Diese Übersicht bündelt alle Fragen und Antworten rund um IT-Forensik für Gerichte bei LanCologne – von der Zuordnung von Nutzern und Konten über Dateien, Metadaten und Kommunikationsspuren bis hin zu Widersprüchen in digitalen Beweismitteln und der Rolle des IT-Sachverständigen im Gerichtsverfahren. Klicken Sie auf eine Kategorie, um die passenden Fragen zu sehen.
Nutzer- und Kontozuordnung
- Lze prokázat, kdo používal počítač nebo smartphone?
- Lze konkrétní uživatelský vstup technicky prokázat?
- Lze rozlišit mezi skutečným odesláním zprávy a pouhou existencí zprávy v účtu?
- Lze rozlišovat mezi lokálním uživatelským účtem, doménovým účtem a cloudovým účtem?
- Je možné rekonstruovat změnu uživatele nebo paralelní uživatelskou relaci?
- Welche Aussagekraft hat eine automatische Anmeldung?
- Kann ein digitales Artefakt einem bestimmten Benutzerprofil zugeordnet werden?
- Wie sind Artefakte aus gemeinsam genutzten oder technischen Konten zu bewerten?
- Lze rozlišit, zda byla digitální data vytvořena automaticky, nebo zásahm uživatele?
- Lze zjistit, zda bylo uživatelské konto napadeno nebo zda ho používala třetí osoba?
- Jak se vyhodnocují digitální stopy, pokud stejný účet používá více zařízení?
- Lze u sdílených počítačů přiřadit digitální akci konkrétnímu uživateli?
- Je možné spolehlivě rozlišit mezi lokálním uživatelským účtem, doménovým účtem a cloudovým účtem?
- Kann ein Benutzerwechsel oder eine parallele Benutzersitzung nachgewiesen werden?
- Welche Aussagekraft hat eine automatische Anmeldung für die Benutzerzuordnung?
- Kann ein digitales Artefakt einem bestimmten Benutzerprofil innerhalb eines Mehrbenutzersystems zugeordnet werden?
Kommunikation: Chat, E-Mail und Nachrichten
- Je možné technicky ověřit pravost a úplnost záznamu chatu?
- Je technicky možné určit původ e-mailu a cestu, kterou byl odeslán?
- Jakou důkazní hodnotu mají push notifikace jako digitální důkaz?
- Co vlastně dokazuje digitální potvrzení o přečtení?
- Jak je třeba posuzovat rozdíly ve stavu zpráv na straně odesílatele a příjemce?
- Lze u přílohy e-mailu rozlišovat mezi přijetím, uložením, otevřením a zpracováním?
- Kann festgestellt werden, ob eine E-Mail weitergeleitet oder ihr Inhalt manuell übernommen wurde?
- Welche Aussagekraft haben E-Mail-Header für Herkunft und Übertragungsweg?
- Kann festgestellt werden, ob eine E-Mail lokal, serverseitig oder durch Synchronisation gelöscht wurde?
Fotos, Videos und Multimedia
- Kann aus einer Bildschirmsperre auf tatsächliche Gerätenutzung geschlossen werden?
- Lze zjistit, zda byla fotografie nebo video pořízeno konkrétním zařízením?
- Kann zwischen Originalaufnahme, bearbeiteter Datei und konvertierter Kopie unterschieden werden?
- Welche Aussagekraft haben Vorschaubilder und Thumbnail-Caches?
- Welche Aussagekraft besitzt eine Bildschirmaufzeichnung als digitales Beweismittel?
- Wie belastbar sind Foto- und Video-Metadaten als gerichtlicher Beweis?
- Beweist ein Vorschaubild oder Thumbnail, dass die zugehörige Datei geöffnet wurde?
Geräte, Netzwerk und Systemartefakte
- Kann festgestellt werden, ob ein Gerät mit einem bestimmten WLAN verbunden war?
- Welche Aussagekraft haben identische Dateien auf mehreren Geräten?
- Kann festgestellt werden, welches Gerät eine synchronisierte Änderung ursprünglich erzeugt hat?
- Kann ein behaupteter Fernzugriff auf einen Computer technisch belegt werden?
- Kann ein Netzwerkwechsel eines Geräts zeitlich rekonstruiert werden?
- Lze zjistit, zda aktualizace systému změnila nebo odstranila digitální stopy?
- Wie wirkt sich die Migration auf ein neues Gerät auf die Beweisbewertung aus?
- Kann nachgewiesen werden, ob ein bestimmtes externes Gerät mit einem Computer verbunden war?
- Kann festgestellt werden, ob eine bestimmte Software installiert oder tatsächlich ausgeführt wurde?
- Kann die frühere Installation einer inzwischen deinstallierten Software nachträglich festgestellt werden?
- Lze prokázat, zda byly údaje přeneseny nebo načteny prostřednictvím sdílené složky v síti?
- Jakou důkazní hodnotu mají u soudu data z pracovní paměti, která jsou pomíjivá?
- Kann eine Remote-Desktop- oder Fernzugriffssitzung nachträglich nachgewiesen werden?
