Tietotekniikan rikostekninen tutkimus · Tuomioistuimet

Welche Spuren kann eine Wiederherstellung aus einem Backup erzeugen?

Eine Wiederherstellung kann ältere Dateien, Nachrichten und Einstellungen mit neuen Dateisystemzeiten oder neuen Gerätebezügen kombinieren.

Pyydä sitoumukseton tarjous

Tuomioistuimen kannalta ei ole ratkaisevaa, kuinka monta ohjelmaa käytetään. Ratkaisevaa on, mikä tekninen tosiasia voidaan luotettavasti todeta olemassa olevan tietokannan perusteella, miten tämä toteamus syntyy ja mitkä ovat sen tulkinnan rajat.

Konkreettinen todistuskysymys

Wir prüfen Backupherkunft, Restore-Zeitpunkt, wiederhergestellte Datenklassen und Abweichungen zwischen Inhalts- und Dateisystemzeiten.

Miksi tekninen konteksti on ratkaiseva

Digitaaliset jäljet eivät synny erillään muusta kontekstista. Käyttöjärjestelmä, sovellus, pilvipalvelu, verkko ja käyttäjän konteksti voivat tuottaa saman näkyvän havainnon eri tavoin. Siksi yksittäistä aikaleimaa, lokimerkintää tai tietokanta-arvoa ei pidetä lopullisena todisteena ilman sen syntymisloogian tarkastelua. Tarvittaessa useita toisistaan riippumattomia jälkiä korreloidaan keskenään.

Missä todistusraja kulkee

Ein nach der Wiederherstellung neu angelegter Zeitstempel darf nicht mit dem ursprünglichen Entstehungszeitpunkt des Inhalts verwechselt werden.

Miten LanCologne käsittelee todistuskysymystä

LanCologne:n mukaan oikeudellinen tietotekniikan rikostekninen tutkimus alkaa todistekysymyksestä eikä tietystä analysointiohjelmasta. Ensinnäkin määritetään, mikä tekninen tosiasia on selvitettävä, mitkä tietolähteet ovat tässä yhteydessä merkityksellisiä ja mitkä vaihtoehtoiset selitykset on tutkittava vakavasti.

Lähtötiedot ja todistusaineisto dokumentoidaan. Siltä osin kuin se on teknisesti mahdollista, analysointi suoritetaan todennetuista rikosteknologisista varmuuskopioista tai sopivista työkopioista. Automaattisesti tuotettuja osumia ei hyväksytä tarkistamatta, jos ne liittyvät päätöksenteon kannalta olennaisiin kysymyksiin. Ratkaisevia tekijöitä ovat kyseisen artefaktin alkuperä, syntymisloogikka ja konteksti. Keskeiset havainnot tarkistetaan tarvittaessa perustana olevien tietojen perusteella tai toisella asiantuntijatasoisella menetelmällä.

Asiantuntijalausunnossa erotetaan toisistaan tosiseikat, asiantuntijan tulkinta ja johtopäätös. Yhtä tärkeää on myös todistusvoiman raja: Mikä on teknisesti todistettu? Mikä on vain oletettu? Mitä vastakkaisia havaintoja on? Mitä vaihtoehtoisia selityksiä on mahdollista? Mitä ei voida todeta käytettävissä olevien tietojen perusteella?

Pääosa on muotoiltu niin, että se on ymmärrettävää tuomareille ja muille menettelyn osapuolille, joilla ei ole erityistä tietotekniikan rikosteknistä osaamista. Tekninen todennettavuus säilyy. Riippumattoman tarkastuksen kannalta olennaiset tietolähteet, eheystiedot, artefaktit ja tutkintavaiheet dokumentoidaan ymmärrettävästi teknisessä osassa.

Tehtävästä luotettavaksi johtopäätökseksi

Tulokset, vastatulokset ja todisteiden puuttuminen

Oikeudellisen asiantuntijalausunnon on oltava tuloksesta riippumaton. Jos tiedot tukevat jotakin hypoteesia, selitetään, mistä syystä. Jos luotettavat todisteet ovat ristiriidassa hypoteesin kanssa, ne esitetään myös. Jos aineisto ei ole riittävä, todisteiden puuttuminen mainitaan nimenomaisesti. Aineiston puutteesta ei muodosteta näennäisesti varmaa johtopäätöstä.

