Die Ermittlungsmethode ergibt sich daraus, um welche Art von Tat es sich handelte, denn verschiedene Taten hinterlassen verschiedene Spuren.
Straftaten gegen die Person — Körperverletzung, Tötungsdelikte, Sexualdelikte. Die Beweismittel sind größtenteils physischer und medizinischer Art, sie verschlechtern sich schnell, und die ersten Stunden sind wichtiger als bei jeder anderen Kategorie. Tatort, Leichnam, medizinische Untersuchung, Zeugen.
Straftaten gegen das Eigentum — Einbruch, Diebstahl, Sachbeschädigung. Spuren finden sich am Zugangspunkt und an dem, was angefasst wurde. Das Problem ist eher die Menge als die Komplexität: Diese werden mit kriminaltechnischer Triage und mit Erkenntnissen zu Serien bearbeitet, statt Szene für Szene.
Finanz- und Wirtschaftskriminalität — Betrug, Geldwäsche, Korruption. Die Beweismittel sind dokumentarischer Art und finden sich in Registern, Konten und Korrespondenz. Sie verfallen nicht, werden aber absichtlich verschleiert, und die Arbeit besteht in der Rekonstruktion statt in der Sammlung.
Organisierte Kriminalität — Menschen-, Drogen- oder Waffenhandel. Die Straftat ist eine Struktur und kein Ereignis und wird als Netzwerk untersucht: wer was bewegt, wer wem zahlt, welcher Grenzübergang, welches Unternehmen.
Cyberabhängige Kriminalität — Eindringen, Ransomware. Beweismittel sind auf eine Weise flüchtig, wie es physische Beweismittel nicht sind: Sie verändern sich, sobald man sie betrachtet, und können aus der Ferne vernichtet werden, während die Ermittlung läuft.
Was bei allen gleich ist. Eine Darstellung dessen, was geschehen ist, geprüft anhand von Material, das unabhängig von dieser Darstellung existiert. Jede der oben genannten Kategorien ist eine andere Antwort auf eine Frage: Wo befindet sich das Material, das nicht von der Aussage jemandes abhängt?
Quelle. UNODC, Handbook on police accountability, oversight and integrity und Crime scene and physical evidence awareness; Europol, Serious and Organised Crime Threat Assessment, https://www.europol.europa.eu/