Criminalistique informatique · Tribunaux

Welche Aussagekraft hat eine automatische Anmeldung?

Systeme können ohne erneute bewusste Passworteingabe starten oder eine Sitzung wiederherstellen.

Demande sans engagement

Pour le tribunal, le nombre de programmes utilisés n'est pas déterminant. Ce qui importe, c'est de savoir quel fait technique peut être établi de manière fiable à partir de la base de données disponible, comment cette constatation est parvenue et quelles sont les limites de son interprétation.

La question concrète relative à la preuve

Wir prüfen Autologin-Konfiguration, Session-Wiederaufnahme, Boot- und Anmeldeereignisse sowie Benutzeraktivitäten nach dem Start.

Pourquoi le contexte technique est déterminant

Les traces numériques ne naissent pas de manière isolée. Le système d'exploitation, l'application, le service cloud, le réseau et le contexte utilisateur peuvent tous générer le même résultat visible de différentes manières. C'est pourquoi un simple horodatage, une entrée de journal ou une valeur de base de données ne peut être considéré comme une conclusion définitive sans examen de la logique qui a présidé à sa création. Si nécessaire, plusieurs traces indépendantes les unes des autres sont mises en corrélation.

Où se situe la limite de l'expression

Eine erfolgreiche Anmeldung ist bei aktiviertem Autologin kein sicherer Nachweis, dass die betreffende Person das Passwort eingegeben oder das Gerät bewusst entsperrt hat.

Comment LanCologne traite la question de fond

Chez LanCologne, l'expertise informatique judiciaire commence par la question des preuves et non par un programme d'analyse spécifique. Il s'agit tout d'abord de déterminer quel fait technique doit être élucidé, quelles sources de données sont pertinentes à cet effet et quelles explications alternatives doivent être sérieusement examinées.

Les données de départ et les éléments de preuve sont consignés. Dans la mesure où cela est techniquement possible, l'analyse est effectuée sur des sauvegardes légistes vérifiées ou sur des copies de travail appropriées. Les correspondances générées automatiquement ne sont pas reprises telles quelles lorsqu’elles portent sur des questions déterminantes pour la décision. L’origine, la logique de création et le contexte de l’élément concerné sont déterminants. Les conclusions essentielles sont vérifiées si nécessaire à l’aide des données sous-jacentes ou à l’aide d’une deuxième méthode appropriée sur le plan technique.

Dans l'expertise, les constatations factuelles, l'interprétation technique et les conclusions sont présentées séparément. La délimitation des affirmations revêt une importance tout aussi grande : qu'est-ce qui est techniquement prouvé ? Qu'est-ce qui est simplement étayé ? Quels sont les résultats contradictoires ? Quelle autre explication reste-t-elle possible ? Que ne peut-on pas établir à partir des données disponibles ?

La partie principale est rédigée de manière à être compréhensible pour les juges et les autres parties à la procédure ne disposant pas de connaissances spécialisées en informatique légale. La vérifiabilité technique est préservée. Les sources de données, les informations relatives à l'intégrité, les artefacts et les étapes d'enquête essentiels à une vérification indépendante sont documentés de manière transparente dans une partie technique.

De la commande à un résultat fiable

Résultat positif, résultat négatif et absence de détection

Une expertise judiciaire doit rester ouverte quant à ses conclusions. Si les données viennent étayer une hypothèse, on explique en quoi. Si des indices solides contredisent l'hypothèse, ceux-ci sont également présentés. Si la base de données est insuffisante, l'absence de preuve est expressément mentionnée. Aucune conclusion apparemment certaine n'est tirée d'une lacune dans les données.

Compréhensible pour le tribunal – vérifiable par le contre-expert

Les notions techniques fondamentales sont expliquées dans un langage accessible. Les termes techniques ne sont utilisés que lorsque cela est nécessaire, et sont ensuite définis. Parallèlement, les principes techniques essentiels sont documentés de manière à ce qu’un expert indépendant en informatique légale puisse comprendre le raisonnement à partir de la même base de données et, le cas échéant, le reproduire.

Cadrage méthodologique

En matière de criminalistique informatique judiciaire, il n'existe pas de liste légale des logiciels d'analyse obligatoires. Les éléments techniques essentiels sont une base de données contrôlée, l'intégrité des données, des étapes d'enquête documentées, des conclusions vérifiables et la possibilité d'une vérification indépendante.

Le module DER.2.2 „ Préparation à la criminalistique informatique “ du référentiel de sécurité de base du BSI contient des principes fondamentaux utiles pour se préparer à d'éventuelles enquêtes de criminalistique informatique et pour la collecte de preuves en cas d'incidents de sécurité informatique. Il ne s'agit toutefois en aucun cas d'un ensemble de règles régissant les enquêtes de criminalistique informatique dans le cadre d'infractions pénales ; l'analyse criminalistique proprement dite n'est pas non plus l'objet de ce module. Il n'est donc pas présenté comme une norme de criminalistique applicable dans le cadre de la procédure pénale.

LanCologne en tant qu'expert informatique indépendant

Lorsqu'un tribunal doit faire clarifier sur le plan technique une question concrète relative à une preuve numérique, nous examinons la base de données disponible de manière indépendante et sans a priori. L'objectif n'est pas d'obtenir le plus grand nombre possible de résultats techniques, mais d'apporter une réponse fondée sur des critères techniques : compréhensible pour le tribunal, transparente dans son raisonnement et vérifiable sur le plan technique.

En matière d'expertise dans les procédures civiles, ce sont notamment les articles 402 et suivants du Code de procédure civile (ZPO) qui s'appliquent. Conformément à l'article 404a du ZPO, le tribunal dirige les travaux de l'expert et peut en déterminer la nature et l'étendue. En cas de litige sur les faits, le tribunal détermine les faits sur lesquels doit se fonder l'expertise. L'article 407a du ZPO oblige notamment l'expert à vérifier sans délai si la mission relève de son domaine de spécialité ; les doutes quant au contenu et à l'étendue de la mission doivent être levés par le tribunal. Le rapport d’expertise écrit ainsi que les éventuelles explications ou compléments sont régis par l’article 411 du ZPO. L’appréciation finale du rapport d’expertise, conjointement avec l’ensemble des résultats de l’instruction, relève de la compétence du tribunal (article 286 du ZPO).

Dans le cadre des expertises en matière pénale, les articles 72 et suivants du Code de procédure pénale (StPO) s'appliquent aux experts ; l'article 78 du StPO concerne la supervision judiciaire de l'activité de l'expert. Les dispositions applicables dans une procédure concrète dépendent du type de procédure et de la mission confiée. L'expertise informatique judiciaire ne remplace pas une appréciation juridique.

Foire aux questions

LanCologne – Informatique légale pour les tribunaux

Vous avez une question d'ordre numérique ? LanCologne vous accompagne en menant une enquête informatique légale objective et sans a priori.

Nous contacter dès maintenant