Pilnaceks Smartwatch: verdächtige Ausreißer

Kurz nach Pilnaceks Tod hat jemand mit seiner Smartwatch „kommuniziert“. Danach gab es keine Nachrichten aus Pilnaceks letzten Stunden mehr.

Als der IT-Experte der WKStA die Sicherungskopie der Smartwatch von Christian Pilnacek auswertete, machte er einen Fund: „Im Zuge der Sichtung von SQLite Datenbanken ist aufgefallen, dass in der Datenbank .msg-consumer-Server.sqlite in Summe 206 Chatnachrichten aus dem Zeitraum 2023-05-14 16:52 bis 2023-10-19 23:44 vorhanden sind.“

Am 14. Mai 2023 war Christian Pilnacek bereits mehr als zwei Jahre vom Dienst als Sektionschef im Justizministerium suspendiert. Seine spätere Gefährtin Karin Wurm sollte er erst einen Monat danach kennenlernen.  

Wichtiger scheint das zweite Datum, an dem die letzte Chatnachricht registriert wurde: 19. Oktober 2023 um 23.44 Uhr.

In dieser Nachricht erklärte Pilnacek seinem Freund Ulrich W., warum er nicht mehr zu einer Lokaleröffnung in Wien kommen könne: „Bin fertig und kann nicht mehr, alles Liebe“. Kurz vor Mitternacht war Pilnacek nach Hause nach Rossatz gekommen. Um etwa ein Uhr verließ er das Haus zum letzten Mal.

Wie wild geschrieben

Hat Pilnacek nach 23.44 Uhr keine Nachrichten mehr über sein Handy versandt? Sobotka-Mitarbeiterin Anna P., die damals Pilnacek nach seiner Führerscheinabnahme in Stockerau abholte und nach Rossatz führte, widersprach dem in ihrer Einvernahme: „Während der Fahrt hat er noch mit irgendjemanden via Telefon geschrieben.“ Pilnacek Gefährtin Karin Wurm erklärte in ihrer Aussage, was Pilnacek in seiner letzten Stunde im Haus in Rossatz getan hatte: „Er hat wie wild geschrieben am Handy“.

Bis zum Verlassen des Hauses in Rossatz hat Pilnacek fieberhaft Nachrichten auf seinem Handy geschrieben und wohl auch versandt. Das Handy selbst wurden die Ermittler des Landeskriminalamts St. Pölten schnell an die Grazer Gerichtspräsidentin Caroline List los.

Wo sind jetzt die Nachrichten, die Pilnacek im Auto und dann noch im Haus in Rossatz kurz vor seinem letzten Gang verfasst hat?

Eine Erklärung lautet: Pilnacek hat plötzlich nicht mehr SMS, sondern nur noch Signal-Nachrichten versandt. Die sind mit dem Handy von Gerichtspräsidentin Caroline List verbrannt worden. Diese Erklärung hält den Fakten des IT-Berichts der WKStA nicht stand.

14.394 Sekunden

Bis zum 20. Oktober 2023 synchronisierte sich die Smartwatch ständig mit einem zweiten Gerät: mit Pilnaceks Handy. Die Smartwatch Galaxy 3 trug Pilnacek auch in seiner letzten Nacht am Handgelenk. Nachdem Pilnacek um ein Uhr nachts das Haus in Rossatz verlassen hatte, lag das Handy im ersten Stock.

Bis 4.03 Uhr versuchte die Smartwatch immer wieder vergeblich, sich mit dem Handy zu verbinden. Um 4.03 gab es offensichtlich keine Bewegungs- oder Gesundheitsdaten mehr, die die Watch an das Handy senden hätte können. Dann geschah etwas anderes. Der IT-Bericht der WKStA hält dazu fest:

„Erwähnenswert ist, dass in den folgenden Zeitintervallen

• von 2023-10-20 01:15:38 bis 2023-10-20 03:55:15 und von

• 2023-10-20 03:55:15 bis 2023-10-21 03:21:30

offenbar Bluetooth-LE Kommunikation stattgefunden hat.“

Ausreißer

Der IT-Bericht liefert einen weiteren Hinweis. „Bemerkenswert ist allerdings der Ausreißer im Intervall 2023-10-20 03:55:15 bis 2023-10-21 03:21:30, da hier 14394 Sekunden offenbar Daten via Bluetooth Low Energy empfangen und 204 Sekunden lang gesendet wurden.“

Aber wann war der “Ausreißer”? Auch dazu gibt es eine Feststellung des IT-Experten der WKStA: „Außerdem ist bemerkenswert, dass es um 2023-10-21 03:21:30 Ausreißer bei der Bluetooth- und WIFI-Verwendung gibt.“ Hat die intensive „Kommunikation“ mit dem Handy mitten in der Nacht vom 20. auf den 21. Oktober stattgefunden? Wer hat kurz nach Pilnaceks Tod mitten in der Nacht mit dessen Smartwatch Daten ausgetauscht? Und: Um welche Daten ist es hier gegangen?

