Citation: 6B_1353/2023 E. 5.2.3

5.2.3. Zum Vorgehen der Staatsanwaltschaft ergibt sich aus den Akten Folgendes: Der Anzeigeerstatter, H.________ aus Deutschland, hatte am 19. Februar 2022 zwischen 17.00 und 17.49 Uhr auf der ChatPlattform J.________ beobachtet (und per Videoaufnahmen und Screenshots dokumentiert), wie ein ca. vier bis fünf Jahre altes Mädchen an einem Penis eines erwachsenen Mannes manipulierte und diesen in erigiertem Zustand in den Mund nahm. Der aktivierte IP-Locator zeigte die IP-Adresse ggg an, welche seitens der deutschen Behörden der "Kabelgesellschaft N.________" zugeordnet werden konnte. Mit Rechtshilfeersuchen vom 4. März 2022 ersuchte die Staatsanwaltschaft Heilbronn (D) die schweizerischen Strafverfolgungsbehörden um Prüfung der Übernahme der "Strafverfolgung gegen unbekannten Täter wegen schweren sexuellen Missbrauchs von Kindern". Diesem Ersuchen kam die Staatsanwaltschaft Zürich mit Mitteilung vom 17. März 2022 nach (Ordner II act. 1/1/1 ff.). Gleichentags erteilte die zuständige Staatsanwältin der Polizei (u.a.) den Auftrag, die Täterschaft bzw. das kindliche Opfer zu lokalisieren und zu identifizieren und Abklärungen zur fraglichen IP-Adresse zu tätigen (Ordner II act. 1/1/20 f.). Erste Ermittlungen ergaben, dass letztere im Tatzeitpunkt von der Hochschule S.________ verwendet worden war (Ordner II act. 1/1/17 f.). Am 25. März 2022 ersuchte die Kantonspolizei Zürich die Hochschule S.________ um Sicherstellung "von z.B. VPN oder Router Logs" bzw. allgemein von Logs mit Blick auf die IP-Adresse ggg den tatrelevanten Zeitraum "19. Februar 2022 zwischen 17:00 und 18:00 Uhr" betreffend, die allenfalls gelöscht würden. Damit einher ging die Ankündigung, dass zwecks Einforderung der gesicherten Daten seitens der zuständigen Staatsanwältin eine Editionsverfügung nachgereicht werden würde (Ordner II act. 1/2/5 ff.). Gleichentags bestätigte die Hochschule S.________ die Sicherung der für den genannte Zeitraum "relevanten Logs". Mit Editionsverfügung vom 21. April 2022 ersuchte die Staatsanwältin gestützt auf Art. 263 und mit Hinweis auf Art. 265 StPO um Herausgabe der entsprechenden Daten. Am 4. Mai 2022 erstattete die Hochschule S.________ einen Bericht und teilte mit, dass sie für die "technische Untersuchung" folgende Angaben berücksichtigt habe: "Tatzeit: am 19.02.2022 zwischen 17:00 und 18:00 Uhr (MEZ); öffentliche IP-Adresse Hochschule S.________: ggg; Verbindungsziel: Videochat-Plattform J.________". Gemäss der technischen Analyse hätten zur genannten Tatzeit neun Netzwerkverbindungen (sog. Netflows) von der IP-Adresse der Hochschule S.________ zu www.J.________.com festgestellt werden können. Diese seien in der Log-Datei "III" protokolliert. Dabei steche ein Netflow in Bezug auf Dauer und Volumen der transferierten Daten heraus. Die NAT-IP-Auflösungen befänden sich in der Log-Datei "nnn. Log-Datei ppp". Auch zum herausstechenden Netflow existiere eine zeitlich passende NAT-IP-Auflösung mit einer Verbindungsdauer von 0:42:29. Alle neun Netflows hätten der Hochschule S.________-internen IP-Adresse fff zugeordnet werden können. Letztere sei für eine VPN-Verbindung zur Hochschule S.________ verwendet worden. Die dazugehörende Radius-Session-ID ddd des VPN-Servers der Hochschule S.________ sei in der Log-Datei "qqq-acct_session_id-ddd.log." protokolliert. Schliesslich werden die sich hieraus ergebenden, relevanten Log-Informationen (Start/Stop [17:07:32/18:01:40]; Username [aaa]; Realm [Q.________-net.Hochschule S.________.ch]; Verbindungstyp [Virtual (VPN)]; Remote-IP [eee]; Internetprovider [Provider M.________]) und die Person genannt, welcher der genannte Username zugeordnet sei: A.________, geb. xx.xx.19xx, der bei der Hochschule S.________ unter der Adresse V.________strasse xx gemeldet sei; die E-Mail-Adresse laute A.________@Q.________.Hochschule S.________.ch. Schliesslich teilte die Hochschule S.________ mit, dass die einverlangten Logdateien zum Download bereit gestellt seien (Ordner II act. 1/2/8 ff.). In den Polizeirapporten vom 9. und 12. Mai 2022 wird auf den Bericht der Hochschule S.________ jeweils Bezug genommen und u.a. festgehalten, dass eine IRC Abklärung zu der in diesem Bericht festgehaltenen IP-Adresse eee des Providers M.________ ergeben habe, dass diese an "A.________" vergeben gewesen sei (Ordner II act. 1/1/23 ff. und 1/1/26 ff.).