Kapitel 89: Der verborgene Kompass – Metadaten, URLs und die digitalen Spuren hinter den Zahlen

In der alten Welt war der Tatort physisch. Ein Fingerabdruck auf Glas, ein verlorenes Haar auf dem Teppich oder vielleicht der Duft eines billigen Parfüms, der im Raum zurückblieb. Im Laufe der Jahre meiner beruflichen Tätigkeit waren Beweise meist greifbar, solche, die man in eine durchsichtige Plastiktüte legen und als "Beweismittel A" kennzeichnen konnte. Doch in einer Ära, in der der Betrug hinter Bildschirmen stattfindet, wenn der Betrüger in einem weit entfernten Land sitzen kann, der Server in einem anderen Land steht und das Geld auf eine digitale Wallet in einer dritten Ecke der Welt transferiert wird, hat sich der Tatort transformiert. Er besteht nicht mehr aus Materie, sondern aus Daten.

In vielen Fällen fühlen sich Betroffene hilflos. Sie könnten denken, dass nichts mehr übrig geblieben ist als ein verschwommener Screenshot, falls Nachrichten gelöscht oder die Webseite abgeschaltet wurde. Dies ist eine falsche Annahme. Die digitale Welt hinterlässt ihrem Wesen nach Spuren, selbst wenn der Versuch unternommen wird, diese zu verschleiern. Diese Spuren werden als Metadaten bezeichnet – "die Daten hinter den Daten". Dies ist der verborgene Kompass, der dabei helfen kann, den Übergang von der Anonymität hin zum Aufbau einer Beweisgrundlage zu vollziehen.

In diesem Kapitel werden wir die Tiefen der digitalen Architektur untersuchen. Wir werden lernen, wie eine Webadresse (URL) Betrugsmuster offenlegen kann und wie eine Telefonnummer zu einem bedeutenden Baustein bei der Fallanalyse werden kann. Dies ist ein wichtiges Werkzeug im professionellen Instrumentarium, da digitale Beweise bei einer juristischen Prüfung von entscheidender Bedeutung sein können.

Das folgende Szenario ist ein lehrreiches Beispiel, das auf verbreiteten Betrugsmustern basiert. Die Charaktere und Ereignisse dienen lediglich der Veranschaulichung.

Galit (Name geändert) repräsentiert eine Finanzmanagerin, eine rationale Frau, die an die Arbeit mit Daten gewöhnt ist. Eines Tages erschreckte sie eine SMS, die scheinbar von der Bank stammte: "Ihr Bankkonto wurde aufgrund verdächtiger Aktivitäten vorübergehend gesperrt. Um Ihre Daten zu bestätigen, klicken Sie hier: bit.ly/secure-bank-il".

In diesem Szenario klickte Galit auf den Link und gelangte auf eine Webseite, die der ihr bekannten Bankseite täuschend ähnlich sah. Sie gab ihre Zugangsdaten und den Bestätigungscode ein und stellte kurz darauf fest, dass eine erhebliche Abbuchung von ihrem Konto erfolgt war. In einer solchen Situation könnte der Betroffene das Gefühl haben, keine Beweise in der Hand zu halten, falls die Webseite vom Netz genommen wurde, aber der ursprüngliche Link bleibt als Ausgangspunkt für die Untersuchung bestehen.

In diesem Lehrbeispiel ist der Link nicht das Ende des Weges, sondern die Roadmap für die Untersuchung des Vorfalls.

Die verborgene Schicht: Was sind Metadaten und warum können sie ein wesentlicher Beweis sein?

Wenn man mit einem Mobiltelefon ein Foto macht, wird neben dem visuellen Bild eine Textdatei namens EXIF gespeichert. Sie enthält Informationen über das Gerätemodell, geografische Koordinaten (GPS) und den genauen Aufnahmezeitpunkt. Das sind die Metadaten.

In der Welt des digitalen Betrugs verleihen Metadaten dem Beweis einen Kontext. Angenommen, es wird ein "Banküberweisungsbeleg" im PDF-Format vorgelegt, der legitim aussieht. Eine Überprüfung der Metadaten der Datei könnte ergeben, dass sie mit einer Grafiksoftware und nicht in einem offiziellen Banksystem erstellt wurde, oder dass der Zeitpunkt der Dateierstellung nicht mit der behaupteten Zeitleiste übereinstimmt. Im Szenario von Galit können die Metadaten der SMS Informationen über den Server (Gateway) enthalten, über den die Nachricht gesendet wurde, was es ermöglicht, den Pfad des Betrugs zurückzuverfolgen.

