Handy-Auswertung: Was Standortdaten beweisen — und was nicht

Wenn ein Smartphone im Verfahren eine Rolle spielt, richtet sich die Hoffnung oft auf denselben Punkt: den Standortverlauf, aber auch ingesamt die nutzung des Handy, wann welche bilder wo gemacht etc. Auch in den Bildern werden Standorte gespeichert. Er wirkt wie ein lückenloses Protokoll — Uhrzeit, Ort, Route, alles automatisch aufgezeichnet, scheinbar unbeeinflusst vom Nutzer.

Diese Erwartung ist der Grund, warum solche Daten vor Gericht landen. Sie ist auch der Grund, warum ich in Gutachten regelmäßig darauf hinweisen muss, was ein Standortverlauf tatsächlich belegt.

Was sich 2025 grundlegend geändert hat

Bis 2024 lag der Google-Standortverlauf auf Google-Servern und war über eine Weboberfläche einsehbar. Behörden konnten ihn dort abfragen.

Das gilt nicht mehr. Google hat die Speicherung auf die Endgeräte verlagert. In Googles eigener Hilfe heißt es dazu:

„Die Daten auf der Google Maps-Zeitachse stammen direkt von Ihrem Gerät. Daher ist sie für Maps auf Ihrem Computer nicht verfügbar."

Wer die Zeitachse sichern lässt, dessen Daten liegen als verschlüsselte Kopie auf den Servern — Google selbst kann sie nicht lesen. Die Webansicht wurde eingestellt.

Für die Beweisführung hat das vier Folgen, die noch nicht überall angekommen sind:

Eine Auskunft bei Google führt ins Leere. Was dort liegt, ist verschlüsselt und für den Anbieter nicht auswertbar. Wer an Standortdaten will, muss an das Gerät.

Jedes Gerät führt seine eigene Zeitachse. Google formuliert es so: Die Orte werden „auf jedem Ihrer angemeldeten Geräte automatisch gespeichert". Zwei Geräte desselben Nutzers können völlig verschiedene Verläufe enthalten.

Gelöscht ist gelöscht. Ohne Serverkopie im Klartext gibt es keine zweite Quelle, gegen die sich ein Verlauf abgleichen ließe.

Die Funktion ist standardmäßig aus. Sie „ist für Ihr Google-Konto standardmäßig deaktiviert und kann nur von Ihnen aktiviert werden". Fehlende Einträge besagen also zunächst gar nichts.

Der Selbstversuch: Wie fest ist ein Standortverlauf?

Die entscheidende Frage lautet nicht, ob Daten vorhanden sind, sondern ob man sich auf sie verlassen kann. Um sie zu beantworten, habe ich es ausprobiert — an einem Gerät, an zwei aufeinanderfolgenden Tagen.

Erster Befund: Aufenthaltsorte lassen sich entfernen. Jeder Eintrag im Verlauf hat ein Menü. Darüber lässt sich ein besuchter Ort löschen. Nach der Bearbeitung war der betreffende Tag leer — als wäre nichts gewesen.

Zweiter Befund: Reisen lassen sich auf andere Tage verschieben. Eine zurückgelegte Strecke ließ sich zwar nicht ohne Weiteres löschen, wohl aber einem anderen Datum zuordnen. Ich habe eine tatsächliche Fahrt um zwölf Tage verschoben.

Dritter Befund: Es lassen sich Wege eintragen, die nie stattgefunden haben. Für einen weiteren Tag habe ich einen Ausflug mit Fähre und Gondelbahn zur Zugspitze angelegt. Auch das Verkehrsmittel einer Strecke ist frei wählbar — aus einer Autofahrt wird per Auswahl eine Bootsfahrt.

Vierter und wichtigster Befund: Diese Eingriffe hinterlassen keine für den Betrachter erkennbare Spur. Der bearbeitete Verlauf sieht aus wie ein unbearbeiteter. Es gibt kein Änderungsprotokoll, das dem Nutzer oder dem Gutachter angezeigt würde.

Zusammengefasst, wie ich es in Gutachten formuliere: Eine Manipulation der aufgezeichneten Daten ist möglich; diese Anpassungen sind nicht erkennbar.

