Die Enkel von Locard

Seit fast 100 Jahren bildet das Locard’sche Prinzip die Grundlage für die forensische Fallarbeit. Es beschreibt die materielle Übertragung von möglichen Spuren zwischen Tatbeteiligten [1, S. 139]:

Überall dort, wo er geht, was er berührt, was er hinterlässt, auch unbewusst, all das dient als stummer Zeuge gegen ihn. Nicht nur seine Fingerabdrücke oder seine Fußabdrücke, auch seine Haare, die Fasern aus seiner Kleidung, das Glas, das er bricht, die Abdrücke der Werkzeuge, die er hinterlässt, die Kratzer, die er in die Farbe macht, das Blut oder Sperma, das er hinterlässt oder an sich trägt. All dies und mehr sind stumme Zeugen gegen ihn. Dies ist der Beweis, der niemals vergisst. Er ist nicht verwirrt durch die Spannung des Augenblicks. Er ist nicht unkonzentriert, wie es die menschlichen Zeugen sind. Er ist ein sachlicher Beweis. Physikalische Beweismittel können nicht falsch sein, sie können sich selbst nicht verstellen, sie können nicht vollständig verschwinden. Nur menschliches Versagen, diese zu finden, zu studieren und zu verstehen, kann ihren Wert zunichte machen.

Die Wirkung (z. B. eines Tatwerkzeugs) ist in den Veränderungen an den Objekten messbar. Dies kann eine reine materielle Veränderung als auch ein auswertbares Muster sein. Der Übergang von der Übertragung von Materie auf die Übertragung von Mustern („transfer of traits“) (siehe [2]) ermöglicht eine formale Erweiterung dieses Prinzips (siehe auch Abb. 1):

Durch die Digitalisierung und die schnelle Einführung von neuen Technologien ergibt sich nicht nur die Frage nach der Allgemeingültigkeit dieses Prinzips, sondern eine zwingend notwendige Erweiterung auf die digitale Fallarbeit. Mittlerweile ist es wissenschaftlich unstrittig, dass auch in der digitalen Welt keine Interaktion ohne Spuren möglich ist. Experten – die Enkel Locards – müssen also wissen, in welchen Zusammenhängen welche Spuren entstehen, wie diese zu finden sind und wie lange diese beweiskräftig gesichert werden können. Ergänzend beschäftigt sich das noch relativ junge Fach der „Forensischen Informatik“ mit den folgenden Fragestellungen:

Als Synonyme werden in der Literatur „Digitale Forensik“ und „IT-Forensik“ verwendet. Ziel dieses wissenschaftlichen Bereichs ist die Suche nach digitalen Spuren jeder Art, deren Sicherung und schließlich die Aufbereitung der Daten, sodass das Gericht am Ende zu einem sachgerechten Urteil kommen kann. Letztendlich ist das Ziel jeder forensischen Untersuchung die gerichtsverwertbare Präsentation der Ergebnisse einer wissenschaftlichen Untersuchung. Dem weiten Themenfeld [4] ist es geschuldet, dass es mittlerweile mehrere Spezialgebiete der digitalen Forensik gibt. Die wichtigsten sowie deren Überschneidungen untereinander sind der Abb. 2 zu entnehmen. Daneben gibt es noch etliche weitere Spezialisierungen, die an dieser Stelle jedoch keinen verallgemeinernden Charakter tragen. Darüber hinaus gibt es noch die Möglichkeit der Einteilung in Post-Mortem- und Live-Forensik sowie entsprechend der untersuchten Technologien [5].

Die Frage jedoch ist, ob eine solche Einteilung, die sich in den letzten Jahren etabliert hat, unter Berücksichtigung der technischen Entwicklung überhaupt noch sinnvoll ist. Sollte sich eine moderne Einteilung nicht vielmehr an den digitalen Spuren selbst orientieren, wobei die Quelle von untergeordnetem Interesse ist?