Juristisch gesehen hängt die Bedeutung der Metadaten mit der Prüfung der Authentizität des Beweismittels zusammen. Während ein Screenshot verändert werden kann, sind ursprüngliche Metadaten schwerer konsistent zu fälschen. Die Vorlage einer Datei mit den originalen Metadaten ermöglicht es, die Zuverlässigkeit des Beweises zu prüfen. Im Kontext des Zahlungsdienstleistungsgesetzes und der Rechtsprechung zu Kreditkarten ist die Frage der Authentizität zentral. Wenn gezeigt werden kann, dass das vorgelegte Dokument unter verdächtigen Umständen erstellt wurde, könnten Fragen bezüglich der Schutz- und Identifizierungssysteme des Finanzinstituts aufgeworfen werden.

Wichtiger Hinweis: Das Versenden von Dateien über bestimmte Apps kann die Metadaten entfernen. Daher wird während der Jahre der beruflichen Arbeit die Wichtigkeit der Aufbewahrung der Rohdatei (Raw file) betont. Es wird empfohlen, die E-Mail selbst als EML- oder MSG-Datei zu speichern, die die "Header" enthält, welche den digitalen Pfad des Dokuments detailliert beschreiben.

Die Adresse an der virtuellen Wand: URL- und Domainanalyse als Instrument für die rechtliche Prüfung

Im Lehrbeispiel von Galit dient der verkürzte Link (wie bit.ly) manchmal dazu, das wahre Ziel zu verschleiern. Eine Untersuchung eines solchen Links könnte eine Adresse wie http://bank-israel-security-verification.com/login enthüllen.

Eine solche Adresse mag für einen ungeschulten Benutzer korrekt aussehen, aber eine professionelle Analyse würde ergeben, dass Banken in Israel meist Endungen wie .co.il und nicht .com verwenden. Die "Whois"-Überprüfung der Domain – die Informationen zur Registrierung der Adresse – könnte ergeben, dass sie kurz vor dem Zeitpunkt des Betrugs unter nicht identifizierbaren Angaben registriert wurde.

Diese Analyse hilft dabei, Argumente bezüglich einer Täuschung zu stützen. Die Erstellung einer Domain, die den Namen eines bekannten Instituts nachahmt, kann auf kriminelle Absichten hinweisen. Darüber hinaus können diese Beweise bei der Prüfung der Haftung der beteiligten Stellen dienen. Es kann geprüft werden, ob der Betrug derart raffiniert war, dass ein durchschnittlicher Kunde ihn ohne professionelle Hilfsmittel nicht hätte bemerken können.

Bei Fällen mit verdächtigen Webadressen muss deren Struktur untersucht werden; man sollte auf bewusste Tippfehler (Typosquatting) oder die Verwendung ähnlicher Zeichen aus Fremdsprachen achten. Die Dokumentation der vollständigen Adresse, einschließlich der darin enthaltenen technischen Parameter, ist für die Bewertung der Art der Kontaktaufnahme unerlässlich.

Telefonnummern und gestohlene Identitäten: Zwischen "Spoofing" und rechtlicher Realität

Eine der Herausforderungen in diesen Fällen ist die Spoofing-Technologie (Fälschung der Anruferkennung), die es ermöglicht, eine andere Telefonnummer als diejenige anzuzeigen, von der aus der Anruf tatsächlich getätigt wird. Im Lehrbeispiel sah Galit auf dem Display den Namen der Bank, da die gefälschte Nummer identisch mit der offiziellen Nummer war, die in ihren Kontakten gespeichert war.

Dieser Aspekt ist für die Prüfung der Frage von Schuld und Mitverschulden relevant. Eine Dokumentation, die zeigt, dass eine offizielle Nummer eines Finanzinstituts verwendet wurde, kann die rechtliche Analyse hinsichtlich des Sorgfaltsmaßstabs beeinflussen, den der Kunde hätte anwenden müssen. Es ist schwer von einem Kunden zu erwarten, dass er nicht auf einen Anruf reagiert, der scheinbar von der offiziellen Abteilung seiner Bank stammt.

Für die Beweiserhebung empfiehlt es sich, eine Einzelverbindungsübersicht für eingehende Anrufe vom Kommunikationsanbieter (Logs) anzufordern, da normale Anruflisten meist nur ausgehende Anrufe anzeigen. Diese Daten könnten die tatsächliche Herkunft des Anrufs oder die IP-Adresse des Servers enthüllen. In einigen Fällen kann geprüft werden, ob ein "SIM-Swapping" durchgeführt wurde – das Übertragen der Telefonnummer auf eine andere SIM-Karte ohne Genehmigung, was Fragen zur Datensicherheit beim Kommunikationsanbieter aufwirft.

Die Verantwortung der Finanzinstitute gegenüber digitalen Beweisen

Die technische Analyse von Metadaten und Webadressen übersetzt sich in eine rechtliche Prüfung der Sorgfaltspflichten. Das Zahlungsdienstleistungsgesetz legt den Haftungsrahmen bei Missbrauch von Zahlungsmitteln fest. Finanzinstitute könnten argumentieren, dass das Weitergeben eines Codes einen Verstoß gegen die Geheimhaltung darstellt, doch die Vorlage von Beweisen für "Social Engineering" kann das Bild verändern.

