Wer zum ersten Mal mit einem IT-Gutachten zu tun hat, steht vor einer Blackbox: Wie läuft das eigentlich ab? Wer beauftragt wen, was passiert bei der Befundaufnahme, wie lange dauert das Ganze und was steht am Ende im Gutachten? Dieser Beitrag beschreibt den vollständigen Ablauf eines IT-Gutachtens in Österreich, sowohl für gerichtlich bestellte als auch für privat beauftragte Gutachten. Damit Sie wissen, was auf Sie zukommt, bevor der Prozess beginnt.
Zwei Wege zum Gutachten: Gerichtlich oder privat
Bevor der eigentliche Ablauf beginnt, steht eine grundlegende Weichenstellung: Wird das Gutachten vom Gericht angeordnet oder privat in Auftrag gegeben?
Bei einem Gerichtsgutachten bestellt das Gericht den Sachverständigen im Rahmen eines laufenden Verfahrens. Der Richter formuliert die Gutachtensfragen, setzt eine Frist und legt den Kostenvorschuss fest. Der Sachverständige ist an den gerichtlichen Auftrag gebunden und arbeitet nach den Verfahrensvorschriften der Zivilprozessordnung (§§ 351 ff ZPO).
Bei einem Privatgutachten wendet sich der Auftraggeber, etwa ein Unternehmen, eine Anwaltskanzlei oder eine Versicherung, direkt an den Sachverständigen. Die Fragestellung wird gemeinsam definiert, der Umfang besprochen und ein Angebot erstellt. Der Sachverständige arbeitet hier im Auftrag einer Partei, ist aber dennoch zur Objektivität verpflichtet, wenn das Gutachten vor Gericht Bestand haben soll.
Beide Wege führen zu einem strukturierten Gutachten mit Befund und fachlicher Beurteilung. Die Schritte sind im Kern dieselben, unterscheiden sich aber in den formalen Anforderungen.
Schritt 1: Der Auftrag und die Fragestellung
Jedes Gutachten beginnt mit einer klaren Fragestellung. Bei Gerichtsgutachten formuliert der Richter die Beweisfragen im Beweisbeschluss. Typische Fragen an einen IT-Sachverständigen lauten etwa: Entspricht die gelieferte Software den vertraglichen Vereinbarungen? Welcher Schaden ist durch den Cyberangriff entstanden? Waren die IT-Sicherheitsmaßnahmen dem Stand der Technik entsprechend?
Nach der Beauftragung prüft der Sachverständige zunächst, ob er für den konkreten Auftrag die erforderliche Sachkompetenz besitzt. Bestehen Zweifel, etwa weil das Gutachten ein Spezialgebiet berührt, das nicht in seinem Fachbereich liegt, muss er dies dem Gericht mitteilen und gegebenenfalls die Beiziehung eines weiteren Sachverständigen vorschlagen. Diese Prüfung ist keine Formalität: Sie schützt die Verfahrensparteien davor, dass ein Gutachten von jemandem erstellt wird, der fachlich nicht die nötige Tiefe mitbringt.
Bei Privatgutachten ist dieser Schritt genauso wichtig. Ein seriöser Sachverständiger lehnt einen Auftrag ab, wenn die Fragestellung außerhalb seiner Kernkompetenz liegt, statt sich in ein fremdes Fachgebiet einzuarbeiten.
Schritt 2: Aktenstudium und Sichtung der Unterlagen
Bevor der Sachverständige eine einzige technische Untersuchung durchführt, muss er die Ausgangslage verstehen. Bei IT-Streitigkeiten bedeutet das in der Regel: Verträge lesen, Pflichtenhefte und Lastenhefte analysieren, Projektdokumentation sichten, E-Mail-Korrespondenz zwischen den Parteien nachvollziehen und technische Spezifikationen prüfen.
Bei Gerichtsgutachten stellt das Gericht dem Sachverständigen den Gerichtsakt zur Verfügung. Dieser enthält die Schriftsätze der Parteien, die bereits vorgelegten Beweismittel und den Beweisbeschluss. Das Aktenstudium nach § 36 GebAG ist ein eigenständiger Gebührenbestandteil, weil es oft erheblichen Zeitaufwand erfordert.