Sowohl in der analogen als auch in der digitalen Welt suchen Ermittelnde an einem Tatort nach Spuren und Beweisen, um dadurch den Tathergang rekonstruieren zu können, sodass ein vernünftiger Zweifel am Tatgeschehen nicht möglich ist (siehe auch [6, 7]). Nach Casey [8] basieren „digitale Spuren“ auf Daten, die in Computersystemen gespeichert oder übertragen wurden. Digitale Spuren, die durch ihre physikalische Eigenschaft, wie z. B. Magnetisierung oder Ladezustand, bestimmt werden können, werden als digitale Daten bezeichnet. Entsprechend werden digitale Spuren zuerst identifiziert, lokalisiert, extrahiert und gesichert, bevor sie in eine verständliche und interpretierbare Form gebracht werden können. Dabei müssen alle Spuren und Beweise gerichtsverwertbar gesichert werden.

Um die Bedeutung von digitalen Spuren während eines investigativen Prozesses zu verstehen, bedarf es einer eindeutigen Klärung des Begriffs „digitaler Tatort“ und der Verortung von „digitalen Spuren“. Folgendes Szenario kann als Illustration dienen und zeigt die Verschmelzung von analoger und digitaler Forensik:

Bei einem Beschuldigten wird ein PC sichergestellt. Der PC verfügt über weitere Peripheriegeräte (Monitor, Webcam, Lautsprecher, externe Festplatten u. ä.), welche ebenfalls der IT-Forensik übergeben werden. Auch wenn der PC als Träger digitaler Spuren gilt, kann dieser in der realen Welt verortet werden und ist Teil eines physischen Tatorts bzw. Ereignisortes. Parallel dazu befindet sich der PC im LAN oder im WLAN des Ereignisortes.

Auch wenn das Locard’sche Prinzip für digitale Spuren gilt, ist es erforderlich den PC einem konkreten Nutzer und dann einer verdächtigen Person zuzuordnen. Hier kann die Stärke der Authentifizierung (Login-Daten) auf dem PC bzw. auf anderen mobilen Endgeräten genutzt werden, um einen Nutzer einer konkreten Person (hier der verdächtigen Person) zuzuordnen. Ist diese Zuordnung erfolgt, können weitere mobile Endgeräte des Tatverdächtigen dem Ereignisort zugefügt werden. Der digitale Tatort ist durch die Verortung der Geräte Teil des realen (physischen) Tatorts geworden. Aus der Analyse der mobilen Endgeräte können zusätzlich noch Bewegungsdaten oder Verkehrsdaten abgeleitet werden. Durch die Verwendung aller Spuren kann eine Verbindung zwischen dem Opfer bzw. den Opfern und dem möglichen Tatverdächtigen hergestellt werden (siehe auch Abb. 3).

Das Aufkommen an digitalen Spuren auf dem PC ist sehr heterogen, in Bezug sowohl auf die Formate als auch auf die zu verwendenden Werkzeuge. Diese reichen von Textdokumenten, Bildern, E‑Mails, Videos über Log-Dateien des jeweiligen Betriebssystems bis hin zu Artefakten auf Ebene der genutzten Dateisysteme. Weitere Spuren können sich auf dem Router oder in der Cloud befinden. Analog zur klassischen Forensik braucht die digitale Forensik Werkzeuge und Vorgehensmodelle. Der PC des Verdächtigen ist ein realer Spurenträger, auf dem die digitalen Spuren als physische Spuren (Magnetisierung, dem Ladezustand oder elektromagnetische Wellen) enthalten sind. Erst durch geeignete Werkzeuge bzw. andere Anwendungen ist eine Interpretation von digitalen Spuren möglich. Mit Interpretation ist hier das Verstehen und die Einschätzung dieser Spuren gemeint [9].