Durch die Analyse digitaler Beweise kann geprüft werden, ob das Finanzinstitut seiner Sorgfaltspflicht nachgekommen ist. Wurde beispielsweise ein Login aus einem fremden Land kurz nach einem Login aus Israel erkannt, oder hätten die Überwachungssysteme bekannte Phishing-Links identifizieren müssen? Die Metadaten der Transaktion sind ein Hilfsmittel bei der Prüfung der Frage, ob eine Fahrlässigkeit bei der Überwachung der Aktivitäten vorlag.

In einem möglichen Szenario kann die Vorlage einer professionellen Analyse der Betrugsinfrastrukturen zu einer erneuten Prüfung der Position des Finanzinstituts führen. Die Chance auf eine Rückerstattung hängt von den spezifischen Umständen jedes Falls ab, aber der Aufbau einer digitalen Beweisgrundlage ist ein notwendiger Schritt bei der Führung eines solchen Verfahrens.

Die Krise und die Entdeckung: Die Bedeutung des richtigen Umgangs mit Beweismitteln

Eigenständige Handlungen von Betroffenen nach der Entdeckung des Betrugs können manchmal die Qualität der Beweise beeinflussen. Im Lehrbeispiel könnte der Versuch, den Kontakt über WhatsApp zu konfrontieren, zur Löschung von Nachrichten seitens des Betrügers führen.

Dennoch können auch gelöschte Nachrichten Spuren in den Metadaten der Datenbank der App auf dem Gerät hinterlassen. Der Abgleich zwischen Sende- und Löschzeitpunkten von Nachrichten mit den Zeitpunkten der Kontobewegungen kann beim Aufbau der Chronologie des Vorfalls helfen.

Im Laufe der Jahre ist die Kanzlei auf Fälle gestoßen, in denen die sofortige Einstellung der Gerätenutzung nach der Entdeckung des Vorfalls eine bessere Ausschöpfung forensischer Daten ermöglichte. In einem möglichen Szenario könnten die Parteien nach der Prüfung und Vorlage der Beweise einen für sie akzeptablen Vergleich erzielen.

Fazit und Schlussfolgerungen: Die DNA des Rechtsfalls

Die Erhebung digitaler Beweise erfordert ein Verständnis der Daten hinter den Kulissen. Metadaten, Webadressen und Telefonnummern sind wesentliche Bestandteile beim Aufbau einer faktischen Grundlage im modernen Zeitalter.

In ähnlichen Fällen wie dem von Galit kann die Vorlage einer wissenschaftlichen Analyse der digitalen Beweise den Dialog mit den Finanzinstituten verändern und ihn auf eine sachliche Prüfung der Umstände verlagern.

Warnsignale (Red Flags) bei Metadaten und Adressen:

• Zu ähnliche Domains: Verwendung ungewöhnlicher Endungen oder Buchstabentausch in der Domain.
• Verkürzte Links: Verwendung externer URL-Kürzer in sensiblen Nachrichten von offiziellen Instituten.
• Zeitliche Inkonsistenz: Widersprüche zwischen den Metadaten und dem sichtbaren Inhalt des Dokuments.
• Unsicheres Protokoll: Fehlen von HTTPS auf Webseiten, die die Eingabe sensibler Daten erfordern.

Was kann nach einem Vorfall getan werden? (Aktionsplan):

• Dokumentation und Bewahrung: Vermeidung der Löschung von Browserverlauf, Nachrichten oder E-Mails.
• Speicherung von Quelldateien: Speicherung und Weitergabe von Dateien in ihrem Originalformat, um die Header zu erhalten.
• Vollständiger Screenshot: Dokumentation der vollständigen Adresszeile (URL) verdächtiger Webseiten.
• Anforderung von Daten: Anforderung einer Liste eingehender Anrufe beim Kommunikationsanbieter.

Rechtlicher Aspekt:

Gemäß der Beweisverordnung [neue Fassung], 1971 und dem Signaturgesetz, 2001 haben digitale Dokumente und die dazugehörigen Metadaten einen rechtlichen Status, vorbehaltlich der Einhaltung der Zulässigkeits- und Zuverlässigkeitsbedingungen. Es besteht die Möglichkeit, diese Beweise vor Gericht vorzulegen, wobei der Schwerpunkt auf dem Nachweis der Integrität des Beweismittels ("Beweiskette") liegt. Die Verantwortung der Finanzinstitute wird in Verbindung mit dem Zahlungsdienstleistungsgesetz sowie unter allgemeinen Grundsätzen des Vertrags- und Deliktsrechts geprüft, wobei der digitale Beweis als Instrument zur Prüfung des geforderten Sorgfalts- und Sicherheitsniveaus dient.