Este resumen recoge todas las preguntas y respuestas relacionadas con la informática forense para los tribunales en LanCologne , desde la asignación de usuarios y cuentas, pasando por archivos, metadatos y rastros de comunicación, hasta las contradicciones en las pruebas digitales y el papel del perito informático en los procedimientos judiciales. Haga clic en una categoría para ver las preguntas correspondientes.
Asignación de usuarios y cuentas
- ¿Se puede determinar quién ha utilizado un ordenador o un smartphone?
- ¿Es posible demostrar técnicamente una acción concreta realizada por un usuario?
- ¿Se puede distinguir el envío efectivo de un mensaje de la mera existencia del mismo en la cuenta?
- ¿Se puede distinguir entre una cuenta de usuario local, una cuenta de dominio y una cuenta en la nube?
- ¿Es posible reconstruir un cambio de usuario o una sesión de usuario paralela?
- ¿Qué valor tiene un registro automático?
- ¿Se puede asignar un artefacto digital a un perfil de usuario concreto?
- ¿Cómo deben valorarse los bienes procedentes de cuentas compartidas o técnicas?
- ¿Se puede distinguir si los datos digitales se han generado automáticamente o mediante una acción del usuario?
- ¿Se puede determinar si una cuenta de usuario ha sido comprometida o utilizada por un tercero?
- ¿Cómo se evalúan los rastros digitales cuando varios dispositivos utilizan la misma cuenta?
- ¿Es posible atribuir una acción digital a un usuario concreto cuando se utilizan ordenadores compartidos?
- ¿Es posible distinguir de forma fiable entre una cuenta de usuario local, una cuenta de dominio y una cuenta en la nube?
- ¿Se puede demostrar que se ha producido un cambio de usuario o una sesión de usuario paralela?
- ¿Qué relevancia tiene el inicio de sesión automático para la asignación de usuarios?
- ¿Se puede asignar un artefacto digital a un perfil de usuario concreto dentro de un sistema multiusuario?
Comunicación: chat, correo electrónico y mensajes
- ¿Es posible verificar técnicamente la autenticidad y la integridad del historial de un chat?
- ¿Es técnicamente posible determinar el origen y la ruta de envío de un correo electrónico?
- ¿Qué valor probatorio tienen las notificaciones push como prueba digital?
- ¿Qué demuestra realmente un acuse de recibo digital?
- ¿Cómo deben evaluarse las diferencias en el estado de los mensajes entre el emisor y el receptor?
- ¿Se puede distinguir entre la recepción, el almacenamiento, la apertura y la edición de un archivo adjunto de un correo electrónico?
- ¿Se puede determinar si un correo electrónico ha sido reenviado o si su contenido se ha copiado manualmente?
- ¿Qué información nos proporcionan los encabezados de los correos electrónicos sobre el origen y la ruta de transmisión?
- ¿Se puede determinar si un correo electrónico se ha eliminado localmente, en el servidor o mediante sincronización?
Fotos, vídeos y contenidos multimedia
- ¿Se puede deducir el uso real del dispositivo a partir del bloqueo de pantalla?
- ¿Se puede determinar si una foto o un vídeo se ha grabado con un dispositivo concreto?
- ¿Se puede distinguir entre la grabación original, el archivo editado y la copia convertida?
- ¿Qué relevancia tienen las imágenes de vista previa y las cachés de miniaturas?
- ¿Qué valor probatorio tiene una grabación de pantalla como prueba digital?
- ¿Qué valor probatorio tienen los metadatos de fotos y vídeos como prueba judicial?
- ¿Una imagen de vista previa o miniatura indica que se ha abierto el archivo correspondiente?
Dispositivos, red y elementos del sistema
- ¿Se puede determinar si un dispositivo ha estado conectado a un WLAN concreto?
- ¿Qué importancia tienen los archivos idénticos en varios dispositivos?
- ¿Se puede determinar qué dispositivo generó inicialmente un cambio sincronizado?
- ¿Se puede demostrar técnicamente un supuesto acceso remoto a un ordenador?
- ¿Es posible reconstruir cronológicamente el cambio de red de un dispositivo?
- ¿Se puede determinar si una actualización del sistema ha modificado o eliminado rastros digitales?
- ¿Cómo afecta la migración a un nuevo dispositivo a la valoración de las pruebas?
- ¿Se puede demostrar si un dispositivo externo concreto ha estado conectado a un ordenador?
- ¿Es posible determinar si un software concreto se ha instalado o si realmente se ha ejecutado?
- ¿Es posible determinar a posteriori que un programa se había instalado anteriormente y que ya se ha desinstalado?
- ¿Se puede demostrar si se han transmitido o consultado datos a través de un recurso compartido de red?
- ¿Qué valor probatorio tienen los datos volátiles de la memoria RAM ante un tribunal?
- ¿Se puede demostrar a posteriori que se ha realizado una sesión de escritorio remoto o de acceso remoto?
- ¿Se puede determinar si un dispositivo estaba bloqueado o en uso en el momento en cuestión?
