IT-kriminalteknik · Advokater og forsvarsadvokater

Hvilken betydning har en formatering eller geninstallation for forsvaret?

En geninstallation eller formatering tolkes undertiden som et bevidst forsøg på at slette spor, men kan også have helt almindelige årsager.

Uforpligtende forespørgsel

Hvorfor dette spørgsmål er vigtigt for forsvaret i straffesager

I en efterforskning kan et tilsyneladende entydigt digitalt spor have betydelig indflydelse på vurderingen af mistanken. For forsvaret er det derfor afgørende, om den tekniske fortolkning faktisk holder, eller om der skal tages højde for konteksten, systemarkitekturen, ufuldstændige data eller alternative årsager.

Teknisk undersøgelsesmetode

Vi undersøger spor efter installation, partitionering, filsystemer og gendannelse samt tidsmæssige sammenhænge med vedligeholdelse, fejl eller udskiftning af udstyr.

Hvor grænsen for udsagn ligger

Den tekniske konstatering af en formatering giver uden yderligere spor ingen oplysninger om motiv eller forsæt.

Hvorfor LanCologne?

LanCologne støtter forsvaret i straffesager med en uafhængig teknisk undersøgelse, ikke med et forudbestemt resultat. Et resultat, der taler til den tiltalte fordel, har kun værdi, hvis dets oprindelse, den logik, der ligger bag det, og dets begrænsninger forud for en konklusion også forbliver forståelige for anklagemyndigheden, en anden sagkyndig og senere for retten.

Udgangspunktet er derfor altid det konkrete spørgsmål om forsvar. Vi skelner lige så konsekvent mellem udstyrsrelaterede, konto- og sessionsrelaterede forhold samt fysiske personer som mellem tekniske muligheder, faktisk brug og påviselige handlinger.

Data, der er lovligt tilgængelige, sikres på en sporbar måde, i det omfang det er teknisk muligt. Automatiserede resultater, der er afgørende for beslutningen, overtages ikke uden forudgående kontrol. Om nødvendigt foretages der en kontrol på filsystem-, database- eller rådata-niveau eller ved hjælp af en anden fagligt egnet metode.

Resultatet kan være afklarende, belastende eller åbent. Denne åbenhed med hensyn til resultatet sikrer undersøgelsens kvalitet og forhindrer, at en forklaring, der kun er teknisk mulig, fremstilles som et fastslået faktum.

Vores arbejdsmetode

1Fastlægge det konkrete forsvarsspørgsmål og undersøgelsens formål.

2Afklare, hvilke data, enheder eller dele af sagsakterne der lovligt er tilgængelige til den tekniske kontrol.

3Dokumentere udgangsdata og integritetsoplysninger.

4Formulere belastende undersøgelsesantagelser og teknisk plausible modhypotese.

5Gennemføre målrettede undersøgelser af relevante primærdata.

6Valider om nødvendigt kritiske parser- eller rapportfund uafhængigt.

7Hold en streng adskillelse mellem tildeling af enheder, konti, sessioner og personer.

8Vurder belastende og aflastende fund ud fra samme faglige målestok.

9Åbenlyst dokumentere manglende data, modsigelser og begrænsninger i udsagnene.

10Resultatet skal præsenteres på en måde, der er forståelig for forsvaret og teknisk verificerbar for andre retsmedicinere.

Belastende, afklarende og uafklarede fund

Forsvaret har ingen fordel af en rapport, der er udarbejdet af hensyn til andre. Hvis dataene underbygger anklagen, fremgår dette lige så tydeligt som et holdbart modbevis. Hvis der er flere mulige forklaringer, eller hvis der mangler væsentlige data til at kunne drage en sikker konklusion, dokumenteres denne usikkerhed udtrykkeligt.

Forståeligt for forsvarsadvokaten – teknisk verificerbart for andre retsmedicinere

Det vigtigste fund forklares i et klart sprog. I den tekniske del dokumenteres de datakilder, integritetsoplysninger, tidsangivelser, artefakter og undersøgelsestrin, der er relevante for en efterfølgende kontrol. På den måde kan en anden kvalificeret IT-kriminaltekniker foretage en faglig kontrol af udledningen.

