IT-kriminalteknik · Advokater og forsvarsadvokater

Hvordan kontrolleres det, om en fundet fil stammer fra en sikkerhedskopi i stedet for fra aktiv brug?

Eine Datei auf einem sichergestellten Gerät beweist nicht, dass der Nutzer sie dort gespeichert oder geöffnet hat. Sie kann durch eine Wiederherstellung aus einem Backup, eine Gerätemigration, eine Cloud-Synchronisation oder einen automatischen Import auf das Gerät gelangt sein.

Uforpligtende forespørgsel

Hvorfor dette spørgsmål er vigtigt for forsvaret i straffesager

Netop når det gælder digitale beviser, kan små forskelle i datakilde, systemkontekst eller tidssemantik ændre konklusionen af en undersøgelsesresultat markant. For forsvaret er det derfor afgørende, om den belastende konklusion faktisk følger af primærdataene, eller om der er behov for en mere detaljeret teknisk vurdering.

Teknisk baggrund

Typisch sind iCloud- oder iTunes-Wiederherstellungen auf neue iPhones, Migrationsassistenten unter macOS, Windows-Profilübernahmen und OneDrive-/Google-Drive-Synchronisation. Solche Vorgänge erzeugen charakteristische Zeitmuster: viele Dateien mit nahezu identischen Erstellungszeiten, Restore-Protokolle, fehlende Nutzungsspuren.

Relevante spor og datakilder

  • Dateisystemzeiten im Vergleich (Erstellt vs. Geändert)
  • Restore- und Migrationsprotokolle
  • Nutzungsspuren: zuletzt geöffnet, Thumbnails, Jump Lists, LNK-Dateien, iOS-Biome/KnowledgeC
  • Cloud-Sync-Datenbanken

Grænser

  • Fehlende Nutzungsspuren sind ein Indiz, kein Beweis für Nicht-Nutzung.
  • Ohne Rohdaten ist nur eine Prüfung der Methodik der Ermittlungsakte möglich.

Mulige resultater

  • Datei mit hoher Wahrscheinlichkeit aus Restore/Migration übernommen
  • Nutzungsspuren vorhanden (Zeitpunkte)
  • Keine Aussage möglich – mit Begründung

Hvorfor LanCologne?

Efter indsigt i sagsakterne eller så snart forsvaret lovligt er i besiddelse af teknisk relevante dokumenter, kan en uafhængig kontrol afsløre den faktiske beviskraft af digitale fund. LanCologne arbejder i denne sammenhæng ikke med det formål nødvendigvis at finde en fejl i efterforskningsakterne.

Sådan gør vi

  • Feststellung, wie die Datei auf das Gerät gelangt ist.
  • Prüfung auf Nutzungsspuren nach diesem Zeitpunkt.
  • Bewertung mit Gegenhypothesen in einer Stellungnahme.

Belastende, afklarende og uafklarede fund

En uafhængig undersøgelse er kun troværdig, hvis også belastende fund bekræftes, så snart dataene understøtter dem. Ligeledes skal frifindende modfund eller uafklarede usikkerheder tydeligt angives. En proces, der blot er teknisk mulig, må ikke fremstilles som et fastslået faktum.

Forståeligt for forsvarsadvokaten – teknisk verificerbart for andre retsmedicinere

De vigtigste fund forklares i et klart sprog. Data fra undersøgelsen, oplysninger om integritet, tidsangivelser, ID’er, kilder til rådata og metodiske trin dokumenteres på en sådan måde, at en anden kvalificeret IT-kriminaltekniker fagligt kan følge de væsentlige konklusioner.

LanCologne som uafhængig teknisk støtte til forsvaret i straffesager

Hvis en forsvarsadvokat ønsker at få en digital nøgleanalyse eller en teknisk konklusion fra efterforskningssagen uafhængigt undersøgt, bistår LanCologne med en objektiv og forudindtagelsesfri modkontrol. Målet er at få et pålideligt svar på, hvad de foreliggende data rent faktisk beviser – og hvor deres udsagn slutter.

