IT-kriminalteknik · Domstole
Hvilke spor kan en gendannelse fra en sikkerhedskopi efterlade?
Wird ein System oder Gerät aus einem Backup wiederhergestellt, entstehen neue Spuren, die leicht falsch gelesen werden: Dateien erhalten neue Erstellungszeiten, Programme erscheinen „installiert“, Nutzungsartefakte fehlen oder stammen aus der Zeit vor dem Backup. Für die gerichtliche Bewertung muss geklärt werden, welche Spuren vor und welche nach der Wiederherstellung entstanden sind.
For retten er det ikke afgørende, hvor mange programmer der anvendes. Det afgørende er, hvilke tekniske kendsgerninger der pålideligt kan fastslås ud fra den foreliggende database, hvordan denne fastslåelse kommer i stand, og hvilke begrænsninger der er ved fortolkningen.
Teknisk baggrund
Unterschiedliche Backup-Arten wirken unterschiedlich: Image-Restores übernehmen weitgehend alle Metadaten, dateibasierte Restores setzen häufig neue Erstellungszeiten, Geräte-Backups (z. B. iCloud) stellen App-Daten, aber nicht alle Systemprotokolle wieder her.
Relevante spor og datakilder
- Restore-Protokolle der Backup-Software
- Dateisystemzeiten ($STANDARD_INFORMATION vs. $FILE_NAME unter NTFS)
- USN-Journal und Ereignisprotokolle rund um den Restore-Zeitpunkt
- Geräteprotokolle zum Wiederherstellungsvorgang (iOS/Android)
Det konkrete bevisspørgsmål
Vi kontrollerer backupens oprindelse, tidspunktet for gendannelsen, de gendannede datatyper samt afvigelser mellem indholdstidspunkter og filsystemtidspunkter.
Hvorfor den tekniske kontekst er afgørende
Digitale spor opstår ikke isoleret. Operativsystem, applikation, cloud-tjeneste, netværk og brugerkontekst kan alle på forskellige måder føre til det samme synlige resultat. Derfor betragtes et enkelt tidsstempel, en logpost eller en databaseværdi ikke som en endelig konklusion uden en undersøgelse af den logik, der ligger bag deres opståen. Om nødvendigt sammenholdes flere uafhængige spor med hinanden.
Grænser
- Wenn Restore-Protokolle fehlen, ist der Zeitpunkt oft nur eingrenzbar.
- Daten, die nicht im Backup enthalten waren, fehlen dauerhaft.
Mulige resultater
- Zeitpunkt und Art des Restores belegt
- Zuordnung strittiger Spuren zu Zeiträumen vor/nach dem Restore
Hvordan LanCologne behandler bevisproblemet
Hos LanCologne tager den retsmedicinske IT-undersøgelse udgangspunkt i bevisspørgsmålet og ikke i et bestemt analyseprogram. Først fastlægges det, hvilke tekniske forhold der skal afklares, hvilke datakilder der er relevante i denne sammenhæng, og hvilke alternative forklaringer der skal undersøges grundigt.
Udgangsdataene og bevismaterialet dokumenteres. I det omfang det er teknisk muligt, foretages analysen på verificerede retsmedicinske sikkerhedskopier eller egnede arbejdskopier. Automatisk genererede resultater accepteres ikke uden nærmere undersøgelse, når det drejer sig om spørgsmål, der er afgørende for beslutningen. Det afgørende er det pågældende artefakts oprindelse, dannelseslogik og kontekst. Væsentlige fund kontrolleres om nødvendigt på baggrund af de underliggende data eller ved hjælp af en anden fagligt egnet metode.
I ekspertudtalelsen adskilles faktiske konstateringer, faglig fortolkning og konklusion. Lige så vigtigt er afgrænsningen af udsagnet: Hvad er teknisk dokumenteret? Hvad er blot underbygget? Hvilke modstridende fund foreligger der? Hvilke alternative forklaringer er stadig mulige? Hvad kan man ikke fastslå på baggrund af de foreliggende data?
Hoveddelen er formuleret på en måde, så den er forståelig for dommere og andre parter i sagen, der ikke har særlige kendskaber til it-kriminalteknik. Den tekniske verificerbarhed bevares. De datakilder, integritetsoplysninger, artefakter og undersøgelsestrin, der er afgørende for en uafhængig efterprøvning, dokumenteres på en overskuelig måde i et teknisk afsnit.
Sådan gør vi
- Feststellung von Art und Zeitpunkt der Wiederherstellung.