Auch wenn digitale Spuren aus sehr unterschiedlichen Quellen stammen, haben sie wohldefinierte Eigenschaften und Gemeinsamkeiten. Auf der Grundlage der Eigenschaften ist es möglich, sie zu kategorisieren. Betrachtet man die Verwendung von IT-Systemen aus der Sicht von Nutzern so wird deutlich, dass Daten bei jedem Schritt und während Datenverarbeitungen anfallen. Somit ist es unumstritten, dass eine Nutzung von IT-Systemen ohne das Hinterlassen von Datenspuren nicht möglich ist. Spuren entstehen an verschiedenen Orten und können in lokale und nichtlokale Spuren klassifiziert werden. Lokale Spuren entstehen auf dem Gerät selbst. Somit erfolgt die Sicherung in der Regel von dem Gerät. Zur Klasse der Geräte zählen IT-Systeme oder Datenträger (unter anderem Computer, Smartphones, Digitalkameras bzw. USB-Sticks, SD-Karten, DVDs). Zur Klasse der lokalen Spuren gehören die Inhaltsdaten einer Datei (z. B. doc-/sqlite-Datei), Dateinamen, Windows Registry, Log-Dateien, temporäre Dateien und auch Backups. Nichtlokale Spuren entstehen nicht auf dem Gerät selbst. Sie entstehen an einem anderen Ort, etwa bei Diensten wie Webservern, Mailservern oder sozialen Netzwerken. Auch Daten in einer Cloud, bei Internet Service Providern oder Mobilfunkanbietern gehören dieser Klasse an. Beispiele sind die Inhaltsdaten bei Onlinediensten, Daten aus Überwachungskameras, des Mobilfunkanbieters (wie Standort- und Kommunikationsdaten) oder Verkehrsdaten bei Internet Service Providern.

Eine wichtige Eigenschaft von digitalen Spuren ist die Flüchtigkeit. Sie besagt, wie lange Daten unverändert erhalten bleiben. Daraus ergeben sich besondere Aufgaben an die Prozesse in der digitalen Forensik. Die Prozesse müssen effektiv und schnell ablaufen, um einen Verlust von Spuren zu verhindern und Manipulationen zu vermeiden. Das Konzept der Flüchtigkeit enthält 3 Stufen: Persistente, semipersistente und flüchtige Spuren. Persistente Spuren bleiben über einen langen Zeitraum, auch ohne permanente Stromversorgung, auf dem Speichermedium erhalten. Semipersistente Spuren sind bei aktiver Stromversorgung über einen langen Zeitraum im System gespeichert. Flüchtige Spuren sind auch bei einer permanenten Stromversorgung nur kurzzeitig verfügbar. Die Einteilung nach Flüchtigkeit stellt den zeitlichen Rahmen und die Reihenfolge der Sicherung (Order of Volatility) von digitalen Spuren dar.

Elektronische Daten befinden sich in der Regel persistent auf Datenträgern. Die Daten werden für den wahlfreien Zugriff in Dateisystemen organisiert. Dateisysteme sind die häufigste Quelle digitaler Spuren. Wenn Daten gerade verarbeitet werden, müssen sie im flüchtigen Speicher gehalten werden. Zur Übermittlung über Netzwerke werden Daten in der Regel in kleine Pakete zerlegt und von einem Knotenpunkt zum nächsten transferiert, bis sie am Ziel ankommen.

Ein anderes Konzept der forensischen Informatik beschäftigt sich mit der Fragestellung der Vermeidbarkeit. Man unterscheiden nach technisch vermeidbaren („non-essential“) und technisch unvermeidbaren („essential“) digitalen Spuren. Unvermeidbare Spuren sind im Vergleich zu vermeidbaren Spuren für die Funktionsweise essenziell notwendig. Da eine Manipulation bei technisch unvermeidbaren digitalen Spuren mit einem höheren Aufwand verbunden ist, ist die Aussagekraft dieser Spuren auch höher als bei den technisch vermeidbaren Spuren. Dies machen die unvermeidbaren Spuren für den Forensiker besonders vertrauenswürdig und sie besitzen in der Folge eine höhere Beweiskraft [3].

