Ermitt­lungs­ver­fahren: Beschlagnahme einer geschäftlich genutzten Festplatte während 3 Tagen bei geringer Datenmenge ist unver­hält­nismäßig langBehörde muss nach Möglichkeit eine 1:1 Kopie anfertigen

Im zugrunde liegenden Fall beschlagnahmte die Polizei am 30.11.2011 im Rahmen eines Ermitt­lungs­ver­fahrens vier geschäftlich genutzte Festplatten, die sich bei einem (Host)-Provider befanden. Der Beschuldigte wehrte sich gegen die Beschlagnahme, indem er am 2.12.2011 Beschwerde einlegte.

Das Amtsgericht Reutlingen half der Beschwerde teilweise ab. Es führte aus, dass Datenträger jeder Art, sofern sie nicht freiwillig herausgegeben werden, beschlagnahmt werden könnten, um der gespeicherten Daten, dem eigentlichen Beweis­ge­genstand, habhaft zu werden.

Anfertigen einer 1:1 Kopie als milderes Mittel

Handele es sich dabei um (fest eingebaute) Festplatten o.ä. (Massespeicher), kann die ansonsten erforderliche Beschlagnahme des gesamten Computers bzw. Computersystems in der Weise durch den Beschuldigten abgewendet werden, dass er sich mit der Anfertigung einer Kopie der entsprechenden Dateien oder des gesamten Datenträgers ("Image") vor Ort auf externe Datenträger einverstanden erklärt. Sofern diese forensische Datensicherung aus tatsächlichen Gründen vor Ort nicht möglich sei, ist eine Mitnahme von Datenträgern unter strenger Beachtung des Verhält­nis­mä­ßig­keits­grund­satzes möglich, führte das Amtsgericht aus.

Unverzüglich

Die Herstellung von 1:1 Kopien, die beweissichere Anfertigung eines Daten­trä­ge­rabbilds (forensische Duplikation) nur mittels anerkannter forensisch-technischer Verfahren und entsprechender Software und "Toolkits" (vgl. nur: BSI-Leitfaden zur IT-Forensik, S. 26 ff. m.w.N.), habe unverzüglich zu geschehen.

3 Werktage sind zu lang

Vorliegend sei - einzig und alleine - die Fortdauer der Beschlagnahme mit diesen Grundsätzen zeitlich nicht mehr vereinbar. Die Festplatten bzw. die Festplatte (mitgeteilt sind lediglich 750 GB) befinden sich seit mehr als drei Werktagen in behördlichem Gewahrsam. Der Beschuldigte habe unwiderlegt anwaltlich vortragen lassen, dass die Festplatten, offenbar Teil eines "Dedicated-to-customer"-Servers bei der Fa. technisch gesehen nicht nur seiner Daten­ver­a­r­beitung dienten, sondern dass von ihm vorgehaltene "Server"- und Daten­spei­cher­ka­pa­zitäten und wohl auch Rechenleistung, insbesondere für Daten­ban­k­an­wen­dungen, Dritten gewerblich überlassen wurden.

Damit sei zwar keineswegs ausgeschlossen, dass sich auf dem sicher­ge­stellten Speichermedium auch die gesuchten Beweis­ge­gen­stände befinden, z.B. als eigenständige Datenbank, Teil eines File-Systems oder eines Mailservers. Das werde auch eingeräumt. Der tatsächliche (physikalische) Zugriff auf solche Server-Hardware sei wegen der möglichen Betroffenheit Dritter unbedingt auf ein Minimum zu beschränken, soweit durch den tatsächlichen Zugriff auf die Festplatten und andere Hardware die Funktion des Servers beeinträchtigt oder unterbunden wird.

Beschuldigter muss nicht für eigene Kopien (Siche­rungs­kopien) sorgen

Auch wenn nicht nachvollziehbar sei, warum der Beschuldigte, als "EDV-Berater", offensichtlich in grob fahrlässiger Weise die gebotenen Daten­si­che­rungs­maß­nahmen (vgl. BSI IT-Grundschutz Empfehlungen, M 6.32, G 5.22 etc.) unterlassen hat, möglicherweise aus Kostengründen, sei die Beschlagnahme angesichts der eher geringen Datenmenge mit Ablauf von drei Werktagen, nach Anhörung des Finanzamtes Reutlingen, zur Wahrung des Grundsatzes der Verhält­nis­mä­ßigkeit aufzuheben.