Webseite sieht nicht für alle Besucher gleich aus. Gespeicherte Cookies, ein angemeldetes Konto, Browsererweiterungen oder ein alter Cache verändern Inhalte, Reihenfolge und Werbung. Die Gegenseite kann deshalb einwenden, die gesicherte Fassung sei personalisiert oder durch die Umgebung verfälscht worden. Der Forensic Browser beginnt jede Erfassung in einem Browser ohne Verlauf, ohne gespeicherte Anmeldungen und ohne fremde Erweiterungen; so lässt sich die Umgebung gegenüber der Gegenseite belegen.

So prüfen Sie es: Fragen Sie, ob jede Erfassung mit gelöschten Browserdaten beginnt, und suchen Sie im Beispielbericht nach der Identität, die der Browser gegenüber den Websites angegeben hat, nach den gesetzten Cookies und nach einer Prüfung auf virtuelle Maschinen und Debugger.

Vollständige Beweiskette (Chain of Custody)

Die Beweiskette, im Englischen Chain of Custody, ist die lückenlose Abfolge von Erfassung, Prüfung, technischem Bericht und Siegel. Fehlt eine Stufe, bleibt eine Frage offen, die der Sachverständige der Gegenseite stellen wird: Was ist zwischen zwei Schritten mit den Daten geschehen? Dass die digitale Beweiskette über den Beweiswert entscheidet, gilt für Webinhalte ebenso wie für Fotos oder Dokumente. Weder ein Archiv noch ein Siegel oder ein Zeitstempel ersetzt für sich genommen diese Abfolge.

So prüfen Sie es: Lassen Sie sich zeigen, was die Hashkette miteinander verbindet. Jedes Glied sollte den vorherigen Hashwert, den Arbeitsschritt, die Uhrzeit und den Fingerabdruck der Daten enthalten, und die Berechnungsformeln sollten im Paket stehen, damit Sie die Kette selbst nachrechnen können.

Netzwerk- und Kontextbelege

Ein Screenshot zeigt, wie eine Seite aussah, aber nicht, woher sie kam. Aussagekräftiger ist der Vergleich zwischen dem gerenderten Quelltext, also dem, was der Browser nach dem Laden aller Skripte anzeigt, und dem vom Server ausgelieferten Quelltext. Texte, die nur in der gerenderten Fassung stehen, wurden nachgeladen; versteckte Texte können einen Leser täuschen. Die TLS-Zertifikate belegen, welcher Server geantwortet hat, und ein Netzwerkprotokoll zeigt den Datenverkehr während der Sitzung.

So prüfen Sie es: Öffnen Sie das Beispielpaket und suchen Sie beide Quelltexte, ein Webarchiv wie MHTML, die TLS-Zertifikate und ein Netzwerkprotokoll (HAR, bei Bedarf PCAP). Prüfen Sie außerdem, ob die Software Texte markiert, die nur in der gerenderten Fassung vorkommen oder verborgen sind, und ob sie den Grund dafür nennt.

Vorgehen nach ISO/IEC 27037

ISO/IEC 27037 ist die internationale Norm mit Leitlinien für die Identifizierung, Sammlung, Erfassung und Sicherung potenzieller digitaler Beweismittel; die erste Ausgabe erschien 2012. Es handelt sich um eine Leitlinie, nicht um eine Rechtsnorm, und sie sieht keine Zertifizierung vor: Man folgt ihr, man wird nicht nach ihr zertifiziert. TrueScreen folgt ISO/IEC 27037 bei der Erfassung von Webseiten und Social-Media-Inhalten.

Die Norm richtet sich an Personen, die digitale Beweismittel im Alltag handhaben, und beschreibt, worauf es in jeder Phase ankommt. Für die Auswahl ist sie nützlich, weil sie eine gemeinsame Sprache liefert: Ein Anbieter, der der Norm folgt, sollte erklären können, welche Funktion welche Phase abdeckt.