Retsgrundlag

Forsvarerens ret til aktindsigt og besigtigelse er reguleret i § 147 i retsplejeloven. I henhold til stk. 1 har forsvareren ret til at gennemgå de akter, der foreligger for retten, eller som skal fremlægges i tilfælde af en tiltale, samt til at besigtige bevismateriale, der opbevares af myndighederne. Inden efterforskningen afsluttes, kan indsigt i henhold til stk. 2 begrænses på de der angivne betingelser. I henhold til stk. 3 må forsvareren under ingen omstændigheder i sagen nægtes indsigt i ekspertudtalelser.

Disse rettigheder tilkommer forsvareren, ikke LanCologne. En teknisk modkontrol foretaget af en privat hyret IT-kriminaltekniker forudsætter, at forsvaret lovligt kan stille de pågældende dokumenter eller data til rådighed. LanCologne får gennem denne opgave ikke nogen egen ret til aktindsigt, besigtigelse eller adgang over for anklagemyndigheden eller politiet.

§ 160, stk. 2, i retsplejeloven forpligter anklagemyndigheden udtrykkeligt til at undersøge både belastende og aflastende omstændigheder. I henhold til § 163a, stk. 2, i retsplejeloven skal der indhentes beviser, som den sigtede har fremlagt til sin fordel, hvis de er af betydning. En uafhængig teknisk undersøgelse kan derfor frembringe fakta og modstridende resultater, hvis anvendelse i retssagen vurderes af forsvareren.

For så vidt angår elektroniske bevismidler, der er officielt sikret, beslaglagt eller gennemgået, skal især §§ 94, 98 og 110 i straffeprocesloven overholdes. Disse bestemmelser giver en privat ansat IT-kriminaltekniker ingen offentlige beføjelser.

En IT-kriminaltekniker, der er blevet hyret privat af forsvaret, er ikke alene på grund af denne aftale en formelt udpeget sagkyndig i henhold til §§ 72 ff. i retsplejeloven (StPO). Der skal i retssagen skelnes mellem private udtalelser, teknisk rådgivning og en formel udpegning som sagkyndig.

Hvis efterforskningen ikke giver tilstrækkelig anledning til at rejse offentlig tiltale, indstiller anklagemyndigheden sagen i henhold til § 170, stk. 2, i retsplejeloven. En teknisk konklusion fra forsvarets side garanterer ikke en sådan afgørelse, men kan udgøre en relevant del af det faktuelle grundlag.

Ofte stillede spørgsmål

Skal en teknisk kontrolundersøgelse føre til et andet resultat end det, som efterforskningsmyndigheden er nået frem til?+
Nej. En seriøs kontrolundersøgelse kan bekræfte, afgrænse eller afkræfte den oprindelige konklusion. Det er dataene, der er afgørende, ikke det ønskede resultat.
Kan LanCologne selv kræve aktindsigt i henhold til § 147 i retsplejeloven?+
Nej. Denne ret tilkommer forsvareren. LanCologne må kun gennemgå dokumenter og data, der lovligt er udleveret med henblik på teknisk undersøgelse.
Er en udtalelse fra forsvaret automatisk en ekspertudtalelse i henhold til §§ 72 ff. i retsplejeloven?+
Nej. En privat bestilt udtalelse eller en privat ekspertvurdering skal skelnes fra en formel inddragelse af en sagkyndig i en straffesag.
Kan et negativt teknisk undersøgelsesresultat garantere, at sagen henlægges?+
Nej. Beslutningen træffes af anklagemyndigheden eller senere af retten. Den modsatte konklusion kan dog udgøre et solidt teknisk faktagrundlag.
Woran erkennt man eine Backup-Wiederherstellung?+
An typischen Zeitmustern, Restore-Protokollen und an der Herkunft ganzer Dateigruppen.
Reicht der behördliche Report dafür?+
Meist nicht, weil Reports Dateien zeigen, aber selten deren Herkunft erklären.
Gilt das auch für Bilder in Messenger-Ordnern?+
Ja. Automatische Downloads sind ein eigenes, häufiges Szenario.

Relaterede emner

LanCologne – IT-kriminalteknik for advokater og forsvarsadvokater

Har du et spørgsmål vedrørende digital kriminalitet? LanCologne hjælper dig med en objektiv og resultatorienteret IT-forensisk undersøgelse.

Kontakt os nu