Informática forense · Tribunales
Welche Bedeutung hat eine lückenhafte Chain of Custody für die technische Aussagekraft?
Eine unvollständige Dokumentation der Beweismittelkette führt nicht automatisch zu einer technischen Unbrauchbarkeit des Beweismittels. Sie kann jedoch die Aussage darüber begrenzen, ob der vorgelegte Zustand lückenlos auf einen früheren Zustand zurückgeführt werden kann.
Para el tribunal no es relevante el número de programas de análisis que se hayan utilizado. Lo decisivo es qué hecho técnico concreto se puede determinar de forma fiable a partir de los datos disponibles, cómo se llega a esa conclusión y cuáles son sus límites.
La cuestión probatoria concreta
Wir trennen dokumentierte Tatsachen von nicht belegten Übergabe- oder Verwahrungsschritten und prüfen, welche Integritätsmerkmale unabhängig davon noch verifiziert werden können.
Por qué una sola pista digital rara vez es suficiente
Los artefactos digitales se generan en sistemas que cuentan con sus propios mecanismos de almacenamiento, sincronización y registro. Por lo tanto, una sola marca de tiempo, una entrada de registro o un valor de base de datos no se toma como conclusión definitiva sin su contexto. En la medida en que lo requiera la cuestión probatoria, se correlacionan varias trazas independientes entre sí y se comprueban hipótesis alternativas técnicamente plausibles.
Dónde está el límite de la expresión
Ob eine Dokumentationslücke prozessrechtliche Folgen hat, entscheidet das Gericht. Der IT-Sachverständige beschreibt deren technische Bedeutung, nicht ihre rechtliche Konsequenz.
Cómo aborda LanCologne la cuestión de la prueba
Bei LanCologne beginnt die Untersuchung mit der gerichtlichen Beweisfrage und nicht mit einem bestimmten Analyseprogramm. Zunächst wird geklärt, welche technische Tatsache festgestellt werden soll, welche Datenquellen dafür Aussagekraft besitzen und welche Gegenhypothesen berücksichtigt werden müssen.
Die Beweismittel und die Ausgangsdaten werden eindeutig dokumentiert. Soweit technisch möglich, erfolgt die Auswertung auf verifizierten forensischen Sicherungen oder geeigneten Arbeitskopien. Entscheidungserhebliche Treffer werden nicht allein deshalb übernommen, weil sie von einer Software angezeigt werden. Wir prüfen Herkunft, Entstehungslogik und Kontext des Artefakts und kontrollieren zentrale Befunde bei Bedarf anhand der zugrunde liegenden Daten oder einer zweiten fachlich geeigneten Methode.
En el informe pericial se distinguen claramente los hechos constatados, la interpretación técnica y las conclusiones. Asimismo, se describen con igual claridad los límites de las afirmaciones: ¿qué se puede demostrar? ¿Qué se limita a estar respaldado? ¿Qué datos contradictorios existen? ¿Qué queda sin aclarar? La falta de pruebas no se reinterpreta como una afirmación aparentemente segura.
Der Hauptteil wird so geschrieben, dass ein Richter ohne IT-forensische Spezialkenntnisse die Herleitung verstehen kann. Die technische Nachprüfbarkeit bleibt erhalten. Prüfrelevante Datenquellen, Integritätsinformationen, Artefakte und Untersuchungsschritte werden so dokumentiert, dass ein unabhängiger IT-Forensiker die zentralen Feststellungen für ein mögliches Gegengutachten nachvollziehen kann.
De la orden judicial a una declaración fidedigna
Resultados positivos, resultados negativos y ausencia de detección
Un resultado pericial debe estar abierto a cualquier conclusión. Si los datos confirman la hipótesis que se está analizando, se explica en qué se basa dicha confirmación. Si hay indicios sólidos que contradicen dicha hipótesis, también se exponen. Si la base de datos no es suficiente para llegar a una conclusión segura, se califica como «falta de pruebas» o como «cuestión técnica sin resolver». Es precisamente esta distinción la que evita que una laguna en los datos dé lugar a una afirmación aparentemente segura.
