Rechtsverträgliche Gestaltung IT-forensischer Systeme (eBook)

Vorwort des Herausgebers 6
Inhaltsübersicht 9
Inhaltsverzeichnis 10
Abkürzungsverzeichnis 18
1 Einleitung, Methodik und Aufbau der Arbeit 24
1.1 Rechtsverträgliche Technikgestaltung 29
1.1.1 Verhältnis des Rechts zur Technik 30
1.1.2 Verhältnis der Technik zum Recht 31
1.2 Methode zur Konkretisierung rechtlicher Anforderungen 32
1.2.1 (Verfassungs-)Rechtliche Vorgaben (Vorstufe) 33
1.2.2 Rechtliche Anforderungen (1. Stufe) 34
1.2.3 Rechtliche Kriterien (2. Stufe) 35
1.2.4 Technische Gestaltungsziele (3. Stufe) 36
1.2.5 Technische Gestaltungsvorschläge (4. Stufe) 37
1.2.6 Anwendung von KORA und Grenzen 38
1.3 Ziel, Aufbau und Inhalt der Arbeit sowie Stand der Forschung 39
2 Grundlagen 47
2.1 Wirtschaftskriminalität 47
2.1.1 Begriff der Wirtschaftskriminalität und Entwicklung 47
2.1.2 Herausforderungen der Eindämmung 48
2.2 Versicherungsbetrug 49
2.2.1 Beteiligte Rechtssubjekte (Schädiger und Geschädigte) 49
2.2.1.1 Versicherungsunternehmen (Versicherer) 50
2.2.1.2 Versicherungsnehmer und Versicherte 51
2.2.1.3 Versicherungsvermittler 52
2.2.1.4 Drittbeteiligte 52
2.2.2 Rechtliche Bewertung des Versicherungsbetrugs 53
2.2.2.1 Versicherungsrechtliche Bewertung 53
2.2.2.2 Strafrechtliche Bewertung 56
2.2.3 Fakten zum Versicherungsbetrug 60
2.2.4 Schadensersatz- und Regressansprüche des Versicherers 62
2.2.5 Rolle der Akteure im Zivilprozess und Möglichkeiten des Beweises 65
2.2.5.1 Regelungen und Grundsätze im zivilprozessualen Verfahren 65
2.2.5.2 Grundsätze des Beweisrechts 70
2.2.5.3 Beweismaß und Beweiswürdigung (§ 286 ZPO) 73
2.2.5.4 Anscheinsbeweis 75
2.2.5.5 Beweismittel im Zivilprozess 77
2.2.5.5.1 Zeugenbeweis (§§ 373?–?401 ZPO) 78
2.2.5.5.2 Sachverständigenbeweis (§§ 402?–?414 ZPO) 79
2.2.5.5.3 Urkundsbeweis (§§ 415?–?444 ZPO) 80
2.2.5.5.4 Augenscheinsbeweis (§§ 371?–?372a ZPO) 81
2.2.5.6 eIDAS-Verordnung 85
2.2.5.6.1 Anwendbarkeit und Bedeutung 87
2.2.5.6.2 Nichtqualifizierte und qualifizierte Vertrauensdienste 90
2.2.5.6.3 Beweisrechtliche Rechtsfolgen der Vertrauensdienste und ihres Einsatzes 91
a) Elektronische Signaturen 92
b) Elektronische Siegel 93
c) Elektronische Zeitstempel 95
2.2.6 Strafprozess 97
2.2.6.1 Regelungen und Grundsätze im strafprozessualen Verfahren 98
2.2.6.2 Grundsätze des Beweisrechts 100
2.2.6.3 Beweismittel im Strafprozess und Unterschiede zum Zivilprozess 102
2.2.7 Zusammenfassung rechtlicher Anknüpfungspunkte beim Versicherungsbetrug 103
3 Technik und Verfahren IT-forensischer Untersuchungen 104
3.1 IT-Forensik 104
3.1.1 Begriff der IT-Forensik und Eingrenzung 104
3.1.2 Historie der IT-Forensik 106
3.1.3 Repressive und präventive IT-Forensik 108
