IT-kriminalteknik · Advokater og forsvarsadvokater

Kan skadelig software udgøre en alternativ teknisk forklaring på en strafferetlig anklage?

Malware kan fjernstyre systemer, ændre filer eller udløse netværksaktiviteter. Det er dog ikke nok blot at finde malware for at blive frikendt.

Uforpligtende forespørgsel

Hvorfor dette spørgsmål er vigtigt for forsvaret i straffesager

Netop i efterforskningsfasen kan tekniske forhold have væsentlig indflydelse på den videre forsvarsstrategi. Det afgørende er ikke at finde så mange angiveligt gunstige resultater som muligt, men derimod at afklare på et tidligt tidspunkt, hvilke digitale oplysninger der er pålidelige, og hvilke antagelser i efterforskningen der muligvis bygger på en for vidtgående teknisk fortolkning.

Teknisk undersøgelsesmetode

Vi undersøger, om skadelig software rent faktisk blev kørt, hvilke funktioner den havde, og om dens adfærd tidsmæssigt og teknisk set passer med den omstridte hændelse.

Hvor grænsen for udsagn ligger

En malware-fil uden bevis for, at den er blevet kørt eller har haft en virkning, forklarer ikke den konkrete anklage.

Hvorfor LanCologne?

LanCologne støtter ikke forsvaret med et forudbestemt ønsket resultat, men med en uafhængig teknisk undersøgelse. Netop for forsvaret er dette afgørende: Et holdbart modbevis skal også kunne modstå en senere gennemgang af anklagemyndigheden, en anden sagkyndig og retten.

Udgangspunktet er det konkrete forsvarsspørgsmål. Hvilke kendsgerninger tilregnes klienten? Hvilke digitale spor underbygger denne antagelse rent faktisk? Vedrører den en enhed, en konto, en session, eller kan den pålideligt tilknyttes en fysisk person? Findes der teknisk plausible alternative forklaringer? Hvilke spor ville man kunne forvente i forbindelse med den påståede hændelsesforløb, og findes de?

Databaser, som der er lovlig adgang til, sikres på en sporbar måde, i det omfang det er teknisk muligt, og undersøges for arbejdskopier. Kritiske fund overføres ikke blot fra automatiserede rapporter. Oprindelse, logikken bag oprettelsen, databasens eller filsystemets kontekst og, hvor det er relevant, de underliggende rådata kontrolleres.

Resultatet kan være gunstigt, ugunstigt eller uafklaret for klienten. Denne uafklarethed er ikke en ulempe, men en forudsætning for, at en teknisk konklusion senere kan anvendes på en pålidelig måde.

Vores arbejdsmetode

1Formuler forsvarsspørgsmålet og den tekniske undersøgelsesopgave præcist.

2Afklare, hvilke enheder, data eller dele af sagsakterne forsvaret har lovlig adgang til.

3Dokumentere udgangstilstanden og integriteten af det undersøgte datasæt.

4Identificer belastende antagelser i efterforskningen og teknisk plausible modhypotese.

5Målrettet undersøgelse af relevante spor vedrørende enheder, konti, kommunikation, filer, tid eller netværk.

6Valider centrale automatiserede resultater efter behov på baggrund af primærdataene eller en anden egnet metode.

7Hold person-, udstyrs- og kontotildelingen strengt adskilt fra hinanden.

8Vurder belastende, aflastende og modstridende fund ud fra samme faglige målestok.

9Åbenlyst påpege tekniske begrænsninger, manglende data og resterende usikkerheder.

10Sammenfatte resultatet på en måde, der er forståelig for forsvaret, og samtidig dokumentere det på en måde, der kan kontrolleres teknisk.

Belastende, afklarende og uafklarede fund

Forsvaret drager ingen fordel af en rapport, der er udarbejdet af hensyn til en bestemt part. Hvis dataene underbygger anklagen, vil dette blive angivet på samme måde som et frifindende modbevis. Hvis der teknisk set er flere mulige forklaringer, eller hvis datagrundlaget ikke er tilstrækkeligt, dokumenteres den resterende usikkerhed udtrykkeligt. Netop denne adskillelse gør, at en konklusion senere kan fremstå fagligt holdbar over for anklagemyndigheden, andre sagkyndige og retten.

Forståeligt for forsvarsadvokaten – teknisk verificerbart for andre retsmedicinere

Hoveddelen er formuleret på en sådan måde, at forsvareren kan forstå den tekniske betydning for sin forsvarsstrategi. Et særskilt teknisk afsnit dokumenterer de datakilder, integritetsoplysninger, tidsangivelser, artefakter og undersøgelsestrin, der er relevante for en efterfølgende kontrol. Dermed forbliver fremgangsmåden reproducerbar også for en anden IT-forensiker.

