Tietotekniikan rikostekninen tutkimus · Tuomioistuimet

Mitä jälkiä varmuuskopiosta tehty palautus voi jättää?

Wird ein System oder Gerät aus einem Backup wiederhergestellt, entstehen neue Spuren, die leicht falsch gelesen werden: Dateien erhalten neue Erstellungszeiten, Programme erscheinen „installiert“, Nutzungsartefakte fehlen oder stammen aus der Zeit vor dem Backup. Für die gerichtliche Bewertung muss geklärt werden, welche Spuren vor und welche nach der Wiederherstellung entstanden sind.

Pyydä sitoumukseton tarjous

Tuomioistuimen kannalta ei ole ratkaisevaa, kuinka monta ohjelmaa käytetään. Ratkaisevaa on, mikä tekninen tosiasia voidaan luotettavasti todeta olemassa olevan tietokannan perusteella, miten tämä toteamus syntyy ja mitkä ovat sen tulkinnan rajat.

Technischer Hintergrund

Unterschiedliche Backup-Arten wirken unterschiedlich: Image-Restores übernehmen weitgehend alle Metadaten, dateibasierte Restores setzen häufig neue Erstellungszeiten, Geräte-Backups (z. B. iCloud) stellen App-Daten, aber nicht alle Systemprotokolle wieder her.

Relevante Spuren und Datenquellen

• Restore-Protokolle der Backup-Software
• Dateisystemzeiten ($STANDARD_INFORMATION vs. $FILE_NAME unter NTFS)
• USN-Journal und Ereignisprotokolle rund um den Restore-Zeitpunkt
• Geräteprotokolle zum Wiederherstellungsvorgang (iOS/Android)

Konkreettinen todistuskysymys

Wir prüfen Backupherkunft, Restore-Zeitpunkt, wiederhergestellte Datenklassen und Abweichungen zwischen Inhalts- und Dateisystemzeiten.

Miksi tekninen konteksti on ratkaiseva

Digitaaliset jäljet eivät synny erillään muusta kontekstista. Käyttöjärjestelmä, sovellus, pilvipalvelu, verkko ja käyttäjän konteksti voivat tuottaa saman näkyvän havainnon eri tavoin. Siksi yksittäistä aikaleimaa, lokimerkintää tai tietokanta-arvoa ei pidetä lopullisena todisteena ilman sen syntymisloogian tarkastelua. Tarvittaessa useita toisistaan riippumattomia jälkiä korreloidaan keskenään.

Grenzen

• Wenn Restore-Protokolle fehlen, ist der Zeitpunkt oft nur eingrenzbar.
• Daten, die nicht im Backup enthalten waren, fehlen dauerhaft.

Mögliche Ergebnisse

• Zeitpunkt und Art des Restores belegt
• Zuordnung strittiger Spuren zu Zeiträumen vor/nach dem Restore

Miten LanCologne käsittelee todistuskysymystä

LanCologne:n mukaan oikeudellinen tietotekniikan rikostekninen tutkimus alkaa todistekysymyksestä eikä tietystä analysointiohjelmasta. Ensinnäkin määritetään, mikä tekninen tosiasia on selvitettävä, mitkä tietolähteet ovat tässä yhteydessä merkityksellisiä ja mitkä vaihtoehtoiset selitykset on tutkittava vakavasti.

Lähtötiedot ja todistusaineisto dokumentoidaan. Siltä osin kuin se on teknisesti mahdollista, analysointi suoritetaan todennetuista rikosteknologisista varmuuskopioista tai sopivista työkopioista. Automaattisesti tuotettuja osumia ei hyväksytä tarkistamatta, jos ne liittyvät päätöksenteon kannalta olennaisiin kysymyksiin. Ratkaisevia tekijöitä ovat kyseisen artefaktin alkuperä, syntymisloogikka ja konteksti. Keskeiset havainnot tarkistetaan tarvittaessa perustana olevien tietojen perusteella tai toisella asiantuntijatasoisella menetelmällä.

Asiantuntijalausunnossa erotetaan toisistaan tosiseikat, asiantuntijan tulkinta ja johtopäätös. Yhtä tärkeää on myös todistusvoiman raja: Mikä on teknisesti todistettu? Mikä on vain oletettu? Mitä vastakkaisia havaintoja on? Mitä vaihtoehtoisia selityksiä on mahdollista? Mitä ei voida todeta käytettävissä olevien tietojen perusteella?

Pääosa on muotoiltu niin, että se on ymmärrettävää tuomareille ja muille menettelyn osapuolille, joilla ei ole erityistä tietotekniikan rikosteknistä osaamista. Tekninen todennettavuus säilyy. Riippumattoman tarkastuksen kannalta olennaiset tietolähteet, eheystiedot, artefaktit ja tutkintavaiheet dokumentoidaan ymmärrettävästi teknisessä osassa.

So gehen wir vor

• Feststellung von Art und Zeitpunkt der Wiederherstellung.
• Trennung der Artefakte nach Entstehung vor bzw. nach dem Restore.
• Bewertung der beweiserheblichen Spuren unter dieser Einordnung.

