Diese Übersicht bündelt alle Fragen und Antworten rund um IT-Forensik für Gerichte bei LanCologne – von der Zuordnung von Nutzern und Konten über Dateien, Metadaten und Kommunikationsspuren bis hin zu Widersprüchen in digitalen Beweismitteln und der Rolle des IT-Sachverständigen im Gerichtsverfahren. Klicken Sie auf eine Kategorie, um die passenden Fragen zu sehen.
Nutzer- und Kontozuordnung
- Kan man fastslå, hvem der har brugt en computer eller en smartphone?
- Kan en konkret brugerindtastning påvises teknisk?
- Kan den faktiske afsendelse af en besked skelnes fra, at den blot findes på kontoen?
- Kan man skelne mellem en lokal brugerkonto, en domænekonto og en cloud-konto?
- Er det muligt at rekonstruere et brugerskift eller en parallel brugersession?
- Welche Aussagekraft hat eine automatische Anmeldung?
- Kann ein digitales Artefakt einem bestimmten Benutzerprofil zugeordnet werden?
- Wie sind Artefakte aus gemeinsam genutzten oder technischen Konten zu bewerten?
- Kann unterschieden werden, ob digitale Daten automatisch oder durch eine Benutzerhandlung erzeugt wurden?
- Kann festgestellt werden, ob ein Benutzerkonto kompromittiert oder von einem Dritten verwendet wurde?
- Wie werden digitale Spuren bewertet, wenn mehrere Geräte denselben Account verwenden?
- Kann eine digitale Handlung bei gemeinsam genutzten Computern einem bestimmten Benutzer zugeordnet werden?
- Er det muligt at skelne pålideligt mellem en lokal brugerkonto, en domænekonto og en cloud-konto?
- Kann ein Benutzerwechsel oder eine parallele Benutzersitzung nachgewiesen werden?
- Welche Aussagekraft hat eine automatische Anmeldung für die Benutzerzuordnung?
- Kann ein digitales Artefakt einem bestimmten Benutzerprofil innerhalb eines Mehrbenutzersystems zugeordnet werden?
Kommunikation: Chat, E-Mail und Nachrichten
- Kan man teknisk set kontrollere, om en chatlog er ægte og fuldstændig?
- Er det teknisk muligt at spore en e-mails oprindelse og afsendelsesvej?
- Hvilken beviskraft har push-beskeder som digitalt bevismateriale?
- Hvad beviser en digital læsebekræftelse egentlig?
- Hvordan skal man vurdere forskelle i nyhedsstatus hos afsender og modtager?
- Kan man skelne mellem modtagelse, lagring, åbning og behandling af en e-mail-vedhæftet fil?
- Kan man fastslå, om en e-mail er blevet videresendt, eller om indholdet er blevet kopieret manuelt?
- Hvilken informativ værdi har e-mail-headere med hensyn til afsender og overførselsvej?
- Kan man fastslå, om en e-mail er blevet slettet lokalt, på serveren eller via synkronisering?
Fotos, Videos und Multimedia
- Kann aus einer Bildschirmsperre auf tatsächliche Gerätenutzung geschlossen werden?
- Kan man fastslå, om et foto eller en video er optaget med en bestemt enhed?
- Kann zwischen Originalaufnahme, bearbeiteter Datei und konvertierter Kopie unterschieden werden?
- Welche Aussagekraft haben Vorschaubilder und Thumbnail-Caches?
- Welche Aussagekraft besitzt eine Bildschirmaufzeichnung als digitales Beweismittel?
- Wie belastbar sind Foto- und Video-Metadaten als gerichtlicher Beweis?
- Beweist ein Vorschaubild oder Thumbnail, dass die zugehörige Datei geöffnet wurde?
Geräte, Netzwerk und Systemartefakte
- Kann festgestellt werden, ob ein Gerät mit einem bestimmten WLAN verbunden war?
- Welche Aussagekraft haben identische Dateien auf mehreren Geräten?
- Kann festgestellt werden, welches Gerät eine synchronisierte Änderung ursprünglich erzeugt hat?
- Kann ein behaupteter Fernzugriff auf einen Computer technisch belegt werden?
- Kann ein Netzwerkwechsel eines Geräts zeitlich rekonstruiert werden?
- Kan man fastslå, om en systemopdatering har ændret eller slettet digitale spor?
- Wie wirkt sich die Migration auf ein neues Gerät auf die Beweisbewertung aus?
- Kann nachgewiesen werden, ob ein bestimmtes externes Gerät mit einem Computer verbunden war?
- Kann festgestellt werden, ob eine bestimmte Software installiert oder tatsächlich ausgeführt wurde?
- Kann die frühere Installation einer inzwischen deinstallierten Software nachträglich festgestellt werden?
- Kan det påvises, om data er blevet overført eller hentet via en netværksdeling?
- Welche Aussagekraft besitzen flüchtige Daten aus dem Arbeitsspeicher vor Gericht?
- Kann eine Remote-Desktop- oder Fernzugriffssitzung nachträglich nachgewiesen werden?