Das gilt in beide Richtungen. Ein Verlauf, der jemanden belastet, kann eingetragen worden sein. Ein Verlauf, der jemanden entlastet, ebenfalls. Und ein fehlender Eintrag kann bedeuten, dass die Person nicht dort war — oder dass jemand ihn entfernt hat, oder dass die Funktion abgeschaltet war.

Wie viel Bewegung braucht ein Eintrag?

Eine Frage, die in Verfahren immer wieder auftaucht: Reicht eine kurze Strecke überhaupt aus, damit etwas aufgezeichnet wird?

In einer Untersuchung ging es um rund 400 Meter — die Entfernung zwischen einer Wohnanschrift und einer Straßenkreuzung. Beim Durchsehen der Zeitachse desselben Geräts fanden sich mehrfach Bewegungen über vergleichbare Distanzen, die als Ortsveränderung erfasst worden waren. Für dieses Gerät und diesen Zeitraum ließ sich damit bestätigen: 400 Meter genügen.

Verallgemeinern lässt sich das nicht. Die Aufzeichnung hängt von Gerät, Einstellungen, verfügbaren Funkzellen und WLAN-Netzen sowie vom Batteriesparmodus ab. Belastbar ist nur die Prüfung am konkreten Gerät mit Vergleichsstrecken aus demselben Zeitraum.

Die forensische Auswertung mobiler Geräte

Für die Untersuchung von Smartphones und Tablets arbeite ich mit Cellebrite — der Software, mit der auch Polizeibehörden sichergestellte Geräte auswerten.

Warum dieser Zugang nicht selbstverständlich ist

Cellebrite wird nicht frei verkauft. Der Hersteller prüft Kunden vor der Lizenzvergabe; nach eigenen Angaben werden Verkaufsentscheidungen an öffentliche wie private Stellen nach festen Kriterien durch ein Compliance- und Ethikgremium geprüft. Die Nutzungsbedingungen der Premium-Komponenten beschränken den Einsatz auf Zwecke im Interesse einer Behörde oder Strafverfolgungseinrichtung, soweit der Hersteller nicht schriftlich etwas anderes zulässt. Ein Weiterverkauf ist untersagt.

In Deutschland wird die Software daher überwiegend von Polizeibehörden eingesetzt. Für Auswertungen greife ich in fachlicher Zusammenarbeit auf einen Kollegen zurück, der über die entsprechende Technik verfügt. Damit stehen Untersuchungen zur Verfügung, für die sonst der Weg über eine Behörde nötig wäre.

Das Werkzeug allein genügt allerdings nicht. Entscheidend ist, die extrahierten Daten richtig einzuordnen, ihre Entstehung zu verstehen und Befunde so zu dokumentieren, dass sie einer Prüfung im Verfahren standhalten. Diese Einordnung ist meine Aufgabe.

Sie stützt sich auf langjährige Praxis: Über Jahre hinweg habe ich Landeskriminalämter bei der Auswertung von Datenträgern in Ermittlungsverfahren unterstützt. Gutachten erstelle ich für Gerichte, Staatsanwaltschaften und Ermittlungsbehörden ebenso wie für Unternehmen, Rechtsanwaltskanzleien und Privatpersonen.

Welche Zugriffstiefen es gibt

Nicht jede Untersuchung liefert dasselbe. Je nach Gerät, Betriebssystem, Patch-Stand und Verschlüsselung sind unterschiedliche Verfahren möglich:

• Logische Extraktion — das Betriebssystem gibt heraus, was es über seine Schnittstellen preisgibt: Kontakte, Anrufe, Nachrichten, Kalender, Fotos. Am schnellsten, aber am wenigsten tiefgehend.
• Dateisystem-Extraktion — Zugriff auf die Dateiablage einschließlich der Datenbanken einzelner Anwendungen. Hier liegen die Informationen, die über die Bedienoberfläche nie sichtbar werden.
• Physikalische Extraktion — ein vollständiges Abbild des Speichers, einschließlich Bereichen, die als frei gelten. Nur bei bestimmten Geräten und Betriebssystemständen möglich.

