Informatique légale · Avocats et avocats pénalistes

Comment vérifie-t-on si un fichier retrouvé provient d'une sauvegarde plutôt que d'une utilisation active ?

Eine Datei auf einem sichergestellten Gerät beweist nicht, dass der Nutzer sie dort gespeichert oder geöffnet hat. Sie kann durch eine Wiederherstellung aus einem Backup, eine Gerätemigration, eine Cloud-Synchronisation oder einen automatischen Import auf das Gerät gelangt sein.

Demande sans engagement

Pourquoi cette question est-elle importante pour la défense pénale ?

Dans le cas des preuves numériques notamment, de légères différences au niveau de la source des données, du contexte du système ou de la sémantique temporelle peuvent modifier considérablement la portée d’une conclusion. Il est donc essentiel pour la défense de déterminer si la conclusion à charge découle effectivement des données brutes ou si une analyse technique plus approfondie s’impose.

Technischer Hintergrund

Typisch sind iCloud- oder iTunes-Wiederherstellungen auf neue iPhones, Migrationsassistenten unter macOS, Windows-Profilübernahmen und OneDrive-/Google-Drive-Synchronisation. Solche Vorgänge erzeugen charakteristische Zeitmuster: viele Dateien mit nahezu identischen Erstellungszeiten, Restore-Protokolle, fehlende Nutzungsspuren.

Relevante Spuren und Datenquellen

  • Dateisystemzeiten im Vergleich (Erstellt vs. Geändert)
  • Restore- und Migrationsprotokolle
  • Nutzungsspuren: zuletzt geöffnet, Thumbnails, Jump Lists, LNK-Dateien, iOS-Biome/KnowledgeC
  • Cloud-Sync-Datenbanken

Grenzen

  • Fehlende Nutzungsspuren sind ein Indiz, kein Beweis für Nicht-Nutzung.
  • Ohne Rohdaten ist nur eine Prüfung der Methodik der Ermittlungsakte möglich.

Mögliche Ergebnisse

  • Datei mit hoher Wahrscheinlichkeit aus Restore/Migration übernommen
  • Nutzungsspuren vorhanden (Zeitpunkte)
  • Keine Aussage möglich – mit Begründung

Pourquoi LanCologne ?

Après consultation du dossier ou dès que la défense dispose légalement des documents pertinents sur le plan technique, une contre-vérification indépendante peut mettre en évidence la force probante réelle des éléments de preuve numériques. LanCologne ne cherche pas pour autant à trouver à tout prix une erreur dans le dossier d'enquête.

So gehen wir vor

  • Feststellung, wie die Datei auf das Gerät gelangt ist.
  • Prüfung auf Nutzungsspuren nach diesem Zeitpunkt.
  • Bewertung mit Gegenhypothesen in einer Stellungnahme.

Résultats défavorables, favorables et indécis

Un examen indépendant n'est crédible que si les résultats compromettants sont confirmés dès que les données le permettent. De même, les résultats contraires à charge ou les incertitudes insolubles sont clairement mentionnés. Un scénario qui n'est techniquement que possible n'est pas présenté comme un fait établi.

Compréhensible pour l'avocat de la défense – vérifiable sur le plan technique par d'autres experts en criminalistique

Les principales conclusions sont expliquées dans un langage clair. Les sources de données pertinentes pour l'audit, les informations relatives à l'intégrité, les repères temporels, les identifiants, les emplacements des données brutes et les étapes méthodologiques sont documentés de manière à ce qu'un autre expert qualifié en informatique légale puisse comprendre d'un point de vue technique les conclusions essentielles.

LanCologne en tant qu'assistance technique indépendante à la défense pénale

Lorsqu’un avocat de la défense souhaite faire vérifier de manière indépendante une expertise numérique ou une conclusion technique tirée du dossier d’enquête, LanCologne lui apporte son soutien en procédant à une contre-vérification objective et sans a priori. L’objectif est d’obtenir une réponse fiable sur ce que les données disponibles prouvent réellement – et sur les limites de leur portée.

