Bei digitalen Beweisen ist der Nachweis, dass sich die Datei seit dem Erhalt nicht verändert hat, ebenso wichtig wie ihr Inhalt. Lückenlos festzuhalten, wann und von wem man sie bekam, wie man sie aufbewahrte und womit man sie analysierte, nennt man Beweismittelkette (Chain of Custody).
Ein Hash ist eine kurze Zeichenfolge, die aus dem Dateiinhalt berechnet wird; ändert sich ein einziges Zeichen, ist der Wert völlig anders. Notieren Sie den SHA-256-Hash sofort nach Erhalt einer Datei, dann kann später jeder prüfen, ob die eingereichte Datei die erhaltene ist. Jeder Origma-Bericht enthält den SHA-256-Hash der geprüften Datei.
Bewahren Sie das Original unverändert und schreibgeschützt auf und analysieren Sie eine Kopie. Notieren Sie, wann, von wem und auf welchem Weg Sie es erhalten haben – das ist Ihre Beweismittelkette. Denken Sie daran, dass eine erneut per Messenger erhaltene Kopie einen anderen Hash als das Original hat und nicht als dieselbe Datei gelten kann.
Ein Origma-Bericht hält den Analysezeitpunkt sowie die Versionen von Engine und Signaturdatenbank fest. Wird dieselbe Datei mit denselben Versionen verarbeitet, ergibt sich dasselbe Ergebnis, sodass die Gegenseite oder Dritte die Analyse nachprüfen können. Ein Export als signiertes PDF zeigt zudem, ob sich der Bericht selbst seitdem verändert hat.
Übergeben Sie Originaldatei, Hash-Nachweis, eine Notiz zum Erhalt und den Origma-Bericht (signiertes PDF) als ein Paket. Die Ergebnisse von Origma sind Wahrscheinlichkeitseinschätzungen, keine amtlichen Gutachten und kein rechtlicher Beweis – klären Sie Vorlage und Beweiswert mit einer Anwältin oder einem Anwalt und ergänzen Sie bei Bedarf ein amtliches Gutachten.
Dieser Text ist allgemeine Orientierung, keine Rechtsberatung. Ein Prüfergebnis ist eine wahrscheinlichkeitsbasierte Einschätzung, kein Beweis.