IT-kriminalteknik · Efterforskningsmyndigheder
Wie werden Cloud-Synchronisationsspuren in Ermittlungen eingeordnet?
Synchronisierte Daten können auf mehreren Geräten erscheinen und dadurch falsche Vorstellungen über ihren Entstehungsort erzeugen.
Hvorfor dette spørgsmål er vigtigt for efterforskningsmyndighederne
Digitale efterforskninger skal levere pålidelige fakta, men må ikke overfortolke tekniske indicier. For efterforskningsarbejdet er det derfor ikke kun vigtigt, om der foreligger et bevis, men også hvad det rent faktisk beviser, hvilke modhypotese der findes, og hvilke yderligere konklusioner der netop ikke er tilladte.
Teknisk undersøgelsesmetode
Wir trennen lokale Erzeugung, Synchronisation, Download und geräteübergreifende Änderung anhand verfügbarer lokaler und serverseitiger Spuren.
Hvor grænsen for udsagn ligger
Das lokale Vorhandensein eines Cloud-Inhalts beweist nicht automatisch seine lokale Erzeugung.
Hvorfor LanCologne?
LanCologne arbejder ikke efter princippet om teknisk at bekræfte en forudbestemt mistankehypotese i forbindelse med efterforskningsopgaver. Udgangspunktet er det konkrete efterforskningsspørgsmål. I den forbindelse undersøges både belastende og frifindende tekniske muligheder i lige høj grad.
De fremlagte bevismaterialer eller datasæt dokumenteres entydigt. I det omfang det er teknisk muligt, foretages analysen på verificerede sikkerhedskopier eller egnede arbejdskopier. Automatisk genererede resultater accepteres ikke ukontrolleret, når det drejer sig om spørgsmål, der er afgørende for beslutningen. Artefaktets oprindelse, dannelseslogik og kontekst kontrolleres; om nødvendigt foretages en uafhængig krydskontrol på baggrund af de underliggende data eller ved hjælp af en anden fagligt egnet metode.
For en retshåndhævende myndighed er det afgørende, at man ikke udleder en stærkere konklusion af et teknisk indicie, end dataene rent faktisk underbygger. Derfor skelner vi mellem enhedshenvisning, kontohenvisning, brugerhenvisning og personhenvisning samt mellem mulighed, faktisk brug og påviselig handling.
Et negativt resultat er lige så vigtigt. Hvis en undersøgelseshypotese ikke kan bekræftes på baggrund af de foreliggende data, eller hvis der findes teknisk plausible alternative forklaringer, dokumenteres dette udtrykkeligt. Dette er i overensstemmelse med en forudindtagelsesfri ekspertvurdering og understøtter forpligtelsen til at tage hensyn til både belastende og aflastende omstændigheder.
Fra efterforskningsopgaven til en pålidelig vidneforklaring
Bevis, der taler imod og for
En sagkyndig undersøgelse skal forblive åben for alle mulige resultater. Hvis dataene understøtter efterforskningens hypotese, redegøres der for, hvorfor det er tilfældet. Hvis der findes pålidelige spor, der modsiger hypotesen, eller hvis der fortsat findes en alternativ teknisk forklaring, dokumenteres dette ligeledes. Hvis datagrundlaget ikke er tilstrækkeligt til at drage en sikker konklusion, angives det som »ikke påvist«.
Gennemsigtig for anklagemyndigheden, politiet, forsvaret og retten
Hovedkonklusionen formuleres i et forståeligt sprog. Samtidig dokumenteres de tekniske grundlag, der er relevante for undersøgelsen, på en sådan måde, at en anden kvalificeret IT-kriminaltekniker kan forstå de centrale konklusioner på baggrund af det samme datagrundlag. Dermed forbliver undersøgelsen gennemsigtig, også med henblik på senere genkontroller eller en retslig bevisoptagelse.
LanCologne som ekstern IT-kriminalteknisk ekspert
Når en efterforskningsmyndighed har behov for at få afklaret et specifikt digitalt spørgsmål på en uafhængig og teknisk holdbar måde, yder LanCologne støtte i form af en gennemsigtig undersøgelse, der er åben for alle mulige resultater. Målet er ikke at opnå det størst mulige antal treffere, men derimod at give et holdbart fagligt svar på det konkrete efterforskningsspørgsmål.
Retsgrundlag
Ledelsen af efterforskningen og den juridiske vurdering forbliver hos de kompetente retshåndhævende myndigheder. I henhold til § 160 i retsplejeloven (StPO) undersøger anklagemyndigheden sagens omstændigheder og skal afklare både belastende og formildende omstændigheder. § 161 i retsplejeloven regulerer anklagemyndighedens generelle efterforskningsbeføjelser og muligheden for at lade myndigheder og polititjenestemænd foretage efterforskningen. Politiets opgaver i efterforskningsfasen er reguleret i § 163 i retsplejeloven.
For sagkyndige gælder som udgangspunkt §§ 72 ff. i retsplejeloven. § 161a, stk. 1, i retsplejeloven forpligter sagkyndige til at møde op hos anklagemyndigheden, når de indkaldes, og afgive deres sagkyndige udtalelse; bestemmelserne vedrørende sagkyndige i syvende afsnit finder tilsvarende anvendelse, medmindre andet er fastsat. § 82 i straffeprocesloven vedrører formen for udarbejdelsen af ekspertudtalelser i forundersøgelsen.
Beslaglæggelse og konfiskering af genstande, der kan have bevismæssig betydning, reguleres især af §§ 94 og 98 i straffeprocesloven (StPO). § 110, stk. 3, i StPO regulerer gennemsynet af elektroniske lagringsmedier og giver under de deri angivne betingelser også mulighed for at sikre data, der er relevante for efterforskningen. Beslutningen om, hvorvidt sådanne foranstaltninger er tilladte, omfanget heraf og påbuddet herom, ligger hos de kompetente statslige myndigheder, ikke hos LanCologne.
I henhold til § 1, stk. 3, i JVEG er en inddragelse foretaget af politiet eller andre retshåndhævende myndigheder på vegne af eller med forudgående godkendelse fra anklagemyndigheden ligestillet med en inddragelse foretaget af anklagemyndigheden med hensyn til honoreringsretten.
Ofte stillede spørgsmål
LanCologne – IT-kriminalteknik for strafferetlige efterforskningsmyndigheder
Har du et spørgsmål vedrørende digital kriminalitet? LanCologne hjælper dig med en objektiv og resultatorienteret IT-forensisk undersøgelse.
I forbindelse med dette emne