Om LanCologne

Ekspertbureau og retsmedicinsk laboratorium for digitale bevismidler

LanCologne er et specialiseret ekspertbureau og retsmedicinsk laboratorium med hovedsæde i Köln. Vores hovedfokus ligger på IT-kriminalteknik, retsmedicinsk sikring og analyse af digitale bevismidler samt en gennemsigtig teknisk vurdering af komplekse digitale sager.

Vi bistår domstole, retshåndhævende myndigheder, advokater og forsvarsadvokater, virksomheder, forsikringsselskaber samt privatpersoner i sager, hvor digitale spor skal sikres, rekonstrueres, undersøges eller fagligt vurderes.

Vi opfatter imidlertid ikke IT-kriminalteknik som en så omfattende indsamling af digitale data som muligt. Det afgørende er at sikre de oplysninger, der er relevante for et konkret spørgsmål, ved hjælp af egnede metoder, at foretage en teknisk kontrol af dem og på en gennemsigtig måde at vurdere deres faktiske bevisværdi.

Erfaring inden for digital kriminalteknik

Behandling af retsmedicinske sager siden 2015

LanCologne har været aktiv inden for digital kriminalteknik siden 2015. I denne periode er der blevet undersøgt en lang række forskellige digitale bevismidler og tekniske problemstillinger – lige fra smartphones og computersystemer over datamedier og cloud-data til komplekse sager, hvor oplysninger fra flere digitale kilder har skullet sammenholdes.

Vores kunder kommer både fra den institutionelle sektor og fra den private og erhvervsmæssige sektor. Heriblandt tæller blandt andet domstole og retsvæsenet, retshåndhævende myndigheder, advokater og forsvarsadvokater, virksomheder, forsikringsselskaber og privatpersoner.

Kravene varierer betydeligt. Mens det i nogle sager for eksempel kan være afgørende at fastslå ægtheden eller den tidsmæssige placering af et enkelt digitalt artefakt, kræver andre undersøgelser en rekonstruktion af komplekse hændelsesforløb baseret på data fra flere enheder og datakilder. Dette praktiske casearbejde danner grundlaget for vores nuværende arbejdsmetode.

Kvalifikationer og løbende efteruddannelse

Digital kriminalteknik udvikler sig konstant. Operativsystemer, krypteringsmetoder, filsystemer, mobile platforme, cloud-tjenester og applikationer ændrer sig løbende. En fagligt holdbar undersøgelse kræver derfor ikke blot praktisk erfaring, men også regelmæssig efteruddannelse.

Vores kvalifikationer omfatter blandt andet:

• IT Forensic Mobile Expert – TÜV Rheinland
• IT-forensisk Windows-ekspert – TÜV Rheinland
• specialiserede kvalifikationer og praktisk erfaring inden for mobilforensik
• Erfaring med retsteknisk undersøgelse af Apple-, Windows-, Android- og andre digitale systemer
• regelmæssig faglig efteruddannelse og videreuddannelse

Derudover beskæftiger vi os løbende med nye kriminaltekniske metoder, ændringer i operativsystemer og udviklingen af digitale artefakter. Vi opfatter kvalifikation ikke som en tilstand, man opnår én gang for alle, men som en løbende proces.

Eget retsmedicinsk laboratorium i Köln

Digitale bevismidler forbliver under vores kontrol

De retsmedicinske undersøgelser udføres i vores eget laboratorium i Köln. Det giver os mulighed for at gennemføre vigtige trin i sikringen af bevismateriale, datarekonstruktion og retsmedicinsk analyse inden for rammerne af vores egen tekniske infrastruktur.

Afhængigt af undersøgelsens genstand står der blandt andet specialiserede arbejdspladser og procedurer til rådighed til:

• Mobil retsvidenskab
• Computerforensik
• forensisk sikkerhedskopiering af datamedier
• Gendannelse af data
• Analyse af flash- og lagringsmedier
• Chip-off- og JTAG-metoder
• skrivebeskyttet retsmedicinsk sikkerhedskopi
• Afskærmet undersøgelse af mobile enheder

Dertil hører blandt andet Write-Blocker-stationer, Faraday-afskærmning samt specialiserede arbejdsstationer til datagendannelse og hardwarebaserede undersøgelsesmetoder.

I det omfang en undersøgelse kan gennemføres fuldt ud med vores eksisterende infrastruktur, forbliver undersøgelsesmaterialet under vores ansvar under behandlingen. Især når det drejer sig om følsomme eller bevismæssigt relevante data, betragter vi den kontrollerede håndtering af undersøgelsesmaterialet som en væsentlig del af det retsmedicinske arbejde.

Vores arbejdsmetode

Gennemsigtig, resultatafhængig og uafhængig

En retsmedicinsk undersøgelse tager udgangspunkt i et spørgsmål – ikke i et ønsket resultat. Vores opgave består i at fastslå teknisk påviselige kendsgerninger og vurdere deres betydning.

De artefakter, der er relevante for den pågældende undersøgelsesopgave, analyseres – uanset om de bekræfter eller afkræfter en oprindelig arbejdshypotese. I den forbindelse skelner vi mellem teknisk konstaterbare kendsgerninger, konklusioner, der kan udledes heraf på en forståelig måde, og antagelser, der ikke kan underbygges på baggrund af de foreliggende data.

Selv manglende beviser kan udgøre et relevant undersøgelsesresultat. I de tilfælde, hvor de foreliggende digitale spor ikke giver mulighed for en pålidelig konklusion, angives denne begrænsning.

