IT forensics · Investigative authorities
Wie werden widersprüchliche Erst- und Zweitauswertungen aufgelöst?
Unterschiedliche Forensiker oder Verfahren können zu abweichenden Ergebnissen kommen.
Why this question is important to the investigating authorities
In komplexen Ermittlungsverfahren reicht ein einzelner technischer Treffer selten aus. Entscheidend ist, ob Geräte-, Account-, Benutzer-, Server- und Cloudbezüge fachlich sauber voneinander getrennt und anschließend nur dort miteinander verknüpft werden, wo die Daten dies tatsächlich tragen.
Technical investigative approach
Wir vergleichen Datenbasis, Extraktionsstand, Artefaktinterpretation, Zeitbezug und methodische Annahmen und gehen bei zentralen Punkten auf die Primärdaten zurück.
Where the limits of what can be said lie
Ein späteres oder umfangreicheres Toolergebnis ist nicht automatisch richtiger. Entscheidend ist die technische Herleitung.
Why LanCologne?
LanCologne ergänzt die internen Fähigkeiten einer Ermittlungsbehörde dort, wo eine komplexe technische Spezialfrage, eine unabhängige Validierung oder eine zusätzliche Tiefenanalyse erforderlich ist. Ausgangspunkt bleibt stets die konkrete Ermittlungsfrage.
Wir arbeiten nicht mit dem Ziel, eine bereits bestehende Verdachtshypothese zu bestätigen. Belastende und entlastende technische Befunde werden nach demselben Maßstab bewertet. Das ist gerade in komplexen Unternehmens-, Cloud- und Mehrgeräteumgebungen wichtig, weil identische Inhalte, Accounts oder Netzwerkspuren häufig mehrere technisch plausible Ursachen haben können.
Die Ausgangsdaten werden eindeutig dokumentiert. Soweit technisch möglich, erfolgt die Untersuchung auf verifizierten Sicherungen oder geeigneten Arbeitskopien. Kritische Ergebnisse werden nicht allein aus einem automatisierten Report übernommen. Herkunft, Entstehungslogik und Systemkontext werden geprüft; erforderlichenfalls wird ein zentraler Befund anhand der Primärdaten oder einer unabhängigen zweiten Methode validiert.
Das Ergebnis wird so formuliert, dass Ermittler und Staatsanwälte erkennen können, was technisch belegt ist, was lediglich gestützt wird, welche Gegenbefunde bestehen und welche Punkte offenbleiben. Für eine spätere gerichtliche Nachprüfung bleiben die wesentlichen technischen Grundlagen nachvollziehbar dokumentiert.
From the investigation brief to a reliable statement
Belastende und entlastende Befunde
Die Untersuchung bleibt ergebnisoffen. Bestätigen mehrere belastbare Quellen eine Ermittlungsannahme, wird ihre technische Beziehung nachvollziehbar dargestellt. Widersprechen andere Quellen oder bleibt eine alternative technische Erklärung möglich, wird dies ebenso dokumentiert. Die Aufgabe des Sachverständigen ist nicht, Widersprüche zugunsten einer gewünschten Erzählung aufzulösen.
Nachvollziehbar für Ermittlungsbehörde, Verteidigung und Gericht
Der Hauptbefund wird in klarer Sprache formuliert. Im technischen Teil werden die für die Nachprüfung wesentlichen Quellen, Zeitbezüge, Identitäten, Integritätsinformationen und Korrelationen dokumentiert. So kann ein weiterer qualifizierter IT-Forensiker die entscheidenden Feststellungen später anhand derselben Datenbasis prüfen.
LanCologne as an independent external IT forensics expert
Wenn eine Strafermittlungsbehörde einen komplexen digitalen Sachverhalt vertieft oder unabhängig prüfen lassen muss, unterstützt LanCologne mit einer nachvollziehbaren, ergebnisoffenen Untersuchung. Im Mittelpunkt steht nicht die Menge technischer Treffer, sondern die belastbare Beantwortung der konkreten Ermittlungsfrage.
Legal framework
Die Ermittlungsleitung und rechtliche Bewertung verbleiben bei den zuständigen Strafverfolgungsorganen. § 160 StPO verpflichtet die Staatsanwaltschaft zur Sachverhaltsaufklärung und ausdrücklich dazu, sowohl belastende als auch entlastende Umstände zu ermitteln. Nach § 161 StPO kann sie Ermittlungen selbst vornehmen oder durch Behörden und Beamte des Polizeidienstes vornehmen lassen; § 163 StPO regelt die Aufgaben der Polizei im Ermittlungsverfahren.
Für Sachverständige gelten grundsätzlich die §§ 72 ff. StPO. § 161a Abs. 1 StPO verpflichtet Sachverständige, auf Ladung vor der Staatsanwaltschaft zu erscheinen und ihr Gutachten zu erstatten; soweit nichts anderes bestimmt ist, gelten die Vorschriften des siebenten Abschnitts des ersten Buches entsprechend. § 82 StPO betrifft die Form der Gutachtenerstattung im Vorverfahren.
Sicherstellung und Beschlagnahme richten sich insbesondere nach §§ 94 und 98 StPO. § 110 Abs. 3 StPO regelt die Durchsicht elektronischer Speichermedien und erlaubt unter den dort genannten Voraussetzungen auch die Sicherung untersuchungsrelevanter Daten. Über Rechtmäßigkeit, Reichweite und Anordnung solcher Maßnahmen entscheiden die zuständigen staatlichen Stellen, nicht LanCologne.
Nach § 1 Abs. 3 JVEG steht eine Heranziehung durch Polizei oder eine andere Strafverfolgungsbehörde im Auftrag oder mit vorheriger Billigung der Staatsanwaltschaft einer staatsanwaltschaftlichen Heranziehung vergütungsrechtlich gleich.
Frequently Asked Questions
LanCologne – IT Forensics for Criminal Investigation Authorities
Do you have a digital enquiry? LanCologne can assist you with an objective, unbiased IT forensic investigation.