IT-kriminalteknik · Domstole

Kan det bevises, om et digitalt bevismateriale er blevet ændret efter beslaglæggelsen?

Bei einer gerichtlichen Begutachtung kann entscheidend sein, ob der untersuchte Datenbestand noch dem Zustand entspricht, der bei Sicherstellung oder Übergabe vorlag.

Uforpligtende forespørgsel

For retten er det ikke afgørende, hvor mange analyseprogrammer der er blevet anvendt. Det afgørende er, hvilke konkrete tekniske kendsgerninger der pålideligt kan fastslås ud fra de foreliggende data, hvordan denne fastslåelse er nået frem til, og hvor dens begrænsninger ligger.

Det konkrete bevisspørgsmål

Wir vergleichen dokumentierte Übergabezustände, Sicherungsinformationen, Hashwerte, Dateisystem- und Containermerkmale sowie vorhandene Protokolle. Abweichungen werden nicht automatisch als Manipulation bewertet, sondern zunächst technisch eingeordnet.

Hvorfor et enkelt digitalt spor sjældent er nok

Digitale artefakter opstår i systemer med egne mekanismer til lagring, synkronisering og logføring. Et enkelt tidsstempel, en enkelt logpost eller en enkelt databaseværdi betragtes derfor ikke som en endelig konklusion uden sammenhæng. I det omfang bevisførelsen kræver det, sammenholdes flere uafhængige spor, og teknisk plausible modhypoteseer undersøges.

Hvor grænsen for udsagn ligger

Eine festgestellte Veränderung sagt für sich allein noch nichts darüber aus, wer sie verursacht hat oder ob sie für die konkrete Beweisfrage erheblich ist.

Hvordan LanCologne behandler bevisproblemet

Bei LanCologne beginnt die Untersuchung mit der gerichtlichen Beweisfrage und nicht mit einem bestimmten Analyseprogramm. Zunächst wird geklärt, welche technische Tatsache festgestellt werden soll, welche Datenquellen dafür Aussagekraft besitzen und welche Gegenhypothesen berücksichtigt werden müssen.

Die Beweismittel und die Ausgangsdaten werden eindeutig dokumentiert. Soweit technisch möglich, erfolgt die Auswertung auf verifizierten forensischen Sicherungen oder geeigneten Arbeitskopien. Entscheidungserhebliche Treffer werden nicht allein deshalb übernommen, weil sie von einer Software angezeigt werden. Wir prüfen Herkunft, Entstehungslogik und Kontext des Artefakts und kontrollieren zentrale Befunde bei Bedarf anhand der zugrunde liegenden Daten oder einer zweiten fachlich geeigneten Methode.

I ekspertudtalelsen adskilles faktiske konstateringer, tekniske fortolkninger og konklusioner fra hinanden. Grænserne for udsagnene beskrives ligeledes tydeligt: Hvad kan bevises? Hvad er der blot belæg for? Hvilke modstridende fund foreligger der? Hvad forbliver uafklaret? Manglende beviser omfortolkes ikke til en tilsyneladende sikker konklusion.

Der Hauptteil wird so geschrieben, dass ein Richter ohne IT-forensische Spezialkenntnisse die Herleitung verstehen kann. Die technische Nachprüfbarkeit bleibt erhalten. Prüfrelevante Datenquellen, Integritätsinformationen, Artefakte und Untersuchungsschritte werden so dokumentiert, dass ein unabhängiger IT-Forensiker die zentralen Feststellungen für ein mögliches Gegengutachten nachvollziehen kann.

Fra retskendelse til pålidelig vidneforklaring

Positive fund, negative fund og ingen påvisning

En sagkyndig konklusion skal være åben for forskellige resultater. Hvis dataene bekræfter den hypotese, der skal undersøges, redegøres der for, hvad der ligger til grund for den. Hvis pålidelige spor modsiger denne hypotese, skal disse ligeledes fremlægges. Er datagrundlaget ikke tilstrækkeligt til at træffe en sikker beslutning, betegnes dette som manglende bevis eller som et uafklaret teknisk spørgsmål. Netop denne adskillelse forhindrer, at et datahul fører til en tilsyneladende sikker konklusion.

Forståeligt for retten – teknisk verificerbart for en modekspert

Det faglige indhold forklares i et forståeligt sprog. Fagudtryk anvendes kun, hvor det er nødvendigt, og forklares derefter. Samtidig bevares de afgørende tekniske grundlag: de undersøgte datakilder, relevante artefakter, integritetsoplysninger, tidshenvisninger og metodiske trin. En IT-forensiker, der ikke er bekendt med proceduren, skal kunne kontrollere udledningen, uden at hovedteksten for retten bliver en samling af tekniske rådata.

Metodisk indplacering

Der findes ingen lovmæssig liste over foreskrevne analyseprogrammer til retslig IT-kriminalteknik. Fagligt set er det afgørende, at der foreligger en kontrolleret database, integritet, dokumenterede undersøgelsestrin, gennemsigtige konklusioner og mulighed for uafhængig kontrol.

Der BSI-Grundschutz-Baustein DER.2.2 „Vorsorge für die IT-Forensik“ enthält hilfreiche Grundgedanken zur Vorbereitung auf spätere forensische Untersuchungen und zur Spurensicherung bei IT-Sicherheitsvorfällen. Er ist jedoch kein strafprozessualer Forensikstandard; die eigentliche forensische Analyse ist nicht Gegenstand dieses Bausteins. Diese Abgrenzung wird ausdrücklich beachtet.

LanCologne som uafhængig IT-ekspert

Når en domstol har behov for at få afklaret et konkret spørgsmål vedrørende digitalt bevismateriale på det tekniske plan, undersøger vi den foreliggende database uafhængigt og uden forudindtagethed. Målet er ikke at indsamle så mange tekniske resultater som muligt, men at give et fagligt velbegrundet svar: et svar, der er forståeligt for domstolen, gennemsigtigt i sin begrundelse og teknisk verificerbart.

Für den Sachverständigenbeweis in Zivilverfahren sind insbesondere §§ 402 ff. ZPO relevant. § 403 ZPO betrifft die Bezeichnung der zu begutachtenden Punkte. Nach § 404a ZPO leitet das Gericht die Tätigkeit des Sachverständigen und kann Art und Umfang seiner Tätigkeit bestimmen. § 407a ZPO enthält Pflichten des Sachverständigen, unter anderem zur Prüfung des eigenen Fachgebiets und zur Klärung von Zweifeln über Inhalt und Umfang des Auftrags. § 411 ZPO regelt das schriftliche Gutachten sowie dessen Erläuterung und Ergänzung. Die Würdigung des Gutachtens zusammen mit dem übrigen Beweisergebnis bleibt Aufgabe des Gerichts (§ 286 ZPO).

Bei strafprozessualen Gutachten gelten für Sachverständige die §§ 72 ff. StPO. Welche Vorschriften im konkreten Verfahren einschlägig sind, hängt vom Auftrag und der Verfahrensart ab. Die IT-forensische Begutachtung ersetzt weder die rechtliche Bewertung noch die gerichtliche Beweiswürdigung.

Ofte stillede spørgsmål

LanCologne – IT-kriminalteknik til domstolene

Har du et spørgsmål vedrørende digital kriminalitet? LanCologne hjælper dig med en objektiv og resultatorienteret IT-forensisk undersøgelse.

Kontakt os nu