blz_logo12,9

IT-Experten der Kriminalpolizei: Die Computerdetektive

In einer Rework-Station löten die Experten die Chips von Handys aus, um später auch gelöschte Nachrichten, Bilder und Rufnummern zu rekonstruieren.

In einer Rework-Station löten die Experten die Chips von Handys aus, um später auch gelöschte Nachrichten, Bilder und Rufnummern zu rekonstruieren.

Foto:

Markus Wächter

Berlin -

Peter M.* ist ein angesehener Mann. Der 43-jährige Wirtschaftsanwalt ist erfolgreich im Beruf, verheiratet mit einer gut aussehenden Frau und Vater zweier Söhne im Grundschulalter. Seine Familie ist sein Lebensinhalt, behauptet er. Doch seine Familie ahnt nicht, dass er seit Jahren noch eine andere Leidenschaft pflegt, wenn er an seinem Computer im Büro mal wieder Überstunden macht. Nach Feierabend verschickt er Mails mit Bildanhängen und empfängt auch welche. Er schreibt sich in einem Internet-Forum mit Leuten, die seine Leidenschaft teilen.

Das Forum, in dem kinderpornografische Bilder getauscht werden, hat von Monat zu Monat mehr Besucher. Was die Pädophilen nicht wissen: Einige Besucher sind dienstlich eingeloggt. Die Bundeskriminalbeamten haben eines Tages die Telefonanschlüsse besonders eifriger Kinderporno-Tauscher recherchiert und stellen fest: Einer der Anschlüsse gehört Peter M. aus Berlin.

Datensicherung ist extrem wichtig

An einem Morgen klingeln Polizisten des Landeskriminalamtes bei ihm. Sie durchsuchen die Wohnung und sein Büro. Peter M., der erfolgreiche und selbstbewusste Anwalt, bleibt entspannt. Lässig lümmelt er im Sessel, während die Polizisten bei ihm zwei PC einpacken. „Was suchen Sie eigentlich?“, säuselt er. Die Ermittler tüten auch mehrere externe Festplatten und mehr als 150 CDs und DVDs ein.

Die IT-Spezialisten der Kriminaltechnik werden beauftragt, M.’s Computer zu untersuchen. Rund 30 Beamte und Angestellte sind zuständig für alle Delikte, die mit Computern begangen werden können. Pro Jahr haben sie rund 1 000 Fälle abzuarbeiten. Das reicht von Verletzungen der Unterhaltspflicht bis hin zu Mord. „Sexualdelikte wie Kinderpornografie machen inzwischen mit 27 Prozent die meisten Fälle aus“, sagt Gero Gebert. Der 43-jährige Ingenieur für Informatik leitet eines von drei zuständigen Sachgebieten. Sexualdelikte haben rasant zugenommen, denn mit der Verbreitung von Computern und Internet wird auch mehr Schund verbreitet. In der Statistik folgen Wirtschaftsdelikte (24 Prozent), organisierte Kriminalität, wie aktuell die Rockerkriminalität mit 17 Prozent und Staatsschutzdelikte mit 8 Prozent. Mord und Totschlag machen statistisch zwar nur 4 Prozent der Fälle aus. Allerdings sind diese Fälle besonders umfangreich.

#image0

Die Computerspezialisten der Polizei sind in einem rasant wachsenden Arbeitsgebiet tätig. Denn Speichermedien gibt es inzwischen in fast allen Lebensbereichen. Und so gewinnen die IT-Spezialisten auch Daten aus beschlagnahmten Handys, Smartphones, Navigationssystemen und Videokameras. Eines der auseinandergeschraubten Handys ist das von Anwalt Peter M. Per Computer wird der Chip ausgelesen, und es erscheinen Daten, die eigentlich längst gelöscht waren: Kurznachrichten, Anrufe und die Funkzellen des Telefonnetzes, wo sich der Mann in letzter Zeit aufgehalten hat.

Als die Computerexperten die beiden PC des Anwalts auseinanderschrauben, sehen sie jeweils vier Festplatten. Sie übertragen die Daten auf eine eigene zwei Terabyte große Festplatte. Dafür schalten sie einen Writeblocker zwischen. Das kleine schwarze Gerät verhindert, dass die beschlagnahmte Festplatte beschrieben werden kann und Daten versehentlich zerstört werden. Das Beweismittel soll nicht verändert werden.

Die ebenfalls beschlagnahmten externen Festplatten haben unterschiedliche Anschlüsse, die zum Teil veraltet sind. Doch wer bei den Computerspezialisten der Polizei arbeitet, muss auch mit älteren Programmen und Geräten umgehen können. Die Innovationszyklen, so heißt das im Fachjargon, werden immer kürzer. Die Kapazität der Datenträger steigt rapide an – in den vergangenen zehn Jahren um das Zehnfache. Geberts Leute wühlen sich durch riesige Mengen an überflüssigen Bytes. Bereits Windows 7 hat 1,3 Millionen System- und Programmdateien.

