Denne oversigt samler alle spørgsmål og svar om IT-kriminalteknik til domstolene hos LanCologne – lige fra tilknytning af brugere og konti over filer, metadata og kommunikationsspor til uoverensstemmelser i digitale bevismidler og IT-ekspertens rolle i retssager. Klik på en kategori for at se de relevante spørgsmål.
Bruger- og kontotilknytning
- Kan man fastslå, hvem der har brugt en computer eller en smartphone?
- Kan en konkret brugerindtastning påvises teknisk?
- Kan den faktiske afsendelse af en besked skelnes fra, at den blot findes på kontoen?
- Kan man skelne mellem en lokal brugerkonto, en domænekonto og en cloud-konto?
- Er det muligt at rekonstruere et brugerskift eller en parallel brugersession?
- Hvilken betydning har en automatisk tilmelding?
- Kan en digital artefakt knyttes til en bestemt brugerprofil?
- Hvordan skal artefakter fra fælles eller tekniske konti vurderes?
- Kan man skelne mellem, om digitale data er genereret automatisk eller ved en brugerhandling?
- Er det muligt at fastslå, om en brugerkonto er blevet kompromitteret eller brugt af en tredjepart?
- Hvordan vurderes digitale spor, når flere enheder bruger den samme konto?
- Kan en digital handling på fælles computere tilskrives en bestemt bruger?
- Er det muligt at skelne pålideligt mellem en lokal brugerkonto, en domænekonto og en cloud-konto?
- Kan det påvises, at der er sket et brugerskift eller en parallel brugersession?
- Hvilken betydning har en automatisk tilmelding for brugertildelingen?
- Kan en digital artefakt tilknyttes en bestemt brugerprofil inden for et flerbrugersystem?
Kommunikation: Chat, e-mail og beskeder
- Kan man teknisk set kontrollere, om en chatlog er ægte og fuldstændig?
- Er det teknisk muligt at spore en e-mails oprindelse og afsendelsesvej?
- Hvilken beviskraft har push-beskeder som digitalt bevismateriale?
- Hvad beviser en digital læsebekræftelse egentlig?
- Hvordan skal man vurdere forskelle i nyhedsstatus hos afsender og modtager?
- Kan man skelne mellem modtagelse, lagring, åbning og behandling af en e-mail-vedhæftet fil?
- Kan man fastslå, om en e-mail er blevet videresendt, eller om indholdet er blevet kopieret manuelt?
- Hvilken informativ værdi har e-mail-headere med hensyn til afsender og overførselsvej?
- Kan man fastslå, om en e-mail er blevet slettet lokalt, på serveren eller via synkronisering?
Fotos, videoer og multimedie
- Kan man ud fra en skærmlås konkludere, at enheden rent faktisk er i brug?
- Kan man fastslå, om et foto eller en video er optaget med en bestemt enhed?
- Kan man skelne mellem den originale optagelse, den redigerede fil og den konverterede kopi?
- Hvilken betydning har forhåndsvisningsbilleder og thumbnail-caches?
- Hvilken beviskraft har en skærmoptagelse som digitalt bevismateriale?
- I hvor høj grad kan foto- og videometadata bruges som bevis i retten?
- Viser et forhåndsvisningsbillede eller en miniature, at den tilhørende fil er blevet åbnet?
Enheder, netværk og systemobjekter
- Er det muligt at fastslå, om en enhed har været forbundet med en bestemt WLAN?
- Hvilken betydning har identiske filer på flere enheder?
- Er det muligt at fastslå, hvilken enhed der oprindeligt har foretaget en synkroniseret ændring?
- Kan en påstand om fjernadgang til en computer bevises teknisk?
- Er det muligt at rekonstruere tidspunktet for en enheds netværksskift?
- Kan man fastslå, om en systemopdatering har ændret eller slettet digitale spor?
- Hvordan påvirker overførslen til en ny enhed vurderingen af bevismaterialet?
- Kan det bevises, om en bestemt ekstern enhed har været tilsluttet en computer?
- Er det muligt at fastslå, om et bestemt program er blevet installeret eller rent faktisk kørt?
- Kan man efterfølgende fastslå, om et program, der nu er afinstalleret, tidligere har været installeret?
- Kan det påvises, om data er blevet overført eller hentet via en netværksdeling?
- Hvilken beviskraft har flygtige data fra arbejdshukommelsen i retten?
- Kan en fjernskrivebords- eller fjernadgangssession efterfølgende dokumenteres?
- Kan det fastslås, om en enhed var spærret eller aktivt i brug på det pågældende tidspunkt?
- Er det muligt at spore, hvilket netværk en enhed var forbundet til på et bestemt tidspunkt?