So prüfen Sie es: Bitten Sie den Anbieter, die vier Phasen der Norm Schritt für Schritt seinem Verfahren zuzuordnen. Wirbt ein Angebot mit einem „Zertifikat nach ISO/IEC 27037“, fragen Sie nach, worauf es sich bezieht: Die Norm ist eine Leitlinie und kein Zertifizierungsschema für Organisationen.

Qualifiziertes elektronisches Siegel und qualifizierter Zeitstempel nach eIDAS

Die eIDAS-Verordnung (EU) Nr. 910/2014 definiert in Art. 3 Nr. 27 das qualifizierte elektronische Siegel und in Art. 3 Nr. 34 den qualifizierten elektronischen Zeitstempel. Für das qualifizierte Siegel gilt nach Art. 35 Abs. 2 die Vermutung der Unversehrtheit der Daten und der Richtigkeit ihrer Herkunftsangabe. Für den qualifizierten Zeitstempel gilt nach Art. 41 Abs. 2 die Vermutung der Richtigkeit von Datum und Uhrzeit sowie der Unversehrtheit der verbundenen Daten. Ein Siegel ist dabei keine Signatur: Die Signatur stammt von einer natürlichen Person, das Siegel von einer juristischen Person.

So prüfen Sie es: Lassen Sie die versiegelte XML-Datei eines Beispielpakets validieren und achten Sie auf die Indikation der Validierung und darauf, ob das Siegel als qualifiziert ausgewiesen wird. Weist der Prüfbericht das Siegel nicht ausdrücklich als qualifiziert aus, lässt sich daraus keine Vermutung der Verordnung ableiten.

Unabhängige Prüfbarkeit ohne den Anbieter

Eine Zertifizierung ist unabhängig prüfbar, wenn jeder ihre Unversehrtheit und ihr Siegel ohne den Anbieter kontrollieren kann, zum Beispiel mit dem DSS-Validator der Europäischen Kommission. TrueScreen liefert ein in sich geschlossenes Paket: Versiegelte XML-Datei, Hashwerte und technischer Bericht erlauben die Prüfung ohne TrueScreen und ohne Vertrauen in den Überbringer.

Der DSS-Validator ist eine Demonstrationsanwendung der Europäischen Kommission für die Bibliothek Digital Signature Services. Er ist ein Dienst der Europäischen Kommission, nicht von TrueScreen. Nach Angaben der Kommission dient er Testzwecken, übermittelte Dateien werden nicht aufbewahrt, und für sensible Dokumente rät sie von der Nutzung ab. Als unabhängige Gegenprobe eignet er sich, weil er nicht vom Anbieter der Zertifizierung stammt; das Ergebnis ersetzt weder ein Gutachten noch die Würdigung durch das Gericht. Wird die versiegelte XML-Datei nach dem Herunterladen verändert, ist die Validierung des Siegels nicht mehr korrekt.

So prüfen Sie es: Laden Sie die versiegelte XML-Datei eines Testpakets des Anbieters selbst in den Validator, und zwar mit einem unkritischen Inhalt. Rechnen Sie anschließend mit einem beliebigen SHA-256-Werkzeug einige Glieder der Hashkette nach.

Login, dynamische Inhalte und Video

Viele streitrelevante Inhalte liegen hinter einer Anmeldung, etwa in geschlossenen Gruppen oder Kundenkonten. Andere laden erst beim Scrollen nach, verstecken Kommentare hinter einem Klick oder bestehen aus Video, Livestream oder Chat. Bei Social-Media-Beweisen vor Gericht kommt hinzu, dass Beiträge, Kommentare und Bewertungen schnell verschwinden.

So prüfen Sie es: Fragen Sie, ob die Anmeldung innerhalb der aufgezeichneten Sitzung erfolgt, wie die Software ganze Seiten erfasst, ob sie Kommentare aufklappt und Cookie-Banner ablehnt und ob sie eine Sitzung als Video mit Ton aufzeichnen kann.

