eDiscovery: digitale Beweise gerichtsfest sichern und auswerten

Eine Klage, ein Kartellverdacht, ein interner Hinweis: Plötzlich verlangt jemand alle E-Mails und Dateien zu einem Vorgang. Genau für diese Lage gibt es eDiscovery. Entscheidend ist, die richtigen Daten zu finden und sie so zu sichern, dass ihr Beweiswert hält. Dieser Leitfaden zeigt den Ablauf, die Grenzen von Microsoft 365 und den Beitrag der IT-Forensik.

Was ist eDiscovery?

eDiscovery (Electronic Discovery) bezeichnet das Identifizieren, Sichern, Prüfen und Vorlegen elektronisch gespeicherter Informationen für ein Gerichts-, Behörden- oder internes Verfahren. Dazu zählen E-Mails, Chats, Dokumente, Datenbanken und Daten aus Cloud-Diensten. Ziel ist, alle relevanten Daten vollständig zu finden und ihre Echtheit nachweisen zu können. Der Begriff stammt aus dem US-Zivilprozess.

Im Englischen heißt der Prozess auch Electronic Data Discovery. Hierzulande schreiben viele „E-Discovery“ – beide Schreibweisen meinen dasselbe. Fachleute sprechen von ESI, kurz für „Electronically Stored Information“.

Eine Volltextsuche im Postfach reicht dafür nicht. eDiscovery dokumentiert jeden Schritt: Wer hat welche Daten wann und mit welchem Werkzeug gesichert? Nur so lässt sich später belegen, dass nichts fehlt und niemand etwas verändert hat.

Wann braucht ein Unternehmen eDiscovery?

Ein deutsches Unternehmen braucht eDiscovery, sobald es elektronische Daten als Beweis vorlegen oder auswerten muss. Das deutsche Zivilprozessrecht kennt keine umfassende Offenlegungspflicht wie die USA. Trotzdem gibt es eine Reihe typischer Anlässe:

• Zivilprozess: Eine Partei muss ihre Behauptungen mit Dokumenten und E-Mails belegen.
• Interne Ermittlungen: Ein Hinweis auf Korruption, Datenabfluss oder Fehlverhalten erfordert eine saubere Aufklärung. Oft prüfen Kanzleien und Compliance-Abteilungen gemeinsam.
• Dawn Raid: Kartellbehörden durchsuchen Geschäftsräume und kopieren Daten. Das Unternehmen muss danach wissen, was die Behörde mitgenommen hat.
• Fraud Investigation: Bei Betrugsverdacht rekonstruieren Ermittler Zahlungsflüsse, Absprachen und Zugriffe.
• Behördenanfragen und Aufsicht: Regulierer verlangen Unterlagen, etwa im Finanz- oder Gesundheitssektor.

Ein typisches Beispiel aus internen Ermittlungen: Ein Vertriebsleiter kündigt und wechselt zur Konkurrenz. Wenige Wochen später tauchen Kundenlisten beim neuen Arbeitgeber auf. Jetzt zählt, ob sich der Datenabfluss belegen lässt. Dazu gehören E-Mails an private Adressen, Uploads in Cloud-Speicher und USB-Zugriffe auf dem Firmenlaptop.

Ist eDiscovery in Deutschland verpflichtend? Eine allgemeine Pflicht gibt es nicht. Wer aber Daten vorlegen muss, trägt das Risiko, wenn Beweise fehlen oder ihre Echtheit zweifelhaft ist.

Pre-Trial Discovery in den USA

In US-Zivilverfahren tauschen die Parteien vor der Verhandlung alle relevanten Beweismittel aus. Diese Pre-Trial Discovery umfasst ausdrücklich elektronische Daten. Deutsche Unternehmen trifft sie, wenn eine US-Tochter, ein US-Kunde oder ein US-Gericht beteiligt ist. Dann kollidieren US-Vorlagepflichten oft mit der DSGVO. Diese Abwägung gehört in die Hand einer spezialisierten Kanzlei.

