Beweise aus dem Internet der Polizei übergeben – damit sie wirklich verwertbar sind

Warum die Polizei Web-Inhalte oft nicht rechtzeitig sichern kann

Viele gehen davon aus, dass sich die Polizei nach einer Strafanzeige um die Beweise kümmert. Bei allem, was im Internet steht, ist das riskant. Zwischen der Anzeige und dem Moment, in dem ein Beamter den Link tatsächlich öffnet, können Tage oder Wochen vergehen – und Web-Inhalte sind die flüchtigsten Beweise überhaupt.

Das ist kein Vorwurf an die Ermittler. Es ist ein strukturelles Problem, mit dem jede Polizei in Europa kämpft:

• Menge: Cybercrime-Dienststellen erhalten weit mehr Anzeigen zu Online-Betrug, Belästigung und Drohungen, als sie am Tag des Eingangs bearbeiten können.
• Löschung: Täter löschen Beiträge, benennen Profile um und nehmen Fake-Shops vom Netz, sobald sie eine Anzeige ahnen. Plattformen entfernen Inhalte zudem nach einer Nutzermeldung – samt sichtbarem Beweis.
• Daten im Ausland: Plattform und Server sitzen meist in einem anderen Staat. Daten über klassische internationale Rechtshilfe (MLAT) zu erhalten, dauerte bisher oft Monate.
• Befugnisse: Die Polizei braucht eine Rechtsgrundlage und häufig einen Beschluss des Gerichts oder der Staatsanwaltschaft, bevor sie Daten beim Anbieter anfordern kann.

Erst sichern, dann anzeigen

Das Wichtigste, was Geschädigte, Anwälte oder Unternehmen tun können: den Inhalt sichern, bevor sie ihn der Plattform melden oder die Gegenseite konfrontieren. Melden, Blockieren oder Kommentieren führt oft dazu, dass der Inhalt verschwindet. Eine sinnvolle Reihenfolge:

1. Sammeln Sie alle relevanten URLs: Beitrag, Profil, Shop, Anzeige, Zahlungsseite, Kommentarverlauf.
2. Sichern Sie jede öffentliche URL forensisch – ganze Seite, Quell-HTML, Netzwerkprotokoll, SHA-256-Hashes und qualifizierter Zeitstempel.
3. Sichern Sie Inhalte hinter einem Login (private Nachrichten, Bestellungen, geschlossene Gruppen) aus Ihrer eigenen, angemeldeten Browsersitzung.
4. Speichern Sie Originale, die per E-Mail oder Messenger kamen, im Originalformat und bearbeiten Sie sie nicht.
5. Erst dann erstatten Sie Strafanzeige und melden den Inhalt – wenn gewünscht – der Plattform.

Ein Screenshot allein ist ein bearbeitbares Bild ohne verlässliche Zeitangabe, ohne Quellcode und ohne Nachweis, dass er nicht verändert wurde. GetProofAnchor sichert eine öffentliche URL serverseitig und erstellt ein Evidence ZIP mit ganzseitigem Screenshot, HTML/DOM, HAR-Netzwerkprotokoll, Metadaten, SHA-256-Manifest und Hash-Kette, qualifiziertem eIDAS-Zeitstempel eines in der EU akkreditierten Vertrauensdiensteanbieters, Bitcoin-Verankerung über OpenTimestamps und PDF-Bericht. Für Inhalte hinter einem Login erfasst das Browser-Widget in den Abo-Tarifen genau das, was Sie in Ihrer eigenen Sitzung sehen.

So sieht eine verwertbare Übergabe an die Polizei aus

Polizei und Staatsanwaltschaft arbeiten mit einer Akte. Was Sie übergeben, muss in diese Akte passen, für einen Beamten ohne IT-Spezialisierung lesbar sein und später trotzdem von der IT-Forensik geprüft werden können. Eine verwertbare Übergabe besteht aus fünf Teilen:

• Die Evidence-ZIP-Dateien auf USB-Stick oder anderem Datenträger, oder über einen sicheren Download-Link, sofern die Behörde das akzeptiert. Übergeben Sie Kopien – behalten Sie von jeder Datei eine eigene Kopie.
• Den PDF-Bericht jeder Sicherung, ausgedruckt, damit er direkt in die Papier- oder E-Akte kann.
• Den SHA-256-Hash jedes Evidence ZIP, ausgeschrieben im Text der Strafanzeige. Dieser Hash verknüpft den Anzeigetext mit genau diesen Dateien.
• Eine kurze Beschreibung, wer was wann und wie gesichert hat (siehe nächster Abschnitt).
• Eine Liste der URLs mit je einer Zeile, warum sie relevant ist: die betrügerische Anzeige, der drohende Beitrag, das Fake-Profil.

Warum der Hash in die Anzeige gehört

Ein SHA-256-Hash ist ein Fingerabdruck einer Datei. Ändert sich ein einziges Byte, ändert sich der Hash vollständig. Wenn Sie den Hash in Ihrer unterschriebenen Anzeige nennen, fixieren Sie den Inhalt der Beweise zum Zeitpunkt der Anzeige. Jeder – Polizei, Staatsanwaltschaft, Verteidigung, Gericht – kann den Hash später neu berechnen und prüfen, ob es dieselben Dateien sind.