Ein Bericht, den Dritte lesen können

Weil das Gericht Beweise nach § 286 ZPO frei würdigt, sollte der technische Bericht auch für Richter, Anwälte und Sachverständige ohne Spezialwissen verständlich sein. Er sollte Erfassungszeitpunkt, verwendete Umgebung, TLS-Protokoll, Cookies, öffentliche IP-Adresse des Bedieners und jede festgestellte Auffälligkeit mit ihrer Erklärung nennen. Ebenso wichtig ist, dass Quellcode und Protokolle des Werkzeugs in einem Gutachten überprüft werden können.

So prüfen Sie es: Geben Sie einen Beispielbericht Ihrem eigenen Gutachter und fragen Sie, ob er den Ablauf ohne Rückfrage beim Anbieter rekonstruieren kann. Klären Sie außerdem, ob der Anbieter Quellcode und Protokolle unter Geheimhaltungsvereinbarung zur Prüfung bereitstellt.

Welche Fragen sollten Sie dem Anbieter vor der Auswahl stellen?

Mit diesen Fragen an den Anbieter werden aus den Kriterien prüfbare Antworten, und schon eine ausweichende Antwort sagt etwas aus. Stellen Sie die Fragen schriftlich und verlangen Sie zu jeder Antwort ein Beispiel aus einer echten Testerfassung.

• Zertifiziert Ihre Software eine fertige Datei oder den gesamten Erfassungsvorgang?
• Beginnt jede Erfassung mit gelöschten Browserdaten, und wo steht das im Bericht?
• Welche Daten verbindet die Hashkette, und wo finde ich die Formeln, um sie selbst nachzurechnen?
• Enthält das Paket den gerenderten und den vom Server ausgelieferten Quelltext, ein Webarchiv und die TLS-Zertifikate?
• Wird der Netzwerkverkehr protokolliert, und mit welchen Grenzen bei Dauer und Datenmenge?
• Wie ordnen Sie Ihr Verfahren den vier Phasen von ISO/IEC 27037 zu?
• Sind Siegel und Zeitstempel qualifiziert im Sinne der eIDAS-Verordnung, und wie weist der Prüfbericht das aus?
• Kann ich eine versiegelte Datei ohne Ihre Software im DSS-Validator der Europäischen Kommission prüfen?
• Wie erfassen Sie Inhalte hinter einem Login, nachladende Kommentare und Videos?
• Legen Sie Quellcode und Protokolle unter Geheimhaltungsvereinbarung einem Gutachter zur Prüfung vor?
• Welche Grenzen hat die Software, etwa bei der Zahl der Elemente pro Erfassung oder bei bestimmten Quellen?

Welche Fehler kommen bei der Auswahl immer wieder vor?

Die meisten Fehlgriffe entstehen, weil ein einzelnes Merkmal wie Zeitstempel, Archiv oder Siegel für das ganze Verfahren gehalten wird, und jeder dieser Fehler zeigt sich erst, wenn die Gegenseite den Beweis bestreitet.

Ein Zeitstempel belegt, wann eine Datei existierte, nicht wie sie entstanden ist: Auch beim qualifizierten Zeitstempel vermutet Art. 41 Abs. 2 der eIDAS-Verordnung nur die Richtigkeit von Datum und Uhrzeit und die Unversehrtheit der Daten, nicht die Umstände ihrer Erfassung. Erst die vollständige Abfolge aus Erfassung in kontrollierter Umgebung, Prüfung, technischem Bericht, qualifiziertem elektronischem Siegel und qualifiziertem Zeitstempel erhält die Beweiskette. TrueScreen dokumentiert im Forensic Browser jede dieser Stufen, von der Erfassung in kontrollierter Umgebung bis zum qualifizierten elektronischen Siegel und qualifizierten Zeitstempel.

