Diese Übersicht bündelt alle Fragen und Antworten rund um IT-Forensik für Strafverfolgungsbehörden bei LanCologne – von der Sicherstellung digitaler Beweismittel über Beweiswürdigung und Täterzuordnung bis hin zu Unternehmens-IT-Systemen, Gutachten und der Verwertung vor Gericht. Klicken Sie auf eine Kategorie, um die passenden Fragen zu sehen.
Beweiswürdigung, Plausibilität und Ermittlungshypothesen
- Hvordan undersøges belastende og aflastende digitale spor på samme måde?
- Hvordan opdeles et digitalt efterforskningsspørgsmål i delspørgsmål, der kan kontrolleres teknisk?
- Hvordan omdannes en undersøgelsesantagelse til teknisk verificerbare hypoteser og modhypoteser?
- Hvordan vurderes beviskraften af et enkelt digitalt artefakt?
- Hvordan samles flere svage indicier til en pålidelig samlet teknisk konklusion?
- Hvordan afvejes belastende fund i forhold til frifindende tekniske modfund?
- Hvornår er et negativt teknisk resultat pålideligt?
- Hvornår vejer en teknisk udelukkelse tungere end en simpel manglende dokumentation?
- Hvordan dokumenteres en teknisk plausibel alternativ forklaring på en pålidelig måde?
- Hvordan vurderes det, om en tiltaltes forklaring er teknisk plausibel?
- Wie wird geprüft, ob eine Zeugenaussage zu einem digitalen Vorgang technisch möglich ist?
- Hvordan sammenholdes flere beslaglagte enheder, der tilhører en sigtet, med hinanden?
- Hvordan sammenlignes modstridende udsagn med digitale spor?
- Kan malware udgøre en belastende eller aflastende alternativ forklaring?
- Hvordan sikres grænsen mellem teknisk analyse og beslutningen om at indlede en efterforskning?
- Hvordan dokumenteres det, hvis to anerkendte metoder giver forskellige resultater?
- Hvordan undersøges tegn på anti-forensik eller sletning af spor?
- Hvordan kontrolleres en påstået digital hændelseskæde teknisk set for sandsynlighed?
- Hvordan håndteres modstridende digitale bevismidler i efterforskningen?
- Hvornår er fraværet af et digitalt spor relevant for efterforskningen?
- Hvornår er det hensigtsmæssigt for efterforskningsmyndighederne at få foretaget en uafhængig IT-forensisk genundersøgelse?
- Wie werden bereits vorhandene forensische Auswertungen unabhängig validiert?
- Wie werden digitale Spuren mehrerer Beschuldigter voneinander abgegrenzt?
- Wie werden digitale Spuren innerhalb einer Tätergruppe technisch differenziert?
- Wie werden Manipulationsbehauptungen an digitalen Zeitstempeln geprüft?
- Hvordan skelnes der mellem en påstået fjernelse af spor og en almindelig systemrensning?
- Hv fr dokumenteres en teknisk alternativ forklaring, der fritager for ansvar, på en pålidelig måde?
- Hvornår kan en undersøgelseshypotese udelukkes rent teknisk?
Täterzuordnung, Accounts und Fernzugriff
- Kan en digital aktivitet knyttes til en brugerkonto eller en fysisk person?
- Hvordan vurderes flere mulige oprindelsesenheder for et digitalt indhold?
- Hvordan håndteres fælles konti i forbindelse med tilskrivning af gerningsmænd?
- Hvordan undersøges brugen af stjålne eller videregivne adgangsoplysninger som modhypotese?
- Hvordan vurderes MFA-hændelser i brugertildelingen?
- Hvordan vægtes sessionstokener ved rekonstruktionen af kontobrugen?
- Wie werden Cloud-Providerdaten mit lokalen Endgerätedaten abgeglichen?
- Wie werden Gegenstellendaten in Kommunikationsverfahren genutzt?
- Hvordan undersøges en påstået fjernadgang som en alternativ hypotese om gerningsmanden?
- Hvordan sammenlignes serverlogfiler med lokale app-data?
- Hvordan rekonstrueres en ufuldstændig begivenhedskæde?
- Hvordan undersøger man, om to digitale begivenheder er kausalt forbundet med hinanden?
- Hvordan registreres flere enheder med den samme cloud-konto?
- Hvordan skelnes der mellem automatiseret systemadfærd og bevidste brugerhandlinger?
Technische Analyse-Methodik, Zeitstempel und Datenqualität
- Hvordan dokumenteres udtrækningsgrænserne for et retsmedicinsk datasæt?
- Hvordan kontrolleres det, om en forensisk parser har fortolket en datastruktur korrekt?
- Hvornår er det nødvendigt at kontrollere rådataene?
- Hvordan undersøges ukendte eller sjældne digitale artefakter?
- Hvordan foretages der en forensisk vurdering af nye app-versioner og ændrede databasestrukturer?
- Hvordan tages der højde for App-Update’er som årsag til tilsyneladende modstridende data?