- Kann festgestellt werden, ob ein Gerät zum relevanten Zeitpunkt gesperrt oder aktiv bedient wurde?
- Kann nachvollzogen werden, mit welchem Netzwerk ein Gerät zu einem bestimmten Zeitpunkt verbunden war?
- Wie werden Zeitangaben externer Server mit der lokalen Gerätezeit verglichen?
- Welchen Einfluss können Systemupdates auf digitale Spuren haben?
- Kann eine Migration von einem alten auf ein neues Gerät forensisch erkannt werden?
Löschung, Wiederherstellung und Backup
- Lze prokázat, zda byly údaje záměrně smazány?
- Jaké stopy může zanechat obnovení ze zálohy?
- Co lze po obnovení továrního nastavení ještě spolehlivě zjistit?
- Jakou důkazní hodnotu mají zálohy, snímky a historické zálohy?
- Lze zjistit, zda byl datový nosič naformátován nebo zda byl znovu nainstalován operační systém?
- Welche Aussagekraft besitzen Papierkorb- und Trash-Artefakte vor Gericht?
- Kann festgestellt werden, ob gelöschte Daten später überschrieben wurden?
- Wie beeinflusst eine Wiederherstellung aus einem Backup die Beweisbewertung?
- Welche Aussagen sind nach einem Zurücksetzen auf Werkseinstellungen noch möglich?
Authentifizierung, Verschlüsselung und Zugriffsschutz
- Lze rozlišovat mezi ověřováním pomocí hesla, biometrickým ověřováním a ověřováním na základě relace?
- Jakou důkazní hodnotu mají uložená hesla, tokeny a přístupové údaje u soudu?
- Jakou vypovídací hodnotu mají šifrované kontejnery a virtuální datové nosiče?
- Jaké tvrzení je přípustné v případě zašifrovaných nebo pouze částečně přístupných důkazů?
- Jak se technicky ověřuje digitální podpis?
Anonymisierung, VPN und Netzwerkspuren
- Welche Aussagekraft hat die Nutzung eines VPN für die Zuordnung digitaler Aktivitäten?
- Wie werden Proxy-, Relay- oder Anonymisierungsverbindungen forensisch eingeordnet?
- Welche Aussagekraft besitzen DNS-Spuren als Nachweis einer Internetaktivität?
- Welche Aussagekraft hat eine VPN-Nutzung für die Zuordnung von Internetaktivitäten?
Cloud, virtuelle Systeme und Container
- Kann festgestellt werden, ob ein Archiv entpackt oder dessen Inhalt genutzt wurde?
- Wie werden virtuelle Maschinen als digitale Beweismittel untersucht?
- Kann festgestellt werden, ob eine virtuelle Maschine zu einem bestimmten Zeitpunkt ausgeführt wurde?
- Welche Aussagekraft haben Cloud-Synchronisationsspuren vor Gericht?
- Jakou důkazní hodnotu mají šifrované kontejnery a virtuální datové nosiče u soudu?
- Jak se provádí vyšetřování virtuálních strojů jako digitálních důkazních prostředků?
Dateien, Metadaten und Zeitstempel
- Lze zjistit, kdy byl soubor vytvořen nebo změněn?
- Lze zjistit, zda byl soubor skutečně otevřen nebo použit?
- Kann festgestellt werden, ob eine Datei nur angezeigt oder tatsächlich bearbeitet wurde?
- Welche Aussagekraft haben Entwürfe, Autosave-Dateien und temporäre Dokumente?
- Kann eine Datei einem bestimmten Erstellungsprogramm zugeordnet werden?
- Lze zjistit, zda byl dokument exportován z jiného souboru?
- Mohou záznamy ze schránky dokládat akci „kopírování a vložení“?
- Jakou důkazní hodnotu mají soubory ZIP, RAR a další archivní soubory u soudu?
- Jakou důvěryhodnost má digitální časová osa u soudu?
- Jakou vypovídací hodnotu mají vyhledávací indexy a obsahy indexovaných souborů?
- Lze rozlišit skutečně provedené vyhledávání od pouhé indexace?
- Lze zjistit, zda byla digitální akce spuštěna plánovaným úkolem nebo automatizací?
- Lze zjistit, zda v určitém okamžiku existovalo oprávnění?
- Kann eine Änderung von Benutzer- oder Gruppenberechtigungen rekonstruiert werden?
- Wann darf aus dem Fehlen eines digitalen Artefakts überhaupt ein Schluss gezogen werden?
- Kann nachgewiesen werden, ob ein digitales Dokument nachträglich verändert wurde?
- Kann festgestellt werden, welche Version eines Dokuments zu einem bestimmten Zeitpunkt vorlag?
- Lze zjistit, zda byl soubor stažen z internetu?
- Kann festgestellt werden, ob ein Computer zu einem bestimmten Zeitpunkt ein- oder ausgeschaltet war?
- Kann nachvollzogen werden, ob Dateien umbenannt oder innerhalb eines Systems verschoben wurden?
- Jakou důkazní hodnotu mají u soudu obnovené soubory nebo soubory, které se dochovaly pouze ve fragmentární podobě?