Signatur und Siegel verwechseln. Der Hinweis auf eine „digitale Signatur“ sagt nichts darüber, ob ein qualifiziertes elektronisches Siegel vorliegt. Fehlt die Qualifizierung, greifen im Streitfall die Vermutungen aus Art. 35 Abs. 2 und Art. 41 Abs. 2 der eIDAS-Verordnung nicht, und die Unversehrtheit lässt sich nur auf anderem Weg belegen.

Einem „Zertifikat nach ISO/IEC 27037“ vertrauen. Da die Norm keine Zertifizierung vorsieht, wirft die Behauptung selbst Fragen auf. Das kann Zweifel an den übrigen Angaben des Anbieters wecken.

Archivieren mit Beweissicherung gleichsetzen. Wer eine Website archivieren will, braucht eine Kopie; wer sie als Beweis vorlegen will, braucht mehr. Integrität bedeutet, dass sich eine Datei nicht verändert hat, Authentizität dagegen, dass sie dem entspricht, was sie darzustellen behauptet. Ein Archiv kann die Integrität einer Kopie belegen, ohne die Authentizität der Erfassung nachzuweisen.

Nur einen Zeitstempel oder nur ein Siegel kaufen. Ein Werkzeug, das lediglich versiegelt, archiviert oder datiert, belegt für sich genommen die Unversehrtheit, nicht die Authentizität der Erfassung. Am Ende steht eine Datei mit sicherem Datum, deren Entstehung sich nicht belegen lässt.

Den Screenshot für ausreichend halten. Ein einfaches Bildschirmfoto lässt sich leicht bearbeiten und enthält weder Quelltext noch Netzwerkdaten. Wann ein Screenshot als Beweismittel vor Gericht trägt und wann nicht, hängt deshalb vom Verfahren ab, mit dem er entstanden ist.

Die Erfassung im eigenen Browser mit der Erfassung in kontrollierter Umgebung verwechseln. Die Browser Extension arbeitet im Alltagsbrowser mit den dort geöffneten Sitzungen und ist der schnelle Weg für Inhalte, die gleich verschwinden könnten. Der Forensic Browser ergänzt eine saubere Sitzung und das Netzwerkprotokoll; wird die Erfassung voraussichtlich angefochten, ist er der richtige Weg.

Erwarten, dass eine Sicherung die Vergangenheit belegt. Eine Zertifizierung gilt ab ihrem Zeitpunkt. Sie beweist nicht, dass eine Seite vorher anders aussah, und wer zu spät sichert, kann einen früheren Zustand nicht mehr nachweisen.

Wie erfüllt TrueScreen diese Kriterien?

TrueScreen erfüllt diese Kriterien mit dem Forensic Browser, einer Desktop-Anwendung für macOS und Windows, die jede Erfassung mit gelöschten Browserdaten beginnt und den Netzwerkverkehr protokolliert, mit der TrueScreen App für Inhalte auf dem Smartphone und mit der Browser Extension für Chrome und Edge, die eine bereits geöffnete Seite zertifiziert, auch nach dem Login. Die Tabelle zeigt, wie sich Forensic Browser und Browser Extension bei den einzelnen Kriterien unterscheiden.

Forensic Browser: Erfassung in kontrollierter Umgebung

Der Forensic Browser ist eine Desktop-Anwendung auf Chromium-Basis für macOS 11 oder neuer (Apple Silicon und Intel) und Windows 10 oder neuer in 64 Bit; eine Linux-Fassung gibt es nicht. Bei der gezielten Erfassung (Targeted acquisition) wählt der Bediener die Seiten selbst aus, was sich auch für Wege mit Login eignet. Die vollständige Aufzeichnung (Full recording) speichert die Sitzung als MP4-Video mit Ton und Mauszeiger, etwa für Videos, Livestreams oder Chats; nur in diesem Modus lässt sich der Netzwerkverkehr zusätzlich als PCAP mitschneiden, und diese Option ist standardmäßig ausgeschaltet und auf 20 Minuten und 1 GB begrenzt. Die automatische Erfassung (Automatic acquisition) arbeitet eine Adressliste, eine Sitemap oder einen Crawl ab, klappt Kommentare auf und lehnt Cookie-Banner ab; Social-Media-Profile nimmt sie als Quelle nicht an.