Digital bevissikring og sporbarhedskæde

I forbindelse med undersøgelser, der har betydning for bevisførelsen, er det ikke udelukkende undersøgelsesresultatet, der er afgørende. Lige så vigtigt er det, hvordan et digitalt bevismateriale behandles, og på hvilket datagrundlag en konklusion er truffet.

Afhængigt af opgaven dokumenterer vi derfor blandt andet:

• Modtagelse og tilstand af undersøgelsesmaterialet
• Identifikation af relevante enheder og datamedier
• Overdragelser og behandlingstrin
• anvendte sikkerhedsmetoder
• Integritetsværdier eller hashværdier, i det omfang det er teknisk muligt
• Anvendte forensiske værktøjer og versioner
• vigtige trin i analysen
• tekniske begrænsninger
• relevante fund

Målet er at skabe en så gennemsigtig undersøgelsesproces som muligt, fra modtagelsen af det digitale bevismateriale til den tekniske vurdering.

Det er ikke værktøjet, der afgør kvaliteten af en undersøgelse

I vores arbejde anvender vi forskellige specialiserede retstekniske hardware- og softwareløsninger. Hvilket værktøj der anvendes, afhænger af undersøgelsens genstand og problemstillingen.

Forensisk software kan udtrække data, strukturere dem og gøre dem anvendelige til analyse. Den erstatter dog ikke den faglige vurdering af et fund. Ved relevante eller modstridende resultater kan de underliggende filer, databaser, metadata og systemstrukturer derfor undersøges yderligere, og resultaterne kan sammenholdes med andre datakilder.

Kvaliteten af en retsmedicinsk undersøgelse afhænger ikke af antallet af tilgængelige softwareprodukter, men af metodikken, den tekniske undersøgelse og en gennemsigtig fortolkning af resultaterne.

Fra sikring til ekspertvurdering

En af LanCologne’s særlige styrker ligger i sammenkoblingen af forskellige tekniske discipliner. Afhængigt af undersøgelsesgenstanden kan vi gennemføre forskellige trin inden for en sammenhængende undersøgelsesproces:

1. Modtagelse af bevismateriale
2. Retsmedicinsk sikring
3. Datarekonstruktion
4. Teknisk analyse
5. Korrelation mellem forskellige datakilder
6. Vurdering af fundene
7. Dokumentation eller ekspertudtalelse

Denne sammenhæng kan især være af betydning, når et undersøgelsesobjekt er teknisk beskadiget, eller når data først skal rekonstrueres, før en egentlig kriminalteknisk analyse kan gennemføres.

Ekspertvirksomhed

At fremstille tekniske forhold på en forståelig og overskuelig måde

Digitale bevismidler kan være teknisk komplekse. En sagkyndigs opgave består derfor ikke blot i at finde digitale spor. De deraf udledte resultater skal dokumenteres på en sådan måde, at undersøgelsesforløbet, resultaterne og de tekniske konklusioner forbliver gennemsigtige.

Afhængigt af opgaven udarbejder vi:

• teknisk undersøgelsesdokumentation
• retsmedicinske undersøgelsesrapporter
• ekspertudtalelser
• uddybende IT-forensiske ekspertvurderinger

I den forbindelse lægger vi vægt på en klar adskillelse mellem det tekniske fund og fortolkningen heraf.

Videreformidle viden

Seminarer og faglig udveksling

Praktisk erfaring fra sagsbehandlingen indgår også i vores kursus- og seminaraktiviteter. LanCologne formidler viden om udvalgte områder inden for IT- og mobilforensik og beskæftiger sig herved både med etablerede undersøgelsesmetoder og med aktuelle tekniske udviklinger.

Undervisningen i retsmedicinske metoder udgør samtidig en vigtig del af vores eget faglige arbejde: Metoderne skal kunne forklares på en forståelig måde, begrundes teknisk og underkastes kritisk granskning.

Vores fagområder

Vores arbejde omfatter især:

Yderligere tekniske kvalifikationer

Vores tekniske erfaring begrænser sig ikke til digital kriminalteknik. Gennem vores mangeårige virke inden for IT-området har vi desuden opbygget kompetencer og erfaringer inden for blandt andet netværksteknik, firewall-systemer, WLAN-infrastrukturer og IT-sikkerhed. Dertil hører henholdsvis hørte blandt andet producent-specifikke kvalifikationer inden for Ubiquiti, LANCOM og Siklu.

Denne viden supplerer vores retstekniske arbejde, især i sager, hvor netværks-, infrastruktur- eller sikkerhedskomponenter skal inddrages i den tekniske vurdering. Hovedvægten i vores nuværende virksomhed ligger dog helt klart på IT-retsteknik, sikring af digitale beviser, ekspertvurderinger og datarekonstruktion.

LanCologne – IT-kriminalteknik fra Köln

Det er ikke vores ambition at love et bestemt resultat for hvert enkelt spørgsmål. Vores mål er at undersøge digitale forhold ved hjælp af egnede tekniske metoder og på en forståelig måde redegøre for, hvad der kan fastslås ud fra de tilgængelige digitale spor – og hvad der ikke kan. Denne arbejdsmetode udgør grundlaget for vores virksomhed som ekspertbureau og retsmedicinsk laboratorium.

Ønsker De at få en digital sag undersøgt?

De er velkommen til at beskrive udgangssituationen og Deres problemstilling for os. På dette grundlag kan vi vurdere, hvilke undersøgelsesmuligheder der er hensigtsmæssige, og hvilke dokumenter eller bevismidler der er nødvendige hertil.