IT-kriminalteknik · Domstole

Sachverständiger oder sachverständiger Zeuge – was ist bei digitalen Tatsachen zu unterscheiden?

Ein IT-Sachverständiger soll aufgrund seiner Fachkunde aus vorgegebenen oder untersuchten Tatsachen fachliche Schlussfolgerungen ziehen. § 414 ZPO betrifft dagegen sachkundige Personen, die vergangene Tatsachen oder Zustände selbst wahrgenommen haben und für deren Wahrnehmung besondere Sachkunde erforderlich war. Diese Rollen dürfen nicht vermischt werden.

Uforpligtende forespørgsel

Hvad skal sagkyndigen egentlig afklare?

Det er ikke mængden af fundne artefakter, der er afgørende. Det afgørende er, om de relevante digitale spor underbygger den kendsgerning, der er omhandlet i bevisspørgsmålet, modsiger den eller ikke giver anledning til en pålidelig konklusion. I den forbindelse betragtes fundene i en teknisk sammenhæng, og modhypoteseer undersøges udtrykkeligt.

Hvor grænsen for udsagn ligger

Ob eine Person im konkreten Verfahren als Sachverständiger oder sachverständiger Zeuge zu behandeln ist, bestimmt das Gericht. Die technische Dokumentation sollte klar erkennen lassen, ob eine Aussage auf eigener früherer Wahrnehmung oder auf einer nachträglichen forensischen Untersuchung beruht.

Hvordan LanCologne behandler bevisproblemet

Når det drejer sig om retslige opgaver, starter vores arbejde med bevisproblematikken, ikke med et analyseprogram. Vi fastlægger, hvilke tekniske forhold der skal afklares, hvilke datakilder der er relevante i denne sammenhæng, og hvilke alternative forklaringer der skal undersøges.

Datagrundlaget dokumenteres entydigt og undersøges, i det omfang det er teknisk muligt, på verificerede retsmedicinske sikkerhedskopier eller arbejdskopier. Automatiske resultater accepteres ikke uden nærmere kontrol, når der er tale om spørgsmål, der er afgørende for beslutningen. Afgørende er et artefakts oprindelse, dannelseslogik og kontekst. Om nødvendigt kontrolleres et fund på baggrund af rådataene eller ved hjælp af en uafhængig, fagligt egnet metode.

I rapporten skelner vi mellem faktiske konstateringer, teknisk vurdering og konklusion. Vi angiver ligeledes tydeligt, hvad der kan fastslås: Hvad er bevist, hvad er blot underbygget, hvad forbliver uafklaret, og hvad kan ikke fastslås på baggrund af de foreliggende data?

Hoveddelen er formuleret på en måde, så den er forståelig for dommere og andre, der ikke er retsmedicinere. Den tekniske kontrollerbarhed sikres gennem et særskilt teknisk afsnit. Her dokumenteres de datakilder, integritetsværdier, artefakter og undersøgelsestrin, der er afgørende for en uafhængig efterprøvning.

Vores arbejdsmetode

1Afgrænse retskendelsen og bevisspørgsmålet fagligt.
2Undersøg sagens område, fristen og eventuelle tvivl om upartiskheden.
3Bevismateriale og udgangsdata skal dokumenteres entydigt.
4Sikre integriteten og undgå ændringer i videst muligt omfang.
5Ud fra bevisproblemet udledes tekniske testhypoteser og modhypoteser.
6Gennemgå relevante datakilder målrettet.
7Valider de afgørende fund fagligt og undersøg alternative forklaringer.
8Dokumentere uoverensstemmelser, manglende data og tekniske begrænsninger.
9Besvar bevisproblemet klart, uden at overskride dataenes betydning.
10Fastlægge de tekniske grundlag for en uafhængig kontrol.

Metodisk indplacering

Der findes ingen lovmæssig liste over foreskrevne softwareprodukter til retsmedicinsk IT-undersøgelse. BSI-grundbeskyttelsesmodulet DER.2.2 indeholder nyttige grundlæggende principper vedrørende forebyggelse, sikring af spor og målgruppetilpasset præsentation af resultater i forbindelse med IT-sikkerhedshændelser. Det præciseres dog udtrykkeligt, at den egentlige forensiske analyse ikke er genstand for modulet, og at det ikke vedrører IT-forensiske undersøgelser i forbindelse med strafbare handlinger. Vi fremstiller det derfor ikke som en standard inden for strafferetsplejen.

Retsgrundlag

ZPO § 414; für Sachverständige §§ 402 ff. ZPO.

Den endelige vurdering af bevismaterialet er domstolens opgave. Vores arbejde som sagkyndige begrænser sig til at besvare det tekniske spørgsmål inden for rammerne af den tildelte opgave.

Ofte stillede spørgsmål

Sachverständiger oder sachverständiger Zeuge – was ist bei digitalen Tatsachen zu unterscheiden?+
Ein IT-Sachverständiger soll aufgrund seiner Fachkunde aus vorgegebenen oder untersuchten Tatsachen fachliche Schlussfolgerungen ziehen.
Hvordan foregår en sådan teknisk undersøgelse i praksis?+
Når det drejer sig om retslige opgaver, starter vores arbejde med bevisproblematikken, ikke med et analyseprogram. Vi fastlægger, hvilke tekniske forhold der skal afklares, hvilke datakilder der er relevante i denne sammenhæng, og hvilke alternative forklaringer der skal undersøges.
Giver undersøgelsens resultat en entydig konklusion, som retten kan basere sig på?+
Ob eine Person im konkreten Verfahren als Sachverständiger oder sachverständiger Zeuge zu behandeln ist, bestimmt das Gericht.
Er der et retsgrundlag for dette?+
ZPO § 414; für Sachverständige §§ 402 ff. ZPO. Die abschließende Beweiswürdigung bleibt Aufgabe des Gerichts. Unsere sachverständige Tätigkeit beschränkt sich auf die fachliche Beantwortung der technischen Beweisfrage innerhalb des erteilten Auftrags.

LanCologne – IT-kriminalteknik til domstolene

Har De brug for en uafhængig IT-forensisk undersøgelse i forbindelse med et konkret bevisspørgsmål i en retssag? LanCologne undersøger de foreliggende digitale spor uden forudindtagethed og dokumenterer afgørende fund, modstridende fund og tekniske begrænsninger på en gennemsigtig måde.

Kontakt os nu