Der zweite Befund führt auf eine neue Spur. Mit welchem Gerät war die Smartwatch zwischen 3.15 Uhr am 20. Oktober – also kurz vor Pilnaceks Tod – und 3.21 Uhr am Morgen des darauffolgenden Tages über Bluetooth Low Energy verbunden?

Fest steht: Insgesamt war die Smartwatch vier Stunden lang mit zumindest einem zweiten Gerät – einem Handy oder einem Laptop – verbunden. Vier Stunden lang hat die Watch Daten von anderen Geräten empfangen und mehr als drei Minuten selbst Daten versendet.

Wenn nun jemand in dieser Zeit die Watch durchsucht hat, haben sein Handy oder sein Laptop Befehle in Form von Signalen an die Watch gesendet. Wenn jemand Daten wie etwa Chats auf der Watch gelöscht hat, waren das ebensolche Signale.

Der aktive Partner, der Befehle gab, war das fremde Gerät, der passive, der nur kurze Bestätigungen zur Ausführung der Befehle versandte, die Smartwatch.

Vom Landeskriminalamt sichergestellt

Welche Geräte konnten vom 20. Oktober um 3.15 Uhr bis zum 21. Oktober um 3.21 Uhr „Partner“ der Smartwatch sein?

Pilnaceks privates Handy lag am 20. Oktober zwischen 16.00 und 17.00 Uhr in der Polizeiinspektion in Mautern an der Donau. Eine Bluetooth- oder WiFi-Verbindung war auch dort nur über eine kurze Distanz möglich. Aber wo war die Smartwatch?

Es „teilt die Staatsanwaltschaft Krems an der Donau mit, dass die Smartwatch, die Mag. Christian Pilnacek in der Nacht von 19.10.2023 auf 20.10.2023 trug, im Zuge der Sicherstellung des Leichnams sichergestellt wurde“. Mehr findet sich dazu nicht im Ermittlungsakt in Krems. Die Smartwatch war im Gegensatz zum Handy „sichergestellt“ -. Aber wo war sie?

Aus heutiger Sicht gibt es zwei Möglichkeiten: Am 20. und 21. Oktober befand sich die Smartwatch noch immer am Handgelenk von Christian Pilnacek in der Aufbahrungshalle in Rossatz – oder die Beamten des Landeskriminalamts hatten sie mitgenommen. Doch egal, wo die Watch war – wer außer den Beamten, die sie sichergestellt hatten, konnte zu dieser Zeit auf die Smartwatch zugreifen?

Geprüft

Ein IT-Experte hat alles für ZackZack geprüft. Er kommt zu mehreren Schlüssen:

• Der „Partner“ musste nur die Samsung-App laden, bei der Smartwatch in „Einstellungen“ gehen und dort die beiden Geräte miteinander koppeln.

• So hatte er Zugriff auf alle Daten, auch auf SMS und die Chats der Messenger-Dienste.

• Über die App konnte er Befehle zum Auslesen und zum Löschen von Daten an die Watch geben.

• Kurze Bestätigungen, dass die Befehle ausgeführt wurden, kamen als Statusmeldungen von der Watch.

Was davon kann man jetzt noch klären? Die Antwort lautet: viel. Über die Feststellung der MAC-Adressen kann man herausfinden, welche Geräte mit der Smartwatch verbunden waren. Dann geht es um die Schlüsselfrage: Wurden Daten manipuliert oder gelöscht? Dazu gibt es einen weiteren Hinweis im IT-Bericht der WKStA: „Im Rahmen der Analyse der Smartwatch stellte sich heraus, dass mehrere Daten in den internen Speicher des Beweismittels geschrieben wurden“.

Technisch scheint es möglich, über die „Internen Dateien“ der Watch, um die das Landeskriminalamt bei seiner Auswertung einen großen Bogen gemacht hat, alle – auch die gelöschten – Nachrichten auszulesen und auszuwerten.

Elf Fragen

ZackZack stellte elf Fragen an Landeskriminalamts-Direktor Stefan Pfandler und die Landespolizeidirektion Niederösterreich. Von dort kam die Antwort: „Da es sich um ein laufendes Verfahren handelt darf die Polizei keine Auskünfte dazu erteilen. Medienanfragen sind an die zuständige Staatsanwaltschaft zu stellen.“ LKA-Chef Stefan Pfandler teilte mit: „Da ich mich derzeit im Urlaub und nicht in meiner Dienststelle befinde ersuche ich um Verständnis dahingehend, dass ich Ihrem Ersuchen nicht nachkommen kann. Abschließend möchte ich Ihnen zur Kenntnis bringen, dass der von Ihnen erwähnte Bericht der IT-Experten der WKStA und somit dessen Inhalt dem LKA NÖ nicht vorliegt.“

Der Tag nach Pilnaceks Tod war nicht der einzige, an dem Seltsames mit Pilnaceks Smartwatch geschehen ist. Es gab noch einen weiteren, möglicherweise weit wichtigeren Vorfall. Dazu demnächst mehr auf ZackZack.

Bericht überarbeitet und ergänzt um 12.30 Uhr

Titelbild: HELMUT FOHRINGER / apa / picturedesk.com