IT-kriminalteknik · Privatpersoner

Hvordan kan jeg få tjekket, hvornår et foto rent faktisk blev taget?

Das Datum, das eine Galerie-App anzeigt, ist nicht zwangsläufig der Aufnahmezeitpunkt. Es kann aus den EXIF-Daten stammen, aus der Dateisystemzeit, aus dem Zeitpunkt des Imports oder des Empfangs über einen Messenger. Für einen belastbaren Zeitpunkt müssen mehrere unabhängige Quellen übereinstimmen.

Uforpligtende forespørgsel

Hvorfor dette spørgsmål er vigtigt for privatpersoner

Chatbeskeder, fotos, videoer og skærmbilleder kan få stor betydning i forbindelse med private, civilretlige eller strafferetlige tvister. Deres visuelle fremstilling giver dog ikke automatisk svar på spørgsmål om oprindelse, ændringer, tidspunkt eller ophavsret.

Teknisk baggrund

EXIF-Felder wie DateTimeOriginal, OffsetTimeOriginal und GPS-Zeit werden von der Kamera geschrieben – nach der jeweiligen Geräteuhr. Messenger entfernen Metadaten häufig beim Versand. Cloud-Dienste ergänzen eigene Upload-Zeitpunkte. Bearbeitungsprogramme können Felder überschreiben.

Relevante spor og datakilder

• EXIF/XMP: DateTimeOriginal, Zeitzonen-Offset, GPS-Zeitstempel, Kameramodell, Seriennummer
• Dateisystemzeiten auf Gerät oder Speicherkarte
• Fotodatenbank des Smartphones (z. B. Photos.sqlite auf iOS)
• Upload- und Empfangszeitpunkte in Cloud oder Messenger
• Bildinhalt-Plausibilität (z. B. Schatten, Wetter, sichtbare Uhrzeit)

Grænser

• Liegt nur eine weitergeleitete Kopie ohne Metadaten vor, ist der Zeitpunkt oft nicht bestimmbar.
• EXIF-Daten lassen sich verändern; einzelne Zeitstempel beweisen nichts allein.

Mulige resultater

• Aufnahmezeitpunkt durch mehrere Quellen gestützt
• Zeitpunkt nur eingrenzbar (frühester/spätester Zeitpunkt)
• Hinweise auf nachträgliche Änderung von Zeitstempeln

Hvorfor LanCologne?

Digitale Beweismittel wirken für Laien häufig eindeutiger, als sie technisch sind. Ein Screenshot kann echt aussehen und trotzdem bearbeitet sein.

Sådan gør vi

• Original-Datei oder besser das Aufnahmegerät sichern.
• Alle vorhandenen Zeitquellen auslesen und Zeitzonen bzw. Geräteuhr berücksichtigen.
• Widersprüche erklären oder als offen kennzeichnen.

Autenticitet er ikke det samme som ophavsret

En besked kan teknisk set være gemt på en konto eller en enhed, uden at det alene heraf med sikkerhed kan udledes, hvilken fysisk person der har skrevet den. Denne adskillelse forhindrer, at en korrekt teknisk konklusion blandes sammen med en ubegrundet påstand om, hvem der er afsenderen.

De oprindelige data er vigtigere end den rene skærmvisning

Et skærmbillede kan være værdifuldt, især hvis indholdet forsvinder senere. Til en mere indgående undersøgelse forsøger vi dog også at indhente originalfiler, appdata, databaser eller andre primære kilder. De indeholder ofte kontekst, som mangler i den synlige visning.

Hvorfor anvendes LanCologne ved undersøgelsen af digitale bevismidler?

LanCologne betragter ikke digitalt indhold som sandt eller falsk, blot fordi det ser plausibelt ud. Vi gennemgår det tilgængelige tekniske bevismateriale, dokumenterer oprindelsen og udsagnets begrænsninger og udarbejder konklusionen på en sådan måde, at den er forståelig for privatkunder og samtidig kan efterprøves af advokater, efterforskningsmyndigheder, domstole eller andre kvalificerede IT-forensikere.

I tilfælde af manipulerede digitale bevismaterialer kan § 269 i den tyske straffelov (StGB) være relevant, afhængigt af de konkrete omstændigheder. Bestemmelsen vedrører, under de fastsatte betingelser, lagring eller ændring af bevismæssigt relevante data med vildledende hensigt henholdsvis brugen af sådanne lagrede eller ændrede data. Om en konkret fil eller besked opfylder alle de retslige kriterier, er et juridisk spørgsmål; en teknisk konstatering af manipulation alene giver ikke svar på dette.

I civile retssager er § 371 i ZPO relevant. Ifølge denne bestemmelse kan bevis ved besigtigelse også fremlægges ved fremlæggelse eller fremsendelse af elektroniske dokumenter. § 371a i ZPO indeholder særlige bestemmelser om beviskraft for elektroniske dokumenter, især i forbindelse med kvalificerede elektroniske signaturer og visse offentlige elektroniske dokumenter. Ikke enhver almindelig chatbesked eller billedfil har derfor automatisk den særlige beviskraft, der er fastsat heri.

For ekspertvidnesbyrd gælder §§ 402 ff. i ZPO. En privat bestilt IT-forensisk ekspertvurdering er ikke alene på grund af sin tekniske kvalitet en retslig ekspertvurdering. Dens gennemsigtige metodik og det foreliggende bevismateriale kan dog være vigtigt for advokater og en senere faglig gennemgang.

Hashværdier er et vigtigt redskab til at sikre dataintegriteten, men de er ikke en garanti for, at indholdet er det oprindelige. En hash dokumenterer, at en bestemt datatilstand er forblevet uændret siden hashen blev genereret, eller at den bit for bit stemmer overens med en sammenligningsværdi. Den giver ikke automatisk svar på, om indholdet var blevet manipuleret før sikkerhedskopieringen.

LanCologne vurderer tekniske data og deres betydning. Den juridiske vurdering af bevismaterialet, den strafferetlige klassificering og afgørelsen af, hvilket bevis der tillægges hvilken betydning i sagen, påhviler advokater, efterforskningsmyndigheder og domstole.

Ofte stillede spørgsmål

Relaterede emner

• Hvordan kan jeg få fastslået, om et foto er blevet redigeret efterfølgende?
• Hvordan kan jeg få fastslået, om skadesbilleder eller bevismateriale er blevet redigeret efterfølgende?
• IT-kriminalteknik for privatpersoner

LanCologne – IT-kriminalteknik for privatpersoner

Har du et spørgsmål vedrørende digital kriminalitet? LanCologne hjælper dig med en objektiv og resultatorienteret IT-forensisk undersøgelse.

Kontakt os nu