- Hvordan sammenlignes tidsangivelser fra eksterne Server med enhedens lokale tid?
- Hvilken indflydelse kan systemopdateringer have på digitale spor?
- Kan en overførsel fra en gammel enhed til en ny enhed påvises ved hjælp af kriminalteknisk analyse?
Sletning, gendannelse og sikkerhedskopiering
- Kan det bevises, om data er blevet slettet bevidst?
- Hvilke spor kan en gendannelse fra en sikkerhedskopi efterlade?
- Hvad kan man med sikkerhed fastslå efter en nulstilling til fabriksindstillingerne?
- Hvilken bevisværdi har sikkerhedskopier, snapshots og historiske sikkerhedskopier?
- Kan man fastslå, om et lagringsmedie er blevet formateret, eller om et operativsystem er blevet geninstalleret?
- Hvilken beviskraft har papirkurv- og trash-filer i retten?
- Kan man fastslå, om slettede data senere er blevet overskrevet?
- Hvordan påvirker en gendannelse fra en sikkerhedskopi vurderingen af bevismaterialet?
- Hvilke oplysninger kan man stadig få efter en nulstilling til fabriksindstillingerne?
Autentificering, kryptering og adgangsbeskyttelse
- Kan man skelne mellem adgangskode-, biometrisk og sessionsbaseret autentificering?
- Hvilken beviskraft har gemte adgangskoder, tokens og adgangsoplysninger i retten?
- Hvilken betydning har krypterede containere og virtuelle datamedier?
- Hvilken udtalelse er tilladt, når bevismaterialet er krypteret eller kun delvist tilgængeligt?
- Hvordan kontrolleres en digital signatur rent teknisk?
Anonymisering, VPN og netværksspor
- Hvilken betydning har brugen af et VPN for tilknytningen af digitale aktiviteter?
- Hvordan klassificeres proxy-, relay- eller anonymiseringsforbindelser i forbindelse med digital efterforskning?
- Hvilken beviskraft har DNS-spor som bevis for internetaktivitet?
- Hvilken betydning har brugen af et VPN for tilskrivningen af internetaktiviteter?
Cloud, virtuelle systemer og containere
- Kan man fastslå, om et arkiv er blevet udpakket, eller om dets indhold er blevet brugt?
- Hvordan undersøges virtuelle maskiner som digitalt bevismateriale?
- Er det muligt at fastslå, om en virtuel maskine kørte på et bestemt tidspunkt?
- Hvilken beviskraft har spor fra cloud-synkronisering i retten?
- Hvilken beviskraft har krypterede containere og virtuelle datamedier i retten?
- Hvordan undersøges virtuelle maskiner som digitalt bevismateriale?
Filer, metadata og tidsstempler
- Kan man fastslå, hvornår en fil er oprettet eller ændret?
- Kan man fastslå, om en fil rent faktisk er blevet åbnet eller brugt?
- Kan man fastslå, om en fil blot er blevet vist, eller om den rent faktisk er blevet redigeret?
- Hvilken betydning har udkast, autosave-filer og midlertidige dokumenter?
- Kan en fil knyttes til et bestemt program, der har oprettet den?
- Er det muligt at se, om et dokument er eksporteret fra en anden fil?
- Kan spor fra udklipsholderen bevise, at der er foretaget en kopier-og-indsæt-handling?
- Hvilken beviskraft har ZIP-, RAR- og andre arkivfiler i retten?
- Hvor pålidelig er en digital tidslinje i retten?
- Hvilken informationsværdi har søgeindekser og indekseret filindhold?
- Kan man skelne mellem en faktisk udført søgning og en ren indeksering?
- Kan man fastslå, om en digital handling er blevet udløst af en planlagt opgave eller en automatisering?
- Kan det fastslås, om der forelå en tilladelse på et bestemt tidspunkt?
- Kan en ændring af bruger- eller gruppebevillinger rekonstrueres?
- Hvornår kan man overhovedet drage en konklusion ud fra, at et digitalt artefakt mangler?
- Kan det bevises, om et digitalt dokument er blevet ændret efterfølgende?
- Er det muligt at fastslå, hvilken version af et dokument der forelå på et bestemt tidspunkt?
- Kan man fastslå, om en fil er blevet downloadet fra internettet?
- Er det muligt at fastslå, om en computer var tændt eller slukket på et bestemt tidspunkt?
- Er det muligt at spore, om filer er blevet omdøbt eller flyttet inden for et system?
- Hvilken beviskraft har gendannede eller kun delvist bevarede filer i retten?
- Kan man fastslå, om en fil eller en oplysning er blevet udskrevet?
- Kan man fastslå, om en fil rent faktisk er blevet åbnet?