Wie läuft eDiscovery ab? Das EDRM-Modell

Das Electronic Discovery Reference Model (EDRM) beschreibt den Ablauf in klaren Phasen. Es gilt als Branchenstandard und dient Kanzleien, Unternehmen und Dienstleistern als gemeinsame Sprache.

1. Information Governance: Das Unternehmen ordnet seine Daten, bevor ein Fall eintritt.
2. Identification: Das Team bestimmt, welche Personen, Systeme und Zeiträume relevant sind.
3. Preservation: Es stoppt Löschungen und schützt die Daten vor Veränderung.
4. Collection: Es sammelt die Daten aus allen Quellen ein.
5. Processing: Werkzeuge entpacken Archive, entfernen Dubletten und machen Inhalte durchsuchbar.
6. Review: Juristen und Fachleute prüfen die Dokumente auf Relevanz und Vertraulichkeit.
7. Analysis: Das Team erkennt Muster, Zeitabläufe und Beziehungen.
8. Production: Es übergibt die relevanten Daten in einem vereinbarten Format.
9. Presentation: Die Beweise kommen vor Gericht oder in den Abschlussbericht.

In der Praxis laufen mehrere Phasen parallel. Erkenntnisse aus dem Review führen oft zu neuen Quellen und damit zurück zur Identifikation.

Besonders wichtig ist die Phase Identification. Hier legen Sie fest, wen und was die Untersuchung umfasst. Ein zu enger Rahmen übersieht Beweise. Ein zu weiter Rahmen treibt Kosten und berührt unnötig viele personenbezogene Daten. In Deutschland gehören deshalb Datenschutz und oft auch der Betriebsrat früh an den Tisch. Eine dokumentierte Begründung für jeden Suchbegriff und jede Person schützt später vor dem Vorwurf der Willkür.

Wie sichern Sie Daten, ohne den Beweiswert zu gefährden?

Fehler in den ersten Tagen lassen sich später kaum korrigieren. Deshalb stehen zwei Schritte am Anfang: Löschungen stoppen und Daten forensisch sichern.

Legal Hold: Löschfristen aussetzen

Ein Legal Hold, auch Litigation Hold genannt, setzt automatische Löschregeln für relevante Daten aus. Er greift für Postfächer, Netzlaufwerke, Chats und Backups. Gleichzeitig erhalten betroffene Mitarbeitende eine Anweisung, nichts zu löschen. Ohne Hold laufen Aufbewahrungsrichtlinien einfach weiter – und vernichten womöglich genau die Beweise, um die es geht.

Ein Hold wirkt nur, wenn ihn jemand überwacht. Halten Sie fest, wer die Anweisung erhalten und bestätigt hat. Prüfen Sie regelmäßig, ob neue Systeme oder Personen hinzukommen. Heben Sie den Hold erst auf, wenn das Verfahren abgeschlossen ist.

Forensische Sicherung – vom Laptop bis zur Cloud

Wer Dateien per Drag-and-drop kopiert, verändert Metadaten wie Zugriffszeiten. Eine forensische Sicherung vermeidet das. Wir erstellen bitgenaue Abbilder von Datenträgern und setzen dabei Write-Blocker ein, die jeden Schreibzugriff verhindern. Hashwerte belegen, dass Original und Kopie identisch sind.

Typische Quellen einer Sicherung sind:

• E-Mail-Postfächer und Archive
• Laptops, Desktop-Rechner und externe Datenträger
• Smartphones mit Messengern wie WhatsApp oder Signal
• Fileserver, SharePoint und Projektlaufwerke
• Cloud-Dienste und SaaS-Anwendungen
• Backups, wenn Originaldaten fehlen

Jede Übergabe dokumentieren wir in einer lückenlosen Chain of Custody. Bei Microsoft 365, Google Workspace oder anderen Cloud-Diensten gelten eigene Regeln. Hier kommt die Cloud-Forensik ins Spiel: Protokolle, Versionsstände und Zugriffslogs gehören mit in die Sicherung.

