IT-kriminalteknik · Efterforskningsmyndigheder

Hvordan dokumenteres efterfølgende systemændringer ved hjælp af undersøgelses- eller sikkerhedsforanstaltninger?

Visse live- eller adgangsforanstaltninger kan medføre tekniske ændringer i systemet.

Hvorfor dette spørgsmål er vigtigt for efterforskningsmyndighederne

I forbindelse med avancerede undersøgelsesspørgsmål handler det sjældent kun om, hvorvidt et enkelt fund foreligger. Det afgørende er, om den tekniske fortolkning er holdbar, hvilke modhypotese der findes, og hvilke konklusioner der netop ikke må drages ud fra det foreliggende datagrundlag.

Teknisk undersøgelsesmetode

Vi dokumenterer de trin, der er blevet gennemført, de processer, der er blevet iværksat, tidspunkter og mulige konsekvenser for relevante artefakter.

Hvor grænsen for udsagn ligger

Spor, der opstår som følge af undersøgelsen, må ikke forveksles med allerede eksisterende bevisspor.

Hvorfor LanCologne?

LanCologne anvendes ikke i komplekse efterforskningssager med det formål at bekræfte en eksisterende mistanke så effektivt som muligt. Opgaven består i uafhængigt at undersøge et konkret teknisk spørgsmål og vurdere både belastende og frifindende fund ud fra de samme faglige kriterier.

Datagrundlaget dokumenteres entydigt. I det omfang det er teknisk muligt, foretages analysen på verificerede sikkerhedskopier eller egnede arbejdskopier. Ved fund, der er afgørende for beslutningstagningen, stoler vi ikke udelukkende på automatisk genererede rapporter. Oprindelse, logikken bag oprettelsen og systemkonteksten kontrolleres; om nødvendigt foretages en validering på baggrund af primærdataene eller ved hjælp af en anden fagligt egnet metode.

Netop i forbindelse med komplekse sager er det afgørende at skelne mellem enhedsrelaterede, konto-relaterede og sessionsrelaterede forhold samt brugerhandlinger og fysiske personer. Der skelnes ligeledes mellem positiv konstatering, ren overensstemmelse, manglende bevis og teknisk udelukkelse.

Resultaterne dokumenteres på en sådan måde, at efterforskere og anklagere kan forstå hovedbudskabet uden at have særlige kriminaltekniske kundskaber. Samtidig dokumenteres de tekniske grundlag på en måde, der gør det muligt at gentage undersøgelsen ved en senere gennemgang foretaget af andre kriminalteknikere, forsvaret og retten.

Fra efterforskningsopgaven til en pålidelig vidneforklaring

1Afgræns efterforskningsspørgsmålet og den tekniske undersøgelsesopgave præcist.

2Formulere belastende hypoteser, aflastende modhypoteser og mulige tekniske alternative forklaringer.

3Dokumentere bevismateriale, udgangsdata, integritet og kendte mangler.

4Identificer relevante primærkilder, henvisninger til udstyr, konti, Server og cloud-tjenester.

5Undersøge artefakter, der er afgørende for beslutningstagningen, i deres opståelses- og systemkontekst.

6Uafhængig validering af parser- og værktøjsresultater ved kritiske fund.

7Løse problemer med tid, synkronisering og versioner på en gennemsigtig måde eller dokumentere dem som resterende usikkerhed.

8Vurder belastende og aflastende fund ud fra samme faglige målestok.

9Nævn udtrykkeligt begrænsninger i konklusionerne, manglende data og mulige alternative forklaringer.

10Besvar undersøgelsesspørgsmålet på en forståelig måde og sørg for, at svaret kan efterprøves teknisk.

Belastende, afklarende og uafklarede fund

Undersøgelsen forbliver åben for forskellige resultater. Hvis flere pålidelige kilder understøtter en hypotese i undersøgelsen, redegøres der for den tekniske sammenhæng. Hvis der foreligger modstridende fund eller en teknisk holdbar alternativ forklaring, dokumenteres disse på lige fod. Hvis datagrundlaget ikke er tilstrækkeligt, angives det udtrykkeligt, at der ikke foreligger bevis.

Reproducerbarhed og efterfølgende retslig prøvelse

Hovedbudskabet formuleres på en måde, der er forståelig for efterforskere og anklagere. Samtidig dokumenteres de tekniske grundlag, der er relevante for undersøgelsen, på en sådan måde, at en anden kvalificeret IT-kriminaltekniker kan følge de væsentlige konklusioner på baggrund af det samme datagrundlag. Dette letter senere forespørgsler, genkontroller og en eventuel bevisoptagelse i retten.