LanCologne som uafhængig teknisk støtte til forsvaret i straffesager

Hvis en forsvarsadvokat ønsker at få et digitalt faktum uafhængigt undersøgt allerede under efterforskningen, yder LanCologne støtte i form af en gennemsigtig og resultatudløst IT-forensisk undersøgelse. Målet er at skabe et fagligt holdbart faktagrundlag – uanset om resultaterne bekræfter, relativerer eller teknisk set modsiger anklagen.

Retsgrundlag

Forsvaret kan allerede træde til i efterforskningsfasen. I henhold til § 137, stk. 1, i retsplejeloven kan den sigtede på ethvert stadium af sagen benytte sig af en forsvarer. § 136, stk. 1, i retsplejeloven foreskriver blandt andet, at den sigtede under afhøringen skal gøres opmærksom på, at der kan fremsættes begæring om indsamling af bestemte beviser til den sigtedes fordel.

§ 160, stk. 2, i retsplejeloven er særlig vigtig for afklaringen af sagens omstændigheder: Anklagemyndigheden skal undersøge både belastende og aflastende omstændigheder og sørge for at indhente de beviser, som der er fare for går tabt. I henhold til § 163a, stk. 2, i retsplejeloven skal beviser, som den sigtede anmoder om at få indhentet til sin fordel, indhentes, hvis de er af betydning. § 166 i retsplejeloven vedrører derimod specifikt den tiltaltes begæringer om bevisoptagelse under en retslig afhøring og indeholder strengere betingelser; disse situationer sidestilles ikke med hinanden.

Forsvarerens ret til aktindsigt og besigtigelse er reguleret i § 147 i straffeprocesloven. Inden efterforskningen afsluttes, kan der i henhold til stk. 2 være tale om begrænsninger. I henhold til stk. 3 må forsvareren dog under ingen omstændigheder i sagen nægtes indsigt i ekspertudtalelser. Denne ret tilkommer forsvareren, ikke LanCologne. En teknisk undersøgelse foretaget af LanCologne forudsætter derfor, at forsvaret lovligt kan stille de pågældende dokumenter eller data til rådighed.

En IT-kriminaltekniker, der er privat hyret af forsvaret, er ikke alene af den grund en formelt indkaldt sagkyndig i henhold til §§ 72 ff. i retsplejeloven. Bestemmelserne i retsplejeloven vedrørende sagkyndige skal derfor kun anvendes som sådanne, hvis den pågældende procesretlige status faktisk foreligger.

Beskyttelsen af tavshedspligten og samarbejdet med eksterne eksperter skal ligeledes betragtes differentieret. § 53a i straffeprocesloven (StPO) inddrager, under de deri nævnte betingelser, medvirkende personer i retten til at nægte at vidne; § 97 i retsforfølgelsesloven indeholder en dertil knyttet beskyttelse mod beslaglæggelse, som dog er afhængig af konkrete betingelser og undtagelser. § 160a i retsforfølgelsesloven indeholder beskyttelsesbestemmelser for efterforskningsforanstaltninger over for personer, der er underlagt tavshedspligt, og medvirkende personer. I henhold til § 203, stk. 3 og 4, i straffeloven (StGB) kan advokater give andre medvirkende personer adgang til nødvendige fortrolige oplysninger; samtidig gælder der for disse personer en tavshedspligt, der kan medføre strafferetlige sanktioner. Heraf følger ikke en generel beskyttelse af alle filer, der befinder sig hos en ekstern IT-kriminaltekniker; betingelserne skal vurderes i det enkelte tilfælde.

Hvis efterforskningen ikke giver tilstrækkelig anledning til at rejse offentlig tiltale, indstiller anklagemyndigheden sagen i henhold til § 170, stk. 2, i retsplejeloven. Et IT-forensisk resultat garanterer ikke en sådan afgørelse; det kan blot udgøre en teknisk holdbar del af det faktuelle grundlag.

Ofte stillede spørgsmål

Søger LanCologne målrettet efter en frifindelse af klienten?+

Nej. Vi undersøger det konkrete tekniske spørgsmål uden forudindtagethed. Et pålideligt, frifindende resultat er kun værdifuldt, hvis det rent faktisk kan udledes af dataene.

Kan LanCologne selv kræve aktindsigt i henhold til § 147 i retsplejeloven?+

Nej. Retten til aktindsigt og gennemsyn tilkommer forsvareren. LanCologne kan kun gennemgå dokumenter og data, som forsvaret lovligt har adgang til, og som må udleveres til den tekniske undersøgelse.

Er LanCologne i forbindelse med et forsvareropdrag automatisk udpeget som sagkyndig i henhold til §§ 72 ff. i retsplejeloven?+

Nej. Der skal skelnes mellem privat teknisk rådgivning eller en privat ekspertudtalelse og en sagkyndig, der formelt er indkaldt i en straffesag.

Kan en frifindende konklusion fra en IT-forensisk undersøgelse garantere, at sagen henlægges?+

Nej. Det er anklagemyndigheden – eller senere retten – der træffer afgørelse om sagsforløbet. Et teknisk fund kan dog have stor betydning for det faktuelle grundlag for forsvaret.