Informática forense · Tribunales

¿Se puede determinar quién ha utilizado un ordenador o un smartphone?

Die Frage „Wer hat das Gerät benutzt?“ gehört zu den häufigsten und zugleich schwierigsten Beweisfragen der IT-Forensik. Ein angemeldetes Benutzerkonto ist nicht automatisch der Nachweis, dass die namensgebende Person selbst vor dem Gerät saß. Gleiches gilt für ein Smartphone, das einer Person gehört, aber möglicherweise von Dritten benutzt wurde.

Solicitar información sin compromiso

Eine belastbare Zuordnung entsteht deshalb nicht aus einem einzelnen Artefakt. Sie ergibt sich – wenn überhaupt – aus einer Kette miteinander vereinbarer Spuren: Anmeldung, Gerätezustand, Benutzerprofil, Kommunikationsdaten, Dateiaktivitäten, lokale oder cloudbasierte Konten, gegebenenfalls biometrische oder gerätespezifische Hinweise und der zeitliche Zusammenhang mit weiteren Ereignissen.

Unsere Aufgabe ist nicht, aus einem Benutzerkonto eine Person zu machen, sondern dem Gericht zu erklären, welche Zuordnung technisch gesichert, wahrscheinlich, nur möglich oder nicht belegbar ist.

La cuestión probatoria propiamente dicha

Welche Spuren können eine Benutzerzuordnung tragen?

Je nach Gerät und Fragestellung können Anmeldeereignisse, Benutzerkonten, Session-Daten, Gerätebindungen, App-Accounts, Kommunikationsspuren, Standort- oder Netzwerkbezüge und Dateisystemaktivitäten relevant sein. Entscheidend ist die Korrelation.

Ein Beispiel: Ein Windows-Login um 10:02 Uhr, ein geöffnetes Dokument um 10:05 Uhr und eine unmittelbar danach versendete Nachricht aus einem auf demselben Profil angemeldeten Account können gemeinsam aussagekräftiger sein als jedes einzelne Artefakt. Trotzdem muss geprüft werden, ob automatisierte Prozesse, Fernzugriff oder eine Nutzung durch Dritte als alternative Erklärung in Betracht kommen.

Dónde está el límite de la expresión

Technische Artefakte belegen häufig zunächst ein Konto, eine Sitzung oder ein Gerät – nicht zwangsläufig die dahinterstehende natürliche Person. Diese Grenze muss im Gutachten sichtbar bleiben.

¿Por qué LanCologne?

En el caso de los encargos judiciales, para nosotros no es determinante qué programa de análisis muestra primero un resultado positivo. Lo decisivo es si la cuestión probatoria puede resolverse desde un punto de vista técnico y si dicha respuesta resiste un examen independiente.

Trabajamos sin prejuicios, documentamos el origen de los hallazgos decisivos y analizamos posibles explicaciones técnicas alternativas. La evaluación propiamente dicha se lleva a cabo, por norma general, sobre una copia forense o un conjunto de datos registrado de forma que se garantice su valor probatorio. No se examinan directamente los originales sin que sea estrictamente necesario. Cuando sea técnicamente necesario realizar intervenciones en tiempo real, se documentarán expresamente los posibles cambios que estas puedan provocar.

Los resultados decisivos se verifican, en función de la cuestión planteada, mediante un segundo método adecuado desde el punto de vista técnico o directamente a partir de los datos brutos en los que se basan. Las herramientas que se utilicen para ello dependerán de las pruebas y de la cuestión planteada. Lo determinante es la idoneidad, el reconocimiento técnico y la trazabilidad del método, y no el nombre de un producto.

Nuestro informe distingue entre los datos objetivos, la evaluación técnica y la incertidumbre residual. La ausencia de pruebas se justifica con el mismo rigor que la evidencia positiva.

Así es como trabajamos en los encargos judiciales

Nuestra forma de trabajar: desde la orden judicial hasta la respuesta

1Comprobar el objeto del litigio y la cuestión probatoria

En primer lugar, comprobamos si la cuestión entra dentro de nuestro ámbito de especialización, qué hechos toma como base el tribunal y si el contenido o el alcance del encargo están claramente definidos. En caso de duda, se solicita una aclaración al tribunal. Esto se ajusta a los artículos 404a y 407a del Código de Procedimiento Civil (ZPO).

