Criminalistique informatique · Tribunaux

Quelle est la valeur probante des conteneurs chiffrés et des supports de données virtuels devant les tribunaux ?

Container- und Image-Dateien können ein eigenständiges Dateisystem oder einen verschlüsselten Datenbestand enthalten.

Demande sans engagement

Pour le tribunal, le nombre de logiciels d'analyse utilisés n'a pas d'importance. Ce qui est déterminant, c'est quel fait technique concret peut être établi de manière fiable à partir des données disponibles, comment cette conclusion a été tirée et quelles en sont les limites.

La question concrète relative à la preuve

Wir unterscheiden Containerdatei, eingebundenen Zustand und enthaltenes Dateisystem und prüfen Mount-, Nutzungs- und Inhaltsartefakte soweit zugänglich.

Pourquoi une seule trace numérique suffit rarement

Les artefacts numériques sont générés dans des systèmes dotés de leurs propres mécanismes de stockage, de synchronisation et de journalisation. Un simple horodatage, une entrée de journal ou une valeur de base de données ne sont donc pas considérés comme une preuve concluante sans contexte. Dans la mesure où la question de la preuve l'exige, plusieurs traces indépendantes les unes des autres sont mises en corrélation et des contre-hypothèses techniquement plausibles sont examinées.

Où se situe la limite de l'expression

Die Existenz eines Containers beweist nicht, dass er im relevanten Zeitraum geöffnet oder von einer bestimmten Person genutzt wurde.

Comment LanCologne traite la question de fond

Bei LanCologne beginnt eine gerichtliche IT-forensische Untersuchung mit der Beweisfrage und nicht mit einem bestimmten Analyseprogramm. Zunächst wird geklärt, welche technische Tatsache festgestellt werden soll, welche Datenquellen hierfür überhaupt Aussagekraft besitzen und welche Gegenhypothesen berücksichtigt werden müssen.

Die Beweismittel und die Ausgangsdaten werden eindeutig dokumentiert. Soweit technisch möglich, erfolgt die Auswertung auf verifizierten forensischen Sicherungen oder geeigneten Arbeitskopien. Entscheidungserhebliche Treffer werden nicht allein deshalb übernommen, weil sie von einer Software angezeigt werden. Herkunft, Entstehungslogik und Kontext des Artefakts werden geprüft; zentrale Befunde werden bei Bedarf anhand der zugrunde liegenden Daten oder einer zweiten fachlich geeigneten Methode kontrolliert.

Dans l'expertise, les constatations factuelles, l'interprétation technique et les conclusions sont clairement distinguées les unes des autres. Les limites de l'affirmation sont décrites avec la même clarté : qu'est-ce qui peut être prouvé ? Qu'est-ce qui est simplement étayé ? Quels sont les résultats contradictoires ? Quelles questions restent en suspens ? L'absence de preuve n'est pas réinterprétée comme une affirmation apparemment certaine.

Der Hauptteil wird so geschrieben, dass ein Richter ohne IT-forensische Spezialkenntnisse die Herleitung verstehen kann. Die technische Nachprüfbarkeit bleibt erhalten. Prüfrelevante Datenquellen, Integritätsinformationen, Artefakte und Untersuchungsschritte werden so dokumentiert, dass ein unabhängiger IT-Forensiker die zentralen Feststellungen im Rahmen eines möglichen Gegengutachtens nachvollziehen kann.

De la décision judiciaire à un témoignage fiable

1Délimiter sur le plan technique la mission judiciaire et la question de la preuve.
2Vérifier si la question relève de son domaine de compétence et s'il est nécessaire de demander des précisions au tribunal.
3Consigner les éléments de preuve, l'état initial et les données disponibles.
4Vérifier l'intégrité des données d'étude dans la mesure où cela est techniquement possible.
5Déduire des hypothèses de vérification techniques et des contre-hypothèses à partir de la question de preuve.
6Analyser de manière ciblée uniquement les sources de données pertinentes à cet effet.
7Valider les résultats pertinents pour la prise de décision dans un contexte technique.
8Tenir compte des contradictions, des données manquantes et des explications alternatives.
9Préciser explicitement les limites de l'énoncé.
10Répondre clairement à la question de preuve et permettre la vérification technique.

Résultats positifs, résultats négatifs et absence de détection

Une conclusion d'expert doit être ouverte quant au résultat. Si les données confirment l'hypothèse à vérifier, on explique sur quoi elle repose. Si des indices fiables contredisent cette hypothèse, ceux-ci sont également présentés. Si la base de données n'est pas suffisante pour permettre une conclusion certaine, cela est qualifié d'absence de preuve ou de question technique en suspens. C'est précisément cette distinction qui empêche qu'une lacune dans les données ne donne lieu à une affirmation apparemment certaine.