Im forensischen Kontext ergeben sich aus den Eigenschaften von digitalen Spuren unerbittliche Anforderungen an Werkzeuge und Anwendungen für die Sicherung und Analyse. Dazu gehört die Chain of Custody [10]. Dies bedeutet, dass der Nachweis über den Verbleib und die Bearbeitung einer digitalen Spur, ab dem Zeitpunkt der Erfassung, lückenlos erbracht werden muss. Diese Forderung bedingt strikte technische und organisatorische Forderungen an den gesamten digitalen Ermittlungsprozess.

Eine wichtige Aufgabe der Forensik besteht darin, die bestmöglichste Tathergangsrekonstruktion auf Basis der vorhandenen Spuren zu erstellen. Die Tathergangsrekonstruktion soll als ein hypothesengetriebener Prozess geführt werden. Aus digitalen Spuren lassen sich in der Regel sogenannte Raum-Zeit-Muster ableiten. Diese eignen sich für eine Rekonstruktion des Tathergangs. Die Größe der Zeit kann direkt mit den Zeitstempeln der digitalen Spuren verknüpft werden, was in Form einer Timeline der Ereignisse dargestellt werden kann. Die Raumdimension kann zum einem durch die Verortung der Geräte hergestellt werden und zum anderen aus dem Prozess der Authentifizierung der Personen.

Es gibt schon heute quasi keinen einzigen Kriminalfall mehr, in dem digitale Spuren keine Rolle spielen. Sogar im Zusammenhang mit „gefühlt“ vollständig analogen Straftaten wie Sexualdelikten, Einbrüchen oder Raubüberfällen werden digitale Spuren zur Ermittlung herangezogen. Beispiele hierfür sind Funkzellendaten und Aufnahmen aus digitalen Überwachungssystemen.

Im polizeilichen Kontext spielen im Wesentlichen 3 unterschiedliche Untersuchungsziele eine Rolle:

Diese Ziele sind für jede Untersuchung im Bereich der digitalen Forensik relevant. Das erste Ziel dient vorwiegend der Reduktion der Daten auf diejenigen, die für die Untersuchung von Bedeutung sind. Fallabhängig ist dies meist ein kleiner Anteil der vorhandenen Dateien (unterer einstelliger Promille- bis Prozentbereich). Die Relevanz für den Fall kann sich – abhängig von der konkreten Fragestellung – aus einer Vielzahl möglicher Aspekte ergeben:

In der Praxis stellt schon das erste Ziel den Ermittler vor immense Herausforderungen, die derzeit nur mit erhöhten Personalressourcen zu lösen sind (siehe auch [11‐13]). Oftmals beinhalten Fälle unglaubliche Mengen an Mediendateien, allein innerhalb einer beliebigen Chat-Anwendung. Üblicherweise werden massenhaft Bilder und Video in Chats geteilt. Dazu kommen noch große Anzahlen an Audiodateien, da viele Nutzer Sprachnachrichten einer textuellen Kommunikation vorziehen. Die Bewertung des Inhalts dieser Nachrichten allerdings kann derzeit – mangels in der Praxis nutzbarer semantischer Erkennung – fast ausschließlich manuell durch Ermittler vorgenommen werden. Hier fehlen zweifelsfrei zuverlässige Lösungen, z. B. in Form intelligenter Assistenzsysteme.

Genauso problematisch ist die Prüfung von Bildern und Videos auf deren Inhalt. Selbst klar definierbare Objekttypen (Fahrzeuge, Waffen, Drogen, Geld, Symbole verbotener Organisationen usw.) sind heute nur rudimentär automatisiert auswertbar; die Ergebnisse von Inhaltsprüfungen auf Basis aktueller künstliche-Intelligenz(KI)-unterstützter Systeme können lediglich als Anhalt und Grobprüfung gelten und sparen letztendlich nur wenig Ressourcen. Noch schlechter ist die Bilanz, wenn „unscharfe“ Kriterien dazukommen, die für den Fall von Relevanz sind. Beispiele hierfür sind die Differenzierung zwischen erlaubter Pornografie und solcher, die einer verbotenen Kategorie angehört. Die Kriterien sind – sofern das Alter der handelnden Personen nicht klar bekannt ist – nicht immer absolut trennscharf und damit auch einem unterstützenden KI-System nicht in einer ausreichenden Deutlichkeit antrainierbar.

