Diese Übersicht bündelt alle Fragen und Antworten rund um IT-Forensik für Gerichte bei LanCologne – von der Zuordnung von Nutzern und Konten über Dateien, Metadaten und Kommunikationsspuren bis hin zu Widersprüchen in digitalen Beweismitteln und der Rolle des IT-Sachverständigen im Gerichtsverfahren. Klicken Sie auf eine Kategorie, um die passenden Fragen zu sehen.
Nutzer- und Kontozuordnung
- Is it possible to establish who has used a computer or a smartphone?
- Kann eine konkrete Benutzereingabe technisch nachgewiesen werden?
- Kann der tatsächliche Versand einer Nachricht vom bloßen Vorhandensein im Konto unterschieden werden?
- Kann zwischen lokalem Benutzerkonto, Domänenkonto und Cloudkonto unterschieden werden?
- Kann ein Benutzerwechsel oder eine parallele Benutzersitzung rekonstruiert werden?
- Welche Aussagekraft hat eine automatische Anmeldung?
- Kann ein digitales Artefakt einem bestimmten Benutzerprofil zugeordnet werden?
- Wie sind Artefakte aus gemeinsam genutzten oder technischen Konten zu bewerten?
- Kann unterschieden werden, ob digitale Daten automatisch oder durch eine Benutzerhandlung erzeugt wurden?
- Kann festgestellt werden, ob ein Benutzerkonto kompromittiert oder von einem Dritten verwendet wurde?
- Wie werden digitale Spuren bewertet, wenn mehrere Geräte denselben Account verwenden?
- Kann eine digitale Handlung bei gemeinsam genutzten Computern einem bestimmten Benutzer zugeordnet werden?
- Kann zwischen lokalem Benutzerkonto, Domänenkonto und Cloud-Konto zuverlässig unterschieden werden?
- Kann ein Benutzerwechsel oder eine parallele Benutzersitzung nachgewiesen werden?
- Welche Aussagekraft hat eine automatische Anmeldung für die Benutzerzuordnung?
- Kann ein digitales Artefakt einem bestimmten Benutzerprofil innerhalb eines Mehrbenutzersystems zugeordnet werden?
Kommunikation: Chat, E-Mail und Nachrichten
- Is it technically possible to verify the authenticity and completeness of a chat history?
- Is it technically possible to trace the origin and route of an email?
- How reliable are push notifications as digital evidence?
- What does a digital read receipt actually prove?
- How should differences in message status between the sender and recipient be assessed?
- Is it possible to distinguish between receiving, saving, opening and processing an email attachment?
- Is it possible to tell whether an email has been forwarded or whether its content has been copied manually?
- Welche Aussagekraft haben E-Mail-Header für Herkunft und Übertragungsweg?
- Kann festgestellt werden, ob eine E-Mail lokal, serverseitig oder durch Synchronisation gelöscht wurde?
Fotos, Videos und Multimedia
- Kann aus einer Bildschirmsperre auf tatsächliche Gerätenutzung geschlossen werden?
- Kann festgestellt werden, ob ein Foto oder Video mit einem bestimmten Gerät aufgenommen wurde?
- Kann zwischen Originalaufnahme, bearbeiteter Datei und konvertierter Kopie unterschieden werden?
- Welche Aussagekraft haben Vorschaubilder und Thumbnail-Caches?
- Welche Aussagekraft besitzt eine Bildschirmaufzeichnung als digitales Beweismittel?
- Wie belastbar sind Foto- und Video-Metadaten als gerichtlicher Beweis?
- Beweist ein Vorschaubild oder Thumbnail, dass die zugehörige Datei geöffnet wurde?
Geräte, Netzwerk und Systemartefakte
- Kann festgestellt werden, ob ein Gerät mit einem bestimmten WLAN verbunden war?
- Welche Aussagekraft haben identische Dateien auf mehreren Geräten?
- Kann festgestellt werden, welches Gerät eine synchronisierte Änderung ursprünglich erzeugt hat?
- Kann ein behaupteter Fernzugriff auf einen Computer technisch belegt werden?
- Kann ein Netzwerkwechsel eines Geräts zeitlich rekonstruiert werden?
- Is it possible to determine whether a system update has altered or deleted digital traces?
- Wie wirkt sich die Migration auf ein neues Gerät auf die Beweisbewertung aus?
- Kann nachgewiesen werden, ob ein bestimmtes externes Gerät mit einem Computer verbunden war?
- Kann festgestellt werden, ob eine bestimmte Software installiert oder tatsächlich ausgeführt wurde?
- Kann die frühere Installation einer inzwischen deinstallierten Software nachträglich festgestellt werden?
- Is it possible to determine whether data has been transferred or accessed via a network share?
- What weight is given to volatile data from main memory in court?
- Kann eine Remote-Desktop- oder Fernzugriffssitzung nachträglich nachgewiesen werden?
