IT-kriminalteknik · Privatpersoner

Hvordan kan jeg få kontrolleret, om et digitalt dokument er blevet ændret efterfølgende?

PDF-, Office- og andre dokumentformater kan indeholde interne metadata, oplysninger om ændringer eller signaturer.

Hvorfor dette spørgsmål er vigtigt for privatpersoner

Chatbeskeder, fotos, videoer og skærmbilleder kan få stor betydning i forbindelse med private, civilretlige eller strafferetlige tvister. Deres visuelle fremstilling giver dog ikke automatisk svar på spørgsmål om oprindelse, ændringer, tidspunkt eller ophavsret.

Teknisk undersøgelsesmetode

Vi undersøger originalfilen, den interne struktur, metadata, indlejrede objekter, signaturer og eksisterende sammenligningsversioner.

Hvor grænsen for udsagn ligger

Ikke alle ændringer efterlader et entydigt historisk bevis. Uden en tidligere referencedate kan man ofte kun vurdere den aktuelle tilstand.

Hvorfor LanCologne?

For lægfolk virker digitale beviser ofte mere entydige, end de rent teknisk set er. Et skærmbillede kan se ægte ud og alligevel være redigeret. Omvendt kan manglende metadata eller en ny komprimering have helt normale årsager. En fil kan findes på en smartphone uden at være blevet oprettet der.

LanCologne opdeler derfor det tilsyneladende enkle spørgsmål „Er det ægte?“ i teknisk verificerbare delspørgsmål: Findes originalfilen? Hvilket program eller hvilken datakilde stammer den fra? Er de interne strukturer og metadata konsistente? Findes der tilsvarende poster i databaser, sikkerhedskopier, cloud- eller systemartefakter? Er filen blevet eksporteret, konverteret eller redigeret? Hvilke af disse processer kan faktisk dokumenteres?

Det er særligt vigtigt at skelne mellem ægthed og ophavsret. Selv hvis en besked teknisk set fandtes på en bestemt konto, er det ikke dermed automatisk bevist, hvilken fysisk person der har indtastet den. Ligeledes beviser et kameramodel i EXIF-data ikke uden yderligere undersøgelse, hvilket konkret fysisk udstyr der har genereret en fil.

Vi foretrækker primærdata frem for rene fremstillinger. Originale nyheder, databaser og originale filer indeholder ofte mere teknisk kontekst end skærmbilleder, udskrifter eller efterfølgende eksporter.

Resultatet forbliver åbent. Vi dokumenterer både bekræftende, modstridende og uafklarede fund på lige fod og forklarer på en forståelig måde, hvor langt en teknisk konklusion rent faktisk rækker.

Vores arbejdsmetode

1Definer det konkrete bevisspørgsmål: indhold, oprindelse, tidspunkt, ændring eller ophavsret.

2Den originale enhed eller den originale fil, i det omfang den er lovligt tilgængelig.

3Oprette arbejdskopier og dokumentere integriteten af relevante datatilstande.

4Sørg for at skelne klart mellem skærmbilleder, eksport og primærdata.

5Undersøge filstruktur, metadata og applikationsspecifikke artefakter.

6Fortolke tidsstempler ud fra deres respektive tekniske betydning.

7Kontroller de tilhørende databaser, sikkerhedskopier, cloud-data og systemlogfiler.

8Der skal skelnes mellem normal konvertering og platformshåndtering på den ene side og målrettet manipulation på den anden side.

9Lad aldrig automatiske manipulationsdetektorer eller AI-detektorer træffe beslutninger på egen hånd.

10Man skal ikke sætte lighedstegn mellem ægthed, oprindelse, ejerskab og ophavsret.

11Dokumenter modhypotese og manglende data.

12Præsentere resultatet på en forståelig måde, så det kan gentages ved en faglig kontrol.

Autenticitet er ikke det samme som ophavsret

En besked kan teknisk set være gemt på en konto eller en enhed, uden at det alene heraf med sikkerhed kan udledes, hvilken fysisk person der har skrevet den. Denne adskillelse forhindrer, at en korrekt teknisk konklusion blandes sammen med en ubegrundet påstand om, hvem der er afsenderen.

De oprindelige data er vigtigere end den rene skærmvisning

Et skærmbillede kan være værdifuldt, især hvis indholdet forsvinder senere. Til en mere indgående undersøgelse forsøger vi dog også at indhente originalfiler, appdata, databaser eller andre primære kilder. De indeholder ofte kontekst, som mangler i den synlige visning.

Hvorfor anvendes LanCologne ved undersøgelsen af digitale bevismidler?

LanCologne betragter ikke digitalt indhold som sandt eller falsk, blot fordi det ser plausibelt ud. Vi gennemgår det tilgængelige tekniske bevismateriale, dokumenterer oprindelsen og udsagnets begrænsninger og udarbejder konklusionen på en sådan måde, at den er forståelig for privatkunder og samtidig kan efterprøves af advokater, efterforskningsmyndigheder, domstole eller andre kvalificerede IT-forensikere.