Unternehmen mit Forensic Readiness haben hier einen Vorsprung. Sie wissen schon vor dem Ernstfall, wo welche Daten liegen und wie lange Logs verfügbar sind.

Wie lassen sich Millionen Dokumente prüfen?

Das Review ist der größte Kostentreiber einer eDiscovery. Eine RAND-Studie bezifferte seinen Anteil auf rund 73 Prozent der Kosten. Schon wenige Postfächer liefern Hunderttausende E-Mails mit Anhängen. Eine vollständige Dokumentenprüfung von Hand dauert Wochen.

Bevor überhaupt jemand liest, reduziert das Processing die Menge. Deduplizierung entfernt identische Kopien, etwa dieselbe E-Mail in zehn Postfächern. E-Mail-Threading fasst Antwortketten zusammen, sodass Prüfer nur die letzte Nachricht lesen. Filter nach Zeitraum, Absender und Dateityp grenzen weiter ein. So schrumpft der Bestand, bevor das teure Review beginnt.

Predictive Coding, auch Technology Assisted Review genannt, verkürzt diesen Weg. Erfahrene Prüfer bewerten zunächst eine Stichprobe. Ein lernendes Modell überträgt diese Bewertungen auf den Rest und sortiert die Dokumente nach Relevanz. Die Prüfer arbeiten zuerst die wahrscheinlich relevanten Dokumente ab. US-Gerichte erkennen dieses Verfahren seit 2012 an.

Die Entscheidung über jedes vorgelegte Dokument trifft trotzdem ein Mensch. Gerade bei vertraulichen Inhalten wie Anwaltskorrespondenz bleibt das Document Review Handarbeit.

Neben der Relevanz prüft das Team drei weitere Punkte. Enthält das Dokument Geschäftsgeheimnisse, die Sie schwärzen müssen? Fällt es unter das Anwaltsprivileg? Stehen personenbezogene Daten Dritter darin, die der Datenschutz schützt? Jede Entscheidung erhält eine Markierung, damit sie später nachvollziehbar bleibt.

Für die Übergabe zwischen Werkzeugen nutzen Review-Plattformen sogenannte Load Files. Diese Steuerdateien verknüpfen Dokumente, extrahierten Text und Metadaten. So bleibt jeder Fall über Systemgrenzen hinweg nachvollziehbar.

Reicht Microsoft Purview eDiscovery?

Viele Unternehmen nutzen Microsoft 365 und fragen zuerst nach den eingebauten Funktionen. Microsoft Purview eDiscovery bietet in Office 365 eine Suche über Postfächer, OneDrive, SharePoint und Teams. Es setzt Holds und exportiert Ergebnisse. Für einen Fall, der vollständig in Microsoft 365 liegt, reicht das oft aus.

Die Grenzen zeigen sich schnell:

• Endgeräte: Lokale Dateien auf Laptops und Smartphones erfasst Purview nicht.
• Fremdsysteme: ERP, Fileserver, Messenger oder Branchensoftware liegen außerhalb von Microsoft 365.
• Gelöschte Daten: Was jenseits der Aufbewahrungsfristen liegt, findet die Suche nicht mehr.
• Beweiswert: Ein Export ist keine forensische Sicherung. Hashwerte und Chain of Custody fehlen ohne zusätzliche Dokumentation.
• Lizenz: Review-Sets und Predictive Coding gibt es nur mit einer E5-Lizenz oder einem entsprechenden Add-on.

Unsere Empfehlung: Purview für Suche und Hold einsetzen, aber Endgeräte und Fremdsysteme forensisch ergänzen. So entsteht ein vollständiger und belastbarer Datenbestand.

