Informática forense · Tribunales

Kann festgestellt werden, ob ein Gerät zum relevanten Zeitpunkt gesperrt oder aktiv bedient wurde?

Der Zustand „eingeschaltet“ ist nicht gleichbedeutend mit aktiver Benutzung.

Solicitar información sin compromiso

Para el tribunal no es relevante el número de programas de análisis que se hayan utilizado. Lo decisivo es qué hecho técnico concreto se puede determinar de forma fiable a partir de los datos disponibles, cómo se llega a esa conclusión y cuáles son sus límites.

La cuestión probatoria concreta

Wir untersuchen Sperr-/Entsperrereignisse, Sitzungszustände, Eingabe- und Anwendungsaktivitäten sowie korrespondierende Systemereignisse.

Por qué una sola pista digital rara vez es suficiente

Los artefactos digitales se generan en sistemas que cuentan con sus propios mecanismos de almacenamiento, sincronización y registro. Por lo tanto, una sola marca de tiempo, una entrada de registro o un valor de base de datos no se toma como conclusión definitiva sin su contexto. En la medida en que lo requiera la cuestión probatoria, se correlacionan varias trazas independientes entre sí y se comprueban hipótesis alternativas técnicamente plausibles.

Dónde está el límite de la expresión

Ein entsperrter Zustand beweist nicht automatisch fortlaufende menschliche Bedienung; Hintergrundprozesse können weiterhin Aktivitäten erzeugen.

Cómo aborda LanCologne la cuestión de la prueba

En LanCologne, una investigación forense informática judicial comienza por la cuestión probatoria y no por un programa de análisis concreto. En primer lugar, se aclara qué hecho técnico se debe determinar, qué fuentes de datos son realmente relevantes para ello y qué hipótesis contrarias deben tenerse en cuenta.

Las pruebas y los datos de partida se documentan de forma inequívoca. En la medida en que sea técnicamente posible, el análisis se lleva a cabo sobre copias de seguridad forenses verificadas o copias de trabajo adecuadas. Las coincidencias relevantes para la toma de decisiones no se aceptan únicamente por el hecho de que las muestre un programa informático. Se comprueban el origen, la lógica de generación y el contexto del artefacto; en caso necesario, los hallazgos fundamentales se verifican a partir de los datos subyacentes o mediante un segundo método adecuado desde el punto de vista técnico.

En el informe pericial se distinguen claramente los hechos constatados, la interpretación técnica y las conclusiones. Asimismo, se describen con igual claridad los límites de las afirmaciones: ¿qué se puede demostrar? ¿Qué se limita a estar respaldado? ¿Qué datos contradictorios existen? ¿Qué queda sin aclarar? La falta de pruebas no se reinterpreta como una afirmación aparentemente segura.

La parte principal se redacta de tal manera que un juez sin conocimientos especializados en informática forense pueda comprender el razonamiento. Se mantiene la verificabilidad técnica. Las fuentes de datos relevantes para la verificación, la información sobre la integridad, los artefactos y los pasos de la investigación se documentan de tal manera que un perito forense informático independiente pueda comprender las conclusiones fundamentales en el marco de un posible contrainforme.

De la orden judicial a una declaración fidedigna

Resultados positivos, resultados negativos y ausencia de detección

Un resultado pericial debe estar abierto a cualquier conclusión. Si los datos confirman la hipótesis que se está analizando, se explica en qué se basa dicha confirmación. Si hay indicios sólidos que contradicen dicha hipótesis, también se exponen. Si la base de datos no es suficiente para llegar a una conclusión segura, se califica como «falta de pruebas» o como «cuestión técnica sin resolver». Es precisamente esta distinción la que evita que una laguna en los datos dé lugar a una afirmación aparentemente segura.

Comprensible para el tribunal; técnicamente verificable para un perito de la parte contraria

Los aspectos técnicos fundamentales se explican en un lenguaje comprensible. Los términos técnicos solo se utilizan cuando son necesarios y, a continuación, se definen. Al mismo tiempo, se mantienen los fundamentos técnicos esenciales: fuentes de datos analizadas, artefactos relevantes, información sobre la integridad, referencias temporales y pasos metodológicos. Un perito informático forense ajeno al procedimiento debe poder comprobar la deducción sin que el texto principal se convierta, ante el tribunal, en una recopilación de datos técnicos sin procesar.

Clasificación metodológica

En el ámbito de la informática forense judicial no existe un catálogo legal de programas de análisis obligatorios. Desde el punto de vista técnico, son fundamentales una base de datos controlada, la integridad, los pasos de la investigación documentados, unas conclusiones verificables y la posibilidad de una verificación independiente.

El módulo DER.2.2 de la Protección Básica del BSI, „Previsión para la informática forense“, contiene principios básicos útiles para prepararse para futuras investigaciones forenses y para la recogida de pruebas en caso de incidentes de seguridad informática. Sin embargo, no se trata de una norma forense en el ámbito del proceso penal; el módulo deja claro expresamente que el análisis forense propiamente dicho no es su objeto y que no se refiere a investigaciones forenses informáticas en el marco de delitos.

LanCologne como perito independiente en tecnologías de la información

Cuando un tribunal necesita que se aclare desde un punto de vista técnico una cuestión concreta relacionada con las pruebas digitales, examinamos la base de datos disponible de forma independiente y sin prejuicios. El objetivo no es recopilar el mayor número posible de resultados técnicos, sino ofrecer una respuesta fundamentada desde el punto de vista técnico: comprensible para el tribunal, transparente en su razonamiento y técnicamente verificable.

En lo que respecta a la prueba pericial en los procedimientos civiles, son de aplicación, en particular, los artículos 402 y siguientes del Código de Procedimiento Civil (ZPO). El artículo 403 del ZPO supedita la presentación de la prueba a la designación de los puntos que deben ser objeto de peritaje. De conformidad con el artículo 404a del Código de Procedimiento Civil (ZPO), el tribunal dirige la actuación del perito; en caso de controversia sobre los hechos, determina los hechos en los que se basará el dictamen pericial. El artículo 407a del ZPO obliga al perito, entre otras cosas, a comprobar si el encargo entra dentro de su ámbito de especialización, a comunicar los posibles motivos que puedan justificar la desconfianza respecto a su imparcialidad y, en caso de dudas sobre el contenido y el alcance del encargo, a solicitar una aclaración inmediata por parte del tribunal. El artículo 411 del Código de Procedimiento Civil (ZPO) regula el informe pericial escrito, así como su explicación o complementación. La valoración del informe pericial, junto con el resto de las pruebas, sigue siendo competencia del tribunal (artículo 286 del ZPO).

En la medida en que el peritaje se realice en el marco de un proceso penal, se aplicarán a los peritos los artículos 72 y siguientes del Código de Procedimiento Penal. La calificación procesal concreta depende del encargo y del procedimiento de que se trate. Nuestra tarea consiste en dar una respuesta técnica a la cuestión probatoria; ello no sustituye ni a la valoración jurídica ni a la apreciación judicial de las pruebas.

Preguntas frecuentes

LanCologne – Informática forense para los tribunales

¿Tiene alguna duda relacionada con el ámbito digital? LanCologne le ofrece apoyo mediante una investigación forense informática objetiva y sin prejuicios.

Ponte en contacto con nosotros ahora