Retsgrundlag

I tilfælde af manipulerede digitale bevismaterialer kan § 269 i den tyske straffelov (StGB) være relevant, afhængigt af de konkrete omstændigheder. Bestemmelsen vedrører, under de fastsatte betingelser, lagring eller ændring af bevismæssigt relevante data med vildledende hensigt henholdsvis brugen af sådanne lagrede eller ændrede data. Om en konkret fil eller besked opfylder alle de retslige kriterier, er et juridisk spørgsmål; en teknisk konstatering af manipulation alene giver ikke svar på dette.

I civile retssager er § 371 i ZPO relevant. Ifølge denne bestemmelse kan bevis ved besigtigelse også fremlægges ved fremlæggelse eller fremsendelse af elektroniske dokumenter. § 371a i ZPO indeholder særlige bestemmelser om beviskraft for elektroniske dokumenter, især i forbindelse med kvalificerede elektroniske signaturer og visse offentlige elektroniske dokumenter. Ikke enhver almindelig chatbesked eller billedfil har derfor automatisk den særlige beviskraft, der er fastsat heri.

For ekspertvidnesbyrd gælder §§ 402 ff. i ZPO. En privat bestilt IT-forensisk ekspertvurdering er ikke alene på grund af sin tekniske kvalitet en retslig ekspertvurdering. Dens gennemsigtige metodik og det foreliggende bevismateriale kan dog være vigtigt for advokater og en senere faglig gennemgang.

Hashværdier er et vigtigt redskab til at sikre dataintegriteten, men de er ikke en garanti for, at indholdet er det oprindelige. En hash dokumenterer, at en bestemt datatilstand er forblevet uændret siden hashen blev genereret, eller at den bit for bit stemmer overens med en sammenligningsværdi. Den giver ikke automatisk svar på, om indholdet var blevet manipuleret før sikkerhedskopieringen.

LanCologne vurderer tekniske data og deres betydning. Den juridiske vurdering af bevismaterialet, den strafferetlige klassificering og afgørelsen af, hvilket bevis der tillægges hvilken betydning i sagen, påhviler advokater, efterforskningsmyndigheder og domstole.

Ofte stillede spørgsmål

Hvordan kan jeg få kontrolleret, om et digitalt dokument er blevet ændret efterfølgende?

Chatbeskeder, fotos, videoer og skærmbilleder kan få stor betydning i forbindelse med private, civilretlige eller strafferetlige tvister. Deres visuelle fremstilling giver dog ikke automatisk svar på spørgsmål om oprindelse, ændringer, tidspunkt eller ophavsret.

Hvordan foregår en sådan teknisk undersøgelse i praksis?

Vi undersøger originalfilen, den interne struktur, metadata, indlejrede objekter, signaturer og eksisterende sammenligningsversioner.

Kan en sådan undersøgelse altid give et entydigt resultat?

Ikke alle ændringer efterlader et entydigt historisk bevis. Uden en tidligere referencedate kan man ofte kun vurdere den aktuelle tilstand.

Er der et retsgrundlag for dette?

I tilfælde af manipulerede digitale bevismaterialer kan § 269 i den tyske straffelov (StGB) være relevant, afhængigt af de konkrete omstændigheder. Bestemmelsen vedrører, under de i den fastsatte betingelser, lagring eller ændring af bevismæssigt relevante data med vildledende hensigt eller brugen af sådanne lagrede eller ændrede data. Om en konkret fil eller besked opfylder alle lovbestemte kriterier, er et juridisk spørgsmål; en teknisk konstatering af manipulation alene giver ikke svar herpå. I civile retssager er § 371 i den tyske retsplejelov (ZPO) relevant. Ifølge denne bestemmelse kan bevis ved synsbevis også fremlægges ved fremlæggelse eller fremsendelse af elektroniske dokumenter. § 371a i den tyske proceslov (ZPO) indeholder særlige bestemmelser om beviskraften af elektroniske dokumenter, især i forbindelse med kvalificerede elektroniske signaturer og visse offentlige elektroniske dokumenter. Ikke enhver almindelig chatbesked eller billedfil har derfor automatisk den særlige beviskraft, der er fastsat deri. For sagkyndigbevis gælder §§ 402 ff. ZPO. En privat bestilt it-forensisk ekspertvurdering er ikke alene på grund af sin tekniske kvalitet en retslig sagkyndigvurdering. Dens gennemsigtige metodik og det foreliggende bevismateriale kan dog være vigtigt for advokater og en senere faglig gennemgang. Hashværdier er et vigtigt integritetsværktøj, men ingen ægthedsgaranti for det oprindelige indhold. En hash dokumenterer, at en bestemt datatilstand er forblevet uændret siden hash-dannelsen eller stemmer bit for bit overens med en sammenligningstilstand. Den giver ikke automatisk svar på, om indholdet var blevet manipuleret før sikkerhedskopieringen. LanCologne vurderer tekniske data og deres beviskraft. Den juridiske vurdering af bevismaterialet, den strafferetlige klassificering og afgørelsen om, hvilket bevis der tillægges hvilken betydning i sagen, påhviler advokater, efterforskningsmyndigheder og domstole.