IT forensics · Investigative authorities
Wie werden beschädigte oder unvollständige Beweismittel sachverständig bewertet?
Lesefehler, beschädigte Datenträger oder unvollständige Extraktionen begrenzen den untersuchbaren Datenbestand.
Why this question is important to the investigating authorities
Digitale Ermittlungen müssen belastbare Tatsachen liefern, dürfen aber technische Indizien nicht überinterpretieren. Für die Ermittlungsarbeit ist daher nicht nur wichtig, ob ein Artefakt vorhanden ist, sondern was es tatsächlich beweist, welche Gegenhypothesen bestehen und welche weitergehenden Schlussfolgerungen gerade nicht zulässig sind.
Technical investigative approach
Wir dokumentieren fehlende Bereiche, Rekonstruktionsgrad und Auswirkungen auf die Beweisfrage.
Where the limits of what can be said lie
Ein Teilbefund darf nicht als Untersuchung des vollständigen ursprünglichen Datenbestands dargestellt werden.
Why LanCologne?
LanCologne arbeitet bei Ermittlungsaufträgen nicht nach dem Prinzip, eine vorgegebene Verdachtshypothese technisch zu bestätigen. Ausgangspunkt ist die konkrete Ermittlungsfrage. Dazu werden belastende und entlastende technische Möglichkeiten gleichermaßen geprüft.
Die übergebenen Beweismittel oder Datenbestände werden eindeutig dokumentiert. Soweit technisch möglich, erfolgt die Auswertung auf verifizierten Sicherungen beziehungsweise geeigneten Arbeitskopien. Automatisch erzeugte Treffer werden bei entscheidungserheblichen Fragen nicht ungeprüft übernommen. Herkunft, Entstehungslogik und Kontext des Artefakts werden kontrolliert; bei Bedarf erfolgt eine unabhängige Gegenprüfung anhand der zugrunde liegenden Daten oder mit einer zweiten fachlich geeigneten Methode.
Für eine Strafermittlungsbehörde ist entscheidend, dass aus einem technischen Indiz keine stärkere Aussage gemacht wird, als die Daten tatsächlich tragen. Deshalb unterscheiden wir zwischen Gerätebezug, Accountbezug, Benutzerbezug und Personenzuordnung ebenso wie zwischen Möglichkeit, tatsächlicher Nutzung und nachweisbarer Handlung.
Ebenso wichtig ist der Negativbefund. Wenn sich eine Ermittlungsannahme anhand der vorhandenen Daten nicht bestätigen lässt oder technisch plausible Alternativerklärungen bestehen, wird dies ausdrücklich dokumentiert. Das entspricht einer ergebnisoffenen sachverständigen Arbeitsweise und unterstützt die Pflicht, sowohl belastende als auch entlastende Umstände zu berücksichtigen.
From the investigation brief to a reliable statement
Belastende und entlastende Befunde
Eine sachverständige Untersuchung muss ergebnisoffen bleiben. Stützen die Daten die Ermittlungsannahme, wird erläutert, wodurch. Widersprechen ihr belastbare Spuren oder bleibt eine alternative technische Erklärung bestehen, wird dies ebenso dokumentiert. Reicht der Datenbestand für keine sichere Aussage, wird ein Nichtnachweis als solcher bezeichnet.
Nachvollziehbar für Staatsanwaltschaft, Polizei, Verteidigung und Gericht
Der Hauptbefund wird in verständlicher Sprache formuliert. Gleichzeitig werden die prüfrelevanten technischen Grundlagen so dokumentiert, dass ein weiterer qualifizierter IT-Forensiker die Kernaussagen anhand derselben Datenbasis nachvollziehen kann. Damit bleibt die Untersuchung auch für spätere Gegenprüfungen oder eine gerichtliche Beweisaufnahme transparent.
LanCologne als externer IT-Forensik-Sachverständiger
Wenn eine Ermittlungsbehörde eine digitale Spezialfrage unabhängig und technisch belastbar klären lassen muss, unterstützt LanCologne mit einer nachvollziehbaren, ergebnisoffenen Untersuchung. Ziel ist nicht die größtmögliche Zahl an Treffern, sondern eine belastbare fachliche Antwort auf die konkrete Ermittlungsfrage.
Legal framework
Die Ermittlungsleitung und die rechtliche Bewertung verbleiben bei den zuständigen Strafverfolgungsorganen. Nach § 160 StPO erforscht die Staatsanwaltschaft den Sachverhalt und hat sowohl belastende als auch entlastende Umstände zu ermitteln. § 161 StPO regelt ihre allgemeine Ermittlungsbefugnis und die Möglichkeit, Ermittlungen durch Behörden und Beamte des Polizeidienstes vornehmen zu lassen. Die Aufgaben der Polizei im Ermittlungsverfahren sind in § 163 StPO geregelt.
Für Sachverständige gelten grundsätzlich die §§ 72 ff. StPO. § 161a Abs. 1 StPO verpflichtet Sachverständige, auf Ladung vor der Staatsanwaltschaft zu erscheinen und ihr Gutachten zu erstatten; die sachverständigenbezogenen Vorschriften des siebenten Abschnitts gelten entsprechend, soweit nichts anderes bestimmt ist. § 82 StPO betrifft die Form der Gutachtenerstattung im Vorverfahren.
Sicherstellung und Beschlagnahme von Gegenständen mit möglicher Beweisbedeutung richten sich insbesondere nach §§ 94 und 98 StPO. § 110 Abs. 3 StPO regelt die Durchsicht elektronischer Speichermedien und ermöglicht unter den dort genannten Voraussetzungen auch die Sicherung untersuchungsrelevanter Daten. Die Entscheidung über Zulässigkeit, Umfang und Anordnung solcher Maßnahmen liegt bei den zuständigen staatlichen Stellen, nicht bei LanCologne.
Under Section 1(3) of the JVEG, engagement by the police or other law enforcement authorities on behalf of, or with the prior approval of, the public prosecutor’s office is treated as equivalent to engagement by the public prosecutor’s office for the purposes of remuneration.
Frequently Asked Questions
LanCologne – IT Forensics for Criminal Investigation Authorities
Do you have a digital enquiry? LanCologne can assist you with an objective, unbiased IT forensic investigation.