2Comprobar la independencia

Las posibles causas que pudieran suscitar dudas sobre la imparcialidad se examinarán antes de que dé comienzo la instrucción y, en su caso, se comunicarán al tribunal.

3Registrar las pruebas de forma inequívoca

Se identifican y documentan los dispositivos, los soportes de datos, las copias de seguridad y los archivos facilitados. Se registra el estado en el que se encuentra la investigación.

4Garantizar la integridad de los datos

Siempre que sea técnicamente posible, se creará una copia forense o una imagen forense. Los valores hash y otras comprobaciones de integridad sirven para una identificación inequívoca. El original se conserva para futuras comprobaciones.

5Deducir las hipótesis de prueba a partir de la cuestión de prueba

Determinamos qué indicios respaldarían el hecho alegado, qué resultados contrarios son posibles y qué explicaciones técnicas alternativas deben analizarse.

6Analizar las fuentes de datos relevantes

Solo se examinan aquellos elementos de prueba que tengan un valor probatorio desde el punto de vista técnico para la cuestión objeto del litigio. Las coincidencias automáticas no se aceptan sin haber sido comprobadas.

7Validar los resultados de forma independiente

Las conclusiones relevantes para la toma de decisiones se verifican —en la medida en que sea necesario— mediante un segundo método reconocido, desde otro punto de vista técnico o directamente a partir de los datos brutos.

8Determinar los límites de la declaración

Analizamos expresamente qué conclusiones no se pueden extraer de los datos. Se señalan los datos que faltan, su posible eliminación, las limitaciones técnicas, las extracciones incompletas o los indicios contradictorios.

9Responder con claridad a la cuestión probatoria

La conclusión se deriva de los hallazgos documentados. No se formula de forma más contundente de lo que permiten los datos.

10Adjuntar el anexo técnico

El texto principal resulta comprensible incluso para quienes no son expertos en informática forense. El anexo técnico contiene la información que un experto independiente en informática forense necesita para realizar una revisión técnica o elaborar un contrainforme.

Marco jurídico

ZPO §§ 403, 404a, 407a und 411; § 286 ZPO für die abschließende richterliche Würdigung. In Strafverfahren §§ 72 ff. StPO.

El perito aporta los datos fácticos técnicos. La valoración jurídica y la valoración final de las pruebas siguen siendo competencia del tribunal.

Preguntas frecuentes

¿Se puede determinar quién ha utilizado un ordenador o un smartphone?+
Die Frage „Wer hat das Gerät benutzt? “ gehört zu den häufigsten und zugleich schwierigsten Beweisfragen der IT-Forensik. Ein angemeldetes Benutzerkonto ist nicht automatisch der Nachweis, dass die namensgebende Person selbst vor dem Gerät saß.
¿Cómo se lleva a cabo en la práctica una inspección técnica de este tipo?+
Nuestro método de trabajo: del encargo judicial a la respuesta. En primer lugar, comprobamos si la cuestión entra dentro de nuestro ámbito de especialización, qué hechos tiene en cuenta el tribunal y si el contenido o el alcance del encargo son claros.
¿Garantiza el resultado del análisis una conclusión inequívoca para el tribunal?+
Technische Artefakte belegen häufig zunächst ein Konto, eine Sitzung oder ein Gerät – nicht zwangsläufig die dahinterstehende natürliche Person. Diese Grenze muss im Gutachten sichtbar bleiben.
¿Existe algún fundamento jurídico para ello?+
ZPO §§ 403, 404a, 407a und 411; § 286 ZPO für die abschließende richterliche Würdigung. In Strafverfahren §§ 72 ff. StPO. Der Sachverständige liefert die fachliche Tatsachengrundlage. Die rechtliche Würdigung und die abschließende Beweiswürdigung bleiben Aufgabe des Gerichts.

LanCologne – Informática forense para los tribunales

¿Necesita un análisis técnico independiente para una cuestión probatoria judicial? LanCologne analiza las huellas digitales de forma objetiva, transparente y reproducible. Documentamos tanto los resultados positivos como la ausencia de pruebas y las limitaciones técnicas, de tal forma que la conclusión resulte comprensible para el tribunal y pueda ser verificada desde un punto de vista técnico por un perito forense informático independiente.

Ponte en contacto con nosotros ahora