Tietotekniikan rikostekninen tutkimus · Tuomioistuimet
Kann zwischen Originalaufnahme, bearbeiteter Datei und konvertierter Kopie unterschieden werden?
Medien können zugeschnitten, neu kodiert, exportiert oder über Messenger verändert worden sein.
Tuomioistuimen kannalta ei ole ratkaisevaa, kuinka monta ohjelmaa käytetään. Ratkaisevaa on, mikä tekninen tosiasia voidaan luotettavasti todeta olemassa olevan tietokannan perusteella, miten tämä toteamus syntyy ja mitkä ovat sen tulkinnan rajat.
Konkreettinen todistuskysymys
Wir untersuchen Containerstruktur, Kodierungsparameter, Metadaten, Auflösung, Bearbeitungshinweise und vorhandene Vergleichsdateien.
Miksi tekninen konteksti on ratkaiseva
Digitaaliset jäljet eivät synny erillään muusta kontekstista. Käyttöjärjestelmä, sovellus, pilvipalvelu, verkko ja käyttäjän konteksti voivat tuottaa saman näkyvän havainnon eri tavoin. Siksi yksittäistä aikaleimaa, lokimerkintää tai tietokanta-arvoa ei pidetä lopullisena todisteena ilman sen syntymisloogian tarkastelua. Tarvittaessa useita toisistaan riippumattomia jälkiä korreloidaan keskenään.
Missä todistusraja kulkee
Fehlende Originalmetadaten beweisen keine Manipulation. Viele Plattformen entfernen oder ersetzen Metadaten bei regulärer Übertragung.
Miten LanCologne käsittelee todistuskysymystä
LanCologne:n mukaan oikeudellinen tietotekniikan rikostekninen tutkimus alkaa todistekysymyksestä eikä tietystä analysointiohjelmasta. Ensinnäkin määritetään, mikä tekninen tosiasia on selvitettävä, mitkä tietolähteet ovat tässä yhteydessä merkityksellisiä ja mitkä vaihtoehtoiset selitykset on tutkittava vakavasti.
Lähtötiedot ja todistusaineisto dokumentoidaan. Siltä osin kuin se on teknisesti mahdollista, analysointi suoritetaan todennetuista rikosteknologisista varmuuskopioista tai sopivista työkopioista. Automaattisesti tuotettuja osumia ei hyväksytä tarkistamatta, jos ne liittyvät päätöksenteon kannalta olennaisiin kysymyksiin. Ratkaisevia tekijöitä ovat kyseisen artefaktin alkuperä, syntymisloogikka ja konteksti. Keskeiset havainnot tarkistetaan tarvittaessa perustana olevien tietojen perusteella tai toisella asiantuntijatasoisella menetelmällä.
Asiantuntijalausunnossa erotetaan toisistaan tosiseikat, asiantuntijan tulkinta ja johtopäätös. Yhtä tärkeää on myös todistusvoiman raja: Mikä on teknisesti todistettu? Mikä on vain oletettu? Mitä vastakkaisia havaintoja on? Mitä vaihtoehtoisia selityksiä on mahdollista? Mitä ei voida todeta käytettävissä olevien tietojen perusteella?
Pääosa on muotoiltu niin, että se on ymmärrettävää tuomareille ja muille menettelyn osapuolille, joilla ei ole erityistä tietotekniikan rikosteknistä osaamista. Tekninen todennettavuus säilyy. Riippumattoman tarkastuksen kannalta olennaiset tietolähteet, eheystiedot, artefaktit ja tutkintavaiheet dokumentoidaan ymmärrettävästi teknisessä osassa.
Tehtävästä luotettavaksi johtopäätökseksi
Tulokset, vastatulokset ja todisteiden puuttuminen
Oikeudellisen asiantuntijalausunnon on oltava tuloksesta riippumaton. Jos tiedot tukevat jotakin hypoteesia, selitetään, mistä syystä. Jos luotettavat todisteet ovat ristiriidassa hypoteesin kanssa, ne esitetään myös. Jos aineisto ei ole riittävä, todisteiden puuttuminen mainitaan nimenomaisesti. Aineiston puutteesta ei muodosteta näennäisesti varmaa johtopäätöstä.