Comprensible para el tribunal; técnicamente verificable para un perito de la parte contraria
Los aspectos técnicos fundamentales se explican en un lenguaje comprensible. Los términos técnicos solo se utilizan cuando son necesarios y, a continuación, se definen. Al mismo tiempo, se mantienen los fundamentos técnicos esenciales: fuentes de datos analizadas, artefactos relevantes, información sobre la integridad, referencias temporales y pasos metodológicos. Un perito informático forense ajeno al procedimiento debe poder comprobar la deducción sin que el texto principal se convierta, ante el tribunal, en una recopilación de datos técnicos sin procesar.
Clasificación metodológica
En el ámbito de la informática forense judicial no existe un catálogo legal de programas de análisis obligatorios. Desde el punto de vista técnico, son fundamentales una base de datos controlada, la integridad, los pasos de la investigación documentados, unas conclusiones verificables y la posibilidad de una verificación independiente.
Der BSI-Grundschutz-Baustein DER.2.2 „Vorsorge für die IT-Forensik“ enthält hilfreiche Grundgedanken zur Vorbereitung auf spätere forensische Untersuchungen und zur Spurensicherung bei IT-Sicherheitsvorfällen. Er ist jedoch kein strafprozessualer Forensikstandard; die eigentliche forensische Analyse ist nicht Gegenstand dieses Bausteins. Diese Abgrenzung wird ausdrücklich beachtet.
LanCologne como perito independiente en tecnologías de la información
Cuando un tribunal necesita que se aclare desde un punto de vista técnico una cuestión concreta relacionada con las pruebas digitales, examinamos la base de datos disponible de forma independiente y sin prejuicios. El objetivo no es recopilar el mayor número posible de resultados técnicos, sino ofrecer una respuesta fundamentada desde el punto de vista técnico: comprensible para el tribunal, transparente en su razonamiento y técnicamente verificable.
Marco jurídico
Für den Sachverständigenbeweis in Zivilverfahren sind insbesondere §§ 402 ff. ZPO relevant. § 403 ZPO betrifft die Bezeichnung der zu begutachtenden Punkte. Nach § 404a ZPO leitet das Gericht die Tätigkeit des Sachverständigen und kann Art und Umfang seiner Tätigkeit bestimmen. § 407a ZPO enthält Pflichten des Sachverständigen, unter anderem zur Prüfung des eigenen Fachgebiets und zur Klärung von Zweifeln über Inhalt und Umfang des Auftrags. § 411 ZPO regelt das schriftliche Gutachten sowie dessen Erläuterung und Ergänzung. Die Würdigung des Gutachtens zusammen mit dem übrigen Beweisergebnis bleibt Aufgabe des Gerichts (§ 286 ZPO).
Bei strafprozessualen Gutachten gelten für Sachverständige die §§ 72 ff. StPO. Welche Vorschriften im konkreten Verfahren einschlägig sind, hängt vom Auftrag und der Verfahrensart ab. Die IT-forensische Begutachtung ersetzt weder die rechtliche Bewertung noch die gerichtliche Beweiswürdigung.
Preguntas frecuentes
LanCologne – Informática forense para los tribunales
¿Tiene alguna duda relacionada con el ámbito digital? LanCologne le ofrece apoyo mediante una investigación forense informática objetiva y sin prejuicios.
En relación con este tema
- Was geschieht, wenn während der IT-forensischen Untersuchung neue, vom gerichtlichen Auftrag nicht erfasste Tatsachen auffallen?
- Wo endet die technische Schlussfolgerung des IT-Sachverständigen und wo beginnt die Beweiswürdigung des Gerichts?
- Wie wird die Unabhängigkeit und Neutralität eines IT-Sachverständigen praktisch umgesetzt?
- Warum muss ein IT-Gutachten für Nicht-Forensiker verständlich sein?