- ¿Es posible saber a qué red estaba conectado un dispositivo en un momento determinado?
- ¿Cómo se comparan las indicaciones de hora de un Server externo con la hora local del dispositivo?
- ¿Qué influencia pueden tener las actualizaciones del sistema en los rastros digitales?
- ¿Es posible detectar forénsicamente una migración de un dispositivo antiguo a uno nuevo?
Eliminación, recuperación y copia de seguridad
- ¿Se puede demostrar si los datos se han borrado a propósito?
- ¿Qué rastros puede dejar una restauración a partir de una copia de seguridad?
- ¿Qué se puede determinar de forma fiable tras un restablecimiento a los ajustes de fábrica?
- ¿Qué valor probatorio tienen las copias de seguridad, las instantáneas y los registros históricos?
- ¿Se puede determinar si se ha formateado un soporte de datos o si se ha reinstalado un sistema operativo?
- ¿Qué valor probatorio tienen los archivos de la papelera de reciclaje y de la papelera en un juicio?
- ¿Se puede determinar si los datos eliminados han sido sobrescritos posteriormente?
- ¿Cómo influye la recuperación a partir de una copia de seguridad en la valoración de las pruebas?
- ¿Qué operaciones se pueden seguir realizando tras restablecer los ajustes de fábrica?
Autenticación, cifrado y protección del acceso
- ¿Se puede distinguir entre la autenticación mediante contraseña, la autenticación biométrica y la autenticación basada en sesión?
- ¿Qué valor probatorio tienen las contraseñas, los tokens y los datos de acceso almacenados ante un tribunal?
- ¿Qué valor informativo tienen los contenedores cifrados y los soportes de datos virtuales?
- ¿Qué declaración es admisible en el caso de pruebas cifradas o a las que solo se tiene acceso parcial?
- ¿Cómo se comprueba técnicamente una firma digital?
Anonimización, VPN y rastros de red
- ¿Qué relevancia tiene el uso de una VPN a la hora de identificar las actividades digitales?
- ¿Cómo se clasifican desde el punto de vista forense las conexiones mediante proxy, retransmisión o anonimización?
- ¿Qué valor probatorio tienen los rastros de ADN como prueba de la actividad en Internet?
- ¿Qué relevancia tiene el uso de una VPN a la hora de identificar las actividades en Internet?
La nube, los sistemas virtuales y los contenedores
- ¿Se puede determinar si se ha descomprimido un archivo o si se ha utilizado su contenido?
- ¿Cómo se investigan las máquinas virtuales como pruebas digitales?
- ¿Se puede determinar si una máquina virtual se estaba ejecutando en un momento determinado?
- ¿Qué valor probatorio tienen los registros de sincronización en la nube ante un tribunal?
- ¿Qué valor probatorio tienen los contenedores cifrados y los soportes de datos virtuales ante los tribunales?
- ¿Cómo se examinan las máquinas virtuales como pruebas digitales?
Dateien, Metadaten und Zeitstempel
- ¿Se puede determinar cuándo se creó o modificó un archivo?
- ¿Se puede determinar si un archivo se ha abierto o utilizado realmente?
- ¿Se puede determinar si un archivo solo se ha visualizado o si realmente se ha editado?
- ¿Qué valor probatorio tienen los borradores, los archivos guardados automáticamente y los documentos temporales?
- ¿Se puede asociar un archivo a un programa concreto con el que se haya creado?
- ¿Se puede comprobar si un documento se ha exportado desde otro archivo?
- ¿Pueden los rastros del portapapeles servir como prueba de una acción de copiar y pegar?
- ¿Qué valor probatorio tienen los archivos ZIP, RAR y otros archivos comprimidos ante los tribunales?
- ¿Qué valor probatorio tiene una línea temporal digital ante un tribunal?
- ¿Qué valor informativo tienen los índices de búsqueda y el contenido de los archivos indexados?
- ¿Se puede distinguir una búsqueda realmente realizada de una mera indexación?
- ¿Se puede determinar si una acción digital ha sido activada por una tarea programada o por un proceso automatizado?
- ¿Se puede determinar si existía una autorización en un momento determinado?
- ¿Es posible reconstruir un cambio en los permisos de un usuario o de un grupo?
- ¿En qué casos se puede llegar a una conclusión a partir de la ausencia de un artefacto digital?
- ¿Se puede demostrar si un documento digital ha sido modificado posteriormente?
- ¿Es posible determinar qué versión de un documento existía en un momento determinado?
- ¿Se puede determinar si un archivo se ha descargado de Internet?
- ¿Se puede determinar si un ordenador estaba encendido o apagado en un momento determinado?
- ¿Es posible saber si se han renombrado o movido archivos dentro de un sistema?
- ¿Qué valor probatorio tienen ante los tribunales los archivos recuperados o que se conservan solo de forma fragmentaria?
- ¿Se puede determinar si se ha impreso un archivo o una información?