- Trennung der Artefakte nach Entstehung vor bzw. nach dem Restore.
- Bewertung der beweiserheblichen Spuren unter dieser Einordnung.
Fund, modfund og manglende påvisning
En retsmedicinsk udtalelse skal forblive åben for alle mulige resultater. Hvis dataene understøtter en hypotese, forklares det, hvorfor dette er tilfældet. Hvis pålidelige spor modsiger hypotesen, skal disse ligeledes fremlægges. Er datagrundlaget ikke tilstrækkeligt, skal den manglende bevisførelse udtrykkeligt nævnes. Der må ikke udledes en tilsyneladende sikker konklusion ud fra et datahul.
Forståeligt for retten – kan efterprøves af modeksperten
De faglige kerneaspekter forklares i et letforståeligt sprog. Tekniske termer anvendes kun, hvor det er nødvendigt, og forklares derefter. Samtidig dokumenteres de afgørende tekniske grundlag på en sådan måde, at en uafhængig IT-kriminaltekniker kan følge tankegangen ud fra den samme datagrundlag og om nødvendigt gentage den.
Metodisk indplacering
Der findes ingen lovmæssig liste over foreskrevne analyseprogrammer til retslig it-kriminalteknik. Fagligt set er det afgørende, at der foreligger en kontrolleret database, integritet, dokumenterede undersøgelsestrin, gennemsigtige konklusioner og mulighed for uafhængig efterprøvning.
BSI-grundbeskyttelsesmodulet DER.2.2 „Forberedelse til IT-kriminalteknik“ indeholder nyttige grundlæggende principper til forberedelse af senere IT-kriminaltekniske undersøgelser og til sikring af bevismateriale ved IT-sikkerhedshændelser. Den er dog udtrykkeligt ikke et regelsæt for IT-forensiske undersøgelser i forbindelse med strafbare handlinger; heller ikke selve den forensiske analyse er genstand for denne modul. Den fremstilles derfor ikke som en standard for retsmedicinsk undersøgelse i straffesager.
LanCologne som uafhængig IT-ekspert
Når en domstol har behov for at få afklaret et konkret spørgsmål vedrørende digitalt bevismateriale på det tekniske plan, undersøger vi den foreliggende database uafhængigt og uden forudindtagethed. Målet er ikke at opnå så mange tekniske resultater som muligt, men derimod at give et fagligt velbegrundet svar: et svar, der er forståeligt for domstolen, gennemsigtigt i sin begrundelse og teknisk verificerbart.
Retsgrundlag
For sagkyndigbevis i civile sager er især §§ 402 ff. i ZPO afgørende. I henhold til § 404a i ZPO leder retten sagkyndigens arbejde og kan fastlægge arten og omfanget af hans arbejde. I tilfælde af omstridte faktiske omstændigheder fastlægger retten, hvilke faktiske omstændigheder der skal danne grundlag for ekspertvurderingen. § 407a i ZPO forpligter blandt andet eksperten til straks at undersøge, om opgaven falder inden for hans eller hendes fagområde; tvivl om opgavens indhold og omfang skal afklares af retten. Den skriftlige ekspertudtalelse og eventuelle forklaringer eller tilføjelser er reguleret i § 411 i ZPO. Den endelige vurdering af ekspertudtalelsen sammen med det samlede resultat af bevisoptagelsen forbliver domstolens opgave (§ 286 i ZPO).
I forbindelse med retsmedicinske udtalelser i straffesager gælder §§ 72 ff. i straffeprocesloven (StPO) for sagkyndige; § 78 i straffeprocesloven vedrører dommerens ledelse af den sagkyndiges arbejde. Hvilke bestemmelser der er relevante i den konkrete sag, afhænger af sagstypen og opgaven. Den it-forensiske undersøgelse erstatter ikke en juridisk vurdering.
Ofte stillede spørgsmål
LanCologne – IT-kriminalteknik til domstolene
Har du et spørgsmål vedrørende digital kriminalitet? LanCologne hjælper dig med en objektiv og resultatorienteret IT-forensisk undersøgelse.
I forbindelse med dette emne
- Hvad kan man med sikkerhed fastslå efter en nulstilling til fabriksindstillingerne?
- Hvilken bevisværdi har sikkerhedskopier, snapshots og historiske sikkerhedskopier?
- Kan man fastslå, om et lagringsmedie er blevet formateret, eller om et operativsystem er blevet geninstalleret?
- Hvilken beviskraft har papirkurv- og trash-filer i retten?