Erschwert wird das alles noch dadurch, dass es in der kriminalistischen Praxis so etwas wie „den Standardfall“ nicht gibt. Jeder Fall ist anders, praktisch kommen Aspekte dazu, die den Fall einzigartig machen. Diese in eine technische Lösung einfließen zu lassen, ist eine der größten Herausforderungen.

Als Quintessenz läuft es derzeit in (viel zu) vielen Fällen darauf hinaus, dass Medieninhalte manuell geprüft und bewertet werden müssen, da diese von aktuell vorhandener Technik nur unzureichend in der notwendigen Qualität verarbeitet und bewertet werden können. Es scheint in den genutzten Anwendungen reichlich Optimierungspotenzial vorhanden zu sein. Ein Blick auf die aktuellen Arbeitsweisen soll das verdeutlichen:

In der Regel werden Datenträger heute „forensisch“ gesichert, das heißt die Speichermedien werden – sofern möglich – komplett auf unterster Datenebene als Image gesichert („bitgenaue Kopie“) und in Form einer Containerdatei (meist im Encase-Witness-Disc-Image-Format) gespeichert. Zur Verhinderung von unerkannten Änderungen werden schon bei der Sicherung Hashwerte der Daten gespeichert, die später mit den Daten abgeglichen werden können. Meist werden Speichermedien, die Daten enthalten, derzeit physikalisch sichergestellt. Das bedeutet in der Praxis, dass die Ermittler die Computer, Festplatten oder Mobilfunkgeräte im Original mitnehmen. Anschließend wird von den Asservaten eine Kopie erstellt, die als neues Original der Daten gilt. Von dieser wird eine Arbeitskopie angefertigt, mit der die weitere Untersuchung durchgeführt wird. Datenschutz und Datensicherheit nehmen bei den Nutzern, direkt und indirekt, eine immer größere Rolle ein. Dies stellt somit die Ermittler vor erheblichen Schwierigkeiten. In immer mehr Fällen ist bereits die Erstellung einer Datenkopie eine Herausforderung. Abhängig vom System scheitert bereits solch ein Versuch aufgrund fehlender Schnittstellen, vollständiger Verschlüsselung und teilweise proprietärer Zugriffsmethoden. Von einer weiterführenden Aufbereitung der Daten kann dann keine Rede mehr sein.

Wenn die Datensicherung erfolgreich war, ist die nächste Herausforderung derzeit die ständig wachsende Datenmenge, die auf den Systemen gespeichert ist. Beispielsweise findet man in immer mehr Verfahren schon Smartphones mit Speichergrößen jenseits der TB-Grenze. Die wachsenden Speichergrößen bringen mit sich, dass es für die Nutzer kaum noch die Notwendigkeit gibt, ihr System „aufzuräumen“ und nicht mehr erforderliche Daten zu löschen (was aber aus forensischer Sicht nicht nur Nachteile mit sich bringt). Die Menschen werden zu „digitalen Messies“.

Aus der Erfahrung heraus bedingen fehlende praktisch nutzbare automatische Verfahren (wie auch der rechtliche Rahmen), dass viele Auswertevorgänge immer noch überwiegend manuell durchgeführt werden müssen. Die sichergestellten Datenmengen verhindern aber, dass deren Auswertung allein mit „mehr Personal“ garantiert werden kann.