Bei IT-Fällen ist die Dokumentenlage häufig umfangreich. Ein gescheitertes ERP-Projekt kann dutzende Ordner an Projektprotokollen, Change Requests, Testberichten und Abnahmedokumenten umfassen. Ein Cybervorfall bringt Logdateien, Netzwerkprotokolle und Incident-Reports mit sich. Die Qualität des Gutachtens steht und fällt mit der Gründlichkeit dieses Schritts: Wer die Akten nicht vollständig kennt, kann keine belastbare Beurteilung abgeben.
Schritt 3: Die Befundaufnahme
Die Befundaufnahme ist das Herzstück der Sachverständigentätigkeit. Hier erhebt der Sachverständige die Tatsachen, auf die er sein Gutachten stützen wird. Im IT-Bereich kann die Befundaufnahme sehr unterschiedliche Formen annehmen, je nachdem, worum es geht.
Bei einem Softwarestreit umfasst die Befundaufnahme typischerweise die Prüfung der gelieferten Software gegen die vereinbarten Anforderungen. Das kann bedeuten: Funktionen testen, Benutzeroberflächen begutachten, Schnittstellen prüfen, Performance messen oder den Quellcode analysieren. Bei einem Cyberschaden steht die forensische Untersuchung im Vordergrund: Logdateien auswerten, Angriffsvektoren rekonstruieren, den Umfang des Datenverlusts feststellen und die Wirksamkeit der vorhandenen Sicherheitsmaßnahmen beurteilen.
Bei Gerichtsgutachten gilt ein wichtiger verfahrensrechtlicher Grundsatz: Den Parteien ist bei der Befundaufnahme Gelegenheit zur Anwesenheit zu geben, soweit dies von den Umständen her möglich ist. Dieses Parteiengehör ist ein fundamentales Verfahrensrecht. In der Praxis bedeutet das, dass der Sachverständige die Parteien rechtzeitig über Ort und Zeitpunkt der Befundaufnahme informieren muss. Die Parteien können dann selbst oder durch ihre Rechtsvertreter teilnehmen.
Die Befundaufnahme wird sorgfältig dokumentiert: Ort, Datum, Anfangs- und Endzeit, anwesende Personen, die durchgeführten Untersuchungen und die dabei festgestellten Tatsachen. Diese Dokumentation bildet die Grundlage für den schriftlichen Befund und muss so detailliert sein, dass die Ergebnisse nachvollziehbar und überprüfbar sind.
Schritt 4: Befund und Gutachten verfassen
Auf Basis des Aktenstudiums und der Befundaufnahme erstellt der Sachverständige sein schriftliches Gutachten. Dieses besteht aus zwei klar getrennten Teilen: dem Befund und dem Gutachten im engeren Sinn.
Der Befund ist die Zusammenfassung der erhobenen Tatsachen. Was hat der Sachverständige vorgefunden? Welche Dokumente hat er gesichtet? Welche technischen Untersuchungen hat er durchgeführt und was waren die Ergebnisse? Der Befund enthält keine Wertungen, sondern nur Feststellungen. Bei einem Softwaregutachten könnte der Befund etwa lauten: Die Software bietet die Funktionen A, B und C. Die im Pflichtenheft vereinbarte Funktion D ist nicht implementiert. Die Funktion E ist vorhanden, liefert aber bei bestimmten Eingabewerten fehlerhafte Ergebnisse.
Das Gutachten im engeren Sinn enthält die fachliche Beurteilung. Hier zieht der Sachverständige aus dem Befund Schlüsse und beantwortet die gestellten Fragen. Dabei muss das Gutachten drei Qualitätsanforderungen erfüllen: Es muss vollständig sein, also alle gestellten Fragen beantworten. Es muss nachvollziehbar sein, sodass die Gedankengänge vom Befund zur Beurteilung für das Gericht prüfbar sind. Und es muss schlüssig sein, also widerspruchsfrei und überzeugend in der Argumentation.