Cadre juridique

Le droit de consultation des dossiers et d'examen des pièces à conviction dont dispose l'avocat de la défense est régi par l'article 147 du Code de procédure pénale. En vertu du paragraphe 1, l'avocat de la défense est habilité à consulter les dossiers dont dispose le tribunal ou qui doivent lui être présentés en cas d'acte d'accusation, ainsi qu'à examiner les pièces à conviction conservées par les autorités. Avant la clôture de l'instruction, l'accès prévu au paragraphe 2 peut être restreint dans les conditions qui y sont énoncées. Conformément au paragraphe 3, l'accès aux rapports d'expertise ne peut en aucun cas être refusé à l'avocat de la défense, quelle que soit la phase de la procédure.

Ces droits reviennent à l'avocat de la défense, et non à LanCologne. Une contre-expertise technique réalisée par un expert en informatique légale mandaté à titre privé suppose que la défense soit en mesure de mettre légalement à disposition les documents ou données concernés. Le fait de mandater LanCologne ne lui confère aucun droit propre de consultation du dossier, d’inspection ou d’accès vis-à-vis du parquet ou de la police.

L'article 160, alinéa 2, du Code de procédure pénale (StPO) oblige expressément le parquet à rechercher tant les circonstances à charge que celles à décharge. Conformément à l’article 163a, paragraphe 2, du Code de procédure pénale, les preuves demandées par le prévenu à son décharge doivent être recueillies si elles sont pertinentes. Une expertise technique indépendante peut donc fournir des faits et des conclusions contraires, dont l’utilisation dans le cadre de la procédure est évaluée par l’avocat de la défense.

En ce qui concerne les éléments de preuve électroniques saisis, confisqués ou examinés dans le cadre d'une procédure officielle, il convient notamment de respecter les articles 94, 98 et 110 du Code de procédure pénale. Ces dispositions ne confèrent aucun pouvoir de puissance publique à un expert en informatique légale mandaté par une partie privée.

Un expert en informatique légale mandaté à titre privé par la défense ne devient pas, du simple fait de ce mandat, un expert officiellement désigné au sens des articles 72 et suivants du Code de procédure pénale. Il convient de distinguer, sur le plan procédural, les expertises privées, les conseils techniques et la désignation officielle d'un expert.

Si l'enquête ne fournit pas de motifs suffisants pour engager des poursuites publiques, le parquet classe l'affaire sans suite conformément à l'article 170, paragraphe 2, du Code de procédure pénale. Une conclusion technique formulée par la défense ne garantit pas une telle décision, mais peut constituer un élément pertinent de l'état des faits.

Foire aux questions

Une contre-expertise technique doit-elle aboutir à une conclusion différente de celle de l'autorité chargée de l'enquête ?+
Non. Une contre-vérification sérieuse peut confirmer, nuancer ou infirmer le premier résultat. Ce sont les données qui font autorité, et non le résultat souhaité.
LanCologne peut-il lui-même demander à consulter le dossier en vertu de l'article 147 du Code de procédure pénale ?+
Non. Ce droit revient à l'avocat de la défense. LanCologne ne peut examiner que les documents et données qui lui ont été légalement remis à des fins d'expertise technique.
Une prise de position de la défense constitue-t-elle automatiquement une expertise au sens des articles 72 et suivants du Code de procédure pénale ?+
Non. Il convient de distinguer un avis ou une expertise sollicitée à titre privé d'une consultation officielle d'un expert dans le cadre d'une procédure pénale.
Un résultat technique contraire peut-il garantir la clôture de la procédure ?+
Non. C'est le parquet, puis le tribunal, qui prend la décision. L'expertise contraire peut toutefois fournir une base factuelle technique solide.
Woran erkennt man eine Backup-Wiederherstellung?+
An typischen Zeitmustern, Restore-Protokollen und an der Herkunft ganzer Dateigruppen.
Reicht der behördliche Report dafür?+
Meist nicht, weil Reports Dateien zeigen, aber selten deren Herkunft erklären.
Gilt das auch für Bilder in Messenger-Ordnern?+
Ja. Automatische Downloads sind ein eigenes, häufiges Szenario.

Weiterführende Themen

LanCologne – Informatique légale pour avocats et avocats pénalistes

Vous avez une question d'ordre numérique ? LanCologne vous accompagne en menant une enquête informatique légale objective et sans a priori.

Nous contacter dès maintenant