Ymmärrettävää tuomioistuimelle – tarkasteltavissa vastatarkastajalle

Asiantuntijasisältö selitetään ymmärrettävällä kielellä. Teknisiä termejä käytetään vain silloin, kun se on välttämätöntä, ja ne määritellään sen jälkeen. Samalla keskeiset tekniset perusteet dokumentoidaan siten, että riippumaton IT-rikostutkija voi seurata johtopäätösten muodostumista saman tietokannan pohjalta ja tarvittaessa toistaa ne.

Menetelmällinen luokittelu

Oikeudellisessa tietoteknisessä rikosteknologiassa ei ole lakisääteistä luetteloa pakollisista analyysiohjelmista. Ammatillisesti olennaisia seikkoja ovat valvottu tietokanta, tietojen eheys, dokumentoidut tutkimusvaiheet, jäljitettävät johtopäätökset sekä mahdollisuus riippumattomaan tarkastukseen.

BSI:n perussuojausmoduuli DER.2.2 „IT-rikostutkinnan ennaltaehkäisy“ sisältää hyödyllisiä perusajatuksia myöhempien IT-rikostutkintojen valmistelusta ja todisteiden turvaamisesta IT-turvallisuuspoikkeamien yhteydessä. Se ei kuitenkaan missään nimessä ole sääntökokoelma rikoksissa suoritettavia IT-rikostutkintoja varten; myöskään varsinainen rikostekninen analyysi ei kuulu tämän moduulin piiriin. Siksi sitä ei esitetä rikosoikeudellisena rikosteknologian standardina.

LanCologne riippumattomana IT-asiantuntijana

Jos tuomioistuimen on selvitettävä konkreettinen digitaalinen todistusaineistoon liittyvä kysymys teknisesti, tutkimme olemassa olevaa tietokantaa riippumattomasti ja ilman ennakkokäsityksiä. Tavoitteena ei ole mahdollisimman suuri määrä teknisiä osumia, vaan asiantuntemukseen perustuva vastaus: tuomioistuimelle ymmärrettävä, johtopäätöksiltään läpinäkyvä ja teknisesti todennettavissa oleva.

Siviilioikeudenkäynneissä asiantuntijatodisteisiin sovelletaan erityisesti ZPO:n 402 §:ää ja sitä seuraavia pykäliä. ZPO:n 404a §:n mukaan tuomioistuin ohjaa asiantuntijan toimintaa ja voi määrittää tämän toiminnan luonteen ja laajuuden. Kiistanalaisissa tapauksissa tuomioistuin päättää, mitkä tosiseikat otetaan asiantuntijalausunnon perustaksi. Siviiliprosessilain 407a §:n mukaan asiantuntijan on muun muassa viipymättä tarkastettava, kuuluuko toimeksianto hänen erikoisalansa piiriin; toimeksiannon sisällöstä ja laajuudesta aiheutuvat epäselvyydet on selvitettävä tuomioistuimen toimesta. Kirjallinen asiantuntijalausunto sekä mahdolliset selitykset tai täydennykset säännellään ZPO:n 411 §:ssä. Lopullinen lausunnon arviointi yhdessä todisteiden ottamisen kokonaistuloksen kanssa on tuomioistuimen tehtävä (ZPO:n 286 §).

Rikosoikeudenkäynneissä asiantuntijoihin sovelletaan rikosprosessilain (StPO) 72 §:ää ja sitä seuraavia pykäliä; rikosprosessilain 78 § koskee tuomarin harjoittamaa asiantuntijan toiminnan ohjausta. Se, mitkä säännökset ovat merkityksellisiä kussakin yksittäisessä menettelyssä, riippuu menettelyn luonteesta ja toimeksiannosta. Tietotekninen rikostekninen arviointi ei korvaa oikeudellista arviointia.

Usein kysyttyjä kysymyksiä

LanCologne – Tietotekninen rikostekninen tutkimus tuomioistuimille

Onko teillä digitaalinen kysymys? LanCologne auttaa teitä asiallisella ja puolueettomalla IT-rikostutkinnalla.

Ota yhteyttä nyt