Ymmärrettävää tuomioistuimelle – tarkasteltavissa vastatarkastajalle
Asiantuntijasisältö selitetään ymmärrettävällä kielellä. Teknisiä termejä käytetään vain silloin, kun se on välttämätöntä, ja ne määritellään sen jälkeen. Samalla keskeiset tekniset perusteet dokumentoidaan siten, että riippumaton IT-rikostutkija voi seurata johtopäätösten muodostumista saman tietokannan pohjalta ja tarvittaessa toistaa ne.
Menetelmällinen luokittelu
Oikeudellisessa tietoteknisessä rikosteknologiassa ei ole lakisääteistä luetteloa pakollisista analyysiohjelmista. Ammatillisesti olennaisia seikkoja ovat valvottu tietokanta, tietojen eheys, dokumentoidut tutkimusvaiheet, jäljitettävät johtopäätökset sekä mahdollisuus riippumattomaan tarkastukseen.
BSI:n perussuojausmoduuli DER.2.2 „IT-rikostutkinnan ennaltaehkäisy“ sisältää hyödyllisiä perusajatuksia myöhempien IT-rikostutkintojen valmistelusta ja todisteiden turvaamisesta IT-turvallisuuspoikkeamien yhteydessä. Se ei kuitenkaan missään nimessä ole sääntökokoelma rikoksissa suoritettavia IT-rikostutkintoja varten; myöskään varsinainen rikostekninen analyysi ei kuulu tämän moduulin piiriin. Siksi sitä ei esitetä rikosoikeudellisena rikosteknologian standardina.
LanCologne riippumattomana IT-asiantuntijana
Jos tuomioistuimen on selvitettävä konkreettinen digitaalinen todistusaineistoon liittyvä kysymys teknisesti, tutkimme olemassa olevaa tietokantaa riippumattomasti ja ilman ennakkokäsityksiä. Tavoitteena ei ole mahdollisimman suuri määrä teknisiä osumia, vaan asiantuntemukseen perustuva vastaus: tuomioistuimelle ymmärrettävä, johtopäätöksiltään läpinäkyvä ja teknisesti todennettavissa oleva.
Oikeudellinen kehys
Siviilioikeudenkäynneissä asiantuntijatodisteisiin sovelletaan erityisesti ZPO:n 402 §:ää ja sitä seuraavia pykäliä. ZPO:n 404a §:n mukaan tuomioistuin ohjaa asiantuntijan toimintaa ja voi määrittää tämän toiminnan luonteen ja laajuuden. Kiistanalaisissa tapauksissa tuomioistuin päättää, mitkä tosiseikat otetaan asiantuntijalausunnon perustaksi. Siviiliprosessilain 407a §:n mukaan asiantuntijan on muun muassa viipymättä tarkastettava, kuuluuko toimeksianto hänen erikoisalansa piiriin; toimeksiannon sisällöstä ja laajuudesta aiheutuvat epäselvyydet on selvitettävä tuomioistuimen toimesta. Kirjallinen asiantuntijalausunto sekä mahdolliset selitykset tai täydennykset säännellään ZPO:n 411 §:ssä. Lopullinen lausunnon arviointi yhdessä todisteiden ottamisen kokonaistuloksen kanssa on tuomioistuimen tehtävä (ZPO:n 286 §).
Rikosoikeudenkäynneissä asiantuntijoihin sovelletaan rikosprosessilain (StPO) 72 §:ää ja sitä seuraavia pykäliä; rikosprosessilain 78 § koskee tuomarin harjoittamaa asiantuntijan toiminnan ohjausta. Se, mitkä säännökset ovat merkityksellisiä kussakin yksittäisessä menettelyssä, riippuu menettelyn luonteesta ja toimeksiannosta. Tietotekninen rikostekninen arviointi ei korvaa oikeudellista arviointia.
Usein kysyttyjä kysymyksiä
LanCologne – Tietotekninen rikostekninen tutkimus tuomioistuimille
Onko teillä digitaalinen kysymys? LanCologne auttaa teitä asiallisella ja puolueettomalla IT-rikostutkinnalla.
Tähän aiheeseen liittyen