Gelöscht ist eben nicht immer gelöscht. Erklärung zu sog. „gecarvten“ Dateien in der IT-Forensik

In der IT-Forensik bezieht sich der Begriff „Carving“ auf die Technik, Datenfragmente auf digitalen Speichermedien zu finden und zu rekonstruieren, selbst wenn diese Daten gelöscht oder beschädigt wurden. Eine „gecarvte“ Datei ist also eine Datei, die mithilfe forensischer Methoden aus den Rohdaten eines Datenträgers wiederhergestellt wurde, ohne dass sie ursprünglich noch in einem Dateisystem sichtbar war.
Wie funktioniert das „Carving“?
Wenn Daten auf einem Speichermedium – zum Beispiel einer Festplatte, einem USB-Stick oder einer Speicherkarte – gespeichert und dann gelöscht werden, bleiben oft Fragmente der ursprünglichen Daten erhalten. Das liegt daran, dass beim Löschen einer Datei meist nur der Verweis auf die Datei im Dateisystem entfernt wird, während die eigentlichen Daten oft weiterbestehen, bis sie durch neue Daten überschrieben werden. Beim Carving scannen IT-Forensiker das Speichermedium auf solche Fragmente, die Rückschlüsse auf Dateien ermöglichen, selbst wenn die Dateistruktur (wie Verzeichnisinformationen) verloren ist.
Um eine Datei zu „carven“, verwenden Forensiker spezielle Software, die den Datenträger „Sektor für Sektor“ durchläuft und nach typischen Datenmustern sucht. Viele Dateitypen – beispielsweise Bilder, Videos oder Dokumente – haben einen eindeutigen Header (Kopfbereich) oder Footer (Schlussbereich), der es ermöglicht, diese Dateiarten auch ohne Verzeichnisstruktur zu identifizieren und wiederherzustellen.
Wann wird Carving eingesetzt?
Carving ist vor allem dann nützlich, wenn:
Dateien gelöscht wurden und die Verweise im Dateisystem nicht mehr vorhanden sind. Auch wenn das Dateisystem beschädigt oder nicht mehr zugänglich ist.
Weiterhin wenn Daten aus unstrukturierten Speichermedien rekonstruiert werden sollen, auf denen keine vollständige Dateisystemstruktur besteht, etwa in Fällen physisch beschädigter Datenträger.
Was sind die Herausforderungen bei „gecarvten“ Dateien?
Carving birgt Herausforderungen, da die wiederhergestellten Dateien nicht immer vollständig und oft fragmentiert sind. Manchmal werden nur Teile einer Datei gefunden, was deren Beweiskraft einschränken kann. Zudem besteht die Gefahr von „False Positives“ – dass also Datenfragmente fälschlicherweise zu einer Datei zusammengesetzt werden, die so nie existiert hat. An dieser Stelle setzt die Verteidigung an. Wir fragen in jedem Verfahren mit dem Vorwurf der Kinderpornografie nach „gecarvten“ Dateien. In der Regel ist der Besitzwille an solchen Dateien sehr fraglich, da sie ja bereits gelöscht wurden. Zeitstempel, die eine Datei immer bekommt liegen in der Regel nicht oder nicht hinreichend vor. Wir wissen an dieser Stelle die obergerichtliche Rechtssprechung an unserer Seite. In dem jeweiligen Verfahren will dieses jedoch herausgearbeitet werden.
Rechtliche Bedeutung und Ansätze für die Verteidigung
Da „gecarvte“ Dateien oft aus unvollständigen Daten wiederhergestellt werden, ist ihre Verlässlichkeit und Authentizität im Strafverfahren nicht immer eindeutig. In der Verteidigung kann es daher wichtig sein, solche Beweise kritisch zu prüfen. Ein erfahrener Verteidiger kann beispielsweise:
Hinterfragen, wie vollständig und verlässlich die „gecarvten“ Dateien sind oder beweisen, dass das Carving-Verfahren unter Umständen zu Fehlern führen kann, etwa durch eine unsaubere Trennung von Datenfragmenten,
Er kann auch den Prozess der Datenerhebung und -bearbeitung analysieren lassen, um sicherzustellen, dass alle rechtlichen Vorgaben eingehalten wurden.
Zusammenfassend lässt sich sagen, dass „gecarvte“ Dateien in der IT-Forensik wertvolle Hinweise liefern können, aber auch kritisch geprüft werden sollten. Die Qualität der rekonstruierten Daten und die Sorgfalt der forensischen Analyse sind dabei entscheidend.
Wenn Sie Fragen zur Auswertung von gecarvten Dateien oder zur Verteidigung in Verfahren mit IT Bezug bzw. in Verfahren mit kinderpornografischem Bezug haben, stehe ich Ihnen gerne zur Seite. Ich biete Ihnen eine umfassende Beratung, um Ihre Optionen zu erörtern und die bestmögliche Verteidigung aufzubauen.

Rufen Sie mich unter der Nummer: 0201/310 460 0 für eine kostenlose Ersteinschätzung Ihres Verfahrens an oder schreiben Sie mir unmittelbar ein Email unter mail@rechtsanwalt-scharrmann.de. Sie erhalten unmittelbar eine Rückmeldung mit einer ersten Einschätzung.
Weitere Informationen finden Sie in der Rechtsprechungsübersicht oder unter unseren weiteren Seiten: 222-stgb.de lm-strafrecht.de, rechtsanwalt-louis.de