- Lze zjistit, zda byl nějaký soubor nebo informace vytištěn?
- Kann festgestellt werden, ob eine Datei tatsächlich geöffnet wurde?
- Kann nachgewiesen werden, dass eine Person den Inhalt einer digitalen Datei tatsächlich zur Kenntnis genommen hat?
- Kann unterschieden werden, ob eine Datei kopiert, verschoben oder synchronisiert wurde?
- Kann der Zeitpunkt einer Löschung technisch eingegrenzt werden?
- Kann ein Dateizugriff nachgewiesen werden, obwohl die Datei unverändert blieb?
- Kann eine Manipulation von Datei- oder Systemzeitstempeln festgestellt werden?
- Kann zwischen einer Original-Mediendatei und einer konvertierten oder erneut gespeicherten Fassung unterschieden werden?
- Welche Aussagekraft haben Suchindexe für die Existenz oder Nutzung einer Datei?
Widersprüche, Plausibilität und Beweiswürdigung
- Jak IT znalec prověřuje údajný sled událostí, pokud si digitální důkazy navzájem odporují?
- Jak spolehlivé jsou ručně upravitelné metadata jako důkaz?
- Může být malware alternativním vysvětlením určité digitální činnosti?
- Jak je třeba postupovat v případě protichůdných digitálních stop?
- Jak se ověřuje technická věrohodnost tvrzeného digitálního řetězce událostí?
- Jak posuzuje IT znalec dvě technicky věrohodná vysvětlení?
- Jak se v posudku správně formuluje technická neprokazatelnost?
- Wie sind widersprüchliche digitale Beweismittel in einem IT-Gutachten zu behandeln?
Gutachten, Gerichtsverfahren und Sachverständige
- Jak se v praxi uplatňuje nezávislost a nestrannost IT znalce?
- Proč musí být IT posudek srozumitelný i pro osoby, které se nezabývají forenzní analýzou?
- Proč je součástí srozumitelného IT posudku technická příloha?
- Jak se sestavuje IT posudek tak, aby bylo možné na jeho základě vypracovat případný protiposudek?
- Jak lze definitivně a jednoznačně vyřešit otázku týkající se IT důkazů v soudním řízení?
- Wie werden Zeitzonen, Sommerzeit und fehlerhafte Systemuhren im Gutachten berücksichtigt?
- Wie kann ein bereits vorliegendes privates IT-Gutachten technisch überprüft werden?
- Sachverständiger oder sachverständiger Zeuge – was ist bei digitalen Tatsachen zu unterscheiden?
- Wie wird ein IT-Gutachten vor Gericht erläutert und auf Ergänzungsfragen geprüft?
- Welche Bedeutung hat eine lückenhafte Chain of Custody für die technische Aussagekraft?
- Was geschieht, wenn während der IT-forensischen Untersuchung neue, vom gerichtlichen Auftrag nicht erfasste Tatsachen auffallen?
- Wo endet die technische Schlussfolgerung des IT-Sachverständigen und wo beginnt die Beweiswürdigung des Gerichts?
Sonstige Beweisfragen
- Jakou důkazní hodnotu má snímek obrazovky nebo fotografie digitálního obsahu?
- Lze prokázat, zda byly údaje zkopírovány na USB nosič?
- Jak se digitální důkazní materiály zajišťují tak, aby bylo možné vyšetřování později ověřit?
- Jak spolehlivé jsou digitální údaje o poloze jako soudní důkaz?
- Je možné technicky rekonstruovat údajné používání internetu nebo prohlížeče?
- Lze vysledovat původ digitálního souboru nebo datového záznamu?
- Wie wird mit beschädigten oder unvollständigen digitalen Beweismitteln umgegangen?
- Wie werden Datenbankeinträge und WAL-/Journal-Spuren vor Gericht bewertet?
- Welche Aussagekraft haben System- und Ereignisprotokolle vor Gericht?
- Kann eine IP-Adresse einer bestimmten Person zugeordnet werden?
- Lassen sich Hinweise auf Anti-Forensik oder gezielte Spurenbeseitigung feststellen?
- Was ist beweiskräftiger: Originaldaten, forensische Sicherung oder exportierter Report?
- Wann kann eine neue IT-forensische Begutachtung nach § 412 ZPO sinnvoll sein?
- Kann nachgewiesen werden, ob ein digitales Beweismittel nach der Sicherstellung verändert wurde?
- Kann festgestellt werden, ob administrative oder erhöhte Rechte verwendet wurden?
- Wie ist ein digitales Beweismittel zu bewerten, das vor der forensischen Sicherung bereits weiter benutzt wurde?
- Kann die Reihenfolge mehrerer digitaler Handlungen zuverlässig rekonstruiert werden?
- Kann die Echtheit und Herkunft eines Screenshots technisch geprüft werden?
- Lze zjistit, kdy byl vytvořen nebo rozbalen archiv ve formátu ZIP, RAR nebo jiném?
- Lze u souboru PDF zjistit, z jakého zdrojového dokumentu byl vytvořen?