Rafael Pfister

Consulting

E-Mail-Forensik für Strafverfolgungsbehörden

In Verfahren zu Betrug, Erpressung, Identitätsmissbrauch oder Datenabfluss ist eine E-Mail oft das zentrale Beweismittel. Ob sie echt ist, von wo sie eingeliefert wurde und welchen Weg sie genommen hat, lässt sich aus Headern, Signaturen und Server-Logs belegen. Ich unterstütze Staatsanwaltschaften, Polizei und weitere Behörden mit technischen Analysen und schriftlichen Berichten, die auch für Nicht-Techniker nachvollziehbar sind.

  • E-Mail-Forensik
  • Header-Analyse
  • DKIM-Verifikation
  • Exchange & Microsoft 365
  • Strafverfahren
  • Gutachten

Leistungen

  • HerkunftsanalyseReceived-Kette, einliefernde IP-Adressen, Mailserver und Zeitstempel auswerten; belastbare und fälschbare Header-Felder klar trennen.
  • EchtheitsprüfungDKIM-Signaturen nachträglich verifizieren, SPF- und DMARC-Ergebnisse einordnen, Manipulationen an Inhalt oder Headern erkennen.
  • Log- und PlattformauswertungExchange Message Tracking, Message Trace und Audit-Logs aus Microsoft 365, Gateway-Logs: Zustellung, Weiterleitungen und Zugriffe rekonstruieren.
  • Kompromittierte KontenFeststellen, ob und seit wann ein Postfach übernommen wurde und welche Nachrichten der Angreifer versendet, gelesen oder gelöscht hat.
  • Bericht und ErläuterungSchriftlicher Bericht mit Methode, Befunden und Grenzen der Aussage; Erläuterung gegenüber Ermittlern und Gericht.

Methodik und Beweiswert

Analysiert werden Kopien der gesicherten Daten, nie die Originale; Hashwerte belegen, dass die Kopien unverändert sind. Für die Header-Auswertung kommen Werkzeuge zum Einsatz, die lokal arbeiten, sodass Beweismaterial die kontrollierte Umgebung nicht verlässt. Jeder Schritt wird so dokumentiert, dass ihn eine andere Fachperson wiederholen kann. Der Bericht trennt Befund, Interpretation und offene Fragen; was sich aus den Daten nicht belegen lässt, wird als solches benannt. Möglich sind Aufträge als Sachverständiger nach Art. 182 ff. StPO ebenso wie die technische Unterstützung laufender Ermittlungen.

Ablauf

  1. Auftrag und FragestellungDie Behörde formuliert die Fragen; Umfang, Fristen und Form der Datenübergabe werden festgelegt.
  2. Übernahme der DatenKopien mit Hashwerten, dokumentierte Übergabe und gesicherte Aufbewahrung.
  3. AnalyseHeader, Signaturen und Logs auswerten, Befunde mit den Rohdaten belegen.
  4. BerichtAntworten auf die gestellten Fragen, Methode und Grenzen der Aussage, bei Bedarf mündliche Erläuterung.

Beispiele aus der Praxis