IT-rikostutkinta · Asianajajat ja rikosasianajajat

Miten tarkistetaan, onko löydetty tiedosto peräisin varmuuskopiosta vai aktiivisesta käytöstä?

Eine Datei auf einem sichergestellten Gerät beweist nicht, dass der Nutzer sie dort gespeichert oder geöffnet hat. Sie kann durch eine Wiederherstellung aus einem Backup, eine Gerätemigration, eine Cloud-Synchronisation oder einen automatischen Import auf das Gerät gelangt sein.

Pyydä sitoumukseton tarjous

Miksi tämä kysymys on tärkeä rikosasian puolustuksen kannalta

Erityisesti digitaalisten todisteiden kohdalla pienet erot tietolähteessä, järjestelmäkontekstissa tai ajallisen merkityksen tulkinnassa voivat muuttaa havainnon tulkintaa merkittävästi. Puolustuksen kannalta on siksi ratkaisevaa, johtuuko syyllisyyttä tukeva johtopäätös todella primaaritiedoista vai tarvitaanko teknisesti tarkempaa arviointia.

Technischer Hintergrund

Typisch sind iCloud- oder iTunes-Wiederherstellungen auf neue iPhones, Migrationsassistenten unter macOS, Windows-Profilübernahmen und OneDrive-/Google-Drive-Synchronisation. Solche Vorgänge erzeugen charakteristische Zeitmuster: viele Dateien mit nahezu identischen Erstellungszeiten, Restore-Protokolle, fehlende Nutzungsspuren.

Relevante Spuren und Datenquellen

  • Dateisystemzeiten im Vergleich (Erstellt vs. Geändert)
  • Restore- und Migrationsprotokolle
  • Nutzungsspuren: zuletzt geöffnet, Thumbnails, Jump Lists, LNK-Dateien, iOS-Biome/KnowledgeC
  • Cloud-Sync-Datenbanken

Grenzen

  • Fehlende Nutzungsspuren sind ein Indiz, kein Beweis für Nicht-Nutzung.
  • Ohne Rohdaten ist nur eine Prüfung der Methodik der Ermittlungsakte möglich.

Mögliche Ergebnisse

  • Datei mit hoher Wahrscheinlichkeit aus Restore/Migration übernommen
  • Nutzungsspuren vorhanden (Zeitpunkte)
  • Keine Aussage möglich – mit Begründung

Miksi LanCologne?

Kun asiakirjat on tarkastettu tai heti kun puolustuksella on laillisesti käytettävissään teknisesti merkitykselliset asiakirjat, riippumaton tarkistus voi tuoda esiin digitaalisten todisteiden todellisen todistusvoiman. LanCologne ei tässä yhteydessä toimi tavoitteenaan välttämättä löytää virhettä tutkintakansioista.

So gehen wir vor

  • Feststellung, wie die Datei auf das Gerät gelangt ist.
  • Prüfung auf Nutzungsspuren nach diesem Zeitpunkt.
  • Bewertung mit Gegenhypothesen in einer Stellungnahme.

Syyllistävät, vapauttavat ja avoimet löydökset

Riippumaton tarkastus on uskottava vain, jos myös epäilyttävät havainnot vahvistetaan heti, kun tiedot sitä tukevat. Samoin syyttömyyttä tukevat vastahavainnot tai ratkaisemattomat epävarmuustekijät mainitaan selkeästi. Pelkästään teknisesti mahdollista menettelytapaa ei esitetä vakiintuneena tosiasiana.

Ymmärrettävää puolustusasianajajalle – teknisesti todennettavissa muille rikosteknisten tutkimusten asiantuntijoille

Tärkeimmät havainnot selitetään selkeällä kielellä. Tutkintaan liittyvät tietolähteet, tietojen eheystiedot, aikaviitteet, tunnisteet, raakatietojen lähteet ja menetelmälliset vaiheet dokumentoidaan siten, että toinen pätevä tietotekniikan rikostekninen asiantuntija voi ymmärtää olennaiset havainnot ammattimaisesti.

LanCologne rikosasian puolustuksen riippumattomana teknisenä tukena

Jos rikosasianajaja haluaa teettää riippumattoman tarkastuksen digitaalisesta avainlöydöksestä tai tutkintamateriaalista tehdystä teknisestä johtopäätöksestä, LanCologne tarjoaa apuaan puolueettomalla ja tuloksesta riippumattomalla vastatarkastuksella. Tavoitteena on saada luotettava vastaus siihen, mitä olemassa olevat tiedot todellisuudessa osoittavat – ja missä niiden merkitys päättyy.

