Einführung in die Drohnenforensik

Die forensische Untersuchung von Drohnen hat sich in den letzten Jahren zu einem wichtigen Teilgebiet der digitalen Forensik entwickelt. Hintergrund ist die rasante Verbreitung unbemannter Luftfahrzeuge (UAVs), die längst nicht mehr nur im Hobbybereich eingesetzt werden, sondern zunehmend auch in kommerziellen, behördlichen und auch in kriminellen sowie kriegerischen Kontexten. Drohnen sind als digitale Beweismittel zu verstehen. In diesem Video, das Teil einer Serie zur Drohnenforensik ist, erhalten Sie einen Überblick darüber, welche forensisch relevanten Daten Drohnen speichern und wie man diese auslesen kann. Zudem erfahren Sie, welche Rolle dieses Thema bspw. im Ukraine-Krieg spielt.

Die Drohnenforensik umfasst die zu untersuchende Drohne selbst, die Fernsteuerung, ggf. das zur Steuerung verwendete Mobilgerät wie z. B. ein Smartphone oder ein Tablet, sowie die Cloud-Dienste des Drohnen-Herstellers. Interessant ist vor allem das steuernde Endgerät, da hier eine Vielzahl an operativen Daten gespeichert werden. Während die Drohne selbst oft nur temporäre Daten speichert, fungiert das Steuergerät als eine Art Flight Data Recorder (FDR), der bei bemannten Flugzeugen Flugdaten wie die Geschwindigkeit, die Höhe oder Steuerbewegungen aufzeichnet. Ein Ziel der forensischen Analyse besteht darin, die Nutzung einer Drohne zeitlich und räumlich zu rekonstruieren. Drohnensysteme erfassen während des Flugs kontinuierlich Telemetriedaten. Dazu zählen u. a. GPS-Koordinaten, die Flughöhe, die Geschwindigkeit, die Beschleunigung sowie Statusinformationen einzelner Sensoren. Diese Daten werden in Flight Logs gespeichert. Durch deren Auswertung lässt sich eine exakte Flugroute rekonstruieren, teilweise sogar mit einer Genauigkeit im Meterbereich. In Ermittlungsverfahren kann das bspw. dazu dienen, eine Drohne mit einem bestimmten Tatort in Verbindung zu bringen oder die Verletzung von Flugverbotszonen nachzuweisen.

Drohnen sind in der Regel mit Benutzerkonten verknüpft, z. B. über Hersteller-Apps wie DJI Fly oder DJI GO 4. Diese speichern neben Flugdaten auch Account-Informationen, Seriennummern der Geräte sowie ggf. Verknüpfungen zu E-Mail-Adressen oder Telefonnummern. In einem konkreten Fall kann so nachvollzogen werden, welcher Nutzer zu einem bestimmten Zeitpunkt Zugriff auf die Drohne hatte. Das ist wiederum bei strafrechtlichen Fragestellungen entscheidend, wenn es um unerlaubte Überflüge, Spionage oder Sabotage geht.

Viele Drohnen erstellen während des Flugs hochauflösende Aufnahmen, die entweder lokal auf einer Speicherkarte oder in einem fest verbauten internen Speicher abgelegt werden. Diese enthalten Metadaten wie Zeitstempel oder GPS-Informationen, die weitere Hinweise liefern können. In einem Ermittlungsfall könnte bspw. ein Video nicht nur zeigen, was gefilmt wurde, sondern auch wann und wo die Aufnahme entstanden ist. Viele Hersteller synchronisieren die Flugdaten automatisch mit ihren Servern, wodurch auch lokale gelöschte Daten unter Umständen noch in der Cloud verfügbar sind.

Aus den Firmware- und Systemdaten der Drohne lassen sich installierte Versionen, Konfigurationsparameter sowie mögliche Manipulationen an Geofencing-Mechanismen oder Höhenbeschränkungen ableiten. Auch Sensor- und Diagnosedaten, die von technischen Komponenten wie Gyroskopen, Beschleunigungssensoren oder Barometern erzeugt werden, ermöglichen eine detaillierte Rekonstruktion von Flugzuständen, insbesondere bei Abstürzen oder ungewöhnlichen Flugmanövern. Darüber hinaus spielen Kommunikationsdaten eine wichtige Rolle, da Drohnen kontinuierlich mit Fernsteuerungen und Backend-Systemen über Funkprotokolle oder Netzwerke interagieren; deren Analyse kann Rückschlüsse auf Steuerbefehle, Verbindungsabbrüche oder Manipulationsversuche liefern. Zudem können WLAN-Verbindungsdaten oder IP-basierte Kommunikationsprotokolle zur Identifikation des Drohnenpiloten beitragen.