3.1.4 Verhältnis von IT-Forensik und Kriminalistik 110
3.1.5 Das Austauschprinzip und IT-Forensik 111
3.1.5.1 Physische Spuren – klassische Forensik 112
3.1.5.2 Digitale Spuren – IT-Forensik 113
3.1.5.2.1 Definition und Entstehung digitaler Spuren 113
3.1.5.2.2 Eigenschaften digitaler Spuren 114
a) Flüchtigkeit: 114
b) Wahrnehmbarkeit: 114
c) Technische Vermeidbarkeit: 115
d) Manipulier- und Nachvollziehbarkeit 116
e) Kopierbarkeit 116
3.1.5.3 Schlussfolgerungen 117
3.1.6 Anti-Forensik 118
3.2 Verfahrensschritte einer klassischen IT-forensischen Untersuchung 119
3.2.1 Sicherung 119
3.2.2 (Daten-)Analyse 122
3.2.3 Präsentation 124
3.3 IT-forensische Systeme im Umfeld von Versicherungen 125
3.3.1 Begriff „IT-forensisches System“ 125
3.3.2 Bisherige Systeme zur Betrugserkennung bei Versicherungen 126
3.3.3 Neue IT-forensische Systeme im Versicherungsumfeld (Technikbeschreibung) 129
3.3.3.1 Systemkomponenten 130
3.3.3.1.1 Text-forensische Verfahren 130
3.3.3.1.2 Bild-forensische Verfahren 134
3.3.3.2 Zusammenfassung der Möglichkeiten der IT-Forensik und Einflussgrößen der Gestaltung 138
4 (Verfassungs-)Rechtliche Vorgaben, Funktion und Bedeutung 140
4.1 Bedeutung und Anwendbarkeit europäischen Rechts bei der Technikgestaltung 140
4.2 Mittelbare Drittwirkung und Grundrechte als Bezugspunkt der Technikgestaltung 143
4.3 Das Rechtsstaatsprinzip 145
4.4 Rechtsweggarantie 150
4.5 Anspruch auf rechtliches Gehör 151
4.6 Das Sozialstaatsprinzip 152
4.7 Die Menschenwürde 153
4.8 Freie Persönlichkeitsentfaltung 155
4.8.1 Allgemeine Handlungsfreiheit 155
4.8.2 Freiheit der Person 156
4.8.3 Das allgemeine Persönlichkeitsrecht 157
4.9 Gleichbehandlungsgrundsatz 158
4.10 Eigentumsschutz und Eigentumsfreiheit 159
5 Chancen und Risiken IT-forensischer Systeme 161
5.1 Einsatzumfeld der Technik und Szenarienbildung – Schadensbearbeitung in Versicherungsunternehmen 161
5.2 Chancen durch den Einsatz IT-forensischer Systeme im Szenario 166
5.2.1 Aufdeckung und Beweisführung von betrügerischem Verhalten 166
5.2.1.1 Effektivere Aufdeckungsmöglichkeiten und Nebeneffekte 166
5.2.1.2 Erhöhung der Beweisbarkeit und bessere Beweisführung 169
5.2.1.2.1 Zivilrechtlicher und zivilprozessualer Bereich 169
5.2.1.2.2 Strafrechtlicher und strafprozessualer Bereich 171
5.2.2 Optimierte Zusammenarbeit von Versicherer und Strafverfolgungsbehörden 173
5.2.3 Effizientere Bearbeitung von Schadensfällen 174
5.2.4 Verringerung menschlicher Fehler sowie subjektiver Einflussfaktoren 177
5.3 Risiken durch den Einsatz IT-forensischer Systeme im Szenario 179
5.3.1 Zunahme zweifelhafter und unberechtigter Ablehnungen von Ansprüchen 180
5.3.1.1 Fehlerhafte Aufdeckung der Verfahren 181
