IT-Forensik · Gerichte
Voidaanko todistaa, kuka on käyttänyt tietokonetta tai älypuhelinta?
Die Frage „Wer hat das Gerät benutzt?“ gehört zu den häufigsten und zugleich schwierigsten Beweisfragen der IT-Forensik. Ein angemeldetes Benutzerkonto ist nicht automatisch der Nachweis, dass die namensgebende Person selbst vor dem Gerät saß. Gleiches gilt für ein Smartphone, das einer Person gehört, aber möglicherweise von Dritten benutzt wurde.
Eine belastbare Zuordnung entsteht deshalb nicht aus einem einzelnen Artefakt. Sie ergibt sich – wenn überhaupt – aus einer Kette miteinander vereinbarer Spuren: Anmeldung, Gerätezustand, Benutzerprofil, Kommunikationsdaten, Dateiaktivitäten, lokale oder cloudbasierte Konten, gegebenenfalls biometrische oder gerätespezifische Hinweise und der zeitliche Zusammenhang mit weiteren Ereignissen.
Unsere Aufgabe ist nicht, aus einem Benutzerkonto eine Person zu machen, sondern dem Gericht zu erklären, welche Zuordnung technisch gesichert, wahrscheinlich, nur möglich oder nicht belegbar ist.
Die eigentliche Beweisfrage
Welche Spuren können eine Benutzerzuordnung tragen?
Je nach Gerät und Fragestellung können Anmeldeereignisse, Benutzerkonten, Session-Daten, Gerätebindungen, App-Accounts, Kommunikationsspuren, Standort- oder Netzwerkbezüge und Dateisystemaktivitäten relevant sein. Entscheidend ist die Korrelation.
Ein Beispiel: Ein Windows-Login um 10:02 Uhr, ein geöffnetes Dokument um 10:05 Uhr und eine unmittelbar danach versendete Nachricht aus einem auf demselben Profil angemeldeten Account können gemeinsam aussagekräftiger sein als jedes einzelne Artefakt. Trotzdem muss geprüft werden, ob automatisierte Prozesse, Fernzugriff oder eine Nutzung durch Dritte als alternative Erklärung in Betracht kommen.
Wo die Aussagegrenze liegt
Technische Artefakte belegen häufig zunächst ein Konto, eine Sitzung oder ein Gerät – nicht zwangsläufig die dahinterstehende natürliche Person. Diese Grenze muss im Gutachten sichtbar bleiben.
Miksi LanCologne?
Bei gerichtlichen Aufträgen ist für uns nicht entscheidend, welches Analyseprogramm einen Treffer zuerst anzeigt. Entscheidend ist, ob die Beweisfrage fachlich beantwortet werden kann und ob diese Antwort einer unabhängigen Prüfung standhält.
Wir arbeiten ergebnisoffen, dokumentieren die Herkunft entscheidender Befunde und prüfen alternative technische Erklärungen. Die eigentliche Auswertung erfolgt grundsätzlich auf einer forensischen Kopie beziehungsweise einem beweissicher erfassten Datenbestand. Originale werden nicht unnötig direkt untersucht. Wo Live-Maßnahmen technisch erforderlich sind, werden die dadurch möglichen Veränderungen ausdrücklich dokumentiert.
Entscheidende Befunde werden abhängig von der Fragestellung mit einer zweiten fachlich geeigneten Methode oder unmittelbar anhand der zugrunde liegenden Rohdaten überprüft. Welche Werkzeuge hierfür eingesetzt werden, richtet sich nach Beweismittel und Fragestellung. Maßgeblich sind Eignung, fachliche Anerkennung und Nachvollziehbarkeit der Methode – nicht ein Produktname.
Unser Gutachten trennt Tatsachenbefund, technische Bewertung und verbleibende Unsicherheit. Ein Nichtnachweis wird ebenso sorgfältig begründet wie ein positiver Nachweis.
So arbeiten wir bei gerichtlichen Aufträgen
Unsere Arbeitsweise – vom gerichtlichen Auftrag zur Antwort
Wir prüfen zunächst, ob die Frage in unser Fachgebiet fällt, welche Tatsachen das Gericht zugrunde legt und ob Inhalt oder Umfang des Auftrags eindeutig sind. Bestehen Zweifel, wird eine Klärung durch das Gericht herbeigeführt. Das entspricht § 404a und § 407a ZPO.
Mögliche Gründe, die Zweifel an der Unparteilichkeit begründen könnten, werden vor Beginn der sachlichen Untersuchung geprüft und gegebenenfalls dem Gericht offengelegt.
Geräte, Datenträger, Sicherungen und bereitgestellte Dateien werden identifiziert und dokumentiert. Der Untersuchungszustand wird festgehalten.
Soweit technisch möglich, wird eine forensische Kopie oder ein forensisches Abbild erstellt. Hashwerte und andere Integritätsprüfungen dienen der eindeutigen Zuordnung. Das Original bleibt für spätere Prüfungen erhalten.
Wir legen fest, welche Spuren den behaupteten Vorgang stützen würden, welche Gegenbefunde denkbar sind und welche alternativen technischen Erklärungen geprüft werden müssen.
Untersucht werden nur solche Artefakte, die für die Beweisfrage einen fachlichen Erkenntniswert haben. Automatische Treffer werden nicht ungeprüft übernommen.
Entscheidungserhebliche Feststellungen werden – soweit erforderlich – mit einer zweiten anerkannten Methode, einer anderen technischen Sicht oder unmittelbar anhand der Rohdaten gegengeprüft.
Wir prüfen ausdrücklich, was aus den Daten nicht gefolgert werden darf. Fehlende Daten, mögliche Löschung, technische Grenzen, unvollständige Extraktionen oder widersprüchliche Spuren werden benannt.
Die Schlussantwort folgt aus den dokumentierten Befunden. Sie wird nicht stärker formuliert, als die Daten es zulassen.
Der Haupttext bleibt auch für Nicht-Forensiker verständlich. Der technische Anhang enthält die Informationen, die ein unabhängiger IT-Forensiker für eine fachliche Nachprüfung oder ein Gegengutachten benötigt.
Rechtlicher Rahmen
ZPO §§ 403, 404a, 407a und 411; § 286 ZPO für die abschließende richterliche Würdigung. In Strafverfahren §§ 72 ff. StPO.
Der Sachverständige liefert die fachliche Tatsachengrundlage. Die rechtliche Würdigung und die abschließende Beweiswürdigung bleiben Aufgabe des Gerichts.
🔗 Aiheeseen liittyvät aiheet
Usein kysyttyjä kysymyksiä
LanCologne – IT-Forensik für Gerichte
Sie benötigen zu einer gerichtlichen Beweisfrage eine unabhängige technische Untersuchung? LanCologne prüft digitale Spuren sachlich, transparent und reproduzierbar. Wir dokumentieren sowohl positive Befunde als auch Nichtnachweise und technische Grenzen so, dass die Schlussfolgerung für das Gericht verständlich und für einen unabhängigen IT-Forensiker fachlich überprüfbar bleibt.