Die Auswertung kann Jahre dauern

Um diese nicht jedes Mal zu sichten, gleichen die Spezialisten sie mit einer Datenbank des Bundeskriminalamtes ab. Sie erkennt anhand der 16- oder 32-stelligen Prüfsumme gewissermaßen den Fingerabdruck einer bereits bekannten Datei, zum Beispiel Kinderpornos. „Eine ausführliche Sichtung ersetzt das aber nicht“, sagt Gebert. Auf diese Weise durchforsten die Computerfachleute die Abrechnungen von Arztpraxen, um Betrügereien aufzuspüren. So bereitet etwa der große Abrechnungsbetrug in Berliner Kliniken bis heute eine Menge Arbeit.

Die IT-Experten müssen Prioritäten setzen. Deshalb kann es im Extremfall zwei Jahre dauern, bis die Auswertung des Computers eines Kleinganoven an der Reihe ist. Erst die Gefahrenabwehr und die Bekämpfung schwerer Verbrechen – dann der Rest. „Trotzdem versuchen wir, so weit zu sein, dass wir nicht reagieren sondern agieren“, sagt Gebert. Die Computerleute entwickeln eigene Auswertungssoftware, mit der sie fremde Computer erschließen. Diese sogenannten Tools bieten sie auch der Polizei anderer Bundesländer an.

Im PC, der bei dem Wirtschaftsanwalt beschlagnahmt wurde, hat eine Festplatte einen Defekt. Sie lässt sich nicht komplett überspielen. Wieder müssen Geberts Leute improvisieren. Sie probieren ein veraltetes Programm aus – und schaffen es, auch die restlichen Daten zu sichern.

Hat auch Peter M. Kinderpornos auf seinem Computer? Die Ermittler gleichen die Daten mit den vom BKA erfassten Kinderporno-Dateien ab. Das Programm braucht zwei Stunden, um mehrere hunderttausend Dateien zu überprüfen. Die Computerexperten finden nichts. Mit einem selbstentwickelten Programm erfassen sie die Datei- und Verzeichnisnamen aller untersuchten Laufwerke. Die Sichtung ergibt, dass Peter M. mehrere Bereiche auf seiner Festplatte verschlüsselt hat, für die man ein Passwort braucht. Sicherheit war M. wichtig. Auch der Inhalt der beschlagnahmten CDs und DVDs erweist sich als verschlüsselt.

„Einfach ekelerregend“

Von den Polizisten, die im LKA Kinderschänder jagen, wird ein wichtiger Hinweis geliefert: Sie hatten auf dem Schreibtisch des Anwalts in der Wohnung einen Zettel entdeckt mit dem Text „das-ist-peters-cd“. Die Computerspezialisten machen weiter. Sie finden heraus, dass ein bekanntes Verschlüsselungsprogramm verwendet wurde. Mit dem Programm und der Schriftzeile „das-ist-peters-cd“ als Passwort lassen sich dann auch tatsächlich die verschlüsselten CDs und DVDs öffnen. An das, was dann zum Vorschein kommt, werden sich die Computerfahnder wohl nie gewöhnen. „Das ist einfach ekelerregend“, sagt Gero Gebert. „Wir schauen nur oberflächlich drauf, weil der Anblick dieser Bilder belastend ist.“

Mit Routine werten die Computerleute auf diese Weise auch Fotodateien aus, die Tötungsszenen zeigen oder Gewalt verherrlichen. Wo all diese Aufnahmen gemacht wurden, ist unerheblich. Straftäter ist bereits derjenige, der derartige Fotos auf seinem Computer hat, weil dafür irgendwo auf der Welt ein Mensch getötet oder missbraucht worden ist.

Die Auswerter haben aber noch die verschlüsselten Festplatten vor sich und probieren weiter. Sie wandeln das Passwort ab: „das-ist-peters-festplatte“. Sie entdecken 8.000 kinderpornografische Bilder beziehungsweise Videos. Sie finden Dokumente, die belegen, dass der sonst so biedere Anwalt Kinderpornos über das Internet verbreitet hat. Sie finden auch Email-Verteilerlisten mit Namen von Abnehmern. Und somit geht das Forschen im Kinderschändersumpf weiter. Niemand hat eine Ahnung, wie viele diesen perversen Neigungen nachhängen.

Einer zumindest – Peter M. – wird zu einer Bewährungs- und Geldstrafe verurteilt. Seine Familie hat sich von ihm getrennt.

(*Name geändert)