5.3.1.2 Fehlbeurteilungen der Ergebnisse der Technik 184
5.3.1.2.1 Unumstößliche Ergebnisse und blindes Vertrauen 184
5.3.1.2.2 Missverständliche Darstellung der Ergebnisse (Präsentation) 186
5.3.2 Funktionsfehler 187
5.3.2.1 Hardware- und gesamtsystembasierte Fehler 188
5.3.2.2 Softwarebasierte Fehler 189
5.3.2.3 Zwischenfazit 191
5.3.3 IT-Angriffe und Steigerung der Verwundbarkeit 191
5.3.4 Beweisverbote aufgrund unzulässiger Grundrechtseingriffe 194
5.3.5 Steigerung der Objektivierung des Einzelnen 197
5.3.6 „Verschmutzung“ (straf-)prozessualer Erkenntnisquellen 199
5.4 Zusammenfassung der identifizierten Chancen und Risiken für die Gestaltung 202
6 Rechtliche Anforderungen an IT-forensische Systeme (A) 203
6.1 Gewährleistung effektiven Rechtsschutzes (A1) 203
6.2 Rechtssicherheit (A2) 206
6.3 Wahrheitsfindung (A3) 208
6.4 Chancengleichheit (A4) 210
6.5 Informationelle Selbstbestimmung – Datenschutz (A5) 212
6.6 Selbstdarstellungsschutz (A6) 216
6.6.1 Recht am eigenen Wort 217
6.6.2 Recht am eigenen Bild 218
6.7 Selbstbelastungsfreiheit? 221
6.8 Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme? 224
6.9 Verhältnismäßigkeit (A7) 226
6.10 Zusammenfassung 228
7 Rechtliche Kriterien für IT-forensische Systeme (K) 230
7.1 Beweiseignung (K1) 232
7.1.1 Herleitung aus rechtlichen Anforderungen 232
7.1.2 Auswirkungen auf IT-forensische Systeme 233
7.1.2.1 Generelle Beweiseignung – Einordnung in das System der Strengbeweismittel 234
7.1.2.1.1 Daten als elektronische Dokumente und als Beweismittel des Augenscheins 235
7.1.2.1.2 Daten und System als Gegenstand von Sachverständigengutachten 247
7.1.2.1.3 Daten als Privatgutachten 250
7.1.2.1.4 Zwischenfazit 252
7.1.2.2 Abstrakt-materielle Beweiseignung – Ausschluss völliger Ungeeignetheit 253
7.1.2.2.1 Zuverlässigkeit der Verfahren 254
7.1.2.2.1.1 Bewertung text-forensischer Verfahren 256
7.1.2.2.1.2 Bewertung bild-forensischer Verfahren 259
7.1.2.2.2 Zusammenfassung 260
7.1.2.3 Konkret-materielle Beweiseignung – Tatbestandsrelevante Ergebnisse 260
7.1.2.3.1 Bewertung text-forensischer Verfahren 262
7.1.2.3.2 Bewertung bild-forensischer Verfahren 263
7.1.2.3.3 Schlussfolgerung 267
7.1.3 Zusammenfassung 268
7.2 Beweissicherheit (K2) 268
7.2.1 Herleitung aus rechtlichen Anforderungen 269
7.2.2 Auswirkungen auf IT-forensische Systeme 270
7.2.2.1 Typische Beweiseinreden 271
7.2.2.1.1 Zivilprozess 272
7.2.2.1.1.1 Einrede des fehlenden Beweisobjekts (Nr. 1) 273
7.2.2.1.1.2 Einrede der Manipulation des Beweisobjekts (Nr. 2) 276
a) Manipulation vor Eingang in das System 278
b) Manipulation im System selbst 280
c) Manipulation nach Analyse und Ausgabe durch das IT-forensische System 282