- Kann festgestellt werden, ob ein Gerät zum relevanten Zeitpunkt gesperrt oder aktiv bedient wurde?
- Kann nachvollzogen werden, mit welchem Netzwerk ein Gerät zu einem bestimmten Zeitpunkt verbunden war?
- Wie werden Zeitangaben externer Server mit der lokalen Gerätezeit verglichen?
- Welchen Einfluss können Systemupdates auf digitale Spuren haben?
- Kann eine Migration von einem alten auf ein neues Gerät forensisch erkannt werden?
Löschung, Wiederherstellung und Backup
- Kan det bevises, om data er blevet slettet bevidst?
- Hvilke spor kan en gendannelse fra en sikkerhedskopi efterlade?
- Hvad kan man med sikkerhed fastslå efter en nulstilling til fabriksindstillingerne?
- Hvilken bevisværdi har sikkerhedskopier, snapshots og historiske sikkerhedskopier?
- Kan man fastslå, om et lagringsmedie er blevet formateret, eller om et operativsystem er blevet geninstalleret?
- Welche Aussagekraft besitzen Papierkorb- und Trash-Artefakte vor Gericht?
- Kann festgestellt werden, ob gelöschte Daten später überschrieben wurden?
- Wie beeinflusst eine Wiederherstellung aus einem Backup die Beweisbewertung?
- Welche Aussagen sind nach einem Zurücksetzen auf Werkseinstellungen noch möglich?
Authentifizierung, Verschlüsselung und Zugriffsschutz
- Kan man skelne mellem adgangskode-, biometrisk og sessionsbaseret autentificering?
- Hvilken beviskraft har gemte adgangskoder, tokens og adgangsoplysninger i retten?
- Hvilken betydning har krypterede containere og virtuelle datamedier?
- Hvilken udtalelse er tilladt, når bevismaterialet er krypteret eller kun delvist tilgængeligt?
- Hvordan kontrolleres en digital signatur rent teknisk?
Anonymisierung, VPN und Netzwerkspuren
- Hvilken betydning har brugen af et VPN for tilknytningen af digitale aktiviteter?
- Hvordan klassificeres proxy-, relay- eller anonymiseringsforbindelser i forbindelse med digital efterforskning?
- Hvilken beviskraft har DNS-spor som bevis for internetaktivitet?
- Hvilken betydning har brugen af et VPN for tilskrivningen af internetaktiviteter?
Cloud, virtuelle Systeme und Container
- Kan man fastslå, om et arkiv er blevet udpakket, eller om dets indhold er blevet brugt?
- Hvordan undersøges virtuelle maskiner som digitalt bevismateriale?
- Er det muligt at fastslå, om en virtuel maskine kørte på et bestemt tidspunkt?
- Hvilken beviskraft har spor fra cloud-synkronisering i retten?
- Hvilken beviskraft har krypterede containere og virtuelle datamedier i retten?
- Hvordan undersøges virtuelle maskiner som digitalt bevismateriale?
Dateien, Metadaten und Zeitstempel
- Kan man fastslå, hvornår en fil er oprettet eller ændret?
- Kan man fastslå, om en fil rent faktisk er blevet åbnet eller brugt?
- Kann festgestellt werden, ob eine Datei nur angezeigt oder tatsächlich bearbeitet wurde?
- Hvilken betydning har udkast, autosave-filer og midlertidige dokumenter?
- Kan en fil knyttes til et bestemt program, der har oprettet den?
- Er det muligt at se, om et dokument er eksporteret fra en anden fil?
- Kan spor fra udklipsholderen bevise, at der er foretaget en kopier-og-indsæt-handling?
- Hvilken beviskraft har ZIP-, RAR- og andre arkivfiler i retten?
- Wie belastbar ist eine digitale Timeline vor Gericht?
- Welche Aussagekraft haben Suchindexe und indexierte Dateiinhalte?
- Kann eine tatsächlich ausgeführte Suche von einer bloßen Indexierung unterschieden werden?
- Kann festgestellt werden, ob eine digitale Handlung durch eine geplante Aufgabe oder Automatisierung ausgelöst wurde?
- Kann festgestellt werden, ob eine Berechtigung zu einem bestimmten Zeitpunkt bestand?
- Kann eine Änderung von Benutzer- oder Gruppenberechtigungen rekonstruiert werden?
- Wann darf aus dem Fehlen eines digitalen Artefakts überhaupt ein Schluss gezogen werden?
- Kann nachgewiesen werden, ob ein digitales Dokument nachträglich verändert wurde?
- Kann festgestellt werden, welche Version eines Dokuments zu einem bestimmten Zeitpunkt vorlag?
- Kan man fastslå, om en fil er blevet downloadet fra internettet?
- Kann festgestellt werden, ob ein Computer zu einem bestimmten Zeitpunkt ein- oder ausgeschaltet war?
- Kann nachvollzogen werden, ob Dateien umbenannt oder innerhalb eines Systems verschoben wurden?