Was dabei erschlossen wird

• Nachrichten aus SMS und Messenger-Diensten, einschließlich Anhängen und Gruppenverläufen
• Anrufliste, Kontakte, Kalender, Notizen
• Fotos und Videos mit ihren Metadaten, also Aufnahmezeit und häufig Geokoordinaten
• Standortbezogene Datenbanken und Bewegungseinträge
• Nutzungszeitstempel: wann das Gerät entsperrt und welche Anwendung wann geöffnet wurde
• WLAN-Netze mit Verbindungszeitpunkten, Bluetooth-Kopplungen
• Browserverlauf, Suchanfragen, Lesezeichen
• Daten einzelner Anwendungen — Navigation, Fahrdienste, Zahlungsvorgänge, Fitnessaufzeichnungen
• Konten und Verknüpfungen zu Cloud-Diensten
• Gelöschte Inhalte, soweit sie in Datenbankjournalen oder nicht überschriebenen Speicherbereichen erhalten geblieben sind

Über all dem steht die Zusammenführung: eine Zeitachse, die Einträge aus verschiedenen Quellen nebeneinanderlegt. Erst dadurch wird sichtbar, ob sich Befunde gegenseitig stützen oder widersprechen.

Die Sicherung erfolgt unter Bildung von Prüfsummen, sodass die Unversehrtheit des Abbilds später nachweisbar bleibt — Voraussetzung dafür, dass ein Befund im Verfahren Bestand hat.

Und die Grenzen

Nicht jedes Gerät lässt sich auslesen. Aktuelle Smartphones sind vollständig verschlüsselt. Ohne Code oder biometrische Freigabe ist bei neueren Modellen mit aktuellem Sicherheitsstand oft nur wenig oder nichts zu erreichen. Wer das Gegenteil verspricht, verspricht zu viel.

Was nie aufgezeichnet wurde, entsteht auch durch eine Auswertung nicht. Ein technisch vollständiger Auszug kann zur Beweisfrage trotzdem ergebnislos bleiben.

Ein Beispiel aus der Praxis, das ich für lehrreich halte: In einer Untersuchung sollte ein Tag im Mai 2023 geklärt werden. Die Auswertung war technisch vollständig erfolgreich. Nur begannen die standortbezogenen Tabellen des Geräts erst im August 2023, eine weitere Datenbank sogar erst im Juli 2024. Zum fraglichen Tag: nichts.

In einer anderen Untersuchung wurden zwei weitere Geräte und eine Smartwatch ausgelesen. Ergebnis: Das eine Gerät war 2023 gar nicht mehr in Gebrauch, das andere nur bis April 2023 — der fragliche Tag lag danach. Die Uhr speicherte keine eigenen Standortdaten und war mit keinem Konto verbunden, aus dem sich etwas hätte rekonstruieren lassen.

Drei Geräte, vollständige Auswertung, kein Erkenntnisgewinn zur Beweisfrage. Das ist kein Misserfolg, sondern ein Ergebnis: Die Daten existieren nicht.

Welches Gerät wurde eigentlich untersucht?

Ein Punkt, der banal klingt und es nicht ist. Bei einer Untersuchung muss zweifelsfrei feststehen, welches Gerät vorliegt — nicht „ein Samsung", sondern Modellbezeichnung, IMEI und Seriennummer, dokumentiert im Moment der Übergabe.

Der Grund ist der oben genannte: Seit die Zeitachse auf dem Gerät liegt, führt jedes Gerät seinen eigenen Verlauf. Wer zwei Telefone benutzt, hat zwei verschiedene Verläufe. Wird das falsche untersucht, entsteht ein Befund, der technisch korrekt und für die Beweisfrage wertlos ist — und der obendrein in die Irre führen kann, weil er wie ein Ergebnis aussieht.

Genau dafür gibt es Regeln. DIN EN ISO/IEC 27037 beschreibt den Umgang mit digitalen Beweismitteln von der Identifikation über die Mitnahme und Sicherung bis zur Erhaltung. Kern ist eine lückenlose Dokumentation: Wer hatte wann welches Gerät in welchem Zustand? Ohne diese Kette ist auch ein sauber erhobener Befund angreifbar.

Für die Praxis heißt das: Geräte einzeln kennzeichnen, den Zustand bei Übergabe festhalten (eingeschaltet, gesperrt, Flugmodus), Sperrcodes gesondert dokumentieren und jede Weitergabe protokollieren.