7.2.2.1.1.3 Einrede der Echtheit des Beweisobjekts (Nr. 3) 289
a) Authentizität der Inputdaten (z.?B. Bilddaten) 290
b) Authentizität der Outputdaten (Analyseergebnisse des Systems) 292
7.2.2.1.1.4 Einrede der Verlässlichkeit der Analyse und Generierung (Nr. 4) 294
7.2.2.1.1.5 Einrede der Mehrdeutigkeit des Beweisobjekts (Nr. 5) 298
7.2.2.1.2 Strafprozess – Übertragbarkeit der Beweiseinreden und Auswirkungen auf die Gestaltung 301
7.2.2.2 Schlussfolgerungen für die beweissichere Gestaltung IT-forensischer Systeme 303
7.2.3 Zusammenfassung 305
7.3 Nachvollziehbarkeit (K3) 306
7.3.1 Herleitung aus rechtlichen Anforderungen 307
7.3.2 Auswirkungen auf IT-forensische Systeme 308
7.3.3 Zusammenfassung 311
7.4 Datenqualität (K4) 312
7.4.1 Herleitung aus rechtlichen Anforderungen 312
7.4.2 Auswirkungen auf IT-forensische Systeme 313
7.4.2.1 Zivilprozess 314
7.4.2.2 Strafprozess 316
7.4.3 Zusammenfassung 319
7.5 Beweismittelverfügbarkeit (K5) 320
7.5.1 Herleitung aus rechtlichen Anforderungen 320
7.5.2 Auswirkungen auf IT-forensische Systeme 321
7.5.3 Zusammenfassung 325
7.6 Zurechenbarkeit (K6) 326
7.6.1 Herleitung aus rechtlichen Anforderungen 326
7.6.2 Auswirkungen auf IT-forensische Systeme 327
7.6.2.1 Personen- und Sachverhaltsebene 328
7.6.2.2 Daten- und Dateiebene 329
7.6.3 Zusammenfassung 332
7.7 Zusammenfassende Bewertung der beweisrechtlichen Kriterien für IT-forensische Systeme 333
7.8 Zweckfestlegung und Zweckbindung (K7) 336
7.8.1 Herleitung aus rechtlichen Anforderungen 336
7.8.2 Auswirkungen auf IT-forensische Systeme 337
7.8.3 Zusammenfassung 343
7.9 Erforderlichkeit (K8) 344
7.9.1 Herleitung aus rechtlichen Anforderungen 344
7.9.2 Auswirkungen auf IT-forensische Systeme 345
7.9.2.1 Be- und Eingrenzung des Datenumfangs – Datenminimierung 345
7.9.2.2 Zeitliche Begrenzung – Speicherbegrenzung 351
7.9.2.3 Einzelfallbezogene Begrenzung – Daten- und Betroffenendifferenzierung 353
7.9.3 Zusammenfassung 354
7.10 Transparenz (K9) 355
7.10.1 Herleitung aus rechtlichen Anforderungen 356
7.10.2 Auswirkung auf IT-forensische Systeme 357
7.10.2.1 Informationspflichten 358
7.10.2.2 Auskunftspflichten 363
7.10.2.3 Korrekturrechte der betroffenen Personen 366
7.10.2.4 Dokumentationspflichten 372
7.10.2.4.1 Verzeichnis von Verarbeitungstätigkeiten 373
7.10.2.4.2 Dokumentation bei Verletzung des Schutzes personenbezogener Daten 375
7.10.2.4.3 Zwischenfazit 378
7.10.3 Zusammenfassung 378
7.11 Verbot automatisierter Einzelentscheidungen (K10) 379
7.11.1 Herleitung aus rechtlichen Anforderungen 379
7.11.2 Auswirkung auf IT-forensische Systeme 380
7.11.3 Zusammenfassung 385
7.12 Datenrichtigkeit (K11) 386
7.12.1 Herleitung aus rechtlichen Anforderungen 386
