Wie Polizei und Ermittler an Daten kommen

Digitale Forensik

Beweismittel: Welche Daten Ermittler auswerten können

Handydaten, Suchanfragen, Standorte: Wie aus digitalen Spuren Beweise werden – und warum gelöschte Daten oft gar nicht verschwunden sind.

Im Mordprozess um den achtjährigen Fabian aus Güstrow haben digitale Spuren eine zentrale Rolle gespielt – von Handydaten über Suchanfragen bis zu Daten aus dem Auto der Angeklagten. Solche Spuren werden in Ermittlungen immer wichtiger. Und sie lassen sich oft auch dann rekonstruieren, wenn man sie längst gelöscht glaubt.

Moderne Smartphones speichern fast jede Aktivität: Nachrichten, Anrufe, Standorte, Fotos und die Nutzung einzelner Apps. Bei einer Festnahme oder Durchsuchung können Ermittler das Gerät beschlagnahmen und mit forensischer Software auslesen. Forensik bedeutet hier, Daten so zu sichern und auszuwerten, dass sie vor Gericht verwertbar bleiben.

• Änderung beim Notruf 110: Polizei kann Anrufer künftig genauer orten
• Suchtrends 2025: Was Google-Nutzer am meisten interessierte

Selbst gelöschte Inhalte sind häufig nicht verloren. Ein Telefon überschreibt freigewordenen Speicher nicht sofort, deshalb lassen sich Nachrichten oder Fotos oft wiederherstellen. Deutsche Behörden setzen dafür Software spezialisierter Anbieter ein; als Marktführer gilt die israelische Firma Cellebrite, deren Programme auch in jüngeren Verfahren in Deutschland zum Einsatz kamen. Auch Metadaten helfen: Fotos enthalten meist einen Zeitstempel und/oder die Koordinaten des Aufnahmeorts.

Viele weitere Informationen liegen nicht auf dem Gerät, sondern auf den Servern der Anbieter – etwa E-Mails, Chatverläufe, der Suchverlauf oder eine gespeicherte Standorthistorie. Ermittler können diese Daten anfordern.

Bei Unternehmen mit Sitz im Ausland läuft das über festgelegte Rechtswege. Google verzeichnet solche Anfragen zum Beispiel in einem eigenen Transparenzbericht. Teils erhalten Behörden einen kompletten Auszug eines Kontos, ähnlich dem Archiv, das Nutzer über die Funktion Google Takeout auch selbst herunterladen können.

Auch Mobilfunkanbieter speichern Verbindungsdaten. Über eine Funkzellenabfrage lässt sich feststellen, welche Geräte zu einer bestimmten Zeit mit einem Funkmast verbunden waren. Daraus ergeben sich Hinweise auf Aufenthaltsorte und Bewegungen.

Solche Zugriffe sind an Hürden gebunden. Eine Funkzellenabfrage setzt nach Paragraf 100g der Strafprozessordnung einen richterlichen Beschluss voraus. Der Bundesgerichtshof entschied 2024, dass dafür der Verdacht einer besonders schweren Straftat nötig ist. Die Maßnahme muss verhältnismäßig sein und sich auf einen begrenzten Zeitraum beschränken.

Unproblematisch ist das nicht. Das Auslesen eines kompletten Smartphones gilt als tiefer Eingriff in die Privatsphäre, weil dabei auch Daten anfallen, die mit dem Tatvorwurf nichts zu tun haben. Die Gesellschaft für Freiheitsrechte klagt deshalb vor dem Bundesverfassungsgericht; sie hält die rechtlichen Grundlagen für solche vollständigen Auswertungen für unzureichend.

Für Nutzer bedeutet das: Gelöschte Daten verschwinden nicht zwingend dauerhaft, und Informationen auf den Servern der Anbieter bleiben oft erhalten, selbst wenn das Gerät verloren ist. Wie viel ein Konto über einen gespeichert hat, lässt sich bei den meisten Diensten in den Einstellungen einsehen und über Exportfunktionen wie Google Takeout selbst nachprüfen.