Informática forense · Autoridades investigadoras

¿Cómo se combinan varios indicios débiles para obtener una conclusión técnica global sólida?

Varias pistas digitales independientes entre sí pueden resultar más reveladoras en conjunto que cada una de ellas por separado.

Solicitar información sin compromiso

Por qué esta cuestión es importante para las autoridades investigadoras

En las investigaciones avanzadas, rara vez se trata únicamente de determinar si existe un único artefacto. Lo decisivo es si la interpretación técnica es sólida, qué hipótesis contrarias existen y qué conclusiones no deben extraerse en este momento a partir de la base de datos disponible.

Enfoque técnico de investigación

Comprobamos si las fuentes son realmente independientes, si respaldan la misma hipótesis y si se complementan de forma coherente tanto en el tiempo como desde el punto de vista técnico.

Dónde está el límite de la expresión

El hecho de que haya varios resultados interdependientes o derivados de la misma fuente no aumenta automáticamente la solidez probatoria.

¿Por qué LanCologne?

El método LanCologne no se utiliza en investigaciones complejas con el fin de confirmar de la forma más eficaz posible una hipótesis de sospecha ya existente. Su función consiste en examinar de forma independiente una cuestión técnica concreta y evaluar, con el mismo criterio técnico, tanto los hallazgos incriminatorios como los exculpatorios.

La base de datos se documenta de forma inequívoca. En la medida en que sea técnicamente posible, el análisis se realiza a partir de copias de seguridad verificadas o de copias de trabajo adecuadas. En el caso de hallazgos relevantes para la toma de decisiones, no nos basamos únicamente en informes generados automáticamente. Se comprueban el origen, la lógica de generación y el contexto del sistema; en caso necesario, se lleva a cabo una validación basándose en los datos primarios o mediante un segundo método adecuado desde el punto de vista técnico.

Precisamente en casos complejos, resulta fundamental distinguir entre el dispositivo, la cuenta, la sesión, la acción del usuario y la persona física. Asimismo, se distingue entre constatación positiva, mera compatibilidad, falta de pruebas y exclusión técnica.

Los resultados se documentan de tal manera que los investigadores y los fiscales puedan comprender la conclusión principal sin necesidad de conocimientos forenses específicos. Al mismo tiempo, los fundamentos técnicos quedan documentados de forma reproducible para su posterior revisión por parte de otros peritos forenses, la defensa y el tribunal.

De la orden de investigación a una declaración fiable

1Delimitar con precisión el objeto de la investigación y el encargo de peritaje técnico.
2Formular una hipótesis de cargo, hipótesis contrarias que la refuten y posibles explicaciones técnicas alternativas.
3Documentar las pruebas, los datos de partida, la integridad y las lagunas conocidas.
4Identificar las fuentes primarias relevantes, así como las referencias a dispositivos, cuentas, Server y la nube.
5Analizar los artefactos relevantes para la toma de decisiones en el contexto de su origen y del sistema.
6Validar de forma independiente los resultados de los analizadores y las herramientas en caso de hallazgos críticos.
7Resolver de forma transparente los problemas de tiempo, sincronización y versiones, o documentarlos como incertidumbre residual.
8Evaluar los hallazgos a favor y en contra utilizando el mismo criterio técnico.
9Señalar expresamente los límites de la afirmación, las lagunas en los datos y las posibles explicaciones alternativas.
10Responder de forma clara a la pregunta de la investigación y garantizar que la respuesta sea verificable desde el punto de vista técnico.

Hallazgos a favor del diagnóstico, en contra del diagnóstico y inconclusos

La investigación no llega a una conclusión definitiva. Si varias fuentes fiables respaldan una hipótesis de la investigación, se explica su relación técnica. Si existen hallazgos contrarios o una explicación alternativa técnicamente válida, estos se documentan de forma equivalente. Si la base de datos no es suficiente, se señala expresamente la falta de pruebas.

Reproducibilidad y posterior revisión judicial

La idea principal se formula de forma comprensible para los investigadores y los fiscales. Al mismo tiempo, los fundamentos técnicos relevantes para la investigación se documentan de tal manera que otro perito forense informático cualificado pueda reproducir las conclusiones esenciales a partir de la misma base de datos. Esto facilita las consultas posteriores, las verificaciones cruzadas y una posible práctica de la prueba ante los tribunales.

LanCologne como perito forense informático externo independiente

Wenn eine Strafverfolgungsbehörde eine komplexe digitale Frage vertieft, unabhängig oder reproduzierbar prüfen lassen muss, unterstützt LanCologne mit einer sachlichen und ergebnisoffenen Untersuchung. Im Mittelpunkt steht die belastbare Beantwortung der konkreten Ermittlungsfrage – einschließlich Gegenbefunden, Aussagegrenzen und technischer Nachprüfbarkeit.

