Tietotekniikan rikostekninen tutkimus · Tuomioistuimet

Voidaanko todentaa, onko digitaalista asiakirjaa muutettu jälkikäteen?

Asiakirjan muutoksia ei voida luotettavasti päätellä yksittäisen näkyvän päivämäärän perusteella. Tarkastamme tiedostomuodon, sisäiset metatiedot, upotetut objektit, versio- ja sovellusjäljet, tiedostojärjestelmän kontekstin sekä – mikäli saatavilla – aiemmat versiot. Tavoitteena on selvittää teknisesti, voidaanko muutosta havaita, rajata ajallisesti vai eikö sitä voida luotettavasti todistaa.

Pyydä sitoumukseton tarjous

Mitä asiantuntijan on tosiasiassa selvitettävä?

Ratkaisevaa ei ole löydettyjen esineiden määrä. Ratkaisevaa on se, tukevatko asiaankuuluvat digitaaliset jäljet todistuskysymyksessä mainittua tosiasiaa, ovatko ne sen kanssa ristiriidassa vai eivätkö ne anna luotettavaa tietoa. Tätä varten löydöksiä tarkastellaan teknisessä yhteydessä, ja vastahypoteeseja arvioidaan nimenomaisesti.

Missä todistusraja kulkee

Kahden tiedoston välinen ero osoittaa aluksi vain, että kyseessä ovat eri versiot. Kuka muutoksen on tehnyt ja miksi, on jo toinen kysymys. Myös metatiedot ovat muutettavissa, eikä niitä siksi pidetä erillisenä todisteena.

Miten LanCologne käsittelee todistuskysymystä

Oikeudellisissa toimeksiannoissa työmme alkaa todistekysymyksestä, ei analyysiohjelmasta. Määritämme, mikä tekninen tosiasia on selvitettävä, mitkä tietolähteet ovat tässä yhteydessä merkityksellisiä ja mitkä vaihtoehtoiset selitykset on tutkittava.

Tietokanta dokumentoidaan yksiselitteisesti, ja sitä tutkitaan teknisesti mahdollisuuksien mukaan todennetuista rikosteknologisista varmuuskopioista tai työkopioista. Automaattisia osumia ei hyväksytä tarkistamatta, kun kyse on päätöksenteon kannalta merkittävistä kysymyksistä. Ratkaisevia tekijöitä ovat artefaktin alkuperä, syntymislogiikka ja konteksti. Tarvittaessa havainto tarkistetaan raakadatan perusteella tai käyttämällä riippumatonta, toista asiantuntijatasoista menetelmää.

Asiantuntijalausunnossa erotamme toisistaan tosiseikat, teknisen arvioinnin ja johtopäätökset. Samalla tavalla selkeästi määritämme todistusvoiman rajat: mikä on todistettu, mikä on vain todennäköistä, mikä jää avoimeksi ja mitä ei voida todeta käytettävissä olevien tietojen perusteella?

Pääosa on muotoiltu niin, että se on ymmärrettävää tuomareille ja muille kuin rikosteknisten tutkimusten asiantuntijoille. Teknisen todennettavuuden varmistetaan erillisellä teknisellä osuudella. Siinä dokumentoidaan riippumattoman tarkastuksen kannalta olennaiset tietolähteet, eheysarvot, artefaktit ja tutkimuksen vaiheet.

Toimintatapamme

1Erottaa oikeudellisen toimeksiannon ja todistuskysymyksen toisistaan asiallisesti.
2Tarkistetaan toimiala, määräaika ja mahdolliset epäilyt puolueettomuudesta.
3Todistusaineisto ja lähtötiedot on dokumentoitava yksiselitteisesti.
4Varmistetaan eheys ja vältetään muutoksia mahdollisuuksien mukaan.
5Johdetaan todistuskysymyksestä tekniset testihypoteesit ja vastahypoteesit.
6Tutkia asiaankuuluvia tietolähteitä kohdennetusti.
7Tarkastellaan keskeisten havaintojen tieteellistä pätevyyttä ja arvioidaan vaihtoehtoisia selityksiä.
8Ristiriidat, puuttuvat tiedot ja tekniset rajoitukset on dokumentoitava.
9Vastata todistusaineistoon liittyvään kysymykseen selkeästi ylittämättä tietojen merkitystä.
10Kirjata ylös riippumattoman tarkastuksen tekniset perusteet.

Menetelmällinen luokittelu

Oikeudellisessa tietoteknisessä rikosteknologiassa ei ole lakisääteistä luetteloa pakollisista ohjelmistotuotteista. BSI:n perussuojausmoduuli DER.2.2 sisältää hyödyllisiä perusperiaatteita ennaltaehkäisystä, todisteiden turvaamisesta ja kohderyhmälle sopivasta tulosten esittämisestä tietoturvaloukkausten yhteydessä. Siinä kuitenkin täsmennetään nimenomaisesti, että varsinainen rikostekninen analyysi ei kuulu moduulin piiriin eikä se koske rikoksissa suoritettavia tietoteknisiä rikosteknisiä tutkimuksia. Siksi emme esitä sitä rikosoikeudellisena standardina.

Oikeudellinen kehys

ZPO:n 371, 371a, 403, 404a, 407a ja 411 §; ZPO:n 286 §.

Lopullinen todisteiden arviointi on tuomioistuimen tehtävä. Asiantuntijatoimintamme rajoittuu teknisten todistekysymysten asiantuntijamukaiseen ratkaisemiseen annetun toimeksiannon puitteissa.

Usein kysyttyjä kysymyksiä

Voidaanko todentaa, onko digitaalista asiakirjaa muutettu jälkikäteen?+
Asiakirjan muutoksia ei voida luotettavasti päätellä pelkästään yhdestä näkyvästä päivämäärästä. Tarkastamme tiedostomuodon, sisäiset metatiedot, upotetut objektit, versio- ja käyttöjäljet, tiedostojärjestelmän kontekstin sekä – mikäli saatavilla – aiemmat versiot.
Miten tällainen tekninen tutkimus käytännössä toteutetaan?+
Oikeudellisissa toimeksiannoissa työmme alkaa todistekysymyksestä, ei analyysiohjelmasta. Määritämme, mikä tekninen tosiasia on selvitettävä, mitkä tietolähteet ovat tässä yhteydessä merkityksellisiä ja mitkä vaihtoehtoiset selitykset on tutkittava.
Antaako tutkimuksen tulos tuomioistuimelle yksiselitteisen perustan?+
Kahden tiedoston välinen ero osoittaa aluksi vain, että kyseessä ovat eri versiot. Kuka muutoksen on tehnyt ja miksi, on jo toinen kysymys. Myös metatiedot ovat muutettavissa, eikä niitä siksi pidetä erillisenä todisteena.
Onko tälle lainsäädännöllistä perustaa?+
ZPO:n §§ 371, 371a, 403, 404a, 407a, 411; § 286 ZPO. Lopullinen todisteiden arviointi on edelleen tuomioistuimen tehtävä. Asiantuntijatoimintamme rajoittuu teknisten todistekysymysten asiantuntevaan ratkaisemiseen annetun toimeksiannon puitteissa.

LanCologne – Tietotekninen rikostekninen tutkimus tuomioistuimille

Tarvitsetteko riippumattoman tietoteknisen rikosteknologisen tutkimuksen tiettyä oikeudellista todistekysymystä varten? LanCologne tutkii olemassa olevat digitaaliset jäljet puolueettomasti ja dokumentoi keskeiset havainnot, vastahavainnot sekä tekniset rajoitukset selkeästi.

Ota yhteyttä nyt