- Kan det bevises, at en person rent faktisk har taget indholdet af en digital fil til efterretning?
- Kan man se, om en fil er blevet kopieret, flyttet eller synkroniseret?
- Kan tidspunktet for en sletning afgrænses teknisk set?
- Kan det bevises, at der har været adgang til en fil, selvom filen forblev uændret?
- Kan man påvise, at der er blevet manipuleret med fil- eller systemtidsstempler?
- Er det muligt at skelne mellem en original mediefil og en konverteret eller genlagret version?
- Hvilken betydning har søgeindekser for, om en fil findes eller bruges?
Modsigelser, sandsynlighed og bevisvurdering
- Hvordan undersøger en IT-sagkyndig en påstået hændelsesforløb, når de digitale beviser modsiger hinanden?
- Hvor pålidelige er metadata, der kan ændres manuelt, som bevismateriale?
- Kan malware være en alternativ forklaring på en digital handling?
- Hvordan skal man håndtere modstridende digitale spor?
- Hvordan kontrolleres en påstået digital hændelseskæde for teknisk plausibilitet?
- Hvordan vurderer en IT-sagkyndig to teknisk plausible forklaringer?
- Hvordan formuleres en teknisk manglende påvisning korrekt i ekspertudtalelsen?
- Hvordan skal modstridende digitale bevismidler behandles i en IT-ekspertvurdering?
Ekspertudtalelser, retssager og sagkyndige
- Hvordan sikres en IT-eksperts uafhængighed og neutralitet i praksis?
- Hvorfor skal en IT-ekspertvurdering være forståelig for personer, der ikke er retsinformatikere?
- Hvorfor skal en teknisk bilag indgå i en forståelig IT-ekspertvurdering?
- Hvordan udformes en IT-ekspertvurdering, så den kan bruges som grundlag for en eventuel modvurdering?
- Hvordan kan et retligt spørgsmål om IT-beviser besvares endeligt og entydigt?
- Hvordan tages der højde for tidszoner, sommertid og fejlbehæftede systemure i ekspertudtalelsen?
- Hvordan kan en allerede foreliggende privat IT-vurdering underkastes en teknisk gennemgang?
- Ekspert eller ekspertvidne – hvad er forskellen, når det drejer sig om digitale forhold?
- Hvordan fremlægges en IT-ekspertvurdering i retten, og hvordan vurderes den i forbindelse med supplerende spørgsmål?
- Hvilken betydning har en ufuldstændig sporbarhedskæde for den tekniske validitet?
- Hvad sker der, hvis der under den it-forensiske undersøgelse fremkommer nye forhold, som ikke er omfattet af retskendelsen?
- Hvor slutter IT-ekspertens tekniske konklusion, og hvor begynder domstolens vurdering af bevismaterialet?
Andre bevisspørgsmål
- Hvilken bevisværdi har et skærmbillede eller et foto af digitalt indhold?
- Kan det bevises, om data er blevet kopieret til et USB-medie?
- Hvordan sikres digitale bevismidler på en sådan måde, at efterforskningen senere kan kontrolleres?
- I hvor høj grad kan digitale lokaliseringsdata anvendes som bevis i retten?
- Kan en påstået brug af internettet eller en browser rekonstrueres teknisk set?
- Er det muligt at spore oprindelsen af en digital fil eller et datasæt?
- Hvordan håndteres beskadigede eller ufuldstændige digitale bevismidler?
- Hvordan vurderes databaseindtastninger og WAL-/journal-spor i retten?
- Hvilken beviskraft har system- og hændelseslogfiler i retten?
- Kan en IP-adresse knyttes til en bestemt person?
- Kan der konstateres tegn på anti-forensik eller målrettet sletning af spor?
- Hvad har størst beviskraft: originaldata, en retsmedicinsk sikkerhedskopi eller en eksporteret rapport?
- Hvornår kan det være hensigtsmæssigt at gennemføre en ny IT-forensisk undersøgelse i henhold til § 412 i ZPO?
- Kan det bevises, om et digitalt bevismateriale er blevet ændret efter beslaglæggelsen?
- Kan man fastslå, om der er blevet anvendt administrative rettigheder eller udvidede rettigheder?
- Hvordan skal man vurdere et digitalt bevismateriale, der allerede er blevet brugt yderligere, inden det blev sikret af retsteknikerne?
- Kan rækkefølgen af flere digitale handlinger rekonstrueres pålideligt?
- Kan man teknisk set kontrollere, om et skærmbillede er ægte, og hvor det stammer fra?
- Er det muligt at fastslå, hvornår et ZIP-, RAR- eller andet arkiv blev oprettet eller udpakket?
- Kan man i en PDF-fil se, hvilket kildedokument den er oprettet ud fra?