Für jede Seite sichert der Forensic Browser ein PNG-Bild, den gerenderten Quelltext, den vom Server ausgelieferten Quelltext und ein MHTML-Archiv. Er markiert Text, der nur in der gerenderten Fassung steht, sowie verborgenen Text mit dem jeweiligen Grund und speichert die TLS-Zertifikate der Websites. Der Bericht nennt den kontrollierten Erfassungszeitpunkt, die gegenüber den Websites angegebene Identität, das TLS-Protokoll, die Cookies, die öffentliche IP-Adresse des Bedieners, erklärte Auffälligkeiten und das Ergebnis der Prüfung auf virtuelle Maschinen und Debugger. Eine Erfassung umfasst bis zu 120 Elemente in bis zu 16 Tabs (Stand Version 2.10.1).

Der Forensic Browser berechnet die Hashwerte und eine Kette, in der jedes Glied der SHA-256-Wert aus vorherigem Glied, Arbeitsschritt, Uhrzeit und Fingerabdruck der Daten ist; die Formeln liegen dem Paket bei. TrueScreen schließt die Zertifizierung mit qualifiziertem elektronischem Siegel und qualifiziertem Zeitstempel ab. Die Hashkette ist weder eine Signatur noch eine Blockchain, und TrueScreen nutzt keine Blockchain.

TrueScreen App: Inhalte auf dem Smartphone

Die TrueScreen App zertifiziert Beiträge, Kommentare und Bewertungen über die zertifizierte Navigation direkt auf dem Smartphone. Chats wie WhatsApp sichert sie auf dem Telefon über die Bildschirmaufnahme; für die Webfassung eines Chats ist der Forensic Browser zuständig.

Browser Extension: wenn der Inhalt verschwinden könnte

Die Browser Extension für Chrome und Edge zertifiziert einen Screenshot des sichtbaren Bereichs oder der ganzen Seite sowie ein Video des Browser-Tabs. Sie läuft im Browser des Nutzers mit den dort bereits geöffneten Sitzungen, ohne saubere Umgebung und ohne Netzwerkprotokoll. Daraus folgt eine einfache Auswahlregel: Den Forensic Browser wählen Sie, wenn die Erfassung angefochten werden kann; die Browser Extension, wenn der Inhalt verschwinden könnte und es auf Minuten ankommt.

Was TrueScreen zusagt und was nicht

TrueScreen ist kein Vertrauensdiensteanbieter und keine Zertifizierungsstelle. Eine Zertifizierung belegt, wie und wann erfasst wurde, nicht aber, ob der erfasste Inhalt wahr ist. Das Verfahren ist darauf ausgelegt, Veränderungen während der Erfassung zu vermeiden; Änderungen an der versiegelten Datei werden bei der Prüfung erkennbar. Jeder Beweis kann bestritten werden; über das Ergebnis entscheidet das Gericht, und TrueScreen ersetzt keinen Sachverständigen. Quellcode und Protokolle lassen sich in einem Gutachten unter Geheimhaltungsvereinbarung prüfen. Wie Sie eine erhaltene Zertifizierung kontrollieren, erklärt die Seite Zertifizierungen prüfen.

Ein Beispiel aus der Praxis: Eine Kanzlei soll für ein Unternehmen herabsetzende Beiträge in einer geschlossenen Gruppe sichern. Die Mitarbeiterin startet im Forensic Browser eine gezielte Erfassung, meldet sich innerhalb der aufgezeichneten Sitzung an, klappt die Kommentare auf und sichert die Beiträge. Das versiegelte Paket geht an die Gegenseite, deren Sachverständiger die XML-Datei im DSS-Validator prüft und die Hashkette mit eigenen Werkzeugen nachrechnet, ohne die Kanzlei oder TrueScreen fragen zu müssen.

Fazit