- Hvordan vurderes forskellige datatilstande for den samme app på flere enheder?
- Hvordan vurderes tidsstempler med ukendt eller mangelfuld semantisk information?
- Hvordan opdages tidszonefejl mellem enheder, Servern og cloud-systemer?
- Hvordan tages der højde for synkroniseringsforsinkelser i en efterforsknings tidslinje?
- Hvordan anvendes filhashværdier i større efterforskningssager?
- Hvordan kan man på en fornuftig måde reducere dobbeltdata i efterforskninger?
Sicherstellung, Sicherung und rechtliche Grundlagen
- Hvordan overføres og dokumenteres beslaglagte digitale bevismidler rent teknisk?
- Hvordan foretages der en teknisk analyse af elektroniske lagringsmedier i henhold til § 110 i straffeprocesloven?
- Hvordan dokumenteres integriteten af en retsmedicinsk sikkerhedskopi i forbindelse med efterforskningen?
- Hvornår er det en god idé at lave en live-sikkerhedskopi af et system, der er i drift?
- Hvordan foretages der en retsteknisk undersøgelse af krypterede computere i forbindelse med en efterforskning?
- Hvordan klassificeres låste smartphones teknisk set i forbindelse med en efterforskning?
- Hvordan samles et komplekst digitalt bevismateriale til brug for anklagemyndigheden og den efterfølgende retssag?
- Hvordan kvantificeres indflydelsen af ufuldstændige data på vurderingen af efterforskningen?
- Hvordan formuleres en teknisk konklusion med gradueret sikkerhed?
- Hvilke oplysninger kan man stadig få efter en nulstilling til fabriksindstillingerne?
- Hvordan vurderes en formatering eller geninstallation i forbindelse med en efterforskning?
- Hvordan anvendes sikkerhedskopier og snapshots som bevismateriale i efterforskningen?
- Hvordan vurderes beskadigede eller ufuldstændige bevismidler af en sagkyndig?
Systemänderungen, Migration und nachträgliche Veränderungen
- Hvordan vurderes spor efter et operativsystem Upgrade?
- Hvordan vurderes spor efter udskiftning af udstyr eller migrering?
- Hvordan vurderes data efter gendannelse fra en sikkerhedskopi?
- Hvordan dokumenteres efterfølgende systemændringer ved hjælp af undersøgelses- eller sikkerhedsforanstaltninger?
- Hvordan håndteres nye tekniske oplysninger, der ligger uden for det oprindelige efterforskningsspørgsmål?
- Hvordan dokumenteres et teknisk tilfældigt fund fagligt?
Gutachten, Gerichtsverfahren und Staatsanwaltschaft
- Hvorfor kan en strafferetlig efterforskningsmyndighed inddrage en ekstern IT-forensiker?
- Hvordan kontrolleres en eksisterende retsmedicinsk rapport for teknisk pålidelighed?
- Hvordan sammenfattes en IT-forensisk rapport på en måde, der gør den forståelig for anklagemyndigheden, så den kan træffe en afgørelse?
- Hvordan forberedes en kompleks IT-forensisk rapport til hovedforhandlingen?
- Hvordan dokumenteres tekniske undersøgelsesresultater med henblik på eventuelle spørgsmål fra retten og forsvaret?
- Hvordan gennemføres en reproducerbar gentagelse af undersøgelsen på baggrund af de samme data?
- Hvordan udarbejdes en afsluttende samlet IT-forensisk vurdering til retshåndhævende myndigheder?
- Hvordan dokumenteres en IT-forensisk undersøgelse på en måde, der gør den reproducerbar i forbindelse med forsvaret og den efterfølgende retssag?
- Hvordan udarbejdes en sagkyndig rapport i forbindelse med anklagemyndighedens efterforskning?
- Hvordan bearbejdes resultaterne af IT-kriminaltekniske undersøgelser, så de senere kan fremlægges i en retssag?
Unternehmens-IT, Cloud- und Netzwerksysteme
- Kan brugen af en fælles tjenestekonto tilskrives bestemte personer?
- Hvordan vurderes Active Directory-login i forbindelse med efterforskningssager?
- Hvordan klassificeres Entra-ID- eller cloud-identitetslogin forensisk?
- Hvordan sammenkobles lokale computerlogfiler og centrale katalogtjenestelogfiler?
- Er det muligt at spore, hvilken bruger der har haft adgang til en filserver?
- Kan brugen af en NAS rekonstrueres i forbindelse med en efterforskning?
- Hvordan vurderes SharePoint-filer og versionshistorik i forbindelse med en efterforskning?
- Hvordan analyseres OneDrive-synkroniseringsspor i efterforskninger?
- Hvordan vurderes Microsoft 365-revisionsdata i en efterforskning?
- Hvordan undersøges Exchange-postkasser og e-mail-spor på serversiden?
- Hvordan foretages der en retsmedicinsk vurdering af kommunikation i Teams og mødemateriale?