Im Jahre 2025 werden einer Schätzung zur Folge 55 Mrd. Geräte online sein [14]. Ein Tatort ohne digitale Spuren ist dann kaum noch denkbar. Die so anfallenden Daten, die relevant für eine Ermittlung sind, auszuwerten, ist zunehmend nur mit maschineller Unterstützung möglich. Die Aufgaben und Herausforderungen in der digitalen Forensik, bei der Menschen im Mittelpunkt stehen, sind Teil des wissenschaftlichen Diskurses [15]. Einen Teil davon stellt die Unterstützung der Ermittelnden durch Assistenzsysteme dar. Dabei ist die Nachvollziehbarkeit der erzeugten Ergebnisse eine der notwendigen Herausforderungen. Mit der steigenden Verwendung von intelligenten Systemen wächst das Bedürfnis der Nachvollziehbarkeit sogar noch [16].

Die Entwicklungen der letzten Jahre haben gezeigt, dass meist die Heterogenität der zu verarbeitenden Spuren und deren Datenfehlern, wie inkorrekte oder veraltete Information, Inkonsistenzen oder fehlende Werte sowie die Menge der irrelevanten Daten, problematisch ist [17]. Das Fehlen von automatischer Datentyperkennung, z. B. durch Entropieanalysen [18], und der Mangel an ontologischer Integration, wie beispielsweise Data Property Klassifikation [19], und damit das Verständnis für die Bedeutung unstrukturierter Daten, macht dies zu einer hochgradig manuellen Arbeit.

Methoden der künstlichen Intelligenz auf forensische Untersuchungen werden bisher nicht nur aus technischen, sondern auch aus rechtlichen Gründen noch nicht eingesetzt [20]. Typische Anwendungen sind beispielsweise automatisches Profiling von Verdächtigen (z. B. mittels Social Media oder Open Source Intelligence), Fahrzeugidentifikation (z. B. automatische Nummernschilderkennung), Kryptowährungsanalysen oder automatische Erkennung von kinderpornografischen Schriften [21].

Mit der Zunahme der Nutzung weiterer Kommunikationskanäle wie Instant Messaging [22] ist die zu analysierende Menge an Spuren, weit über menschliches Vermögen hinaus, angewachsen. Durch die vereinfachte Verwendung von Anonymisierungstechniken entstehen dabei neue Herausforderungen wie die Verwendung von Autorenbestimmungsmethoden [23]. Bei klassischen Medien wie E‑Mail wird dies schon seit Jahren beforscht [24], findet jedoch noch kaum Anwendung im forensischen Kontext. Auch Ansätze zur Verwendung von maschinellem Lernen in der Forensik sind schon länger Teil des wissenschaftlichen Diskurses [25].

An vielen Stellen in einer Ermittlung können Methoden der künstlichen Intelligenz die Arbeit erleichtern, auch wenn der Prozess einer Ermittlung zwischen mehreren Personen wechselt. Hier könnten Fehler vermieden und automatisierbare Prozessschritte durch maschinelles Lernen abgebildet und in Zukunft automatisch übernommen werden. Die Interaktion zwischen Forensikern und Ermittlern ist dabei je nach Kontext neu zu definieren. Ein Versuch, diesen Prozess zu formalisieren und zu analysieren, wurde in [26] unternommen. Dabei werden in [26] verschiedene Hilfestellungen vorgestellt (Trilogy und Sentinel, Coplik, Forensic Led Intelligence System und Crime Investigation Decision Support System) und deren Probleme und Grenzen diskutiert. Leider sind Sprachmodelle wie BERT, GPT‑3 und Bildmodelle wie Image GPT‑3 [27], AlexNet oder VGG16 [28] noch nicht in forensischen Anwendungen integriert.