LanCologne som uafhængig ekstern IT-forensisk ekspert

Når en strafferetlig efterforskningsmyndighed har behov for at få et komplekst digitalt spørgsmål undersøgt indgående, uafhængigt eller på en måde, der kan gentages, yder LanCologne støtte i form af en saglig og resultatudåben undersøgelse. Fokus ligger på at give et pålideligt svar på det konkrete efterforskningsspørgsmål – herunder modstridende resultater, begrænsninger i konklusionerne og teknisk verificerbarhed.

Retsgrundlag

Ledelsen af efterforskningen og den juridiske vurdering forbliver hos de kompetente retshåndhævende myndigheder. I henhold til § 160 i retsplejeloven undersøger anklagemyndigheden sagens omstændigheder og skal fastslå både belastende og formildende omstændigheder. § 161 i retsplejeloven regulerer anklagemyndighedens generelle efterforskningsbeføjelser, mens § 163 i retsplejeloven regulerer politiets opgaver i efterforskningsfasen.

For sagkyndige gælder som udgangspunkt §§ 72 ff. i retsplejeloven (StPO). I henhold til § 161a, stk. 1, i retsplejeloven skal sagkyndige, når de indkaldes, møde op for anklagemyndigheden og afgive deres ekspertudtalelse. § 82 i StPO regulerer formen for udarbejdelsen af ekspertudtalelser i forundersøgelsen. § 78 i StPO vedrører dommerens ledelse af sagkyndiges arbejde, i det omfang en sådan ledelse er relevant.

Beslaglæggelse og konfiskering reguleres navnlig i henhold til §§ 94 og 98 i straffeprocesloven. § 110, stk. 3, i straffeprocesloven vedrører gennemgang af elektroniske lagringsmedier og sikring af data, der kan være af betydning for efterforskningen. Det er udelukkende de kompetente retshåndhævende myndigheder og domstole, der træffer afgørelse om lovligheden, omfanget og pålæggelsen af myndighedsforanstaltninger.

I henhold til § 1, stk. 3, i JVEG er en inddragelse foretaget af politiet eller andre retshåndhævende myndigheder på vegne af eller med forudgående godkendelse fra anklagemyndigheden ligestillet med en inddragelse foretaget af anklagemyndigheden med hensyn til honoreringsretten.

Ofte stillede spørgsmål

Hvordan dokumenteres efterfølgende systemændringer ved hjælp af undersøgelses- eller sikkerhedsforanstaltninger?+

I forbindelse med avancerede undersøgelsesspørgsmål handler det sjældent kun om, hvorvidt et enkelt fund foreligger. Det afgørende er, om den tekniske fortolkning er holdbar, hvilke modhypotese der findes, og hvilke konklusioner der netop ikke må drages ud fra det foreliggende datagrundlag.

Hvordan foregår en sådan teknisk undersøgelse i praksis?+

Vi dokumenterer de trin, der er blevet gennemført, de processer, der er blevet iværksat, tidspunkter og mulige konsekvenser for relevante artefakter.

Giver undersøgelsen altid et entydigt resultat, der enten peger i retning af skyld eller frikendelse?+

Spor, der opstår som følge af undersøgelsen, må ikke forveksles med allerede eksisterende bevisspor.

Er der et retsgrundlag for dette?+

Ledelsen af efterforskningen og den juridiske vurdering forbliver hos de kompetente retshåndhævende myndigheder. I henhold til § 160 i retsplejeloven undersøger anklagemyndigheden sagens omstændigheder og skal fastslå både belastende og formildende omstændigheder. § 161 i retsplejeloven regulerer anklagemyndighedens generelle efterforskningsbeføjelser, mens § 163 i retsplejeloven regulerer politiets opgaver i efterforskningsfasen. For sagkyndige gælder som udgangspunkt §§ 72 ff. i retsforfølgelsesloven. I henhold til § 161a, stk. 1, i retsforfølgelsesloven skal sagkyndige efter indkaldelse møde op for anklagemyndigheden og afgive deres sagkyndige udtalelse. § 82 i straffeprocesloven regulerer formen for afgivelse af ekspertudtalelser i forundersøgelsen. § 78 i straffeprocesloven vedrører dommerens ledelse af sagkyndiges arbejde, i det omfang en sådan ledelse er relevant. Sikring og beslaglæggelse reguleres især af §§ 94 og 98 i straffeprocesloven. § 110, stk. 3, i straffeprocesloven vedrører gennemgang af elektroniske lagringsmedier og sikring af data, der kan være af betydning for efterforskningen. Det er udelukkende de kompetente retsforfølgende myndigheder og domstole, der træffer afgørelse om tilladelighed, omfang og pålæg af myndighedsforanstaltninger. I henhold til § 1, stk. 3, i JVEG sidestilles en inddragelse foretaget af politiet eller andre retshåndhævende myndigheder på vegne af eller med forudgående godkendelse fra anklagemyndigheden med en inddragelse foretaget af anklagemyndigheden med hensyn til vederlagsretten.