Criminalistique informatique · Tribunaux

Kann nachvollzogen werden, ob Dateien umbenannt oder innerhalb eines Systems verschoben wurden?

Eine Datei kann ihren Namen oder Speicherort ändern, ohne dass sich ihr Inhalt verändert. Bei gerichtlichen Fragestellungen kann deshalb die Dateihistorie wichtiger sein als der aktuelle Pfad.

Demande sans engagement

Pour le tribunal, le nombre de logiciels d'analyse utilisés n'a pas d'importance. Ce qui est déterminant, c'est quel fait technique concret peut être établi de manière fiable à partir des données disponibles, comment cette conclusion a été tirée et quelles en sont les limites.

La question concrète relative à la preuve

Wir prüfen Dateisystemmetadaten, Identifikatoren, Journal- und Verlaufsinformationen, Anwendungsartefakte sowie korrespondierende historische Zustände, um mögliche Umbenennungs- oder Verschiebevorgänge einzugrenzen.

Pourquoi une seule trace numérique suffit rarement

Les artefacts numériques sont générés dans des systèmes dotés de leurs propres mécanismes de stockage, de synchronisation et de journalisation. Un simple horodatage, une entrée de journal ou une valeur de base de données ne sont donc pas considérés comme une preuve concluante sans contexte. Dans la mesure où la question de la preuve l'exige, plusieurs traces indépendantes les unes des autres sont mises en corrélation et des contre-hypothèses techniquement plausibles sont examinées.

Où se situe la limite de l'expression

Nicht jedes Dateisystem bewahrt eine vollständige Historie. Fehlen geeignete Spuren, darf aus dem aktuellen Speicherort keine frühere Position abgeleitet werden.

Comment LanCologne traite la question de fond

Dans le cadre de la méthode LanCologne, l'enquête commence par la question de la preuve judiciaire et non par un programme d'analyse spécifique. Il s'agit tout d'abord de déterminer quel fait technique doit être établi, quelles sources de données sont pertinentes à cet effet et quelles hypothèses contraires doivent être prises en compte.

Les éléments de preuve et les données de départ sont clairement documentés. Dans la mesure où cela est techniquement possible, l'analyse est effectuée à partir de sauvegardes légistes vérifiées ou de copies de travail appropriées. Les résultats pertinents pour la prise de décision ne sont pas retenus au seul motif qu'ils sont signalés par un logiciel. Nous vérifions l’origine, la logique de création et le contexte de l’artefact et, si nécessaire, nous contrôlons les résultats clés à l’aide des données sous-jacentes ou d’une deuxième méthode techniquement appropriée.

Dans l'expertise, les constatations factuelles, l'interprétation technique et les conclusions sont clairement distinguées les unes des autres. Les limites de l'affirmation sont décrites avec la même clarté : qu'est-ce qui peut être prouvé ? Qu'est-ce qui est simplement étayé ? Quels sont les résultats contradictoires ? Quelles questions restent en suspens ? L'absence de preuve n'est pas réinterprétée comme une affirmation apparemment certaine.

Le corps du rapport est rédigé de manière à ce qu'un juge ne disposant pas de connaissances spécialisées en informatique légale puisse comprendre le raisonnement qui y est exposé. La vérifiabilité technique est préservée. Les sources de données pertinentes pour la vérification, les informations relatives à l'intégrité, les artefacts et les étapes de l'enquête sont documentés de manière à ce qu'un expert indépendant en informatique légale puisse retracer les conclusions essentielles en vue d'une éventuelle contre-expertise.

De la décision judiciaire à un témoignage fiable

Résultats positifs, résultats négatifs et absence de détection

Une conclusion d'expert doit être ouverte quant au résultat. Si les données confirment l'hypothèse à vérifier, on explique sur quoi elle repose. Si des indices fiables contredisent cette hypothèse, ceux-ci sont également présentés. Si la base de données n'est pas suffisante pour permettre une conclusion certaine, cela est qualifié d'absence de preuve ou de question technique en suspens. C'est précisément cette distinction qui empêche qu'une lacune dans les données ne donne lieu à une affirmation apparemment certaine.

Compréhensible pour le tribunal – vérifiable sur le plan technique par un contre-expert

Les aspects techniques essentiels sont expliqués dans un langage accessible. Les termes techniques ne sont utilisés que lorsque cela est nécessaire, et sont ensuite définis. Parallèlement, les fondements techniques essentiels sont préservés : sources de données examinées, artefacts pertinents, informations relatives à l'intégrité, repères temporels et étapes méthodologiques. Un expert en informatique légale étranger à la procédure doit pouvoir vérifier le raisonnement sans que le texte principal ne devienne, aux yeux du tribunal, un simple recueil de données techniques brutes.

Cadrage méthodologique

En matière de criminalistique informatique judiciaire, il n'existe pas de liste légale des logiciels d'analyse obligatoires. Sur le plan technique, les éléments déterminants sont une base de données contrôlée, l'intégrité des données, des étapes d'enquête documentées, des conclusions vérifiables et la possibilité d'un contrôle indépendant.

Le module DER.2.2 „ Préparation à la criminalistique informatique “ du référentiel de sécurité de base du BSI contient des principes fondamentaux utiles pour se préparer à d'éventuelles enquêtes criminalistiques et pour la collecte de preuves en cas d'incidents de sécurité informatique. Il ne s'agit toutefois pas d'une norme de criminalistique applicable en matière de procédure pénale ; l'analyse criminalistique proprement dite ne fait pas l'objet de ce module. Cette distinction est expressément prise en compte.

LanCologne en tant qu'expert informatique indépendant

Lorsqu'un tribunal doit faire clarifier sur le plan technique une question concrète relative à une preuve numérique, nous examinons la base de données disponible de manière indépendante et sans préjuger du résultat. L'objectif n'est pas de recueillir le plus grand nombre possible de résultats techniques, mais d'apporter une réponse fondée sur des critères techniques : compréhensible pour le tribunal, transparente dans son raisonnement et vérifiable sur le plan technique.

En matière de preuve d'expert dans les procédures civiles, les articles 402 et suivants du Code de procédure civile (ZPO) sont particulièrement pertinents. L'article 403 du ZPO concerne la définition des points à examiner. Conformément à l'article 404a du ZPO, le tribunal dirige l'activité de l'expert et peut en déterminer la nature et l'étendue. L'article 407a du ZPO énonce les obligations de l'expert, notamment celle de vérifier qu'il s'agit bien de son domaine de spécialité et de lever tout doute quant au contenu et à l'étendue de la mission. L'article 411 du ZPO régit le rapport d'expertise écrit ainsi que son explication et ses compléments. L'appréciation du rapport d'expertise, conjointement avec l'ensemble des autres éléments de preuve, relève de la compétence du tribunal (article 286 du ZPO).

Dans le cadre des expertises en matière pénale, les articles 72 et suivants du Code de procédure pénale s'appliquent aux experts. Les dispositions applicables dans une procédure donnée dépendent de la mission confiée et du type de procédure. L'expertise en informatique légale ne remplace ni l'appréciation juridique ni l'appréciation judiciaire des preuves.

Foire aux questions

LanCologne – Informatique légale pour les tribunaux

Vous avez une question d'ordre numérique ? LanCologne vous accompagne en menant une enquête informatique légale objective et sans a priori.

Nous contacter dès maintenant