Compréhensible pour le tribunal – vérifiable sur le plan technique par un contre-expert

Les aspects techniques essentiels sont expliqués dans un langage accessible. Les termes techniques ne sont utilisés que lorsque cela est nécessaire, et sont ensuite définis. Parallèlement, les fondements techniques essentiels sont préservés : sources de données examinées, artefacts pertinents, informations relatives à l'intégrité, repères temporels et étapes méthodologiques. Un expert en informatique légale étranger à la procédure doit pouvoir vérifier le raisonnement sans que le texte principal ne devienne, aux yeux du tribunal, un simple recueil de données techniques brutes.

Cadrage méthodologique

En matière de criminalistique informatique judiciaire, il n'existe pas de liste légale des logiciels d'analyse obligatoires. Sur le plan technique, les éléments déterminants sont une base de données contrôlée, l'intégrité des données, des étapes d'enquête documentées, des conclusions vérifiables et la possibilité d'un contrôle indépendant.

Der BSI-Grundschutz-Baustein DER.2.2 „Vorsorge für die IT-Forensik“ enthält hilfreiche Grundgedanken zur Vorbereitung auf spätere forensische Untersuchungen und zur Spurensicherung bei IT-Sicherheitsvorfällen. Er ist jedoch kein strafprozessualer Forensikstandard; der Baustein stellt ausdrücklich klar, dass die eigentliche forensische Analyse nicht sein Gegenstand ist und er sich nicht auf IT-forensische Untersuchungen bei Straftaten bezieht.

LanCologne en tant qu'expert informatique indépendant

Lorsqu'un tribunal doit faire clarifier sur le plan technique une question concrète relative à une preuve numérique, nous examinons la base de données disponible de manière indépendante et sans préjuger du résultat. L'objectif n'est pas de recueillir le plus grand nombre possible de résultats techniques, mais d'apporter une réponse fondée sur des critères techniques : compréhensible pour le tribunal, transparente dans son raisonnement et vérifiable sur le plan technique.

Cadre juridique

Für den Sachverständigenbeweis in Zivilverfahren sind insbesondere die §§ 402 ff. ZPO maßgeblich. § 403 ZPO knüpft den Beweisantritt an die Bezeichnung der zu begutachtenden Punkte. Nach § 404a ZPO leitet das Gericht die Tätigkeit des Sachverständigen; bei streitigem Sachverhalt bestimmt es die Tatsachen, die der Begutachtung zugrunde gelegt werden sollen. § 407a ZPO verpflichtet den Sachverständigen unter anderem zur Prüfung, ob der Auftrag in sein Fachgebiet fällt, zur Mitteilung möglicher Gründe, die Misstrauen gegen seine Unparteilichkeit rechtfertigen könnten, und bei Zweifeln über Inhalt und Umfang des Auftrags zur unverzüglichen Klärung durch das Gericht. § 411 ZPO regelt das schriftliche Gutachten sowie dessen Erläuterung oder Ergänzung. Die Würdigung des Gutachtens zusammen mit dem übrigen Beweisergebnis bleibt Aufgabe des Gerichts (§ 286 ZPO).

Soweit die Begutachtung in einem Strafverfahren erfolgt, gelten für Sachverständige die §§ 72 ff. StPO. Die konkrete prozessrechtliche Einordnung hängt vom jeweiligen Auftrag und Verfahren ab. Unsere Aufgabe ist die fachliche Beantwortung der technischen Beweisfrage; sie ersetzt weder die rechtliche Bewertung noch die gerichtliche Beweiswürdigung.

Foire aux questions

Quelle est la valeur probante des conteneurs chiffrés et des supports de données virtuels devant les tribunaux ?+
Container- und Image-Dateien können ein eigenständiges Dateisystem oder einen verschlüsselten Datenbestand enthalten. Wir unterscheiden Containerdatei, eingebundenen Zustand und enthaltenes Dateisystem und prüfen Mount-, Nutzungs- und Inhaltsartefakte soweit zugänglich.
Comment se déroule concrètement un tel examen technique ?+
Bei LanCologne beginnt eine gerichtliche IT-forensische Untersuchung mit der Beweisfrage und nicht mit einem bestimmten Analyseprogramm.
Le résultat de l'expertise permet-il de fournir des éléments clairs au tribunal ?+
Die Existenz eines Containers beweist nicht, dass er im relevanten Zeitraum geöffnet oder von einer bestimmten Person genutzt wurde.
Existe-t-il une base juridique à cet effet ?+
Für den Sachverständigenbeweis in Zivilverfahren sind insbesondere die §§ 402 ff. ZPO maßgeblich. § 403 ZPO knüpft den Beweisantritt an die Bezeichnung der zu begutachtenden Punkte.

LanCologne – Informatique légale pour les tribunaux

Vous avez une question d'ordre numérique ? LanCologne vous accompagne en menant une enquête informatique légale objective et sans a priori.

Nous contacter dès maintenant