Strava, ein Soziales Netzwerk zum Tracking sportlicher Aktivitäten mittels Wearables,  war in der Vergangenheit in Verruf geraten, weil aus seiner Globalen Heatmap anhand der aggregierten Aktivitäten der Nutzer unzählige militärische Basen, Patrouillenwege sowie geheime Einrichtungen diverser Nachrichtendienste abgelesen werden konnten. In die Heatmap hineingezoomt, gelangte man sogar zu den Profilen der einzelnen Sportler. OPSEC sieht anders aus.

Der Aufschrei war groß, etliche Militärs erwogen kurzerhand ein generelles Verbot der Fitness-Tracker. Strava reagierte umgehend, aktualisierte die Heatmap und verpflichtete sich, „die Privatsphäre unserer Sportler zu respektieren und eventuelle Bedenken bezüglich der Sensibilität einzelner Informationen zu adressieren“.

Doch auch nach der Aktualisierung der Heatmap, lassen sich aus den von Strava veröffentlichten Daten sensible Informationen gewinnen. Strava selbst weist auf seiner Webseite explizit darauf hin, dass trotz eingeschalteter Erweiterter Privatsphäre „Aktivitäten immer noch an öffentlichen Orten wie dem Flyby, Gruppenaktivitäten und in Segmenten sowie in öffentlichen Clubs und Herausforderungs-Bestenlisten sichtbar sind.“ Im Klartext heißt das, über die Segmentbestenlisten gelangt man zu den Namen und Profilen der einzelnen Sportler.

Wie lässt sich diese Erkenntnis nun für Ermittlungen verwenden?

Stellen wir uns folgendes Szenario vor: Am sogenannten Amphibientümpel im Forstenrieder Park südwestlich von München wird am 18.07.2017 eine unbekannte Männerleiche gefunden. Anhand der gefundenen Spuren lässt sich mit Sicherheit sagen, dass das Opfer am späteren Fundort getötet wurde. Durch die Obduktion kann der Tatzeitraum relativ genau eingegrenzt werden: am späten Nachmittag des 16.07.2017.

Der Forstenrieder Park ist bei Sportlern äußerst beliebt. Tagtäglich sind Dutzende Läufer, Wanderer und Radfahrer auf dem Waldweg, neben dem die Leiche gefunden wurde, unterwegs. Möglicherweise hat einer von ihnen am Tattag etwas Auffälliges beobachtet?

Die in OSINT geschulten Ermittler prüfen unter anderem auf Strava, ob der besagte Waldweg ein Lauf-Segment ist. Und tatsächlich wurden auf dem Segment am ermittelten Tattag zwei Bestleistungen erzielt. Über die Bestenliste gelangen die Ermittler zu den vollständigen Namen der Sportler und darüber zu den Nutzerprofilen inkl. Profilbildern.

Einer der beiden Sportler hat die Erweiterte Privatsphäre aktiviert, so dass man seine Aktivitäten auf seiner Profilseite nicht einsehen kann, wenn man ihm nicht folgt. Dazu müsste der Nutzer seine Erlaubnis geben.

Der andere Sportler dagegen hat alle Informationen öffentlich gemacht. Er nutzt Strava schließlich, um sich mit anderen Sportlern zu messen. Die Ermittler können sich durch seine Aktivitäten klicken und sehen, dass er den Lauf, bei dem er auf dem Segment die Bestzeit aufgestellt hat, um 16:59 Uhr startete. Er war zum vermuteten Tatzeitpunkt also ganz in der Nähe des Tatorts.

Dank der Klarnamen ist es den Ermittlern ein Leichtes, den Sportler ausfindig zu machen. Sie kontaktieren ihn umgehend und bitten ihn um Mithilfe bei der Aufklärung des Verbrechens. Der Läufer hatte von dem Fund der Leiche noch gar nichts mitbekommen. Aber er erinnert sich, dass ihm bei seinem Lauf etwas aufgefallen war: In unmittelbarer Nähe des Amphibientümpels, halb zwischen den Bäumen, hatte ein Kleintransporter eines örtlichen Handwerksbetriebs gestanden. Das war ihm zwar merkwürdig vorgekommen, er hatte der Beobachtung aber keine weitere Bedeutung beigemessen. Doch dieser Hinweis führte schlussendlich zur Ergreifung des Täters.

Die Quintessenz: OSINT sollte integraler Bestandteil aller Ermittlungen sein. Im vorliegenden Fall konnte durch OSINT-Methoden ein Zeuge ermittelt werden, der die entscheidenden Hinweise zur Aufklärung des Gewaltverbrechens lieferte. Dazu bedarf es aber versierter Ermittler…

Sebastian Schramm / 24.08.2018