7.12.2 Auswirkung auf IT-forensische Systeme 387
7.12.2.1 Sachliche Richtigkeit von Daten 387
7.12.2.1.1 Datenaktualität 390
7.12.2.1.2 Datenvollständigkeit 391
7.12.2.1.3 Beurteilung der Richtigkeit von Daten bei technischen Bewertungen 392
7.12.2.1.4 Schlussfolgerungen 395
7.12.2.2 Angemessenheit der zu ergreifenden Maßnahmen 396
7.12.3 Zusammenfassung 398
7.13 Daten- und Systemsicherheit (K12) 399
7.13.1 Herleitung aus Anforderungen 399
7.13.2 Abgrenzung zwischen Datensicherheit und IT-Sicherheit 400
7.13.3 Auswirkung auf IT-forensische Systeme 402
7.13.3.1 Sicherheit personenbezogener Daten (Art. 32) 403
7.13.3.2 Verletzungen des Schutzes personenbezogener Daten (Art. 33 und 34 DSGVO) 412
7.14 Zusammenfassende Bewertung der datenschutzrechtlichen Kriterien für IT-forensische Systeme 414
7.15 Bedeutung compliance-rechtlicher Regelungen für die Technikgestaltung 415
8 Gestaltungsziele IT-forensischer Systeme (Z) 419
8.1 Automatisierte Datensicherung und Datenaufbewahrung (Z1) 420
8.2 Einsatz von elektronischen Vertrauensdiensten (Z2) 423
8.3 Datenpriorisierung und -kategorisierung (Z3) 429
8.4 Vermeidung von Datenselektionen (Z4) 431
8.5 Interoperabilität (Z5) 432
8.6 Formatunabhängige Analysier- und Auswertbarkeit (Z6) 433
8.7 Unverändertheit technischer System- und Analyseparameter (Z7) 435
8.8 Sichere Übermittlungswege zur Nutzung im Gerichtsverfahren (Z8) 437
8.9 Importfunktionen (Z9) 438
8.10 Exportfunktion (Z10) 439
8.11 Beweisorientierte Reproduzier- und Darstellbarkeit der Daten (Z11) 440
8.12 Intervenierbarkeit (Z12) 443
8.13 Menschliche Letztentscheidungskompetenz nach Ausgabe der Analyse (Z13) 445
8.14 Verwechslungssichere Kennzeichnung und Zuordnung (Z14) 445
8.15 Robustheit des Systems und der Analyseverfahren (Z15) 447
8.16 Datenorientierte Kongruenz der Analyse (Z16) 448
8.17 Automatische Datenlöschung (Z17) 449
8.18 Dokumentations- und Protokollierungsfunktion (Z18) 450
8.19 Pseudonymisierungsfunktionen (Z19) 453
8.20 Zugangs- und Zugriffskontrolle (Z20) 454
8.21 Automatisierte und autarke Analyse und Generierung der Ergebnisse (Z21) 455
8.22 Möglichkeit zur Erfassung von Kontext (Z22) 456
8.23 Gesicherte Integration von Kontext(-meta)daten (Z23) 457
8.24 Echtzeitanalyse (Z24) 459
8.25 Sensitivität und Neutralität der Analyseverfahren (Z25) 460
8.26 Wissenschaftliche Akzeptanz eingesetzter Verfahren (Z26) 461
8.27 Fachkenntnis im Umgang mit IT-forensischen Systemen (Z27) 465
8.28 Authentifizierungsdienst (Z28) 466
8.29 Beschwerdemanagement für betroffene Personen (Z29) 467
8.30 Zertifizierungen IT-forensischer Systeme (Z30) 468
9 Zusammenfassung und Schlussbetrachtung – Gestaltungskatalog 471
Literaturverzeichnis 479