Fallstricke der forensischen Datenanalyse – Besonderheiten der digitalen Spurensuche

Eine forensische Datenanalyse ist integraler Bestandteil von forensischen Sonderuntersuchungen, die unter anderem in Insolvenzverfahren eine wichtige Rolle spielen. Das Ziel der Analyse ist es, dolose Handlungen zu identifizieren – also Handlungen, mit denen einem Unternehmen vorsätzlich geschadet wurde. Der Fokus liegt dabei auf zwei Punkten:

• geeignete und valide Daten zu beschaffen
• sinnvolle Datenabfragen zu planen und umzusetzen.

Schon bei der Beschaffung der Daten offenbaren sich erste Besonder­heiten der forensischen Datenanalyse. So besteht aufgrund möglicher Mittäter in der IT das Risiko, dass die Daten, die das Sonderuntersuchungsteam erhält, bewusst manipuliert worden sind. Weiterhin sollten Daten­anforderungen möglichst frühzeitig und sehr konkret adressiert werden. Dabei müssen drei wichtige Punkte berücksichtigt werden:

• die bisherigen Erkennt­nisse über die vermuteten dolosen Handlungsmuster
• die Kenntnis über die verfügbaren Systeme und Daten
• mögliche Restriktionen in der Datenbeschaffung.

Eine Legende erschwert die gezielte Analyse

Erschwert werden die Arbeit des Sonderuntersuchungsteams und eine gezielte Analyse insbesondere dann, wenn die Untersuchung unter einer sogenannten Legende – etwa dem Deckmantel einer Prozessoptimierung – stattfindet. Die Herausforderung: Wenn die Mitarbeiter nicht darüber informiert sind, dass eine forensische Sonderuntersuchung stattfindet, kann eine zu eng definierte Datenanforderung zu unerwünschtem Misstrauen führen. Auf der anderen Seite können Datenanforde­rungen, die zunächst gezielt erschienen, plötzlich unvollständig sein, wenn Erkenntnisse aus ande­ren Untersuchungsmethoden (wie z. B. Interviews oder Aktendurchsicht) hinzukommen.

Nach dem Import der Daten in eine Analysesoftware können die Ergebnisse häufig nicht überprüft werden, da eine Rückkopplung mit dem Mandaten und ein Abgleich der Daten, die das Sonderuntersuchungsteam erhalten hat, mit den Datenbeständen, die beim Mandanten ergänzend geführt werden, nicht möglich ist. Die Daten müssen daher auf anderem Weg überprüft werden. Es gilt also, bereits vor der eigentlichen Analyse, mögliche Fallstricke zu antizipieren und mög­lichst präzise und unmissverständliche Datenanforderungen zu stellen sowie die erhaltenen Daten unverzüglich auf Vollständigkeit, inhaltliche Relevanz und Konsistenz zu prüfen.

Es genügt zudem nicht, die Daten lediglich zu aggregieren, um Kennzahlen oder Relationen darzustellen. Dies ist nur ein Zwischenschritt, um Muster und Strukturen sowie möglicherweise saisonale Spitzen festzustellen. Elementar ist es, die Hypothesen zu dolosen Hand­lungen und deren Abbildung im System zu „übersetzen“. Dies bedeutet, dass bestimmte Eigenheiten der schädlichen Handlungen im Vergleich zu regulären Transaktionen entsprechende Spuren im Datenmaterial hinterlassen müssen. Diese muss das Sonderuntersuchungsteam finden.

Hohe Anforderungen an die Ergebnisse forensischer Datenanalysen

Ein weiteres besonderes Merkmal von forensischen Sonderuntersuchungen ist, dass die Untersu­chungsergebnisse vor Gericht verwertbar sein müssen. Dies gilt auch für die Ergebnisse der Datenanalysen, da deren Resultate integraler Bestandteil des Untersuchungs­berichts sind. Fakt ist: Die Rohdaten, die Analyseschritte sowie deren Ergebnisse müssen unverfälscht, konsistent und valide sein, damit sie im Falle eines möglichen Gerichtsverfahrens belastbar sind.

Ergebnisse aus forensischen Datenanaly­sen sollten – da das Rohmaterial wie oben beschrieben oftmals nur eingeschränkt zuverlässig ist – immer durch weitere Prüfungshandlungen wie eine Belegprüfung und Interviews flan­kiert und abgeschlossen werden. Meist schließt sich an eine Sonderuntersuchung eine Aufnahme der Unternehmenspro­zesse an, oder diese wird parallel durchgeführt. Dabei tritt oft zutage, dass es über den Fokus der Sonderuntersuchung hinaus noch wei­tere Kontroll- und Prozessschwächen gibt. Solche Feststellungen sind, sofern sie nicht Kern der Untersuchungshandlung sind, wertvolle Nebeneffekte einer sorgfältig durchgeführten forensischen Datenana­lyse.

Die forensische Datenanalyse hat also keinen Selbstzweck. Sie ist vielmehr ein Mittel, mit dem Erkenntnisse im Rahmen von forensischen Son­deruntersuchungen gewonnen werden sollen. Sie bestätigt oder wi­derlegt Hypothesen, wirft neue Fragen auf und identifiziert möglicherweise weitere Hinweise auf Fehlverhalten oder Prozess­schwächen. Forensische Datenanalysen bewegen sich immer in einem besonderen Spannungsfeld, das vom Sonderuntersuchungsteam große Erfahrung und ein hohes Maß an Kreativität und Flexibilität verlangt. So soll die Analyse möglichst vorrausschauend geplant sein. Gleichzeitig können sich die Annahmen, die zugrunde liegen, jederzeit ändern.

[Bildquelle: Thorsten Freyer  / pixelio.de]