- Kann festgestellt werden, ob ein Gerät zum relevanten Zeitpunkt gesperrt oder aktiv bedient wurde?
- Kann nachvollzogen werden, mit welchem Netzwerk ein Gerät zu einem bestimmten Zeitpunkt verbunden war?
- Wie werden Zeitangaben externer Server mit der lokalen Gerätezeit verglichen?
- Welchen Einfluss können Systemupdates auf digitale Spuren haben?
- Kann eine Migration von einem alten auf ein neues Gerät forensisch erkannt werden?
Löschung, Wiederherstellung und Backup
- Is it possible to prove whether data was deliberately deleted?
- Welche Spuren kann eine Wiederherstellung aus einem Backup erzeugen?
- Was lässt sich nach einem Zurücksetzen auf Werkseinstellungen noch belastbar feststellen?
- Welchen Beweiswert haben Backups, Snapshots und historische Sicherungen?
- Kann festgestellt werden, ob ein Datenträger formatiert oder ein Betriebssystem neu installiert wurde?
- Welche Aussagekraft besitzen Papierkorb- und Trash-Artefakte vor Gericht?
- Kann festgestellt werden, ob gelöschte Daten später überschrieben wurden?
- Wie beeinflusst eine Wiederherstellung aus einem Backup die Beweisbewertung?
- Welche Aussagen sind nach einem Zurücksetzen auf Werkseinstellungen noch möglich?
Authentifizierung, Verschlüsselung und Zugriffsschutz
- Kann zwischen Passwort-, biometrischer und sitzungsbasierter Authentifizierung unterschieden werden?
- Welche Aussagekraft haben gespeicherte Passwörter, Tokens und Zugangsdaten vor Gericht?
- Welche Aussagekraft haben verschlüsselte Container und virtuelle Datenträger?
- Welche Aussage ist bei verschlüsselten oder nur teilweise zugänglichen Beweismitteln zulässig?
- Wie wird eine digitale Signatur technisch geprüft?
Anonymisierung, VPN und Netzwerkspuren
- To what extent does the use of a VPN affect the attribution of digital activities?
- How are proxy, relay or anonymisation connections categorised in a forensic context?
- How reliable are DNS traces as evidence of internet activity?
- To what extent does the use of a VPN affect the attribution of internet activity?
Cloud, virtuelle Systeme und Container
- Kann festgestellt werden, ob ein Archiv entpackt oder dessen Inhalt genutzt wurde?
- Wie werden virtuelle Maschinen als digitale Beweismittel untersucht?
- Kann festgestellt werden, ob eine virtuelle Maschine zu einem bestimmten Zeitpunkt ausgeführt wurde?
- Welche Aussagekraft haben Cloud-Synchronisationsspuren vor Gericht?
- What weight do encrypted containers and virtual data carriers carry in court?
- How are virtual machines examined as digital evidence?
Dateien, Metadaten und Zeitstempel
- Is it possible to determine when a file was created or modified?
- Is it possible to determine whether a file has actually been opened or used?
- Kann festgestellt werden, ob eine Datei nur angezeigt oder tatsächlich bearbeitet wurde?
- Welche Aussagekraft haben Entwürfe, Autosave-Dateien und temporäre Dokumente?
- Kann eine Datei einem bestimmten Erstellungsprogramm zugeordnet werden?
- Kann nachvollzogen werden, ob ein Dokument aus einer anderen Datei exportiert wurde?
- Können Spuren aus der Zwischenablage eine Copy-and-Paste-Handlung belegen?
- Welche Aussagekraft haben ZIP-, RAR- und andere Archivdateien vor Gericht?
- Wie belastbar ist eine digitale Timeline vor Gericht?
- Welche Aussagekraft haben Suchindexe und indexierte Dateiinhalte?
- Kann eine tatsächlich ausgeführte Suche von einer bloßen Indexierung unterschieden werden?
- Kann festgestellt werden, ob eine digitale Handlung durch eine geplante Aufgabe oder Automatisierung ausgelöst wurde?
- Kann festgestellt werden, ob eine Berechtigung zu einem bestimmten Zeitpunkt bestand?
- Kann eine Änderung von Benutzer- oder Gruppenberechtigungen rekonstruiert werden?
- Wann darf aus dem Fehlen eines digitalen Artefakts überhaupt ein Schluss gezogen werden?
- Kann nachgewiesen werden, ob ein digitales Dokument nachträglich verändert wurde?
- Kann festgestellt werden, welche Version eines Dokuments zu einem bestimmten Zeitpunkt vorlag?
- Is it possible to tell whether a file has been downloaded from the internet?
- Kann festgestellt werden, ob ein Computer zu einem bestimmten Zeitpunkt ein- oder ausgeschaltet war?
- Kann nachvollzogen werden, ob Dateien umbenannt oder innerhalb eines Systems verschoben wurden?
- What weight do recovered files, or those preserved only in fragments, carry in court?