Marco jurídico

La dirección de la investigación y la valoración jurídica siguen siendo competencia de los órganos de persecución penal pertinentes. De conformidad con el artículo 160 del Código de Procedimiento Penal, la Fiscalía investiga los hechos y debe determinar tanto las circunstancias incriminatorias como las exculpatorias. El artículo 161 del Código de Procedimiento Penal regula la competencia general de la Fiscalía en materia de investigación; el artículo 163 del Código de Procedimiento Penal, las funciones de la policía en la fase de instrucción.

En principio, a los peritos se les aplican los artículos 72 y siguientes del Código de Procedimiento Penal. Según el artículo 161a, apartado 1, del Código de Procedimiento Penal, los peritos deben comparecer ante la Fiscalía cuando sean citados y presentar su informe pericial. El artículo 82 del Código de Procedimiento Penal regula la forma de presentación del dictamen en la fase de instrucción. El artículo 78 del Código de Procedimiento Penal se refiere a la supervisión judicial de la actividad del perito, en la medida en que dicha supervisión sea pertinente.

La incautación y el embargo se rigen, en particular, por los artículos 94 y 98 del Código de Procedimiento Penal. El artículo 110, apartado 3, del Código de Procedimiento Penal se refiere al examen de soportes de almacenamiento electrónicos y a la obtención de datos que puedan ser relevantes para la investigación. La admisibilidad, el alcance y la orden de las medidas de autoridad pública son competencia exclusiva de los órganos de persecución penal y los tribunales competentes.

De conformidad con el artículo 1, apartado 3, de la JVEG, la intervención solicitada por la policía u otras autoridades encargadas de la persecución penal, por encargo o con la autorización previa de la Fiscalía, tiene el mismo valor, a efectos de la remuneración, que una intervención solicitada directamente por la Fiscalía.

Preguntas frecuentes

¿Cómo se combinan varios indicios débiles para obtener una conclusión técnica global sólida?+
En las investigaciones avanzadas, rara vez se trata únicamente de determinar si existe un único artefacto. Lo decisivo es si la interpretación técnica es sólida, qué hipótesis contrarias existen y qué conclusiones no deben extraerse en este momento a partir de la base de datos disponible.
¿Cómo se lleva a cabo en la práctica una inspección técnica de este tipo?+
Comprobamos si las fuentes son realmente independientes, si respaldan la misma hipótesis y si se complementan de forma coherente tanto en el tiempo como desde el punto de vista técnico.
¿El análisis siempre arroja un resultado inequívoco, ya sea a favor o en contra?+
El hecho de que haya varios resultados interdependientes o derivados de la misma fuente no aumenta automáticamente la solidez probatoria.
¿Existe algún fundamento jurídico para ello?+
La dirección de la investigación y la valoración jurídica siguen siendo competencia de los órganos de persecución penal competentes. De conformidad con el artículo 160 del Código de Procedimiento Penal (StPO), la Fiscalía investiga los hechos y debe determinar tanto las circunstancias agravantes como las atenuantes. El artículo 161 del StPO regula la facultad general de investigación de la Fiscalía; el artículo 163 del StPO, las funciones de la policía en la fase de instrucción. En lo que respecta a los peritos, se aplican, en principio, los artículos 72 y siguientes del Código de Procedimiento Penal. Según el artículo 161a, apartado 1, del Código de Procedimiento Penal, los peritos deben comparecer ante la Fiscalía cuando sean citados y presentar su informe pericial. El artículo 82 del Código de Procedimiento Penal regula la forma de presentación de los dictámenes en la fase previa al juicio. El artículo 78 del Código de Procedimiento Penal se refiere a la supervisión judicial de la actividad del perito, en la medida en que dicha supervisión sea pertinente. La incautación y el embargo se rigen, en particular, por los artículos 94 y 98 del Código de Procedimiento Penal. El artículo 110, apartado 3, del Código de Procedimiento Penal (StPO) se refiere al examen de soportes de almacenamiento electrónicos y a la obtención de datos que puedan ser relevantes para la investigación. La admisibilidad, el alcance y la orden de las medidas de autoridad pública son competencia exclusiva de los órganos de persecución penal y los tribunales competentes. De conformidad con el artículo 1, apartado 3, de la Ley de Honorarios de los Peritos Judiciales (JVEG), la intervención solicitada por la policía u otras autoridades de persecución penal por encargo o con la aprobación previa de la Fiscalía equivale, a efectos de la remuneración, a una intervención solicitada por la propia Fiscalía.

LanCologne – Informática forense para las fuerzas del orden

¿Tiene alguna duda relacionada con el ámbito digital? LanCologne le ofrece apoyo mediante una investigación forense informática objetiva y sin prejuicios.

Ponte en contacto con nosotros ahora