Tietotekniikan rikostekninen tutkimus · Tuomioistuimet

Welche Aussagekraft haben Cloud-Synchronisationsspuren vor Gericht?

Cloud-Dienste können Dateien auf mehreren Geräten replizieren, verändern oder lokal entfernen. Deshalb muss unterschieden werden, ob ein Artefakt lokal erzeugt, lediglich synchronisiert, heruntergeladen oder durch einen anderen Client verändert wurde. Wir rekonstruieren soweit möglich den lokalen und synchronisierten Kontext.

Pyydä sitoumukseton tarjous

Was muss der Sachverständige tatsächlich klären?

Nicht die Menge gefundener Artefakte entscheidet. Maßgeblich ist, ob die relevanten digitalen Spuren die in der Beweisfrage bezeichnete Tatsache tragen, ihr widersprechen oder keine belastbare Aussage zulassen. Dazu werden Befunde im technischen Zusammenhang betrachtet und Gegenhypothesen ausdrücklich mitgeprüft.

Missä todistusraja kulkee

Ein auf einem Computer vorhandener Cloud-Datensatz beweist nicht automatisch, dass er auf diesem Gerät erzeugt wurde. Ohne serverseitige Daten kann der vollständige Cloud-Zustand häufig nicht rekonstruiert werden.

Miten LanCologne käsittelee todistuskysymystä

Bei gerichtlichen Aufträgen beginnt unsere Arbeit mit der Beweisfrage, nicht mit einem Analyseprogramm. Wir bestimmen, welche technische Tatsache zu klären ist, welche Datenquellen hierfür Aussagekraft besitzen und welche alternativen Erklärungen geprüft werden müssen.

Die Datenbasis wird eindeutig dokumentiert und soweit technisch möglich auf verifizierten forensischen Sicherungen beziehungsweise Arbeitskopien untersucht. Automatisierte Treffer werden bei entscheidungserheblichen Fragen nicht ungeprüft übernommen. Entscheidend sind Herkunft, Entstehungslogik und Kontext eines Artefakts. Wenn erforderlich, wird ein Befund anhand der Rohdaten oder mit einer unabhängigen zweiten fachlich geeigneten Methode kontrolliert.

Im Gutachten trennen wir Tatsachenbefund, technische Bewertung und Schlussfolgerung. Ebenso deutlich benennen wir die Aussagegrenze: Was ist nachgewiesen, was wird lediglich gestützt, was bleibt offen und was kann anhand der vorliegenden Daten nicht festgestellt werden?

Der Hauptteil wird für Richter und andere Nicht-Forensiker verständlich formuliert. Die technische Prüfbarkeit bleibt durch einen gesonderten technischen Teil erhalten. Dort werden die für eine unabhängige Nachprüfung wesentlichen Datenquellen, Integritätswerte, Artefakte und Untersuchungsschritte dokumentiert.

Toimintatapamme

1Erottaa oikeudellisen toimeksiannon ja todistuskysymyksen toisistaan asiallisesti.
2Fachgebiet, Frist und mögliche Zweifel an der Unparteilichkeit prüfen.
3Beweismittel und Ausgangsdaten eindeutig dokumentieren.
4Integrität sichern und Veränderungen soweit möglich vermeiden.
5Aus der Beweisfrage technische Prüfhypothesen und Gegenhypothesen ableiten.
6Relevante Datenquellen zielgerichtet untersuchen.
7Entscheidende Befunde fachlich validieren und Alternativerklärungen prüfen.
8Widersprüche, fehlende Daten und technische Grenzen dokumentieren.
9Beweisfrage klar beantworten, ohne die Aussagekraft der Daten zu überschreiten.
10Technische Grundlagen für eine unabhängige Nachprüfung festhalten.

Menetelmällinen luokittelu

Für gerichtliche IT-Forensik gibt es keinen gesetzlichen Katalog vorgeschriebener Softwareprodukte. Der BSI-Grundschutz-Baustein DER.2.2 enthält nützliche Grundgedanken zur Vorsorge, Spurensicherung und zielgruppengerechten Ergebnisdarstellung bei IT-Sicherheitsvorfällen. Er stellt jedoch ausdrücklich klar, dass die eigentliche forensische Analyse nicht Gegenstand des Bausteins ist und dass er sich nicht auf IT-forensische Untersuchungen bei Straftaten bezieht. Wir stellen ihn daher nicht als strafprozessualen Standard dar.

Oikeudellinen kehys

ZPO §§ 403, 404a, 407a, 411; § 286 ZPO.

Die abschließende Beweiswürdigung bleibt Aufgabe des Gerichts. Unsere sachverständige Tätigkeit beschränkt sich auf die fachliche Beantwortung der technischen Beweisfrage innerhalb des erteilten Auftrags.

Usein kysyttyjä kysymyksiä

Welche Aussagekraft haben Cloud-Synchronisationsspuren vor Gericht?+
Cloud-Dienste können Dateien auf mehreren Geräten replizieren, verändern oder lokal entfernen. Deshalb muss unterschieden werden, ob ein Artefakt lokal erzeugt, lediglich synchronisiert, heruntergeladen oder durch einen anderen Client verändert wurde.
Miten tällainen tekninen tutkimus käytännössä toteutetaan?+
Bei gerichtlichen Aufträgen beginnt unsere Arbeit mit der Beweisfrage, nicht mit einem Analyseprogramm. Wir bestimmen, welche technische Tatsache zu klären ist, welche Datenquellen hierfür Aussagekraft besitzen und welche alternativen Erklärungen geprüft werden müssen.
Antaako tutkimuksen tulos tuomioistuimelle yksiselitteisen perustan?+
Ein auf einem Computer vorhandener Cloud-Datensatz beweist nicht automatisch, dass er auf diesem Gerät erzeugt wurde. Ohne serverseitige Daten kann der vollständige Cloud-Zustand häufig nicht rekonstruiert werden.
Onko tälle lainsäädännöllistä perustaa?+
ZPO §§ 403, 404a, 407a, 411; § 286 ZPO. Die abschließende Beweiswürdigung bleibt Aufgabe des Gerichts. Unsere sachverständige Tätigkeit beschränkt sich auf die fachliche Beantwortung der technischen Beweisfrage innerhalb des erteilten Auftrags.

LanCologne – Tietotekninen rikostekninen tutkimus tuomioistuimille

Sie benötigen zu einer konkreten gerichtlichen Beweisfrage eine unabhängige IT-forensische Untersuchung? LanCologne untersucht die vorhandenen digitalen Spuren ergebnisoffen und dokumentiert tragende Befunde, Gegenbefunde und technische Grenzen nachvollziehbar.

Ota yhteyttä nyt