Was genau in einem Evidence ZIP steckt und wie man es liest →

Beweiskette: wer, was, wann, wie

Beweiskette (Chain of Custody) bedeutet, dass jederzeit erklärt werden kann, woher ein Beweis stammt und wer ihn seitdem hatte. ISO/IEC 27037, der internationale Leitfaden für Identifizierung, Sammlung, Erfassung und Sicherung digitaler Beweise, betont, dass die Erfassung dokumentiert, wiederholbar und begründbar sein soll. Für Geschädigte oder Anwälte heißt das: ein kurzer, sachlicher Absatz in der Anzeige.

• Wer: der Name der Person, die gesichert hat, oder der Dienst, der es in ihrem Auftrag getan hat.
• Was: die gesicherten URLs und bei Inhalten hinter einem Login das Konto, aus dem sie angesehen wurden (Ihr eigenes).
• Wann: Datum und Uhrzeit jeder Sicherung laut qualifiziertem Zeitstempel im Bericht.
• Wie: Methode und Werkzeug – serverseitige forensische Sicherung oder Sicherung in Ihrer eigenen Browsersitzung.
• Seitdem: wo die Dateien gespeichert waren und dass sie nicht verändert wurden, was der Hash belegt.

Bleiben Sie nüchtern. In diesem Absatz argumentieren Sie nicht in der Sache – Sie machen es der Polizei leicht, Ihrem Material zu vertrauen und es nachzuprüfen.

Wie ISO/IEC 27037 auf die Sicherung von Web-Beweisen anzuwenden ist →

Was in die Strafanzeige gehört

Für Web-Beweise gibt es kein besonderes Formular, aber eine klare Gliederung spart der Polizei Zeit und verringert das Risiko, dass Ihre Beweise übersehen werden. Eine bewährte Gliederung:

1. Ihre Personalien und Kontaktdaten, und ob Sie als Geschädigte, als Anwalt für einen Mandanten oder für ein Unternehmen handeln.
2. Was passiert ist, chronologisch, mit Daten, Beträgen und Plattformen.
3. Wen Sie verdächtigen, falls bekannt – Nutzernamen, Profil-URLs, Telefonnummern, IBANs, E-Mail-Adressen.
4. Eine Beweisliste: jedes Evidence ZIP mit Dateiname, Sicherungszeitpunkt und SHA-256-Hash.
5. Den Absatz zur Beweiskette: wer was wann und wie gesichert hat.
6. Originale, die Sie zur Auswertung bereithalten: Handy, Nachrichten, E-Mails, Kontoauszüge.
7. Die Bitte, dass die Polizei bei der Plattform oder dem Diensteanbieter die Sicherung und Herausgabe der Daten veranlasst.

Originale nicht verändern – und das Gerät behalten

Eine forensische Sicherung einer Webseite ersetzt nicht die Originale auf Ihren eigenen Geräten. Die Polizei will sie vielleicht auswerten, und die Verteidigung fragt womöglich, ob etwas verändert wurde. Deshalb:

• Löschen Sie keine Chats, Nachrichten oder E-Mails mit dem Verdächtigen, auch wenn sie belastend sind. Archivieren ist in Ordnung, Löschen nicht.
• Setzen Sie das Handy oder den Computer, auf dem die Nachrichten eingingen, nicht zurück und verkaufen oder ersetzen Sie es nicht, bis das Verfahren abgeschlossen ist oder die Polizei bestätigt, dass sie es nicht braucht.
• Bearbeiten, beschneiden oder markieren Sie die Beweisdateien nicht. Wenn Sie etwas hervorheben möchten, erstellen Sie eine separate markierte Kopie und kennzeichnen Sie sie als Kopie.
• Leiten Sie Originale nicht so weiter, dass Metadaten verloren gehen, etwa E-Mails als Screenshot. Exportieren Sie sie nach Möglichkeit im Originalformat.
• Antworten Sie dem Täter nicht so, dass er löscht, bevor Sie alles gesichert haben.

Parallel eine Sicherungsanordnung bei der Plattform anregen

Ihre Sicherung erfasst, was öffentlich oder in Ihrem eigenen Konto sichtbar war. Sie zeigt nicht, was nur die Plattform weiß: IP-Adressen, Login-Zeiten, Registrierungsdaten, gelöschte Nachrichten, Zahlungsdaten. Das können nur die Strafverfolgungsbehörden anfordern – und nur, solange der Anbieter die Daten noch hat.