Andere Spuren als der Standortverlauf

Wenn die Zeitachse nichts hergibt — was in meiner Praxis häufig vorkommt — ist die Untersuchung nicht zwangsläufig beendet. Ein Smartphone hinterlässt an mehreren Stellen Spuren, die einen Aufenthalt stützen oder ausschließen können. Sie sind oft aussagekräftiger, weil der Nutzer sie nicht bequem bearbeiten kann.

Nutzungszeitstempel. Wann wurde das Gerät entsperrt, welche App wann geöffnet? Solche Einträge zeigen zumindest, ob das Gerät zur fraglichen Zeit überhaupt in Gebrauch war. In zwei Untersuchungen war genau das der entscheidende Befund: Die Geräte waren zum fraglichen Zeitpunkt seit Wochen nicht mehr benutzt worden.

Fotos. Aufnahmen tragen im Regelfall Aufnahmezeit und häufig Geokoordinaten in den Metadaten. Diese Daten liegen näher am Ereignis als ein nachträglich bearbeitbarer Verlauf.

WLAN-Verbindungen. Gespeicherte Netzwerke und Verbindungszeitpunkte binden ein Gerät an einen räumlich eng begrenzten Ort — meist genauer als eine Funkzelle.

App-Daten. Fahrdienste, Navigationsprogramme, Fitness-Anwendungen, Zahlungsdienste und Messenger führen eigene Protokolle, teils mit Ortsbezug.

Verkehrsdaten des Mobilfunkanbieters. Sie stammen nicht vom Gerät und sind deshalb der Einflussnahme des Nutzers entzogen. Ihre Erhebung unterliegt allerdings eigenen rechtlichen Voraussetzungen, und die Speicherfristen sind kurz.

Der Wert einer Untersuchung entsteht selten aus einer einzelnen Quelle, sondern daraus, dass mehrere unabhängige Spuren zueinander passen — oder eben nicht.

Was sich nicht sagen lässt

Ein Gutachten ist nur so viel wert wie seine Einschränkungen. Aus Standortdaten eines Smartphones folgt nicht:

• Wer das Gerät getragen hat. Aufgezeichnet wird die Position des Geräts, nicht die einer Person. Telefone werden verliehen, liegen gelassen, in fremden Fahrzeugen vergessen.
• Dass ein Eintrag echt ist. Er kann nachträglich angelegt oder verschoben worden sein, ohne erkennbare Spur.
• Dass ein fehlender Eintrag Abwesenheit belegt. Die Funktion kann abgeschaltet, der Akku leer, der Empfang schlecht oder der Eintrag gelöscht worden sein.
• Eine metergenaue Position. Die Genauigkeit schwankt erheblich. In Gebäuden, in Städten mit dichter Bebauung und bei reiner Funkzellenortung liegen Abweichungen von hunderten Metern im Normalbereich.

Eine Untersuchung wird belastbar, wenn mehrere unabhängige Quellen dasselbe zeigen: Gerätedatenbanken, Nutzungszeitstempel, Verkehrsdaten des Mobilfunkanbieters, Zahlungsvorgänge, Aufzeichnungen Dritter. Eine einzelne Zeitachse ist ein Anhaltspunkt, kein Beweis.

Häufige Fragen

Kann man einen Standortverlauf fälschen? Ja. Einträge lassen sich löschen, auf andere Tage verschieben und neu anlegen, und das Verkehrsmittel ist frei wählbar. Diese Eingriffe sind im Verlauf selbst nicht erkennbar.

Kann man bei Google den Standortverlauf abfragen lassen? Seit der Umstellung 2025 in aller Regel nicht mehr sinnvoll. Die Daten liegen auf dem Gerät; eine Sicherung auf Google-Servern ist verschlüsselt und für Google nicht lesbar.

Beweist ein fehlender Eintrag, dass jemand nicht dort war? Nein. Die Zeitachse ist standardmäßig ausgeschaltet und lässt sich jederzeit ohne Aufwand deaktivieren. Fehlende Daten haben viele mögliche Ursachen.