- Is it possible to tell whether a file or piece of information has been printed out?
- Kann festgestellt werden, ob eine Datei tatsächlich geöffnet wurde?
- Kann nachgewiesen werden, dass eine Person den Inhalt einer digitalen Datei tatsächlich zur Kenntnis genommen hat?
- Kann unterschieden werden, ob eine Datei kopiert, verschoben oder synchronisiert wurde?
- Kann der Zeitpunkt einer Löschung technisch eingegrenzt werden?
- Kann ein Dateizugriff nachgewiesen werden, obwohl die Datei unverändert blieb?
- Kann eine Manipulation von Datei- oder Systemzeitstempeln festgestellt werden?
- Kann zwischen einer Original-Mediendatei und einer konvertierten oder erneut gespeicherten Fassung unterschieden werden?
- Welche Aussagekraft haben Suchindexe für die Existenz oder Nutzung einer Datei?
Widersprüche, Plausibilität und Beweiswürdigung
- Wie prüft ein IT-Sachverständiger eine behauptete Ereigniskette, wenn digitale Beweismittel einander widersprechen?
- How reliable is metadata that can be manually altered as evidence?
- Kann Malware eine alternative Erklärung für eine digitale Handlung sein?
- Wie ist mit widersprüchlichen digitalen Spuren umzugehen?
- Wie wird eine behauptete digitale Ereigniskette auf technische Plausibilität geprüft?
- Wie bewertet ein IT-Sachverständiger zwei technisch plausible Erklärungen?
- Wie wird ein technischer Nichtnachweis im Gutachten sauber formuliert?
- Wie sind widersprüchliche digitale Beweismittel in einem IT-Gutachten zu behandeln?
Gutachten, Gerichtsverfahren und Sachverständige
- Wie wird die Unabhängigkeit und Neutralität eines IT-Sachverständigen praktisch umgesetzt?
- Warum muss ein IT-Gutachten für Nicht-Forensiker verständlich sein?
- Warum gehört ein technischer Anhang zu einem nachvollziehbaren IT-Gutachten?
- Wie wird ein IT-Gutachten für ein mögliches Gegengutachten reproduzierbar aufgebaut?
- How can a legal question concerning IT evidence be answered conclusively and unambiguously?
- How are time zones, summer time and faulty system clocks taken into account in the report?
- How can an existing private IT report be technically reviewed?
- Expert or expert witness – what is the distinction when it comes to digital evidence?
- How is an IT expert report presented in court and examined in response to supplementary questions?
- Welche Bedeutung hat eine lückenhafte Chain of Custody für die technische Aussagekraft?
- Was geschieht, wenn während der IT-forensischen Untersuchung neue, vom gerichtlichen Auftrag nicht erfasste Tatsachen auffallen?
- Wo endet die technische Schlussfolgerung des IT-Sachverständigen und wo beginnt die Beweiswürdigung des Gerichts?
Sonstige Beweisfragen
- Welchen Beweiswert hat ein Screenshot oder Foto eines digitalen Inhalts?
- Kann nachgewiesen werden, ob Daten auf einen USB-Datenträger kopiert wurden?
- Wie werden digitale Beweismittel so gesichert, dass die Untersuchung später überprüfbar bleibt?
- Wie belastbar sind digitale Standortdaten als gerichtlicher Beweis?
- Is it technically possible to reconstruct alleged internet or browser usage?
- Lässt sich die Herkunft einer digitalen Datei oder eines Datensatzes nachvollziehen?
- Wie wird mit beschädigten oder unvollständigen digitalen Beweismitteln umgegangen?
- Wie werden Datenbankeinträge und WAL-/Journal-Spuren vor Gericht bewertet?
- Welche Aussagekraft haben System- und Ereignisprotokolle vor Gericht?
- Kann eine IP-Adresse einer bestimmten Person zugeordnet werden?
- Lassen sich Hinweise auf Anti-Forensik oder gezielte Spurenbeseitigung feststellen?
- Was ist beweiskräftiger: Originaldaten, forensische Sicherung oder exportierter Report?
- Wann kann eine neue IT-forensische Begutachtung nach § 412 ZPO sinnvoll sein?
- Kann nachgewiesen werden, ob ein digitales Beweismittel nach der Sicherstellung verändert wurde?
- Kann festgestellt werden, ob administrative oder erhöhte Rechte verwendet wurden?
- Wie ist ein digitales Beweismittel zu bewerten, das vor der forensischen Sicherung bereits weiter benutzt wurde?
- Kann die Reihenfolge mehrerer digitaler Handlungen zuverlässig rekonstruiert werden?
- Kann die Echtheit und Herkunft eines Screenshots technisch geprüft werden?
- Kann festgestellt werden, wann ein ZIP-, RAR- oder anderes Archiv erstellt oder entpackt wurde?
- Kann bei einer PDF-Datei nachvollzogen werden, aus welchem Quelldokument sie erzeugt wurde?