- ¿Se puede determinar si un archivo se ha abierto realmente?
- ¿Se puede demostrar que una persona ha tomado conocimiento efectivamente del contenido de un archivo digital?
- ¿Se puede distinguir si un archivo se ha copiado, movido o sincronizado?
- Kann der Zeitpunkt einer Löschung technisch eingegrenzt werden?
- Kann ein Dateizugriff nachgewiesen werden, obwohl die Datei unverändert blieb?
- Kann eine Manipulation von Datei- oder Systemzeitstempeln festgestellt werden?
- Kann zwischen einer Original-Mediendatei und einer konvertierten oder erneut gespeicherten Fassung unterschieden werden?
- Welche Aussagekraft haben Suchindexe für die Existenz oder Nutzung einer Datei?
Widersprüche, Plausibilität und Beweiswürdigung
- ¿Cómo comprueba un perito informático una supuesta cadena de acontecimientos cuando las pruebas digitales se contradicen entre sí?
- ¿Qué valor probatorio tienen los metadatos que pueden modificarse manualmente?
- ¿Puede el malware ser una explicación alternativa para una acción digital?
- ¿Cómo se deben tratar los rastros digitales contradictorios?
- ¿Cómo se comprueba la verosimilitud técnica de una cadena de eventos digitales alegada?
- ¿Cómo evalúa un perito informático dos explicaciones técnicamente plausibles?
- ¿Cómo se formula correctamente en un informe técnico la constatación de la imposibilidad de demostrar un aspecto técnico?
- ¿Cómo deben tratarse las pruebas digitales contradictorias en un informe pericial informático?
Gutachten, Gerichtsverfahren und Sachverständige
- ¿Cómo se aplica en la práctica la independencia y la neutralidad de un perito informático?
- ¿Por qué un informe pericial informático debe ser comprensible para quienes no son expertos en informática forense?
- ¿Por qué es necesario incluir un anexo técnico en un informe informático comprensible?
- ¿Cómo se estructura un informe pericial informático de forma que sea reproducible para un posible contrainforme?
- ¿Cómo se resuelve de forma definitiva e inequívoca una cuestión judicial relacionada con las pruebas informáticas?
- Wie werden Zeitzonen, Sommerzeit und fehlerhafte Systemuhren im Gutachten berücksichtigt?
- Wie kann ein bereits vorliegendes privates IT-Gutachten technisch überprüft werden?
- Sachverständiger oder sachverständiger Zeuge – was ist bei digitalen Tatsachen zu unterscheiden?
- Wie wird ein IT-Gutachten vor Gericht erläutert und auf Ergänzungsfragen geprüft?
- Welche Bedeutung hat eine lückenhafte Chain of Custody für die technische Aussagekraft?
- Was geschieht, wenn während der IT-forensischen Untersuchung neue, vom gerichtlichen Auftrag nicht erfasste Tatsachen auffallen?
- Wo endet die technische Schlussfolgerung des IT-Sachverständigen und wo beginnt die Beweiswürdigung des Gerichts?
Sonstige Beweisfragen
- ¿Qué valor probatorio tiene una captura de pantalla o una fotografía de un contenido digital?
- ¿Se puede demostrar si se han copiado datos a un dispositivo USB?
- ¿Cómo se conservan las pruebas digitales de manera que la investigación pueda verificarse posteriormente?
- ¿Qué valor probatorio tienen los datos digitales de ubicación como prueba judicial?
- ¿Es posible reconstruir técnicamente un uso alegado de Internet o del navegador?
- ¿Se puede rastrear el origen de un archivo digital o de un conjunto de datos?
- ¿Cómo se gestionan las pruebas digitales dañadas o incompletas?
- ¿Cómo se valoran ante los tribunales las entradas de las bases de datos y los registros del WAL y del diario?
- ¿Qué valor probatorio tienen los registros del sistema y de eventos ante los tribunales?
- ¿Se puede asociar una dirección IP a una persona concreta?
- ¿Se pueden detectar indicios de técnicas anti-forenses o de eliminación selectiva de pruebas?
- Was ist beweiskräftiger: Originaldaten, forensische Sicherung oder exportierter Report?
- Wann kann eine neue IT-forensische Begutachtung nach § 412 ZPO sinnvoll sein?
- Kann nachgewiesen werden, ob ein digitales Beweismittel nach der Sicherstellung verändert wurde?
- Kann festgestellt werden, ob administrative oder erhöhte Rechte verwendet wurden?
- ¿Cómo debe evaluarse una prueba digital que ya se había seguido utilizando antes de que se realizara la copia de seguridad forense?
- ¿Es posible reconstruir de forma fiable la secuencia de varias acciones digitales?
- ¿Es posible verificar técnicamente la autenticidad y el origen de una captura de pantalla?
- ¿Se puede saber cuándo se ha creado o descomprimido un archivo ZIP, RAR u otro tipo de archivo comprimido?
- ¿Se puede determinar, en el caso de un archivo PDF, a partir de qué documento original se ha creado?