Informatique légale · Particuliers
Comment puis-je faire sauvegarder des données provenant de USB-Sticks, de cartes mémoire ou de disques durs externes à titre de preuves privées ?
Wer Dateien von einem USB-Stick einfach auf den eigenen Rechner kopiert, verändert Zeitstempel und verliert gelöschte Dateien sowie Metadaten. Eine beweissichere Sicherung erfasst den ganzen Datenträger bitgenau, ohne ihn zu verändern, und belegt das mit Hashwerten.
Pourquoi cette question est-elle importante pour les particuliers ?
Les données numériques peuvent contenir des informations chronologiques ou techniques décisives en cas de sinistres privés, d'accidents et de litiges. Leur pertinence dépend toutefois de leur origine, de leur exhaustivité et de leur contexte. Une enquête indépendante permet d'éviter qu'un simple horodatage ou une simple capture d'écran ne fasse l'objet d'une interprétation excessive.
Technischer Hintergrund
Schon das Anstecken an ein Windows- oder macOS-System kann Daten schreiben (z. B. Indexdateien, Papierkorb- oder Spotlight-Ordner). Deshalb wird über einen Schreibblocker gearbeitet. Bei Flash-Speichern kommt hinzu, dass gelöschte Daten durch interne Prozesse verschwinden können.
Relevante Spuren und Datenquellen
- Vollständiges Abbild inklusive nicht zugewiesener Bereiche
- Dateisystem-Metadaten (Erstellt, Geändert, Zugriff)
- Gelöschte Dateien und Fragmente
- Volumeseriennummer und Gerätekennung (für spätere Zuordnung zu Rechnern)
Grenzen
- Was vor der Sicherung bereits überschrieben wurde, ist nicht wiederherstellbar.
- Auf welchem Rechner ein Stick genutzt wurde, zeigt sich am Rechner, nicht am Stick selbst.
Mögliche Ergebnisse
- Gesichertes Abbild mit Hashwert und Sicherungsprotokoll
- Auflistung relevanter (auch gelöschter) Dateien
- Zeitbezüge zu Dateien
Pourquoi LanCologne ?
Private IT-forensische Untersuchungen haben häufig unmittelbare persönliche, finanzielle oder rechtliche Folgen. Deshalb reicht es nicht, Daten lediglich mit einem Analyseprogramm zu öffnen.
So gehen wir vor
- Datenträger nicht mehr selbst benutzen; Übergabe dokumentieren.
- Forensisches Abbild über Schreibblocker, Berechnung von Hashwerten.
- Auswertung ausschließlich am Abbild; Bericht mit Beweismittelkette.
Les données techniques doivent être interprétées en tenant compte du contexte
Une entrée de journal, un point de localisation ou un horodatage est avant tout un élément technique. Seule la connaissance de la logique qui a présidé à sa création et la comparaison avec d'autres sources de données indépendantes permettent d'en donner une interprétation fiable.
La conservation des preuves n'implique pas automatiquement leur appréciation
LanCologne est capable de sauvegarder et d'analyser des données numériques, ainsi que d'expliquer leur pertinence technique. La question de savoir si un élément de preuve est recevable juridiquement, quels droits en découlent ou comment un tribunal l'apprécie reste distincte de l'analyse technique.
Pourquoi choisir LanCologne pour les questions relatives aux preuves informatiques dans le cadre d'enquêtes privées ?
LanCologne ne mène pas d'enquête dans le but de confirmer les hypothèses du mandant. Nous formulons une hypothèse technique vérifiable, travaillons à partir des données primaires disponibles et documentons les résultats positifs, négatifs et non tranchés. Le résultat doit être compréhensible pour le particulier et techniquement vérifiable par un avocat, une compagnie d’assurance, les autorités chargées de l’enquête, un tribunal ou un autre expert en informatique légale.
Cadre juridique
Les dispositions légales applicables dépendent de la situation concrète de chaque cas. En cas d'accès non autorisé à des données particulièrement sécurisées, les articles 202a et suivants du Code pénal allemand (StGB) peuvent s'appliquer. En cas de fraude ou de préjudice patrimonial lié à l'informatique, les articles 263 et 263a du Code pénal allemand (StGB) peuvent notamment s'appliquer, selon les circonstances. En cas de harcèlement, l'article 238 du Code pénal allemand (StGB) peut être pertinent. Toutefois, ce n'est pas à l'expert en informatique légale qu'il revient de déterminer la qualification pénale.
En ce qui concerne les enregistrements audio privés, il convient de tenir compte de l'article 201 du Code pénal allemand (StGB). Cette disposition protège, sous certaines conditions, la confidentialité des propos tenus à titre privé. La possibilité technique d'exploiter un enregistrement doit donc être dissociée de la question de savoir s'il a été réalisé ou utilisé de manière licite.
Les prises de vue et les enregistrements vidéo peuvent soulever des questions relatives à la protection de la vie privée et des données personnelles. En ce qui concerne les portraits, les articles 22 et 23 de la loi allemande sur le droit d'auteur (KunstUrhG) contiennent notamment des dispositions à ce sujet. Pour certaines prises de vue, l'article 201a du Code pénal allemand (StGB) peut également s'appliquer. Dans le cas des caméras privées, des dashcams ou des systèmes domotiques, des questions supplémentaires relatives à la protection des données peuvent se poser, qui doivent faire l'objet d'une évaluation juridique au cas par cas.
Dans les procédures civiles, les documents électroniques peuvent faire l'objet d'une preuve par inspection visuelle conformément à l'article 371 du Code de procédure civile allemand (ZPO). Les articles 402 et suivants du ZPO s'appliquent à la preuve d'expert. Une expertise en informatique légale commandée à titre privé ne devient pas pour autant automatiquement une expertise judiciaire ; elle peut toutefois présenter de manière compréhensible pour l'avocat et le tribunal les faits techniques, les données primaires et les questions de preuve.
LanCologne se limite à constater des faits techniques et ne fournit aucun conseil juridique. Les questions relatives à la recevabilité, à l'admissibilité, à la responsabilité civile, aux droits ou à la responsabilité pénale relèvent de la compétence exclusive des avocats, des autorités chargées de l'enquête et des tribunaux.
Foire aux questions
Comment puis-je faire sauvegarder des données provenant de USB-Sticks, de cartes mémoire ou de disques durs externes à titre de preuves privées ?
Darf ich die Dateien vorher selbst ansehen?
Was ist ein Hashwert?
Kann man sehen, wer etwas auf den Stick kopiert hat?
LanCologne – Informatique légale pour les particuliers
Vous avez une question d'ordre numérique ? LanCologne vous accompagne en menant une enquête informatique légale objective et sans a priori.
En lien avec ce thème
- Comment puis-je faire procéder à une analyse médico-légale des fichiers supprimés sur un support de données privé ?
- Comment dois-je sauvegarder mes données numériques avant de modifier mes mots de passe ou de réinitialiser mon appareil ?
- Comment puis-je vérifier si un code TAN ou une autorisation de paiement a fait l'objet d'une utilisation frauduleuse d'ordre technique ?
- Comment puis-je faire vérifier si un e-mail contenant une demande de paiement a été falsifié ou altéré ?