LanCologne som uafhængig teknisk støtte til forsvaret i straffesager

Hvis en forsvarsadvokat ønsker at få et digitalt faktum uafhængigt undersøgt allerede under efterforskningen, yder LanCologne støtte i form af en gennemsigtig og resultatafhængig it-forensisk undersøgelse. Målet er at skabe et fagligt holdbart faktagrundlag – uanset om det bekræfter, relativerer eller teknisk set modsiger anklagen.

Retsgrundlag

Forsvaret kan allerede træde i aktion under efterforskningen. I henhold til § 137, stk. 1, i straffeprocesloven kan den sigtede benytte sig af en forsvarer på ethvert stadium af sagen. § 160, stk. 2, i straffeprocesloven forpligter anklagemyndigheden til at undersøge både belastende og formildende omstændigheder og til at sikre beviser, hvis tab der er grund til at frygte. I henhold til § 163a, stk. 2, i retsplejeloven skal beviser, som den sigtede anmoder om at få indhentet til sin fordel, indhentes, hvis de er af betydning.

Ifølge § 147 i straffeprocesloven (StPO) har forsvareren ret til at få indsigt i sagsakterne og foretage besigtigelser. Inden efterforskningen afsluttes, kan der i henhold til stk. 2 gælde visse begrænsninger; i henhold til stk. 3 må forsvareren under ingen omstændigheder i sagsforløbet nægtes indsigt i sagkyndigudtalelser. LanCologne har ikke en selvstændig ret til aktindsigt i henhold til § 147 i straffeprocesloven. En modkontrol forudsætter, at forsvaret lovligt kan stille de pågældende dokumenter eller data til rådighed med henblik på en teknisk undersøgelse.

En IT-kriminaltekniker, der er privat hyret af forsvaret, bliver ikke alene på grund af hyretilbuddet en formelt indkaldt sagkyndig i henhold til §§ 72 ff. i straffeprocesloven (StPO). Disse roller adskilles udtrykkeligt i vores udtalelser og på vores landingssider.

Når der er tale om digitalt bevismateriale, der opbevares eller beslaglægges af myndighederne, træffer de kompetente retshåndhævende myndigheder og domstole afgørelse om sikring, beslaglæggelse, gennemgang og adgang. Især §§ 94, 98 og 110 i straffeprocesloven (StPO) giver ikke LanCologne nogen statslige beføjelser.

I forbindelse med det fortrolige samarbejde med forsvaret skal de lovmæssige betingelser for beskyttelse af tavshedspligten overholdes på en nuanceret måde. §§ 53 og 53a i straffeprocesloven (StPO) regulerer retten til at nægte at vidne for personer, der er underlagt tavshedspligt, og for medvirkende personer under visse betingelser; § 97 i StPO indeholder forbud mod beslaglæggelse med konkrete betingelser og undtagelser, mens § 160a i StPO indeholder beskyttelsesregler for efterforskningsforanstaltninger. § 203, stk. 3 og 4, StGB tillader under de der nævnte betingelser den nødvendige inddragelse af andre medvirkende personer og begrunder tavshedspligten. Heraf følger ikke en generel, automatisk beskyttelse af alle filer, der befinder sig hos en ekstern IT-kriminaltekniker.

Ofte stillede spørgsmål

Arbejder LanCologne hen imod et ønsket resultat med hensyn til aflastning?+

Nej. Den tekniske undersøgelse er åben for alle mulige resultater. Kun en konklusion, der rent faktisk kan udledes af dataene, er relevant for et holdbart forsvar.

Kan LanCologne selv kræve indsigt i sagsakter eller adgang til en beslaglagt enhed?+

Nej. Disse rettigheder og beslutninger ligger hos forsvaret, anklagemyndigheden og domstolen. LanCologne undersøger kun data eller bevismateriale, der er stillet til rådighed på lovlig vis.

Er en privat udtalelse automatisk en sagkyndig udtalelse i henhold til §§ 72 ff. i retsplejeloven (StPO)?+

Nej. Der skal skelnes mellem privat bestilt teknisk rådgivning eller en privat ekspertvurdering og den formelle inddragelse af en sagkyndig i en straffesag.

Kan et negativt teknisk undersøgelsesresultat garantere, at sagen henlægges?+

Nej. Det er anklagemyndigheden – eller senere retten – der træffer afgørelse om den videre sagsbehandling. Undersøgelsesresultatet kan dog udgøre et relevant teknisk faktagrundlag.