- Hvilken beviskraft har gendannede eller kun delvist bevarede filer i retten?
- Kan man fastslå, om en fil eller en oplysning er blevet udskrevet?
- Kann festgestellt werden, ob eine Datei tatsächlich geöffnet wurde?
- Kan det bevises, at en person rent faktisk har taget indholdet af en digital fil til efterretning?
- Kan man se, om en fil er blevet kopieret, flyttet eller synkroniseret?
- Kan tidspunktet for en sletning afgrænses teknisk set?
- Kan det bevises, at der har været adgang til en fil, selvom filen forblev uændret?
- Kan man påvise, at der er blevet manipuleret med fil- eller systemtidsstempler?
- Er det muligt at skelne mellem en original mediefil og en konverteret eller genlagret version?
- Welche Aussagekraft haben Suchindexe für die Existenz oder Nutzung einer Datei?
Widersprüche, Plausibilität und Beweiswürdigung
- Hvordan undersøger en IT-sagkyndig en påstået hændelsesforløb, når de digitale beviser modsiger hinanden?
- Hvor pålidelige er metadata, der kan ændres manuelt, som bevismateriale?
- Kan malware være en alternativ forklaring på en digital handling?
- Hvordan skal man håndtere modstridende digitale spor?
- Hvordan kontrolleres en påstået digital hændelseskæde for teknisk plausibilitet?
- Wie bewertet ein IT-Sachverständiger zwei technisch plausible Erklärungen?
- Wie wird ein technischer Nichtnachweis im Gutachten sauber formuliert?
- Wie sind widersprüchliche digitale Beweismittel in einem IT-Gutachten zu behandeln?
Gutachten, Gerichtsverfahren und Sachverständige
- Wie wird die Unabhängigkeit und Neutralität eines IT-Sachverständigen praktisch umgesetzt?
- Warum muss ein IT-Gutachten für Nicht-Forensiker verständlich sein?
- Warum gehört ein technischer Anhang zu einem nachvollziehbaren IT-Gutachten?
- Wie wird ein IT-Gutachten für ein mögliches Gegengutachten reproduzierbar aufgebaut?
- Wie wird eine gerichtliche IT-Beweisfrage abschließend und eindeutig beantwortet?
- Wie werden Zeitzonen, Sommerzeit und fehlerhafte Systemuhren im Gutachten berücksichtigt?
- Wie kann ein bereits vorliegendes privates IT-Gutachten technisch überprüft werden?
- Sachverständiger oder sachverständiger Zeuge – was ist bei digitalen Tatsachen zu unterscheiden?
- Wie wird ein IT-Gutachten vor Gericht erläutert und auf Ergänzungsfragen geprüft?
- Welche Bedeutung hat eine lückenhafte Chain of Custody für die technische Aussagekraft?
- Was geschieht, wenn während der IT-forensischen Untersuchung neue, vom gerichtlichen Auftrag nicht erfasste Tatsachen auffallen?
- Wo endet die technische Schlussfolgerung des IT-Sachverständigen und wo beginnt die Beweiswürdigung des Gerichts?
Sonstige Beweisfragen
- Welchen Beweiswert hat ein Screenshot oder Foto eines digitalen Inhalts?
- Kan det bevises, om data er blevet kopieret til et USB-medie?
- Hvordan sikres digitale bevismidler på en sådan måde, at efterforskningen senere kan kontrolleres?
- I hvor høj grad kan digitale lokaliseringsdata anvendes som bevis i retten?
- Kan en påstået brug af internettet eller en browser rekonstrueres teknisk set?
- Er det muligt at spore oprindelsen af en digital fil eller et datasæt?
- Wie wird mit beschädigten oder unvollständigen digitalen Beweismitteln umgegangen?
- Wie werden Datenbankeinträge und WAL-/Journal-Spuren vor Gericht bewertet?
- Welche Aussagekraft haben System- und Ereignisprotokolle vor Gericht?
- Kan en IP-adresse knyttes til en bestemt person?
- Lassen sich Hinweise auf Anti-Forensik oder gezielte Spurenbeseitigung feststellen?
- Was ist beweiskräftiger: Originaldaten, forensische Sicherung oder exportierter Report?
- Wann kann eine neue IT-forensische Begutachtung nach § 412 ZPO sinnvoll sein?
- Kann nachgewiesen werden, ob ein digitales Beweismittel nach der Sicherstellung verändert wurde?
- Kann festgestellt werden, ob administrative oder erhöhte Rechte verwendet wurden?
- Wie ist ein digitales Beweismittel zu bewerten, das vor der forensischen Sicherung bereits weiter benutzt wurde?
- Kann die Reihenfolge mehrerer digitaler Handlungen zuverlässig rekonstruiert werden?
- Kann die Echtheit und Herkunft eines Screenshots technisch geprüft werden?
- Kann festgestellt werden, wann ein ZIP-, RAR- oder anderes Archiv erstellt oder entpackt wurde?
- Kann bei einer PDF-Datei nachvollzogen werden, aus welchem Quelldokument sie erzeugt wurde?