Hier mal einige Zeilen zum Einstieg:

“Wir sind ein neues Web 2.0 Startup. Unser Geschäftsmodell sieht vor, dass…. (gekürzt -> neue Idee die noch fehlte, Community, Einnahmen über Werbung). Ein unbekannter hat sich unbefugt Zugang zur Administrator-Oberfläche der Website verschafft. Hier hat er alle Community-Mitglieder der Website gelöscht und einen enormen Schaden verursacht. Die Serverlogs können wir als Beweisgrundlage gerne liefern”

Aber was passiert jetzt eigentlich? Unabhängig davon ob Backups vorhanden sind oder nicht oder ob überhaupt an solche Extremszenarien gedacht wurde.

Ich beleuchte mal die polizeiliche Seite.

Die Strafanzeige ist erstattet, die Polizei nimmt die Ermittlungen auf.

Zunächst wird nach dem Prinzip der örtlichen und sachlichen Zuständigkeit der Vorgang einer Behörde und dann einem Kommissariat weitergeleitet. Das dauert ein paar Tage. Das Verfahren wird in die polizeiliche Vorgangsbearbeitung übertragen (es sei denn die Anzeige ist auf einer Wache oder direkt bei dem richtigen Kommissariat aufgegeben worden) und bekommt eine Vorgangsnummer.

Der oder die zuständige KommisariatsleiterIn entscheidet dann, welcher seiner SachbearbeiterInnen diesen Vorgang bearbeitet. Dieser findet den Vorgang dann am nächsten Tag in seinem Posteingangsfach und nimmt ihn mit in sein Büro.

Nicht dass der Kollege / die Kollegin auf genau euren Vorgang gewartet hätte und würde sich sofort nur um euch kümmern. Ich muss euch enttäuschen, ihr seid nicht alleine. Es kann also sein dass euer Vorgang auch bei der Sachbearbeitung etwas liegt bis er bearbeitet wird. Bei knapp 1,5 Millionen Straftaten jährlich kann man das auf die Sachbearbeiter herunterrechnen und sieht wie alleine man ist. Alleine ist man zunächst nur in seiner persönlichen Betroffenheit, Verzweiflung und Wut.

Dann beginnt die Bearbeitung. Der Hinweis auf die Serverlogs ist ja so ziemlich der einzige Anhaltspunkt in diesem fiktiven Sachverhalt. Also wird man euch bitten, diese Serverlogs zu übermitteln. Nach der Auswertung bleiben dann zwei Dinge übrig. Ein Timestamp und eine IP.

Über die kommt man relativ schnell zu dem Provider. Diesen anzurufen und zu fragen bringt nichts, vor der Ehre steht der Fleiß. Die zuständige Justiz wird angeschrieben und gebeten, einen Beschluss auszustellen um die Daten bei dem Provider einzuholen. Der Richter prüft, ob eine Rechtsgrundlage gegeben ist und stellt dann den Beschluss aus oder nicht.

Wird der Beschluss ausgestellt, nimmt die Sachbearbeitung Kontakt zum Provider auf und bittet um Mitteilung, wer denn die IP zu besagter Zeit genutzt hat.

Kurzer Einschub: Bis jetzt sind schon einige Tage vergangen. Würden die Daten bei den Providern nicht gespeichert, hätte Polizei, Justiz und IHR als Geschädigte PECH. Und der “Communitykiller” Glück.

Der Provider teilt dann in der Regel eine Telefonnummer mit. Also immer noch nicht weiter. Über eine Anschlussinhaberfeststellung kommt man dann zu einem Namen und einer Adresse. Der erste wirklich personenbezogene Ermittlungsansatz.

Es folgen verschiedene Ermittlungen, wahrscheinlich Vernehmungen und wenn ihr Glück habt wird der Täter ermittelt.

Aber was ist inzwischen aus dem Startup geworden? Wie erklärt man das seinem Geldgeber? Zieht sich dieser zurück? Ich hoffe diese Erfahrung muss keiner machen…