Vom Fach
© Mike Auerbach
Auf dem Hamburger Sicherheitsrechtstag monierte die Richterin am Oberlandesgericht Prof. Dr. Brüning zurecht schwer vergleichbare Ergebnisse der digitalen Forensik. Es fehle an Nachvollziehbarkeit, die richterliche Beweiswürdigung wäre schwierig. Das lässt sich als Folge eines ganz anderen Problems sehen: Für IT-Forensik gibt es keine einheitliche Qualifikation. Bei Fachanwälten für Arbeitsrecht oder Fachärztinnen für Urologie ist die fachliche Erwartung klar, inklusive regelmäßiger Fortbildung.
Smartphone und Bobby-Car
Außenstehende sehen die Informatik dagegen als Allrounder: „Du bist Informatiker, bearbeitest du mal schnell das Bild?“ Das ist so falsch, wie die Vorstellung, dass ein Smartphone oder Instagram junge Menschen für Datenbank-Entwicklung und IT-Sicherheit qualifizieren. Zwar nutzen sie schon im frühen Alter spielerisch unterschiedliche IT-Lösungen, doch Hintergrundwissen erwerben sie dabei kaum. Ein Bobby-Car erspart eben keinen Führerschein. Früher entwickelten Fachfremde nebenbei Software oder administrierten den Rechner-Pool der Fakultät, die ersten Informatik-Lehrstühle besetzten naturgemäß andere Disziplinen, in Schulen half das Mathematik- und Physikdepartement mit Informatikkursen aus. Teils hervorragend – so einem Mathelehrer verdankt einer der Autoren letztlich seine Karriere. Doch nun ist die Informatik eine eigene Disziplin, mit eigenen Studiengängen. Der Quereinstieg als Notnagel sollte langsam ausgedient haben, die qualifizierte Fachkraft ihn ersetzen.
Expertise am Tatort
Die Kritik der Richterin trifft den Punkt: Nicht alle aus der IT-Forensik haben Informatik studiert, manche entstammen dem Polizeivollzug mit Zusatzausbildung. Die variiert von Nachklickkursen für Forensiktools bis zu einem Zusatzstudium völlig unterschiedlicher Ausrichtung. Wie kann die Richterin zwischen dieser divergierenden Expertise unterscheiden?
Um ihr Urteil zu fällen, braucht sie belastbare forensische Gutachten. Der zugehörige Prozess unterliegt jedoch einem Wandel: Der Computer-Forensiker Geschonneck forderte 2006 noch, Rechner am Geschehensort vom Strom zu trennen und ins Labor zu schleppen. Heute stehen dem Plattenverschlüsselung, Cloud-Computing und komplexe Netzwerke entgegen, die den forensischen Teams viel Arbeit – und Schlepperei – ersparen. Das bedeutet auch eine Erleichterung für Betroffene eines Vorfalls, da so etwa Betrieben nicht mehr die Arbeitsmittel auf unbestimmte Zeit entzogen werden. Moderne digitale Forensik nutzt einen Triage-Prozess, sichert wichtige Daten vor Ort. Und das leuchtet ein: Schließlich würde auch niemand wegen einer Leiche in einer Schreinerei alles Werkzeug beschlagnahmen.
Diesen Wandel können Fachleute begleiten und bewerten. Daher sind vergleichbare, standardisierte Qualifikationen für Fachspezialist*innen, analog denen in der Fachanwaltschaft und Fachmedizin, nötig. Der Wildwuchs ohne Fachqualifikationen dagegen ist groß: Datenschutz kann anbieten, wer sich qualifiziert fühlt, nicht einmal die teils eintägigen Kurse sind nötig. Auswirkungen sind Stilblüten wie Klingelschilder ohne Namen in Wien – hier hieß es plötzlich, die verstoßen gegen die DSGVO – oder ausufernde Einwilligungserklärungen für nicht-einwilligungsfähige Datenverarbeitungen.
Über die Autor*innen
Prof. Dr. Katja Andresen ist Professorin für Wirtschaftsinformatik, insbesondere Informationssicherheit, in Berlin. Sie hatte sich zwischendurch dort beurlauben lassen, um an der bundeseigenen Agentur für Innovation in der Cybersicherheit die Abteilung „Sichere Gesellschaft“ zu leiten und aufzubauen, und ist nun wieder zurück in Berlin.
Prof. Dr. Tobias Eggendorfer ist Professor für IT-Sicherheit in vernetzten Anwendungen in Ingolstadt. Er war zuvor ebenfalls Abteilungsleiter für „Sichere Systeme“ in der Cyberagentur, davor Professor für IT-Sicherheit in Ravensburg und IT-Forensik in Hamburg. Er ist zudem freiberuflicher IT-Berater und Datenschutzbeauftragter.
Aktuelle Lösungen für Spezialisierungen
Spezialisierung ist erwünscht: Hochschulen bieten grundständige Bachelorstudiengänge in „Digitaler Forensik“, „Cybersecurity“, „Games Engineering“ oder „Künstliche Intelligenz“ an, erlauben alternativ eine Spezialisierung im Hauptstudium des Bachelors oder im Master. Doch der Flickenteppich macht Qualifikationen kaum vergleichbar. Zudem ist es schwierig, Cybersicherheit oder IT-Forensik zu lehren, wenn Studierende Grundlagen wie Betriebssysteme und Netzwerke nicht kennen. Spezialisierung braucht eine solide Basis.
