IT Forensics · Courts
Wie werden digitale Beweismittel so gesichert, dass die Untersuchung später überprüfbar bleibt?
Die Qualität eines Gutachtens beginnt vor der Analyse. Wenn ein Datenträger unnötig verändert wird, ist später möglicherweise nicht mehr sicher feststellbar, welche Spuren bereits vorhanden waren und welche durch die Untersuchung entstanden sind.
Deshalb dokumentieren wir den Übernahmezustand, identifizieren Beweismittel eindeutig und erstellen – soweit technisch möglich – forensische Kopien oder Abbilder. Integritätswerte dienen dazu, die Übereinstimmung und Unverändertheit des gesicherten Datenbestands nachvollziehbar zu prüfen.
Bei modernen Smartphones, verschlüsselten Rechnern oder laufenden Systemen kann eine vollständig schreibfreie Sicherung technisch nicht immer möglich sein. In solchen Fällen werden erforderliche Eingriffe, ihr Zweck und ihre möglichen Auswirkungen offen dokumentiert.
The actual question of evidence
Warum ist eine Arbeitskopie so wichtig?
Analyseprogramme, Betriebssysteme und Dateisystemtreiber können beim Öffnen oder Einbinden Daten verändern. Deshalb wird die eigentliche Untersuchung grundsätzlich auf einer Arbeitskopie beziehungsweise einem verifizierten Datenbestand durchgeführt.
Das Original bleibt für spätere Prüfungen erhalten, soweit die technische Situation dies zulässt.
Where the limits of what can be said lie
Ein Hashwert beweist die Integrität eines konkreten Datenbestands, nicht die inhaltliche Wahrheit der darin gespeicherten Informationen.
Why LanCologne?
In the case of court-ordered investigations, it is not a matter of which analysis programme displays a match first. What matters is whether the question of evidence can be answered on a technical basis and whether that answer stands up to independent scrutiny.
We adopt an open-minded approach, document the origin of key findings and examine alternative technical explanations. The actual analysis is always carried out on a forensic copy or a dataset that has been securely preserved as evidence. Originals are not examined directly unless absolutely necessary. Where live procedures are technically necessary, any changes that may result from them are explicitly documented.
Depending on the research question, key findings are verified either using a second method appropriate to the subject matter or directly on the basis of the underlying raw data. The tools used for this purpose depend on the evidence and the research question. The key factors are the suitability, professional recognition and traceability of the method – not a product name.
Our report distinguishes between factual findings, technical assessments and remaining uncertainties. A negative finding is justified just as carefully as a positive one.
How we handle court-ordered assignments
How we work – from the court order to the response
We first check whether the matter falls within our area of expertise, what facts the court is basing its decision on, and whether the content or scope of the assignment is clear. If there is any doubt, the court will seek clarification. This is in accordance with Sections 404a and 407a of the Code of Civil Procedure (ZPO).
Any reasons that might give rise to doubts as to impartiality are examined before the substantive investigation begins and, where appropriate, disclosed to the court.
Devices, data storage media, backups and files provided are identified and documented. The status at the time of the investigation is recorded.
Where technically feasible, a forensic copy or image is created. Hash values and other integrity checks are used to ensure unambiguous identification. The original is retained for future verification.
We determine which evidence would support the alleged event, what contradictory findings are conceivable, and which alternative technical explanations need to be examined.
Only those artefacts which have professional evidential value in relation to the issue in question are examined. Automatic matches are not accepted without verification.
Findings relevant to the decision are – where necessary – cross-checked using a second recognised method, a different technical approach or directly against the raw data.
We explicitly examine what conclusions must not be drawn from the data. We identify missing data, possible deletions, technical limitations, incomplete extracts or contradictory evidence.
The final conclusion is drawn from the documented findings. It is not stated in stronger terms than the data permit.
The main text remains accessible even to those without a background in digital forensics. The technical appendix contains the information required by an independent IT forensic expert to carry out a technical review or prepare a counter-report.
Legal framework
ZPO §§ 404a, 407a und 411. Das BSI beschreibt IT-Forensik als streng methodische Analyse mit dem Ziel der Sicherung, Aufbereitung und Analyse digitaler Spuren für eine mögliche spätere Gerichtsverhandlung.
The expert provides the factual basis for the case. The legal assessment and the final evaluation of the evidence remain the responsibility of the court.
Frequently Asked Questions
LanCologne – IT Forensics for the Courts
Do you require an independent technical investigation into a matter of evidence for court proceedings? LanCologne examines digital evidence objectively, transparently and in a reproducible manner. We document both positive findings and the absence of evidence, as well as technical limitations, in such a way that the conclusions remain comprehensible to the court and verifiable by an independent IT forensic expert.
Related to this topic
- Wie belastbar sind digitale Standortdaten als gerichtlicher Beweis?
- Is it technically possible to reconstruct alleged internet or browser usage?
- Lässt sich die Herkunft einer digitalen Datei oder eines Datensatzes nachvollziehen?
- Wie wird mit beschädigten oder unvollständigen digitalen Beweismitteln umgegangen?