IT-kriminalteknik · Domstole

Kan man fastslå, om et foto eller en video er optaget med en bestemt enhed?

Medier indeholder ofte metadata om udstyr og optagelse, men disse kan mangle, være ændret eller være blevet erstattet ved efterbehandling.

Uforpligtende forespørgsel

For retten er det ikke afgørende, hvor mange programmer der anvendes. Det afgørende er, hvilke tekniske kendsgerninger der pålideligt kan fastslås ud fra den foreliggende database, hvordan denne fastslåelse kommer i stand, og hvilke begrænsninger der er ved fortolkningen.

Det konkrete bevisspørgsmål

Vi kontrollerer EXIF- og containerdata, codec- og filstrukturer, enhedsspecifikke egenskaber samt tilhørende mediebiblioteker.

Hvorfor den tekniske kontekst er afgørende

Digitale spor opstår ikke isoleret. Operativsystem, applikation, cloud-tjeneste, netværk og brugerkontekst kan alle på forskellige måder føre til det samme synlige resultat. Derfor betragtes et enkelt tidsstempel, en logpost eller en databaseværdi ikke som en endelig konklusion uden en undersøgelse af den logik, der ligger bag deres opståen. Om nødvendigt sammenholdes flere uafhængige spor med hinanden.

Hvor grænsen for udsagn ligger

En modelangivelse i metadata er ikke i sig selv et bevis på ægthed. En pålidelig tilknytning til et konkret enkeltapparat kræver yderligere kendetegn.

Hvordan LanCologne behandler bevisproblemet

Hos LanCologne tager den retsmedicinske IT-undersøgelse udgangspunkt i bevisspørgsmålet og ikke i et bestemt analyseprogram. Først fastlægges det, hvilke tekniske forhold der skal afklares, hvilke datakilder der er relevante i denne sammenhæng, og hvilke alternative forklaringer der skal undersøges grundigt.

Udgangsdataene og bevismaterialet dokumenteres. I det omfang det er teknisk muligt, foretages analysen på verificerede retsmedicinske sikkerhedskopier eller egnede arbejdskopier. Automatisk genererede resultater accepteres ikke uden nærmere undersøgelse, når det drejer sig om spørgsmål, der er afgørende for beslutningen. Det afgørende er det pågældende artefakts oprindelse, dannelseslogik og kontekst. Væsentlige fund kontrolleres om nødvendigt på baggrund af de underliggende data eller ved hjælp af en anden fagligt egnet metode.

I ekspertudtalelsen adskilles faktiske konstateringer, faglig fortolkning og konklusion. Lige så vigtigt er afgrænsningen af udsagnet: Hvad er teknisk dokumenteret? Hvad er blot underbygget? Hvilke modstridende fund foreligger der? Hvilke alternative forklaringer er stadig mulige? Hvad kan man ikke fastslå på baggrund af de foreliggende data?

Hoveddelen er formuleret på en måde, så den er forståelig for dommere og andre parter i sagen, der ikke har særlige kendskaber til it-kriminalteknik. Den tekniske verificerbarhed bevares. De datakilder, integritetsoplysninger, artefakter og undersøgelsestrin, der er afgørende for en uafhængig efterprøvning, dokumenteres på en overskuelig måde i et teknisk afsnit.

Fra opgaven til en pålidelig konklusion

Fund, modfund og manglende påvisning

En retsmedicinsk udtalelse skal forblive åben for alle mulige resultater. Hvis dataene understøtter en hypotese, forklares det, hvorfor dette er tilfældet. Hvis pålidelige spor modsiger hypotesen, skal disse ligeledes fremlægges. Er datagrundlaget ikke tilstrækkeligt, skal den manglende bevisførelse udtrykkeligt nævnes. Der må ikke udledes en tilsyneladende sikker konklusion ud fra et datahul.

Forståeligt for retten – kan efterprøves af modeksperten

De faglige kerneaspekter forklares i et letforståeligt sprog. Tekniske termer anvendes kun, hvor det er nødvendigt, og forklares derefter. Samtidig dokumenteres de afgørende tekniske grundlag på en sådan måde, at en uafhængig IT-kriminaltekniker kan følge tankegangen ud fra den samme datagrundlag og om nødvendigt gentage den.

Metodisk indplacering

Der findes ingen lovmæssig liste over foreskrevne analyseprogrammer til retslig it-kriminalteknik. Fagligt set er det afgørende, at der foreligger en kontrolleret database, integritet, dokumenterede undersøgelsestrin, gennemsigtige konklusioner og mulighed for uafhængig efterprøvning.

BSI-grundbeskyttelsesmodulet DER.2.2 „Forberedelse til IT-kriminalteknik“ indeholder nyttige grundlæggende principper til forberedelse af senere IT-kriminaltekniske undersøgelser og til sikring af bevismateriale ved IT-sikkerhedshændelser. Den er dog udtrykkeligt ikke et regelsæt for IT-forensiske undersøgelser i forbindelse med strafbare handlinger; heller ikke selve den forensiske analyse er genstand for denne modul. Den fremstilles derfor ikke som en standard for retsmedicinsk undersøgelse i straffesager.

LanCologne som uafhængig IT-ekspert

Når en domstol har behov for at få afklaret et konkret spørgsmål vedrørende digitalt bevismateriale på det tekniske plan, undersøger vi den foreliggende database uafhængigt og uden forudindtagethed. Målet er ikke at opnå så mange tekniske resultater som muligt, men derimod at give et fagligt velbegrundet svar: et svar, der er forståeligt for domstolen, gennemsigtigt i sin begrundelse og teknisk verificerbart.

For sagkyndigbevis i civile sager er især §§ 402 ff. i ZPO afgørende. I henhold til § 404a i ZPO leder retten sagkyndigens arbejde og kan fastlægge arten og omfanget af hans arbejde. I tilfælde af omstridte faktiske omstændigheder fastlægger retten, hvilke faktiske omstændigheder der skal danne grundlag for ekspertvurderingen. § 407a i ZPO forpligter blandt andet eksperten til straks at undersøge, om opgaven falder inden for hans eller hendes fagområde; tvivl om opgavens indhold og omfang skal afklares af retten. Den skriftlige ekspertudtalelse og eventuelle forklaringer eller tilføjelser er reguleret i § 411 i ZPO. Den endelige vurdering af ekspertudtalelsen sammen med det samlede resultat af bevisoptagelsen forbliver domstolens opgave (§ 286 i ZPO).

I forbindelse med retsmedicinske udtalelser i straffesager gælder §§ 72 ff. i straffeprocesloven (StPO) for sagkyndige; § 78 i straffeprocesloven vedrører dommerens ledelse af den sagkyndiges arbejde. Hvilke bestemmelser der er relevante i den konkrete sag, afhænger af sagstypen og opgaven. Den it-forensiske undersøgelse erstatter ikke en juridisk vurdering.

Ofte stillede spørgsmål

LanCologne – IT-kriminalteknik til domstolene

Har du et spørgsmål vedrørende digital kriminalitet? LanCologne hjælper dig med en objektiv og resultatorienteret IT-forensisk undersøgelse.

Kontakt os nu