Tulokset, vastatulokset ja todisteiden puuttuminen

Oikeudellisen asiantuntijalausunnon on oltava tuloksesta riippumaton. Jos tiedot tukevat jotakin hypoteesia, selitetään, mistä syystä. Jos luotettavat todisteet ovat ristiriidassa hypoteesin kanssa, ne esitetään myös. Jos aineisto ei ole riittävä, todisteiden puuttuminen mainitaan nimenomaisesti. Aineiston puutteesta ei muodosteta näennäisesti varmaa johtopäätöstä.

Ymmärrettävää tuomioistuimelle – tarkasteltavissa vastatarkastajalle

Asiantuntijasisältö selitetään ymmärrettävällä kielellä. Teknisiä termejä käytetään vain silloin, kun se on välttämätöntä, ja ne määritellään sen jälkeen. Samalla keskeiset tekniset perusteet dokumentoidaan siten, että riippumaton IT-rikostutkija voi seurata johtopäätösten muodostumista saman tietokannan pohjalta ja tarvittaessa toistaa ne.

Menetelmällinen luokittelu

Oikeudellisessa tietoteknisessä rikosteknologiassa ei ole lakisääteistä luetteloa pakollisista analyysiohjelmista. Ammatillisesti olennaisia seikkoja ovat valvottu tietokanta, tietojen eheys, dokumentoidut tutkimusvaiheet, jäljitettävät johtopäätökset sekä mahdollisuus riippumattomaan tarkastukseen.

BSI:n perussuojausmoduuli DER.2.2 „IT-rikostutkinnan ennaltaehkäisy“ sisältää hyödyllisiä perusajatuksia myöhempien IT-rikostutkintojen valmistelusta ja todisteiden turvaamisesta IT-turvallisuuspoikkeamien yhteydessä. Se ei kuitenkaan missään nimessä ole sääntökokoelma rikoksissa suoritettavia IT-rikostutkintoja varten; myöskään varsinainen rikostekninen analyysi ei kuulu tämän moduulin piiriin. Siksi sitä ei esitetä rikosoikeudellisena rikosteknologian standardina.

LanCologne riippumattomana IT-asiantuntijana

Jos tuomioistuimen on selvitettävä konkreettinen digitaalinen todistusaineistoon liittyvä kysymys teknisesti, tutkimme olemassa olevaa tietokantaa riippumattomasti ja ilman ennakkokäsityksiä. Tavoitteena ei ole mahdollisimman suuri määrä teknisiä osumia, vaan asiantuntemukseen perustuva vastaus: tuomioistuimelle ymmärrettävä, johtopäätöksiltään läpinäkyvä ja teknisesti todennettavissa oleva.

Siviilioikeudenkäynneissä asiantuntijatodisteisiin sovelletaan erityisesti ZPO:n 402 §:ää ja sitä seuraavia pykäliä. ZPO:n 404a §:n mukaan tuomioistuin ohjaa asiantuntijan toimintaa ja voi määrittää tämän toiminnan luonteen ja laajuuden. Kiistanalaisissa tapauksissa tuomioistuin päättää, mitkä tosiseikat otetaan asiantuntijalausunnon perustaksi. Siviiliprosessilain 407a §:n mukaan asiantuntijan on muun muassa viipymättä tarkastettava, kuuluuko toimeksianto hänen erikoisalansa piiriin; toimeksiannon sisällöstä ja laajuudesta aiheutuvat epäselvyydet on selvitettävä tuomioistuimen toimesta. Kirjallinen asiantuntijalausunto sekä mahdolliset selitykset tai täydennykset säännellään ZPO:n 411 §:ssä. Lopullinen lausunnon arviointi yhdessä todisteiden ottamisen kokonaistuloksen kanssa on tuomioistuimen tehtävä (ZPO:n 286 §).

Rikosoikeudenkäynneissä asiantuntijoihin sovelletaan rikosprosessilain (StPO) 72 §:ää ja sitä seuraavia pykäliä; rikosprosessilain 78 § koskee tuomarin harjoittamaa asiantuntijan toiminnan ohjausta. Se, mitkä säännökset ovat merkityksellisiä kussakin yksittäisessä menettelyssä, riippuu menettelyn luonteesta ja toimeksiannosta. Tietotekninen rikostekninen arviointi ei korvaa oikeudellista arviointia.

Usein kysyttyjä kysymyksiä

Weiterführende Themen

• Miten tarkistetaan, onko löydetty tiedosto peräisin varmuuskopiosta vai aktiivisesta käytöstä?
• IT-rikostutkinta tuomioistuimille
• Voidaanko erottaa, onko tiedosto kopioitu, siirretty vai synkronoitu?

LanCologne – Tietotekninen rikostekninen tutkimus tuomioistuimille

Onko teillä digitaalinen kysymys? LanCologne auttaa teitä asiallisella ja puolueettomalla IT-rikostutkinnalla.

Ota yhteyttä nyt