Statt eines Bachelors in Mietrecht braucht eine Fachanwältin für Mietrecht erst ein Jura-Studium und anschließend eine Weiterqualifikation. Analog die Rechtsmedizin: Dem Studium folgt eine fünfjährige Facharztweiterbildung. Wäre das nicht ein Modell für die Informatik? Zwar ist Fachinformatiker*in als Begriff schon belegt, vergleichsweise irreführend für einen Ausbildungsberuf statt einer Spezialisierung. Doch jenseits der Wortklauberei scheint die nachweisbare Spezialisierung wünschenswert.
Unbenommen gibt es auch heute hochwertige Fachqualifikationen: So hat Tobias Eggendorfer an seiner früheren Hochschule im Master Informatik in Absprache mit dem zuständigen Landesdatenschutzbeauftragten eine Spezialisierung für IT-Sicherheit eingeführt, die auch Datenschutzrecht als Pflichtmodul enthielt. Nach beidseitiger Ansicht eine geeignete Qualifikation zum Datenschutzbeauftragten. Auch das Ulmer Modell mit einer umfangreicheren Ausbildung und strengen Zugangsvoraussetzungen schafft überdurchschnittliche Qualifikation.
Wege zur Fachqualifikation
Doch welche Institution kennt detailliert alle Ausbildungsmodelle für Datenschutzbeauftragte? Ein Zertifikat sollte eine einheitliche Qualifikation versprechen. Dann kann auch die Strafrichterin die Qualität der Ermittlungsergebnisse einschätzen. Wie kann ein solcher Fachkundenachweis entstehen? Braucht es wie in der Rechtsmedizin fünf Jahre Berufspraxis unter Anleitung zusammen mit Fortbildungen an anerkannten Lehreinrichtungen? Oder analog der Chirurgie eine bestimmte Zahl von Operationen oder Fällen? Das Konzept, Fälle unter Anleitung und Supervision zu bearbeiten, scheint übertragbar. Sind gleichermaßen jährliche Fortbildungspunkte zum Qualifikationserhalt nötig? Oder schafft das eine Schattenwirtschaft mit Kursen, die halb bewusstlos ertragen werden, oder Konferenzen, deren Kompetenz Catering ist? Sind Punkte für die Lektüre von Fachzeitschriften mit nachfolgenden Online-Tests denkbar? Entsprechende Konzepte gibt es zum Beispiel im Ärzteblatt.
Integration in bestehende Curricula
Das Informatikstudium hat gegenüber Medizin und Jura auf dem Weg zur Spezialisierung vielleicht Vorteile: Schwerpunkte im Bachelor sortieren bereits vor. IT-Sicherheit wird kaum auf Games-Engineering unmittelbar aufsetzen, sondern weitere Qualifikationen verlangen – ebenso andersherum.
Dieses fachspezifische Mindestwissen ergänzen in Zukunft Spezialkurse. Wie diese Spezialkurse aussehen, können Autorin und Autor nur in ihrer fachlichen Heimat einschätzen, sie zu entwickeln und definieren bedarf hoher inhaltlicher Kompetenz der Spezialgebiete. Für Datenschutz könnte eine Spezialisierung mit einer Einführung in Recht, Grundlagen wie Normenhierarchien bis zum IT- und Datenschutzrecht, dazu IT-Sicherheit verbunden sein. Für IT-Forensik wäre aufbauend das Erstellen und Präsentieren von technischen Gutachten sinnvoll, ebenso strafprozessuale und strafrechtliche Grundlagen, aber auch Beweissicherung in Netzen und auf Datenträgern, Arbeitsspeicheranalyse oder Reverse Engineering.
Anwalts- und Ärztekammer prüfen jeweils zum Abschluss der Fachausbildung. Eine Prüfungskommission interdisziplinär nach definierten Regeln zu besetzen, ist übertragbar. In der könnte die Strafrichterin für Forensik gleich prüfen, wie es um die wichtige Kompetenz steht, Ergebnisse der eigenen Arbeit zielgruppengerecht aufzubereiten.
Spezialisierung ist in der Informatik notwendig, um Qualifikationen für alle transparent und vergleichbar zu machen. Sie schafft einen Vertrauensschutz – etwa bei der Vergabe von Aufträgen. Wie wichtig dieser ist, zeigen die bereits bestehenden Spezial-Studiengänge und das hohe Interesse daran. Allerdings könnte es sein, dass noch nicht allen Auftraggebern die Notwendigkeit klar ist: Das Hemdsärmelige der frühen Informatik, jeder mit etwas Verstand kann ad-hoc Systemeadministrieren und auch alle anderen IT-Aufgaben lösen, ist noch in den Köpfen. Das nötige Umdenken könnte eine Fach-Spezialisierung unterstützen. Auf dem Weg dahin möchten die Autorin und der Autor durch diesen Beitrag eine Diskussion anstoßen.
1https://cuvillier.de/en/shop/publications/9031
2 z.B. als grundständiger Bachelor https://www.cb.hs-mittweida.de/studienangebote-der-fa-kultaet/allgemeine-und-digitale-forensik-bachelor/, als Master https://www.hs-albsig.de/studienangebot/masterstudiengaenge/digitale-forensik/ und https://www.hs-fresenius.de/bachelor/digitale-forensik/, allerdings wiederum eher mit einem Forensik-Schwerpunkt
als einem in der Informatik.
3 Geschonneck, Alexander (2006), Computer-Forensik, dpunkt, 2. aktualisierte Auflage
4https://www.wbs.legal/it-und-internet-recht/datenschutzrecht/datenschutz-keine-namen-mehr-auf-klingelschildern-23878/
5https://www.udis.de/
6https://www.aerzteblatt.de/cme
