IT-kriminalteknik · Domstole
IT-kriminalteknik til domstolene – bevisførelsen er i centrum
Ein Gericht braucht keinen möglichst langen technischen Bericht und keine Aufzählung eingesetzter Programme. Es braucht eine belastbare Antwort auf die gestellte Beweisfrage.
Genau daran richten wir die Untersuchung aus. Zunächst wird geklärt, was technisch beantwortet werden soll. Danach bestimmen wir, welche Datenquellen hierfür geeignet sind, welche Untersuchungsschritte erforderlich sind und welche alternativen Erklärungen berücksichtigt werden müssen. Erst dann beginnt die eigentliche Auswertung.
Das Ergebnis kann ein positiver Nachweis, ein Ausschluss oder ein begründetes „anhand der vorliegenden Daten nicht sicher feststellbar“ sein. Alle drei Ergebnisse können fachlich richtig sein. Entscheidend ist, dass das Gericht erkennen kann, wie die Aussage zustande gekommen ist und wo ihre Grenzen liegen.
Det egentlige bevisspørgsmål
Wie wird aus einer gerichtlichen Beweisfrage eine technisch belastbare Untersuchung?
Wir zerlegen die gerichtliche Frage in technisch prüfbare Teilfragen. Wenn beispielsweise geklärt werden soll, ob eine Datei an einem bestimmten Tag verändert wurde, genügt nicht ein einzelner Zeitstempel. Zu prüfen sind unter anderem Dateisystemmetadaten, Anwendungsspuren, Sicherungen, Protokolle und gegebenenfalls Synchronisationsvorgänge.
Die Untersuchung bleibt dabei an den gerichtlichen Auftrag gebunden. Bei streitigem Sachverhalt bestimmt das Gericht nach § 404a Absatz 3 ZPO, welche Tatsachen der Begutachtung zugrunde zu legen sind. Wir ersetzen diese Vorgabe nicht durch eigene Annahmen.
Hvor grænsen for udsagn ligger
Ein Sachverständiger darf eine unklare Beweisfrage nicht eigenmächtig in eine andere Frage umdeuten. Bestehen Zweifel über Inhalt oder Umfang des Auftrags, verlangt § 407a Absatz 4 ZPO eine Klärung durch das Gericht.
Hvorfor LanCologne?
I forbindelse med retslige opgaver er det for os ikke afgørende, hvilket analyseprogram der først viser et resultat. Det afgørende er, om bevisproblemet kan besvares fagligt, og om dette svar kan modstå en uafhængig kontrol.
Vi arbejder uden forudindtagelser, dokumenterer oprindelsen af afgørende fund og undersøger alternative tekniske forklaringer. Selve analysen foretages som udgangspunkt på en retsmedicinsk kopi eller et bevissikkert registreret datasæt. Originaler undersøges ikke direkte, medmindre det er absolut nødvendigt. Hvor det er teknisk nødvendigt at foretage indgreb på originalen, dokumenteres de ændringer, der derved kan opstå, udtrykkeligt.
Afhængigt af problemstillingen kontrolleres afgørende resultater enten ved hjælp af en anden fagligt egnet metode eller direkte på baggrund af de underliggende rådata. Hvilke værktøjer der anvendes til dette, afhænger af bevismaterialet og problemstillingen. Det afgørende er metodens egnethed, faglige anerkendelse og gennemsigtighed – ikke et produktnavn.
Vores ekspertvurdering skelner mellem faktiske konstateringer, teknisk vurdering og tilbageværende usikkerhed. En manglende påvisning begrundes lige så omhyggeligt som en positiv påvisning.
Sådan arbejder vi med retslige opgaver
Vores arbejdsmetode – fra retskendelse til svar
Vi undersøger først, om spørgsmålet falder inden for vores fagområde, hvilke faktiske omstændigheder retten lægger til grund, og om opgavens indhold eller omfang er entydigt. Hvis der er tvivl, vil retten sørge for at afklare sagen. Dette er i overensstemmelse med § 404a og § 407a i ZPO.
Eventuelle årsager, der kunne give anledning til tvivl om upartiskheden, undersøges inden den saglige undersøgelse påbegyndes og fremlægges i givet fald for retten.
Udstyr, datamedier, sikkerhedskopier og stillede filer identificeres og dokumenteres. Undersøgelsens status registreres.
I det omfang det er teknisk muligt, oprettes der en retsmedicinsk kopi eller et retsmedicinsk billede. Hashværdier og andre integritetskontroller tjener til entydig identifikation. Originalen opbevares til senere kontroller.
Vi fastlægger, hvilke spor der ville underbygge den påståede hændelse, hvilke modstridende fund der er tænkelige, og hvilke alternative tekniske forklaringer der skal undersøges.
Der undersøges kun de artefakter, der har faglig værdi for bevisvurderingen. Automatiske søgeresultater accepteres ikke uden nærmere undersøgelse.
Konklusioner, der er afgørende for beslutningen, kontrolleres – i det omfang det er nødvendigt – ved hjælp af en anden anerkendt metode, et andet teknisk perspektiv eller direkte på baggrund af rådataene.
Vi undersøger udtrykkeligt, hvilke konklusioner der ikke må drages ud fra dataene. Manglende data, eventuel sletning, tekniske begrænsninger, ufuldstændige udtræk eller modstridende spor nævnes.
Det endelige svar følger af de dokumenterede fund. Det formuleres ikke stærkere, end dataene tillader.
Hovedteksten er letforståelig, også for lægfolk. Det tekniske bilag indeholder de oplysninger, som en uafhængig IT-forensiker har brug for til en faglig gennemgang eller en modudtalelse.
Retsgrundlag
ZPO §§ 403, 404a, 407a, 411, 412; ergänzend § 286 ZPO zur richterlichen Beweiswürdigung. In Strafsachen gelten die §§ 72 ff. StPO für Sachverständige.
Sagkyndigen leverer det faglige faktagrundlag. Den juridiske vurdering og den endelige bevisvurdering er fortsat domstolens opgave.
Ofte stillede spørgsmål
LanCologne – IT-kriminalteknik til domstolene
Har De brug for en uafhængig teknisk undersøgelse i forbindelse med et bevisspørgsmål i en retssag? LanCologne undersøger digitale spor objektivt, gennemsigtigt og på en måde, der kan gentages. Vi dokumenterer både positive fund, manglende beviser og tekniske begrænsninger på en sådan måde, at konklusionen er forståelig for retten og fagligt verificerbar for en uafhængig IT-forensiker.