Seit dem 18. August 2026 gilt die Verordnung (EU) 2023/1543 über Europäische Herausgabe- und Sicherungsanordnungen für elektronische Beweismittel – die e-Evidence-Verordnung. Sie erlaubt einer Justizbehörde eines Mitgliedstaats, einen Diensteanbieter, der Dienste in der EU anbietet, direkt zur Sicherung oder Herausgabe elektronischer Beweismittel zu verpflichten, statt den langsamen Weg der Rechtshilfe zu gehen. Geschädigte können solche Anordnungen nicht selbst erlassen, aber anregen:

• Schreiben Sie in die Anzeige, dass Sie Polizei oder Staatsanwaltschaft bitten, unverzüglich die Sicherung der Kontodaten des Verdächtigen bei der genannten Plattform zu veranlassen.
• Nennen Sie die genaue Plattform, Profil-URL, Nutzernamen oder Anzeigen-ID, damit die Anordnung gezielt erfolgen kann.
• Weisen Sie darauf hin, dass der Inhalt bald gelöscht werden könnte und Ihre eigene Sicherung belegt, was zu einem genauen Zeitpunkt sichtbar war.

Wie Polizei und Staatsanwaltschaft die Beweise unabhängig prüfen

Ein gutes Beweispaket verlangt nicht, dass die Behörde dem Geschädigten oder dem Werkzeug vertraut. Es muss für jeden prüfbar sein, ohne Konto und ohne Kontakt zum Anbieter. Bei einem Evidence ZIP von GetProofAnchor läuft die Prüfung so:

1. SHA-256-Hash der ZIP-Datei neu berechnen und mit dem Hash in der Anzeige vergleichen.
2. Das ZIP unter /verify hochladen oder das quelloffene Kommandozeilen-Tool gpa-verify vollständig offline auf einem Forensik-Arbeitsplatz ausführen.
3. Prüfen, dass jede Datei zu Manifest und Hash-Kette passt und der qualifizierte Zeitstempel gültig ist.
4. Die Bitcoin-Verankerung über OpenTimestamps als zweiten, unabhängigen Existenznachweis zu diesem Zeitpunkt prüfen.

Nach Art. 41 Abs. 2 der eIDAS-Verordnung gilt für einen qualifizierten elektronischen Zeitstempel die Vermutung der Richtigkeit des angegebenen Datums und der Uhrzeit sowie der Unversehrtheit der Daten, mit denen Datum und Uhrzeit verbunden sind. Damit ist der Fall nicht entschieden – Gerichte würdigen Beweise frei –, aber forensische Sicherungen sind so deutlich schwerer anzugreifen als Screenshots.

Der vollständige Leitfaden zu qualifizierten eIDAS-Zeitstempeln →

Länderhinweise: wo Sie Anzeige erstatten

In der gesamten EU kann eine Strafanzeige bei der Polizei oder direkt bei der Staatsanwaltschaft erstattet werden. Bei der Übergabe digitaler Beweise gibt es aber kleine Unterschiede:

• Deutschland: Die Strafanzeige können Sie bei jeder Polizeidienststelle, bei der Staatsanwaltschaft oder über die Onlinewache (Internetwache) Ihres Bundeslandes erstatten. Online-Formulare nehmen meist keine großen Dateien an – nennen Sie darin die Evidence ZIPs samt Hashes und bieten Sie die Übergabe an.
• Tschechien: Eine trestní oznámení kann bei jeder Dienststelle der Policie ČR oder bei der Staatsanwaltschaft (státní zastupitelství) erstattet werden, mündlich zu Protokoll, schriftlich oder elektronisch. Bei persönlicher Abgabe Datenträger und ausgedruckte Berichte mitbringen.
• Frankreich: Eine plainte kann bei Polizei oder Gendarmerie erstattet oder an den procureur de la République geschickt werden. Bei bestimmten Online-Betrugsfällen können Privatpersonen online über die Plattform THESEE Anzeige erstatten; für manche Delikte gibt es zudem die pré-plainte en ligne.

Online betrogen? Die ersten Schritte und welche Beweise Sie sichern sollten →

Für Ermittler, Unternehmenssicherheit und Behörden

Anwälte, Sicherheitsabteilungen von Unternehmen und Privatermittler, die eine Anzeige für Mandanten vorbereiten, sollten Web-Beweise wie jedes andere Beweisstück behandeln: früh sichern, Methode dokumentieren, jede Sicherung eindeutig bezeichnen und Hashes mit der Akte liefern. Das schützt Sie auch, wenn die Verteidigung die Art der Beweiserhebung angreift.

Polizei- und Behördenmitarbeiter, die täglich selbst Web-Inhalte sichern, brauchen ein anderes Werkzeug als gelegentlich Geschädigte. Der GetProofAnchor Forensic Browser ist eine Windows-Desktop-Anwendung für Profis – Ermittler, Polizei, Behörden und Kanzleien –, die Web-Inhalte während der Ermittlungen mit demselben versiegelten, unabhängig prüfbaren Ergebnis sichert. Er ist ab 290 € pro Jahr erhältlich.

Forensic Browser für Ermittler und Behörden →

Web-Beweise in der Praxis von Ermittlern und Unternehmenssicherheit →

Häufige Fragen

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung. Das Strafverfahren unterscheidet sich von Land zu Land; wenden Sie sich im Einzelfall an eine Anwältin oder einen Anwalt oder an die zuständige Polizei bzw. Staatsanwaltschaft.