IT-kriminalteknik · Domstole

Er det muligt at skelne pålideligt mellem en lokal brugerkonto, en domænekonto og en cloud-konto?

Identiske eller lignende brugernavne kan teknisk set repræsentere forskellige identiteter.

Uforpligtende forespørgsel

For retten er det ikke afgørende, hvor mange analyseprogrammer der er blevet anvendt. Det afgørende er, hvilke konkrete tekniske kendsgerninger der pålideligt kan fastslås ud fra de foreliggende data, hvordan denne fastslåelse er nået frem til, og hvor dens begrænsninger ligger.

Det konkrete bevisspørgsmål

Vi kontrollerer kontoidentifikatorer, SID-koder eller tilsvarende identifikatorer, godkendelseskilder, enhedsbinding og synkroniseringsoplysninger.

Hvorfor et enkelt digitalt spor sjældent er nok

Digitale artefakter opstår i systemer med egne mekanismer til lagring, synkronisering og logføring. Et enkelt tidsstempel, en enkelt logpost eller en enkelt databaseværdi betragtes derfor ikke som en endelig konklusion uden sammenhæng. I det omfang bevisførelsen kræver det, sammenholdes flere uafhængige spor, og teknisk plausible modhypoteseer undersøges.

Hvor grænsen for udsagn ligger

Et synligt visningsnavn er ikke tilstrækkeligt til en entydig kontoidentifikation.

Hvordan LanCologne behandler bevisproblemet

Hos LanCologne indledes en retsmedicinsk IT-undersøgelse med spørgsmålet om bevisførelse og ikke med et bestemt analyseprogram. Først afklares det, hvilke tekniske kendsgerninger der skal fastslås, hvilke datakilder der overhovedet er relevante i denne sammenhæng, og hvilke modhypotese der skal tages højde for.

Bevismaterialet og udgangsdataene dokumenteres entydigt. I det omfang det er teknisk muligt, foretages analysen på verificerede retsmedicinske sikkerhedskopier eller egnede arbejdskopier. Resultater, der er afgørende for beslutningen, overtages ikke alene af den grund, at de vises af et stykke software. Artefaktets oprindelse, dannelseslogik og kontekst undersøges; centrale fund kontrolleres om nødvendigt på baggrund af de underliggende data eller ved hjælp af en anden fagligt egnet metode.

I ekspertudtalelsen adskilles faktiske konstateringer, tekniske fortolkninger og konklusioner fra hinanden. Grænserne for udsagnene beskrives ligeledes tydeligt: Hvad kan bevises? Hvad er der blot belæg for? Hvilke modstridende fund foreligger der? Hvad forbliver uafklaret? Manglende beviser omfortolkes ikke til en tilsyneladende sikker konklusion.

Hovedteksten skal være skrevet på en sådan måde, at en dommer uden specialviden inden for IT-forensik kan forstå begrundelsen. Den tekniske verificerbarhed bevares. Data, der er relevante for undersøgelsen, integritetsoplysninger, artefakter og undersøgelsestrin dokumenteres på en sådan måde, at en uafhængig IT-forensiker kan efterprøve de centrale konklusioner i forbindelse med en eventuel modekspertvurdering.

Fra retskendelse til pålidelig vidneforklaring

Positive fund, negative fund og ingen påvisning

En sagkyndig konklusion skal være åben for forskellige resultater. Hvis dataene bekræfter den hypotese, der skal undersøges, redegøres der for, hvad der ligger til grund for den. Hvis pålidelige spor modsiger denne hypotese, skal disse ligeledes fremlægges. Er datagrundlaget ikke tilstrækkeligt til at træffe en sikker beslutning, betegnes dette som manglende bevis eller som et uafklaret teknisk spørgsmål. Netop denne adskillelse forhindrer, at et datahul fører til en tilsyneladende sikker konklusion.

Forståeligt for retten – teknisk verificerbart for en modekspert

Det faglige indhold forklares i et forståeligt sprog. Fagudtryk anvendes kun, hvor det er nødvendigt, og forklares derefter. Samtidig bevares de afgørende tekniske grundlag: de undersøgte datakilder, relevante artefakter, integritetsoplysninger, tidshenvisninger og metodiske trin. En IT-forensiker, der ikke er bekendt med proceduren, skal kunne kontrollere udledningen, uden at hovedteksten for retten bliver en samling af tekniske rådata.

Metodisk indplacering

Der findes ingen lovmæssig liste over foreskrevne analyseprogrammer til retslig IT-kriminalteknik. Fagligt set er det afgørende, at der foreligger en kontrolleret database, integritet, dokumenterede undersøgelsestrin, gennemsigtige konklusioner og mulighed for uafhængig kontrol.

BSI-grundbeskyttelsesmodulet DER.2.2 „Forberedelse til IT-kriminalteknik“ indeholder nyttige grundlæggende principper til forberedelse af senere kriminaltekniske undersøgelser og til sikring af spor i forbindelse med IT-sikkerhedshændelser. Den er dog ikke en standard for retsmedicinsk undersøgelse i straffesager; modulet præciserer udtrykkeligt, at den egentlige retsmedicinske analyse ikke er dens genstand, og at den ikke vedrører IT-retsmedicinske undersøgelser i forbindelse med strafbare handlinger.

LanCologne som uafhængig IT-ekspert

Når en domstol har behov for at få afklaret et konkret spørgsmål vedrørende digitalt bevismateriale på det tekniske plan, undersøger vi den foreliggende database uafhængigt og uden forudindtagethed. Målet er ikke at indsamle så mange tekniske resultater som muligt, men at give et fagligt velbegrundet svar: et svar, der er forståeligt for domstolen, gennemsigtigt i sin begrundelse og teknisk verificerbart.

For sagkyndigbevis i civile sager er især §§ 402 ff. i ZPO afgørende. § 403 i ZPO knytter fremlæggelsen af beviset til angivelsen af de punkter, der skal vurderes. I henhold til § 404a i ZPO leder retten sagkyndigens arbejde; i tilfælde af uenighed om de faktiske omstændigheder fastlægger retten de faktiske forhold, der skal danne grundlag for ekspertvurderingen. § 407a i ZPO forpligter sagkyndigen blandt andet til at undersøge, om opgaven falder inden for hans fagområde, til at oplyse om eventuelle grunde, der kunne berettige mistillid til hans upartiskhed, og i tilfælde af tvivl om opgavens indhold og omfang til straks at søge afklaring hos retten. § 411 i ZPO regulerer den skriftlige ekspertudtalelse samt forklaringen eller suppleringen heraf. Vurderingen af ekspertudtalelsen sammen med de øvrige bevismæssige resultater forbliver domstolens opgave (§ 286 i ZPO).

I det omfang der foretages en sagkyndig vurdering i en straffesag, finder §§ 72 ff. i straffeprocesloven (StPO) anvendelse på sagkyndige. Den konkrete procesretlige indplacering afhænger af den pågældende opgave og sag. Vores opgave er at give et fagligt svar på det tekniske bevisspørgsmål; dette erstatter hverken den juridiske vurdering eller domstolens bevisvurdering.

Ofte stillede spørgsmål

LanCologne – IT-kriminalteknik til domstolene

Har du et spørgsmål vedrørende digital kriminalitet? LanCologne hjælper dig med en objektiv og resultatorienteret IT-forensisk undersøgelse.

Kontakt os nu