Was kann eine forensische Auswertung mit Cellebrite zutage fördern? Eine Kopie des Gerätespeichers samt Datenbanken, die über die Bedienoberfläche nicht zugänglich sind: Nachrichten und Messenger-Verläufe, Nutzungszeitstempel, App-Daten, standortbezogene Tabellen, Foto-Metadaten, WLAN-Verbindungen und teilweise gelöschte Inhalte. Was nie aufgezeichnet wurde, lässt sich damit aber nicht herstellen.

Kann jeder Sachverständige eine Cellebrite-Auswertung durchführen? Nein. Die Software wird nicht frei verkauft; der Hersteller prüft Kunden vor der Lizenzvergabe, und die Nutzungsbedingungen der Premium-Komponenten beschränken den Einsatz grundsätzlich auf behördliche und strafverfolgungsnahe Zwecke. In Deutschland wird sie überwiegend von Polizeibehörden eingesetzt. Ein privater Zugang dazu setzt eine entsprechende fachliche Zusammenarbeit voraus.

Lässt sich jedes Handy auslesen? Nein. Aktuelle Geräte sind vollständig verschlüsselt. Ohne Zugangscode oder biometrische Freigabe ist bei neueren Modellen mit aktuellem Sicherheitsstand häufig wenig zu erreichen. Welche Zugriffstiefe möglich ist, zeigt sich erst am konkreten Gerät.

Wie muss ein Handy übergeben werden, damit die Auswertung verwertbar ist? Möglichst unverändert. Nicht zurücksetzen, keine Apps nachinstallieren, Sperrcode getrennt mitteilen. Modell, IMEI und Zustand bei Übergabe dokumentieren. Bei mehreren Geräten jedes einzeln kennzeichnen.

Kann eine Smartwatch weiterhelfen? Meist wenig. Solche Geräte speichern nur kurzzeitig und in der Regel keine eigenen Standortdaten. Ohne verknüpftes Herstellerkonto ist kaum etwas zu rekonstruieren.

Wie schnell muss gehandelt werden? Bei Verkehrsdaten der Mobilfunkanbieter drängt die Zeit — sie werden nach kurzer Frist gelöscht. Gerätedaten bleiben länger erhalten, können aber durch Weiternutzung überschrieben werden. Ein Gerät, auf das es ankommt, sollte nicht weiterbenutzt werden.

Was kostet eine Handy-Auswertung? Nach Aufwand, siehe Preisliste. Er hängt stark davon ab, ob das Gerät entsperrt übergeben wird, wie viele Geräte zu untersuchen sind und wie weit die Auswertung reichen soll.

Rechtlicher Rahmen

Digitale Daten sind keine Urkunden. Sie unterliegen der freien Beweiswürdigung — im Strafverfahren nach § 261 StPO, im Zivilverfahren nach § 286 ZPO. Das Gericht entscheidet also nach freier Überzeugung, welchen Wert es einem Standortverlauf beimisst.

Genau deshalb kommt es auf die technische Einordnung an: Ein Gericht kann nur gewichten, was ihm nachvollziehbar erklärt wird — einschließlich der Frage, wie leicht sich die vorgelegten Daten hätten verändern lassen.

Die rechtlichen Passagen geben den Rahmen wieder und ersetzen keine Rechtsberatung.

Quellen

Normen

• DIN EN ISO/IEC 27037 — Leitfaden für die Identifikation, Mitnahme, Sicherung und Erhaltung digitaler Beweismittel (ISO/IEC 27037:2012, deutsche Fassung EN ISO/IEC 27037:2016)

Herstellerangaben

• Google Maps-Hilfe, „Google Maps-Zeitachse verwalten" — Speicherung auf dem Gerät, verschlüsselte Sicherung, Bearbeitbarkeit, Standardeinstellung https://support.google.com/maps/answer/6258979
• Cellebrite — Software zur forensischen Auswertung mobiler Endgeräte; Angaben des Herstellers zu Lizenzvergabe und Prüfung von Kunden sowie Nutzungsbedingungen der Premium-Komponenten https://cellebrite.com/de/startseite/

Rechtsgrundlagen

• § 261 StPO — freie Beweiswürdigung im Strafverfahren
• § 286 ZPO — freie Beweiswürdigung im Zivilverfahren