- Er det muligt at fastslå, om virksomhedens data er blevet videregivet til eksterne parter?
- Hvordan rekonstrueres ændringer i adgangsrettigheder i virksomhedssystemer?
- Er det muligt at fastslå, hvem der har tildelt en bruger udvidede rettigheder?
- Hvordan tildeles terminalserver- og fjernskrivebordssessioner til de enkelte brugere?
- Hvordan foretages der en retsmedicinsk undersøgelse af VDI-miljøer?
- Hvordan klassificeres MDM-data i forbindelse med efterforskning af smartphones?
- Kan en fjernsletning teknisk set gendannes?
- Hvordan anvendes sikkerhedskopieringssystemer i virksomhedsnetværk som kilde til efterforskning?
- Hvordan foretages der en forensisk analyse af centrale logsystemer og SIEM-data?
- Hvordan anvendes firewall-logfiler som bevismateriale i efterforskninger?
- Hvordan vurderes proxy- og webgateway-logfiler i virksomhedens netværk?
- Hvordan anvendes DHCP- og netværksadgangsoplysninger til enhedstildeling?
- Hvordan vurderes WLAN-controllerdata i efterforskningssager?
- Kan brugen af en bestemt arbejdscomputer i virksomhedens netværk dokumenteres?
- Hvordan sammenkædes filserver, e-mail og slutbrugerenheder til en fælles hændelseskæde?
- Er det muligt at fastslå, om virksomhedsdata er lækket via private cloud-lagringsløsninger?
- Kan det teknisk bevises, at der er foretaget en upload til en webtjeneste?
- Hvordan kontrolleres oprindelsen af et downloadet virksomhedsdokument?
Geräte-, Kommunikations- und Standortspuren
- Hvordan vurderes slettede filer i en efterforskning?
- Hvordan rekonstrueres en digital hændelsesforløb for efterforskere?
- Hvordan vurderes digitale lokaliseringsdata i efterforskningen?
- Hvordan indgår spor fra cloud-synkronisering i efterforskninger?
- Hvordan analyseres data fra messaging-tjenester på en pålidelig måde i forbindelse med en efterforskning?
- Wie wird die Herkunft einer E-Mail im Ermittlungsverfahren geprüft?
- Hvordan vurderes browser- og søgespor i forbindelse med efterforskning?
- Hvordan vurderes SQLite-databaser, WAL og logfiler i efterforskningssager?
- Hvordan undersøges metadata fra fotos og videoer i forbindelse med en efterforskning?
- Hvordan undersøges ægtheden af et skærmbillede?
- Hvilken betydning har arkiver og krypterede containere for efterforskningen?
- Hvordan vurderes virtuelle maskiner som selvstændige efterforskningsmiljøer?
Andre spørgsmål
- Hvordan foretages der en uafhængig kontrol af en eksisterende IT-vurdering fra en anden instans?
- Hvordan adskilles automatiserede efterfølgende begivenheder fra manuelle handlinger?
- Hvordan undersøges baggrundsprocesser som en alternativ forklaring på filadgang?
- Hvordan tages der højde for systemvedligeholdelse og logrotation som årsag til manglende spor?
- Er det teknisk muligt at spore dataoverførsel via USB-enheder?
- Kan man spore dataoverførsler via netværksdelinger?
- Hvordan tages der højde for brugen af VPN ved inddeling af internetaktiviteter?
- Hvordan klassificeres proxy-, relay- eller Tor-forbindelser teknisk set?
- Hvilken beviskraft har en IP-adresse i en efterforskning?
- Hvilken beviskraft har DNA-spor i efterforskningen?
- Hvordan vurderes system- og sikkerhedslogfiler som bevismateriale i en efterforskning?
- Kan brugen af administrative rettigheder i efterforskningsforløbet rekonstrueres?
- Kan en kompromittering af kontoen undersøges som en alternativ hypotese om gerningsmanden?
- Hvordan vurderes fællescomputere i forbindelse med fastlæggelsen af gerningsmanden?
- Hvordan analyseres store datamængder målrettet i forhold til et efterforskningsspørgsmål?
- Hvordan valideres søgeord og søgeresultater retsmedicinsk?
- Hvordan vurderes slettede data fra ikke-allokerede områder?
- Hvordan vurderes resultaterne af carving i efterforskningen?
- Kan en fil tilknyttes et bestemt lagringsmedie som den oprindelige kilde?
- Hvordan dokumenteres et digitalt bevismateriales herkomst?
- Hvordan håndteres et bevismateriale, der er blevet ændret teknisk?
- Hvordan vurderes manglende eller ufuldstændige beviskæder rent teknisk?
- Hvordan løses modstridende resultater fra første og anden evaluering?
- Hvordan opdages parserfejl og fejltolkninger i eksisterende rapporter?
- Hvordan harmoniseres forskellige tidskilder fra skyen, Server og slutapparatet?
- Hvordan justeres enhedernes ure i forhold til eksterne referencetider?