Für IT-Gutachten bedeutet das eine besondere Herausforderung: Der Sachverständige muss hochkomplexe technische Sachverhalte so darstellen, dass ein Richter ohne IT-Hintergrund sie verstehen und würdigen kann. Ein Gutachten, das nur für Fachleute verständlich ist, verfehlt seinen Zweck.
Schritt 5: Übermittlung und Stellungnahme der Parteien
Das fertige Gutachten wird dem Gericht übermittelt. Seit der Einführung des elektronischen Rechtsverkehrs (ERV) erfolgt die Übermittlung in der Regel elektronisch. Die Parteien werden vom Gericht über das Einlangen des Gutachtens informiert und erhalten Einsicht, damit sie Stellung nehmen können.
Die Stellungnahmefrist ist ein wichtiges Recht der Parteien. In dieser Phase lassen die Anwälte das Gutachten häufig von einem eigenen technischen Berater prüfen oder holen ein Privatgutachten ein, um die Ergebnisse zu hinterfragen. Diese kritische Prüfung durch die Gegenpartei ist ein wesentlicher Bestandteil des Verfahrens und dient der Qualitätssicherung.
Bei Privatgutachten entfällt dieser formale Schritt. Das Gutachten wird direkt an den Auftraggeber übergeben. Wird es anschließend in ein Gerichtsverfahren eingebracht, kann die Gegenpartei dazu Stellung nehmen, und das Gericht kann bei Bedarf einen eigenen Sachverständigen bestellen.
Schritt 6: Die mündliche Gutachtenserörterung
In vielen IT-Verfahren bleibt es nicht beim schriftlichen Gutachten. Gemäß § 357 Abs. 2 ZPO können die Parteien eine mündliche Erläuterung verlangen, und in der Praxis wird davon häufig Gebrauch gemacht. Die Erörterung findet im Rahmen einer Tagsatzung bei Gericht statt.
Bei der Gutachtenserörterung stellt der Sachverständige zunächst sein Gutachten in den wesentlichen Punkten mündlich dar. Anschließend haben Richter und Parteienvertreter die Möglichkeit, Fragen zu stellen. Diese Phase ist für den Sachverständigen anspruchsvoll: Er muss seine Ergebnisse verständlich erklären, auf Einwände der Parteien fachlich reagieren und dabei die Grenzen seines Auftrags wahren.
In IT-Verfahren drehen sich die Fragen der Anwälte häufig um die Methodik: Warum hat der Sachverständige diese und nicht jene Prüfmethode gewählt? Wie belastbar sind die Ergebnisse? Gibt es alternative Interpretationen der Befunde? Ein gut vorbereiteter Sachverständiger beantwortet diese Fragen sachlich und begründet, ohne sich auf Spekulationen einzulassen.
Die Erörterung wird protokolliert, und der Sachverständige bestätigt das Protokoll. Damit sind seine Aussagen Teil des Verfahrensakts.
Schritt 7: Ergänzungsgutachten und Abschluss
In manchen Fällen reicht ein Gutachten nicht aus. Das Gericht kann den Sachverständigen beauftragen, ergänzende Fragen zu beantworten, etwa weil sich aus den Stellungnahmen der Parteien neue Aspekte ergeben haben oder weil der Sachverhalt sich weiterentwickelt hat. Ein Ergänzungsgutachten folgt demselben Ablauf wie das Erstgutachten, ist aber im Umfang typischerweise deutlich kürzer.
In Ausnahmefällen kann das Gericht auch ein neues Gutachten durch einen anderen Sachverständigen anordnen, wenn das erste Gutachten so schwerwiegende Mängel aufweist, dass es nicht verwertbar ist, oder wenn begründete Zweifel an der Richtigkeit bestehen. Dies ist in der Praxis selten und setzt voraus, dass konkrete Einwände gegen das Gutachten vorliegen.
Mit der Erörterung oder dem Ergänzungsgutachten ist die Sachverständigentätigkeit in der Regel abgeschlossen. Das Gericht würdigt das Gutachten im Rahmen der freien Beweiswürdigung (§ 272 Abs. 1 ZPO) und lässt die Ergebnisse in seine Entscheidung einfließen.
Wie lange dauert ein IT-Gutachten?
