Nora sah den gelöschten Beleg nur auf einem Bildschirm in der Kanzlei.
Eva hatte sich erinnert, dass Daniel gemeinsame Haushaltsunterlagen in einem Familien-Cloudordner abgelegt hatte. Ihr eigener Zugang bestand noch. Sie öffnete den Ordner nicht allein, weil darin auch Dateien liegen konnten, die für die laufende Untersuchung gesichert werden mussten. Tobias ließ den Anbieter zunächst den bestehenden Zustand und die Zugriffsrechte bestätigen.
Im aktiven Ordner war die Zahlungsbestätigung nicht mehr vorhanden.
Im Papierkorb lag eine ältere PDF-Datei mit demselben Betrag.
Der Anbieter stellte eine technische Kopie bereit. Die Datei war Monate vor der falschen Finanzierungs-E-Mail hochgeladen worden. Ihr ursprünglicher Name enthielt nur das Datum und das Wort „Pflege“. In den Metadaten stand Daniels privates Konto als Auftraggeber. Der sichtbare Buchungstext lautete „Pflegekosten Familie Keller“.
Der Papierkorb war kein unbegrenztes Gedächtnis. Die Datei war nur noch vorhanden, weil der Familienaccount eine verlängerte Aufbewahrung für gelöschte Vertragsunterlagen hatte. Eva hatte diese Option Jahre zuvor gebucht und vergessen. Der Anbieter bestätigte Vertragsbeginn und Aufbewahrungsregel, damit niemand den Fund als nachträglich eingerichtete Sicherung darstellen konnte.
Die technische Kopie enthielt einen Prüfwert und die serverseitige Uploadzeit. Der Sachverständige erklärte Nora, dass ein Nutzer den sichtbaren Dateinamen ändern konnte, nicht aber den historischen Eingang in den Systemprotokollen. Für die Löschzeit galt dasselbe: Der Zeitraum war dokumentiert, die Person hinter einem angemeldeten Konto blieb offen.
Eine zweite Datei war später in Keller Wohnbaus System gespeichert worden. Sie zeigte denselben Zahlungsbetrag und dieselbe Empfängerreferenz, aber nicht dieselbe Auftraggeberzeile. Der Dateiname lautete „Unterstützung_EK“. Ihr Erstellungsdatum lag nach der Finanzierungs-E-Mail.
„Jemand hat die erste Datei verändert“, sagte Nora.
„Oder eine neue Darstellung aus denselben Angaben erzeugt“, sagte der Sachverständige. „Wir können die Dateien vergleichen. Die Person ergibt sich daraus noch nicht.“
Die Unterschiede lagen nicht nur im Namen. Die ältere PDF-Datei war ein unveränderter Bankexport. Die spätere Datei war ein neu erzeugtes Dokument ohne digitale Bankmerkmale. Ein Ausschnitt verdeckte die private Kontonummer. Darunter war der interne Buchungstext der Firma eingefügt.
Beide Dateien trugen dieselbe Rechnungsreferenz, einschließlich eines Tippfehlers der Pflegeeinrichtung. Dadurch war es sehr unwahrscheinlich, dass es sich um zwei unabhängige Zahlungen in gleicher Höhe handelte. Der Sachverständige nannte es dennoch nicht unmöglich, bis die Bank die eindeutige Transaktionskennung bestätigt hatte.
Diese Bestätigung folgte am nächsten Morgen. Es gab nur eine Überweisung. Der Firmenausdruck bildete keine zweite Zahlung ab, sondern verwendete Angaben aus der privaten.
Eva fragte, wann die ältere Datei gelöscht worden war.
Der Cloudanbieter konnte einen Zeitraum von zwei Tagen nennen. In diesem Zeitraum hatte Daniels Konto auf den Familienordner zugegriffen. Evas Zugang war ebenfalls aktiv, aber für sie gab es keine protokollierte Sitzung. Die Daten schlossen eine andere angemeldete Person nicht vollständig aus.
„Wieder kein Name“, sagte Eva.
Nora hörte keine Enttäuschung in ihrer Stimme. Eher Disziplin.
Wichtiger war die Reihenfolge. Der unveränderte Beleg bestand bereits, bevor Eva angeblich per E-Mail eine Firmenleistung als Gegenleistung akzeptiert hatte. Er zeigte damals eine private Familienzahlung. Die Firmenfassung entstand erst später.
Damit konnte der veränderte Buchungstext nicht der ursprüngliche Anlass für Evas angebliche Zustimmung gewesen sein. Er war nachträglich in eine Beweiskette gesetzt worden.
Tobias formulierte das vorsichtiger: Die bisher gesicherten Zeitstempel widersprachen der Darstellung, Keller Wohnbau habe die Pflegezahlung von Anfang an als Gegenleistung an Eva geleistet.
Die Staatsanwaltschaft erhielt beide Dateien über den dokumentierten Weg. Eva lud keine Kopie auf ihr privates Gerät. Nora bekam nur den technischen Vergleich, weil ihre Finanzierung in der falschen E-Mail erwähnt worden war.
Helene bestritt jede Bearbeitung. Sie erklärte, die Firmenbuchhaltung habe lediglich Daniels Beleg für interne Zwecke aufbereitet. Der Wortlaut „Unterstützung E.K.“ sei eine Zuordnung, kein Versuch, den Auftraggeber zu ändern.
Die Erklärung blieb prüfbar. Der Wirtschaftsprüfer sollte feststellen, wer die Firmenfassung erzeugt und freigegeben hatte. Der Papierkorb beantwortete diese Frage nicht.
Katrin Vogt wurde als mögliche Bearbeiterin nicht sofort vorgeladen, nur weil ihre Initialen in anderen Dateien aufgetaucht waren. Die Dateihistorie der Firmenfassung nannte zunächst ein Funktionskonto der Buchhaltung. Mehrere Beschäftigte konnten es damals genutzt haben. Erst Zugriffslisten und Arbeitspläne sollten den Kreis eingrenzen.
Am Abend ging Nora mit Eva die Zeitleiste durch.
Private Zahlung.
Originalbeleg in der Familiencloud.
Falsche E-Mail.
Neue Firmenfassung.
Löschung des Originals.
Vorlage durch Helene.
Nora wollte neben den letzten Punkt „Täuschung“ schreiben. Sie ließ das Wort weg.
Der Beleg im Papierkorb bewies nicht, wer die falsche Geschichte gebaut hatte.
Er bewies, dass die ursprüngliche Geschichte älter war und anders lautete.