Oikeudellinen kehys

Puolustajan oikeus tutustua asiakirjoihin ja tarkastella todisteita määräytyy rikosprosessilain 147 §:n mukaisesti. 1 momentin mukaan puolustajalla on oikeus tutustua tuomioistuimen hallussa oleviin tai syytteen nostamisen yhteydessä esitettäviin asiakirjoihin sekä tarkastella virallisesti säilytettyjä todisteita. Ennen tutkinnan päättymistä asiakirjojen tarkastusoikeutta voidaan 2 momentin nojalla rajoittaa siinä mainituin edellytyksin. 3 momentin mukaan puolustajalta ei saa missään menettelyn vaiheessa kieltää pääsyä asiantuntijoiden lausuntoihin.

Nämä oikeudet kuuluvat puolustajalle, ei LanCologne:lle. Yksityisesti palkatun IT-rikostutkijan suorittama tekninen vastatarkastus edellyttää, että puolustus voi laillisesti toimittaa kyseiset asiakirjat tai tiedot. LanCologne ei saa toimeksiannon perusteella omaa oikeutta tutustua asiakirjoihin, tarkastaa niitä tai käyttää niitä syyttäjänviraston tai poliisin suhteen.

Rikosprosessilain (StPO) 160 §:n 2 momentti velvoittaa syyttäjänviraston nimenomaisesti selvittämään sekä syyllisyyttä tukevat että syyllisyyttä lieventävät seikat. Rikosprosessilain (StPO) 163a §:n 2 momentin mukaan syytetyn esittämät todisteet, joilla hän pyrkii vapauttamaan itsensä syytteistä, on otettava huomioon, jos ne ovat merkityksellisiä. Riippumaton tekninen tutkimus voi siten tuottaa tosiseikkoja ja vastalöydöksiä, joiden käyttöä oikeudenkäynnissä puolustusasianajaja arvioi.

Kun on kyse virallisesti takavarikoiduista, takavarikkoiduista tai tutkituista sähköisistä todisteista, on otettava huomioon erityisesti rikosprosessilain (StPO) 94, 98 ja 110 §. Nämä säännökset eivät anna yksityisesti palkatulle tietotekniikan rikosteknologille viranomaistoimintaan kuuluvia valtuuksia.

Pelkästään puolustuksen yksityisesti palkkaama IT-rikostekninen asiantuntija ei ole tämän toimeksiannon perusteella virallisesti nimitetty asiantuntija rikosprosessilain (StPO) 72 §:n ja sitä seuraavien pykälien mukaisesti. Yksityiset asiantuntijalausunnot, tekninen neuvonta ja virallinen asiantuntijatehtävä on pidettävä erillään toisistaan oikeudenkäyntimenettelyn kannalta.

Jos tutkinnat eivät anna riittävää aihetta syytteen nostamiseen, syyttäjävirasto keskeyttää menettelyn rikosprosessilain (StPO) 170 §:n 2 momentin nojalla. Puolustajan esittämä tekninen havainto ei takaa tällaista päätöstä, mutta se voi olla merkittävä osa tosiseikkojen perustaa.

Usein kysyttyjä kysymyksiä

Pitääkö teknisen tarkastuksen johtaa eri tulokseen kuin tutkintaviranomaisen?+
Ei. Luotettava tarkistus voi vahvistaa, rajoittaa tai kumota alkuperäisen tuloksen. Ratkaisevia ovat tiedot, ei toivottu tulos.
Voiko LanCologne itse vaatia asiakirjojen tarkastusoikeutta rikosprosessilain (StPO) 147 §:n nojalla?+
Ei. Oikeus kuuluu puolustajalle. LanCologne voi tutkia ainoastaan asiakirjoja ja tietoja, jotka on laillisesti luovutettu teknistä tarkastusta varten.
Onko puolustajan lausunto automaattisesti asiantuntijalausunto rikosprosessilain (StPO) 72 §:n ja sitä seuraavien pykälien mukaisesti?+
Ei. Yksityisesti tilattu lausunto tai yksityinen asiantuntijalausunto on erotettava virallisesta asiantuntijan käyttämisestä rikosoikeudenkäynnissä.
Voiko tekninen vastalöydös taata menettelyn keskeyttämisen?+
Ei. Päätöksen tekee syyttäjäviranomainen tai myöhemmin tuomioistuin. Vastalöydös voi kuitenkin tarjota luotettavan teknisen perustan tosiseikoille.
Woran erkennt man eine Backup-Wiederherstellung?+
An typischen Zeitmustern, Restore-Protokollen und an der Herkunft ganzer Dateigruppen.
Reicht der behördliche Report dafür?+
Meist nicht, weil Reports Dateien zeigen, aber selten deren Herkunft erklären.
Gilt das auch für Bilder in Messenger-Ordnern?+
Ja. Automatische Downloads sind ein eigenes, häufiges Szenario.

Weiterführende Themen

LanCologne – Tietotekniikan rikostekninen tutkimus asianajajille ja rikosasianajajille

Onko teillä digitaalinen kysymys? LanCologne auttaa teitä asiallisella ja puolueettomalla IT-rikostutkinnalla.

Ota yhteyttä nyt