Die Dauer eines IT-Gutachtens lässt sich nicht pauschal beziffern, weil sie von der Komplexität des Sachverhalts, dem Umfang der Unterlagen und der Verfügbarkeit von Informationen abhängt. Aus der Praxis lassen sich aber Richtwerte ableiten.
Ein überschaubares Privatgutachten, etwa zur Prüfung einer einzelnen Softwarefunktionalität oder zur Bewertung einer IT-Infrastruktur, kann in vier bis acht Wochen erstellt werden. Ein komplexes Gerichtsgutachten zu einem gescheiterten IT-Großprojekt mit umfangreicher Dokumentenlage und mehreren Gutachtensfragen dauert typischerweise drei bis sechs Monate. Dazu kommt bei Gerichtsgutachten die Zeit für die Stellungnahmen der Parteien und die Terminisierung der Erörterung, die das Gericht steuert.
Zeitkritisch sind Gutachten zur Beweissicherung: Wenn nach einem Cyberangriff digitale Spuren gesichert werden müssen, beginnt die forensische Arbeit idealerweise innerhalb weniger Tage. Hier zählt Geschwindigkeit, weil Logdateien überschrieben werden, Systeme neu aufgesetzt werden und Beweise unwiederbringlich verloren gehen können.
Der Ablauf eines Privatgutachtens im Überblick
Für Auftraggeber, die ein Privatgutachten in Erwägung ziehen, ist der Ablauf weniger formalisiert, aber nicht weniger strukturiert.
Am Anfang steht ein Erstgespräch, in dem der Sachverständige den Sachverhalt erfasst und die Fragestellung mit dem Auftraggeber abstimmt. Auf dieser Basis erstellt er ein schriftliches Angebot, das den voraussichtlichen Umfang, die Methodik und die Kosten transparent darstellt. Nach Auftragserteilung folgt das Aktenstudium, bei dem der Sachverständige alle relevanten Unterlagen vom Auftraggeber erhält und sichtet.
Die Befundaufnahme kann je nach Fragestellung vor Ort beim Auftraggeber stattfinden oder auf Basis der übergebenen Unterlagen und Daten erfolgen. Der Sachverständige erstellt sein Gutachten, bespricht die Ergebnisse bei Bedarf mit dem Auftraggeber und übergibt das fertige Dokument.
Der gesamte Prozess folgt einer klaren Logik: Erst verstehen, dann untersuchen, dann beurteilen. Abkürzungen gibt es nicht, wenn das Ergebnis belastbar sein soll.
Was Sie als Auftraggeber oder Partei beitragen können
Ein IT-Gutachten ist keine Einbahnstraße. Die Mitwirkung des Auftraggebers und der Verfahrensparteien beeinflusst die Qualität und die Dauer des Gutachtens erheblich.
Stellen Sie dem Sachverständigen alle relevanten Unterlagen möglichst vollständig und geordnet zur Verfügung. Je besser die Dokumentenlage, desto schneller und präziser kann der Sachverständige arbeiten. Benennen Sie technische Ansprechpartner, die für Rückfragen zur Verfügung stehen. Sorgen Sie dafür, dass der Sachverständige Zugang zu den relevanten IT-Systemen erhält, wenn eine Vor-Ort-Untersuchung erforderlich ist.
Und nicht zuletzt: Sprechen Sie offen über den Sachverhalt. Ein Sachverständiger ist nicht der Anwalt einer Partei. Er ist zur Objektivität verpflichtet und kann seine Aufgabe nur dann gut erfüllen, wenn er ein vollständiges Bild der Situation hat.
Der erste Schritt: Ein unverbindliches Gespräch
Als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger begleite ich Sie durch den gesamten Prozess, vom ersten Gespräch bis zum fertigen Gutachten und, wenn nötig, bis zur Erörterung bei Gericht.
Wenn Sie wissen möchten, ob ein IT-Gutachten für Ihren Fall sinnvoll ist und wie der konkrete Ablauf aussehen würde, kontaktieren Sie mich für ein unverbindliches Erstgespräch. Ich nehme mir die Zeit, Ihre Situation zu verstehen und Ihnen eine ehrliche Einschätzung zu geben.