Zwei Millionen beschlagnahmte Dateien: Muss die Verteidigung alles einsehen können? Belgiens Kassationshof antwortet

Ein in einem Strafverfahren beschlagnahmter Netzwerkspeicher (NAS) enthält fast zwei Millionen Multimediadateien. Die Ermittler analysieren rund 300 000 davon, also etwa 15 %. Der Angeklagte, der das Berufungsurteil anficht, macht vor dem belgischen Kassationshof geltend, er habe weder die Gesamtheit der Daten noch die Integrität der gegen ihn verwendeten Auswahl je überprüfen können. Mit Urteil vom 27. Oktober 2026 (P.26.0703.N) weist der Kassationshof seine Kassationsbeschwerde zurück. Seine Begründung setzt einen klaren Rahmen für alle Verfahren, in denen sich digitale Beweismittel in Terabytes bemessen.

Die Rüge: „Man hat mir nur eine Auswahl gezeigt“

Der Angeklagte berief sich auf Artikel 6 der Europäischen Menschenrechtskonvention: Recht auf ein faires Verfahren, Recht auf ausreichende Zeit und Gelegenheit zur Vorbereitung der Verteidigung, Waffengleichheit. Nach seiner Darstellung hatte die Verteidigung nur Zugang zu einer von den Ermittlern getroffenen Auswahl. Sie habe daher weder die Echtheit noch die Integrität, die Beweismittelkette oder die Vollständigkeit dieser Auswahl kontrollieren können. Zudem wies er auf Unstimmigkeiten in den Kopien der Dateien aus dem NAS hin.

Das Argument ist nicht theoretisch. In einem umfangreichen digitalen Dossier kann gerade das, was die Ermittlungen nicht betrachtet haben, entlastende Elemente enthalten: ein Zeitstempel, der der Chronologie widerspricht, eine Datei, die auf einen anderen Benutzer hinweist, ein freigegebener Ordner, den niemand geöffnet hat.

Was der Kassationshof entscheidet

Der Kassationshof stützt sich auf das Urteil des Europäischen Gerichtshofs für Menschenrechte Sigurður Einarsson u. a. gegen Island vom 4. Juni 2019. Der Richter darf seine Entscheidung auf eine durch automatisierte Sortierung gewonnene Datenauswahl stützen, und es wird vermutet, dass die Ermittler redlich gehandelt haben, solange nichts Gegenteiliges bewiesen ist.

Zugang zur Gesamtheit der nicht untersuchten Rohdaten ist nicht erforderlich, wenn drei Bedingungen erfüllt sind:

1. Die Verteidigung kennt die von den Ermittlern verwendeten Suchkriterien.
2. Sie kann selbst eine Sortierung anhand präziser und plausibler Kriterien vornehmen.
3. Sie kann die Daten einsehen, die die Ermittler tatsächlich untersucht haben.

Ob die Verteidigung ihre Rechte wirksam ausüben konnte, beurteilt der Tatrichter in eigener Verantwortung. Im vorliegenden Fall hatte das Berufungsgericht Antwerpen mehrere Umstände festgestellt, die der Kassationshof als ausreichend ansieht. Das Datenvolumen war außergewöhnlich. Die Auswahl folgte einem objektiven Kriterium, der chronologischen Reihenfolge, ohne von den Ermittlern gewählte Suchbegriffe. Die Verteidigung hatte Zugang zu den wiederhergestellten Bildern, einschließlich der nicht analysierten, mit ausreichenden Fristen, auch nach der in der Berufung angeordneten ergänzenden Ermittlungshandlung. Die festgestellten Abweichungen in den Kopien hatte die regionale Computer Crime Unit der föderalen Kriminalpolizei (RCCU) erklärt, ohne dass die Zuverlässigkeit des Materials infrage gestellt wurde.

Ein letzter Umstand wiegt schwer: Die Verteidigung hatte kein einziges konkretes Auswahlkriterium vorgeschlagen, obwohl sie nach Auffassung des Berufungsgerichts am besten dazu in der Lage gewesen wäre.

Was sich in der Praxis ändert

Das Urteil besagt nicht, dass sich die Verteidigung mit dem zufriedengeben muss, was man ihr zeigt. Es besagt das Gegenteil, legt die Initiative aber in ihre Hände. Eine Auswahl pauschal zu bestreiten, genügt nicht mehr. Es muss konkret dargelegt werden, was eine andere Suche zutage fördern könnte.

Das ist ebenso technische wie juristische Arbeit. In der Praxis führt sie über einige präzise Fragen:

• Die Kriterien: Welche Filter, welche Suchbegriffe, welcher Zeitraum und welches Werkzeug wurden für die Auswahl verwendet, und lassen sie sich reproduzieren?
• Die Integrität: Stimmen die der Verteidigung übergebenen Kopien mit den bei der Sicherung berechneten Prüfsummen (Hashwerten) überein? Sind etwaige Abweichungen dokumentiert und erklärt?
• Die Beweismittelkette: Wer hat den Datenträger wann und mit welchen Werkzeugen bearbeitet, und ist jeder Schritt nachvollziehbar protokolliert?
• Die blinden Flecken: Welche Datenkategorien wurden nicht untersucht (gelöschte Dateien, Metadaten, andere Benutzerkonten, NAS-Protokolle), und warum könnten sie relevant sein?

Diese Fragen müssen früh gestellt werden, idealerweise während der gerichtlichen Voruntersuchung, und als begründete Anträge auf ergänzende Ermittlungshandlungen formuliert werden. Ein vager Antrag läuft Gefahr, abgelehnt zu werden; ein Antrag mit präzisen und plausiblen Kriterien ist genau das, wozu das Urteil einlädt.

Die Lehre gilt auch für die Anklage und die Ermittler. Ein objektives, dokumentiertes und reproduzierbares Auswahlkriterium, bei jedem Schritt berechnete Prüfsummen und eine schriftliche Erklärung jeder technischen Abweichung haben hier genau dafür gesorgt, dass das Verfahren Bestand hatte.

Fazit

Angesichts von Datenmengen, die jede menschliche Durchsicht übersteigen, bestätigt der Kassationshof den Grundsatz einer Analyse anhand einer Auswahl, sofern die Verteidigung diese verstehen, überprüfen und ergänzen kann. Das Zugangsrecht bleibt uneingeschränkt bestehen, wird aber zu einem Recht, das aktiv und mit präzisen technischen Kriterien ausgeübt werden muss. Für einen Rechtsanwalt ermöglicht die Unterstützung durch einen technischen Berater für digitale Forensik, einen grundsätzlichen Einwand in konkrete Anträge zu verwandeln, die der Richter kaum zurückweisen kann.

Quelle: Belgischer Kassationshof, 27. Oktober 2026, P.26.0703.N, Urteilstext (auf Niederländisch).