Die Zusammenführung von digitalen und analogen Spuren, um die forensische Aufgabe zu erfüllen, stellt eine große Herausforderung für die moderne interdisziplinäre Forensik dar. Nicht nur durch die Menge der in Ermittlungsverfahren erhobenen Spuren, sondern auch durch die Verwertbarkeit müssen neue zielführende Werkzeuge entwickelt und evaluiert werden. Immer mehr Leute sind mobil digital unterwegs und geben immer mehr Informationen (bewusst oder unbewusst, letztlich aber freiwillig) über sich in Systeme ein, die diese in großen Datenbanken verarbeiten, zu Profilen zusammenführen und selbstständig Schlüsse ziehen. Computersysteme werden unser Leben zunehmend durchdringen. Mit der fortschreitenden Verbreitung von IoT-Devices (siehe Entwicklungen in den Bereichen Smarthome und Industrie 4.0) sowie Big Data und Cloud-Computing werden neue Angriffsvektoren geschaffen und die Kriminalitätsrate wird hier entsprechend ansteigen. Gleiches gilt für die computergestützte Einflussnahme auf Märkte und Personen. Cybercrime-as-a-Service ermöglicht es mehr und mehr auch Computerlaien, Straftaten zu begehen [29].

Der ständige technische Fortschritt wirft allerdings die Ermittlungsbehörden immer wieder zurück. Kaum ist eine Technik durchdrungen und es haben sich Standards in der IT-Forensik etabliert, wird diese Technik zunehmend disruptiv abgelöst. Dieses lässt sich am Beispiel der Speicherung von Daten auf der Festplatte verdeutlichen. Während Daten auf klassischen Magnetspeichern so gut wie immer wiederhergestellt werden können, wenn sie nur gelöscht und nicht überschrieben wurden, so geben die Controller heutiger SSD gelöschte Daten einfach nicht mehr heraus, wenn TRIM (Funktion stellt spezielle Verbindung des Betriebssystems zum SSD-Controller her) aktiviert wurde. Hier steht die IT-Forensik vor neuen Herausforderungen, Wege zu finden, die Daten trotzdem auszulesen. Controllermanipulation und Chiptransplantation stecken hier erst in den Kinderschuhen (siehe auch [30‐32]).

Der immer größer werdenden Flut von auszuwertenden Daten, und somit auch des Informationsgehalts ist nur durch Automatisierung Herr zu werden. Verfahren der künstlichen Intelligenz können und werden die Ermittlungsbehörden zukünftig dabei zunehmend unterstützen. Dabei ist unter anderem die multimodale Verarbeitung von Daten eine eigene Herausforderung. Dazu gehörten beispielsweise die Objekterkennung und somit die Verbindung zwischen bildlichen und textlichen Darstellungen. Die semantische Analyse von Bildern oder Videos wird dabei bis heute beforscht [33, 34]. Image GPT ist dabei ein aktuelles Beispiel, wie anhand von Bildern einem System Bezeichner, auch Labels genannt, angelernt werden können. Dieses System kann mittels One-Shot-Learning Objekte auf Bildern erkennen, ohne diese vorher gesehen zu haben [35].

Viele Bereiche der KI-Forschung können Anwendung in der Forensik finden. Leider ist diese Verbindung noch nicht soweit etabliert, dass die wissenschaftliche Community hier ihre Evaluationen sucht. Datensätze, Problemstellungen und Anwendungsszenarien könnten und sollten geschaffen werden, damit mehr der neuen Methoden Anwendung finden. Speziell für den Anwendungsbereich der Ermittlungen ist jedoch, dass die in der Forschung entwickelten Prototypen jeweils auf ihre Erklärbarkeit und Nachvollziehbarkeit geprüft werden müssen. Ausreichend Verständnis der verwendeten Methoden ist notwendig, um sicherstellen zu können, dass hier kein Fehler in der Klassifikation entstanden ist. Bei den meisten sogenannten „Blackbox-Verfahren“ wie großen neuronalen Netzen, funktioniert eine Nachvollziehbarkeit jedoch nur bedingt [36]. Einer Anwendung dieser „Blackbox-Verfahren“ sind in einem Ermittlungsverfahren mehrere Hürden in den Weg gestellt: Sie müssen die richtige Erkenntnis erzeugen, dann aber auch rechtlich vor Gericht standhalten, indem erklärt werden kann, warum dieser Methode und ihrem Ergebnis getraut werden kann. Hier entsteht ein interessanter interdisziplinärer Forschungsbereich zwischen Informatik und Rechtswissenschaften.