Die methodische Herangehensweise orientiert sich an der klassischen Mobilgeräteforensik. Zunächst wird die Drohne sichergestellt und eine forensisch saubere Kopie der Daten auf dem Gerät durchgeführt, entweder logisch, z. B. über Schnittstellen wie ADB bei Android, oder in Form eines Bit-für-Bit-Abbild des Speichers. Da das aufgrund möglicher Schäden beim Abschuss nicht immer möglich ist, muss genau dokumentiert werden, unter welchen Umständen man die Drohne sichergestellt hat. Jedes Detail kann hierbei wichtig sein und ist bspw. in einer Videoaufzeichnung festzuhalten.

Anschließend erfolgt die Analyse von App-Datenbanken, Log-Dateien oder Konfigurationsdateien. Spezialisierte Tools können dabei helfen, proprietäre Datenformate zu interpretieren, wie sie von Drohnenherstellern verwendet werden. In komplexeren Fällen kommen auch invasive Verfahren wie die Chip-Off-Forensik zum Einsatz, d. h., der Speicherchip physisch aus dem Gerät entfernt und direkt ausgelesen. Diese Methode ist zwar aufwendig und risikobehaftet, kann jedoch die letzte Möglichkeit sein, wenn die Drohne bspw. durch einen Abschuss sehr stark beschädigt wurde.

Die Praxis zeigt, dass Drohnen in unterschiedlichsten Deliktfeldern zum Einsatz kommen. So werden sie z. B. im Bereich des Drogenschmuggels zum Transport von Substanzen über Gefängnismauern eingesetzt. Hier können Flugprotokolle helfen, die Start- und Landeorte zu identifizieren.

In anderen Fällen werden Drohnen zum Ausspähen sensibler Einrichtungen genutzt, wie Industrieanlagen oder militärische Areale. Auch hier liefern die gespeicherten Telemetriedaten sowie Bildaufnahmen wichtige Hinweise auf die Intention und den Ablauf der Tat.

Wenn wir an die Kamikaze-Drohnen des Typs Shahed aus dem Iran denken, dann stellen wir fest, dass nicht nur Spionage, sondern auch Sabotage in Form von Angriffen auf die Infrastruktur, Energieversorgung oder militärische Ziele mithilfe von Drohnen durchgeführt werden kann. Auch wenn solche Systeme auf maximale Zerstörung ausgelegt sind und nach dem Einschlag kaum verwertbare Hardware hinterlassen, können dennoch forensisch relevante Erkenntnisse gewonnen werden. Dazu zählen Rückschlüsse auf Navigationssysteme, eingesetzte Elektronikkomponenten oder Produktionschargen. 

In einigen Fällen lassen sich selbst aus Fragmenten Hinweise auf die Herkunft oder Lieferketten ableiten. Zudem können Flugrouten und Angriffsmuster Aufschluss über taktische Vorgehensweisen hinsichtlich der Zielauswahl geben.

Die große Vielfalt an Herstellern, Modellen und Softwarelösungen erschwert die Standardisierung von Analyseverfahren. Zudem setzen viele Systeme auf Verschlüsselung und proprietäre Datenformate, was eine tiefgehende technische Expertise erfordert. Auch die Interpretation der Daten ist nicht trivial: Ein GPS-Log allein sagt wenig aus, wenn nicht gleichzeitig Kenntnisse über die Flugphysik, Signalstörungen oder mögliche Manipulationen vorliegen.

Die Bedeutung der Drohnenforensik zeigt sich besonders deutlich im Kontext des Ukraine Krieg, in dem Drohnen in großem Umfang für die Aufklärung, zur Zielerfassung und für Angriffe eingesetzt werden. Aus forensischer Sicht lassen sich aus sichergestellten Drohnen wertvolle Erkenntnisse gewinnen, wie bspw. über die eingesetzten Technologien, vorgenommene Modifikationen, Steuerungsmechanismen oder taktische Einsatzmuster. So kann z. B. analysiert werden, ob es sich um kommerzielle Drohnen handelt, die militärisch umgerüstet wurden, oder um spezialisierte Systeme. Auch Rückschlüsse auf die Herkunft einzelner Komponenten oder auf Lieferketten sind möglich und spielen eine wichtige Rolle bei der Attribution.

Die Sicherstellung solcher Asservate erfolgt jedoch unter deutlich erschwerten Bedingungen. Im Gegensatz zur klassischen digitalen Forensik werden die Drohnen häufig direkt im Gefechtsfeld sichergestellt, z. B. nach einem Absturz oder dem Abschuss. Dabei müssen die Einsatzkräfte, in diesem Fall meistens die Soldaten vor Ort, nicht nur schnell handeln, sondern auch Risiken wie Sprengfallen oder Selbstzerstörungsmechanismen berücksichtigen. Die Beweismittelsicherung erfolgt daher oft unter Zeitdruck und ohne optimale forensische Rahmenbedingungen, was die Integrität der Daten beeinträchtigen kann. Zudem sind Drohnen häufig stark beschädigt, was wiederum in der Auswertung Probleme verursachen kann.