Ein Punkt verdient besondere Aufmerksamkeit: die Audit-Logs. Sie zeigen, wer wann auf welche Daten zugegriffen hat. Microsoft speichert sie standardmäßig 180 Tage, mit Audit (Premium) ein Jahr. Sichern Sie diese Logs deshalb gleich zu Beginn, bevor sie verfallen.

Wo eDiscovery und IT-Forensik ineinandergreifen

eDiscovery fragt: Welche Daten gibt es zu diesem Vorgang? Die IT-Forensik fragt zusätzlich: Was ist auf diesen Systemen tatsächlich passiert? Beide Disziplinen ergänzen sich.

Eine IT-forensische Analyse stellt gelöschte Dateien wieder her und rekonstruiert Zeitabläufe. Sie wertet Metadaten aus, etwa wer ein Dokument wann erstellt oder verändert hat. Bei internen Ermittlungen zeigt sie, ob jemand Daten auf private Speicher kopiert hat. Am Ende steht ein Bericht, den Gerichte und Behörden verwerten können.

Ein Beispiel zeigt den Unterschied. Die eDiscovery findet eine E-Mail mit einer Preisliste an einen Wettbewerber. Die Forensik klärt, ob der angebliche Absender sie tatsächlich verschickt hat. Sie prüft Header, Anmeldezeiten und Geräte. Erst beide Ergebnisse zusammen ergeben ein belastbares Bild.

In einem gemeinsamen Projekt teilen sich die Rollen klar auf. Die Kanzlei definiert die rechtlichen Fragen und bewertet die Ergebnisse. Die IT-Forensik sichert die Daten, bereitet sie auf und liefert technische Befunde. Die Review-Plattform verbindet beide Seiten. Diese Aufteilung hält das Verfahren schlank und jede Rolle bleibt nachvollziehbar.

Diese Arbeit erfordert kontrollierte Bedingungen. In unseren IT-Forensik-Laboren untersuchen wir Datenträger mit aktueller Hard- und Software. Im Notfall sind wir mit dem mobilen Labor direkt vor Ort.

Sie stehen vor einer eDiscovery oder einer internen Untersuchung? Sprechen Sie mit unserem IT-Forensik-Team. Wir klären im Erstgespräch, welche Daten Sie sichern müssen und wie Sie den Beweiswert erhalten.

FAQs – Häufige Fragen zu eDiscovery

Ist eDiscovery in Deutschland verpflichtend?

Nein, eine allgemeine Pflicht gibt es nicht. Wer in einem Verfahren Beweise vorlegt, muss deren Vollständigkeit und Echtheit aber belegen können. Bei US-Bezug gelten zudem die US-Discovery-Regeln.

Was ist der Unterschied zwischen eDiscovery und IT-Forensik?

eDiscovery findet, sichert und prüft vorhandene Daten für ein Verfahren. IT-Forensik untersucht Systeme tiefer: Sie stellt gelöschte Daten wieder her und rekonstruiert, was passiert ist. In vielen Fällen arbeiten beide zusammen.

Was ist ein Litigation Hold?

Ein Litigation Hold setzt Löschregeln für relevante Daten aus, sobald ein Verfahren absehbar ist. Er umfasst technische Sperren und eine schriftliche Anweisung an betroffene Mitarbeitende.

Was treibt die Kosten einer eDiscovery?

Den größten Anteil verursacht das Review, laut RAND rund 73 Prozent der Kosten. Je mehr Daten ungefiltert in die Prüfung gelangen, desto teurer wird es. Eine gezielte Identifikation und Predictive Coding senken den Aufwand deutlich.

Autorin Joanna Lang-Recht

Joanna Lang-Recht, M.Eng., M.A., arbeitet als Director IT-Forensics bei der intersoft consulting services AG. Als Vorfall-Expertin des Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie zertifizierte Cyber Security Expert (CSE) ist sie auf die Analyse und Aufklärung komplexer Cyberangriffe spezialisiert.