Diese Übersicht bündelt alle Fragen und Antworten rund um IT-Forensik für Gerichte bei LanCologne – von der Zuordnung von Nutzern und Konten über Dateien, Metadaten und Kommunikationsspuren bis hin zu Widersprüchen in digitalen Beweismitteln und der Rolle des IT-Sachverständigen im Gerichtsverfahren. Klicken Sie auf eine Kategorie, um die passenden Fragen zu sehen.
Nutzer- und Kontozuordnung
- Est-il possible d'identifier la personne qui a utilisé un ordinateur ou un smartphone ?
- Est-il possible de prouver techniquement une saisie concrète effectuée par un utilisateur ?
- Est-il possible de distinguer l'envoi effectif d'un message de sa simple présence dans le compte ?
- Peut-on faire la distinction entre un compte utilisateur local, un compte de domaine et un compte cloud ?
- Est-il possible de reconstituer un changement d'utilisateur ou une session utilisateur parallèle ?
- Welche Aussagekraft hat eine automatische Anmeldung?
- Kann ein digitales Artefakt einem bestimmten Benutzerprofil zugeordnet werden?
- Comment évaluer les objets provenant de comptes partagés ou de comptes techniques ?
- Est-il possible de déterminer si des données numériques ont été générées automatiquement ou à la suite d'une action de l'utilisateur ?
- Est-il possible de déterminer si un compte utilisateur a été piraté ou utilisé par un tiers ?
- Comment les traces numériques sont-elles évaluées lorsque plusieurs appareils utilisent le même compte ?
- Sur des ordinateurs partagés, est-il possible d'attribuer une action numérique à un utilisateur précis ?
- Kann zwischen lokalem Benutzerkonto, Domänenkonto und Cloud-Konto zuverlässig unterschieden werden?
- Kann ein Benutzerwechsel oder eine parallele Benutzersitzung nachgewiesen werden?
- Welche Aussagekraft hat eine automatische Anmeldung für die Benutzerzuordnung?
- Kann ein digitales Artefakt einem bestimmten Benutzerprofil innerhalb eines Mehrbenutzersystems zugeordnet werden?
Kommunikation: Chat, E-Mail und Nachrichten
- Est-il techniquement possible de vérifier l'authenticité et l'intégralité d'un historique de discussion ?
- Est-il techniquement possible de déterminer l'origine d'un e-mail et le chemin qu'il a emprunté pour être envoyé ?
- Quelle est la valeur probante des notifications push en tant que preuve numérique ?
- Que prouve réellement une confirmation de lecture numérique ?
- Comment évaluer les différences entre les états des messages du côté de l'expéditeur et de celui du destinataire ?
- Est-il possible de faire la distinction entre la réception, l'enregistrement, l'ouverture et le traitement d'une pièce jointe à un e-mail ?
- Est-il possible de déterminer si un e-mail a été transféré ou si son contenu a été copié manuellement ?
- Quelle valeur informative les en-têtes d'e-mails apportent-ils quant à l'origine et au chemin de transmission ?
- Kann festgestellt werden, ob eine E-Mail lokal, serverseitig oder durch Synchronisation gelöscht wurde?
Fotos, Videos und Multimedia
- Kann aus einer Bildschirmsperre auf tatsächliche Gerätenutzung geschlossen werden?
- Kann festgestellt werden, ob ein Foto oder Video mit einem bestimmten Gerät aufgenommen wurde?
- Kann zwischen Originalaufnahme, bearbeiteter Datei und konvertierter Kopie unterschieden werden?
- Welche Aussagekraft haben Vorschaubilder und Thumbnail-Caches?
- Welche Aussagekraft besitzt eine Bildschirmaufzeichnung als digitales Beweismittel?
- Wie belastbar sind Foto- und Video-Metadaten als gerichtlicher Beweis?
- Beweist ein Vorschaubild oder Thumbnail, dass die zugehörige Datei geöffnet wurde?
Geräte, Netzwerk und Systemartefakte
- Kann festgestellt werden, ob ein Gerät mit einem bestimmten WLAN verbunden war?
- Welche Aussagekraft haben identische Dateien auf mehreren Geräten?
- Kann festgestellt werden, welches Gerät eine synchronisierte Änderung ursprünglich erzeugt hat?
- Kann ein behaupteter Fernzugriff auf einen Computer technisch belegt werden?
- Kann ein Netzwerkwechsel eines Geräts zeitlich rekonstruiert werden?
- Est-il possible de déterminer si une mise à jour du système a modifié ou supprimé des traces numériques ?
- Wie wirkt sich die Migration auf ein neues Gerät auf die Beweisbewertung aus?
- Kann nachgewiesen werden, ob ein bestimmtes externes Gerät mit einem Computer verbunden war?
- Kann festgestellt werden, ob eine bestimmte Software installiert oder tatsächlich ausgeführt wurde?
- Kann die frühere Installation einer inzwischen deinstallierten Software nachträglich festgestellt werden?
- Est-il possible de vérifier si des données ont été transmises ou consultées via un partage réseau ?
- Quelle valeur probante ont les données volatiles issues de la mémoire vive devant un tribunal ?
- Kann eine Remote-Desktop- oder Fernzugriffssitzung nachträglich nachgewiesen werden?
- Kann festgestellt werden, ob ein Gerät zum relevanten Zeitpunkt gesperrt oder aktiv bedient wurde?
- Kann nachvollzogen werden, mit welchem Netzwerk ein Gerät zu einem bestimmten Zeitpunkt verbunden war?
- Wie werden Zeitangaben externer Server mit der lokalen Gerätezeit verglichen?
- Welchen Einfluss können Systemupdates auf digitale Spuren haben?
- Kann eine Migration von einem alten auf ein neues Gerät forensisch erkannt werden?
Löschung, Wiederherstellung und Backup
- Est-il possible de prouver que des données ont été effacées intentionnellement ?
- Quelles traces une restauration à partir d'une sauvegarde peut-elle laisser ?
- Quelles conclusions fiables peut-on encore tirer après une réinitialisation aux paramètres d'usine ?
- Quelle est la valeur probante des sauvegardes, des instantanés et des sauvegardes historiques ?
- Est-il possible de déterminer si un support de données a été formaté ou si un système d'exploitation a été réinstallé ?
- Welche Aussagekraft besitzen Papierkorb- und Trash-Artefakte vor Gericht?
- Kann festgestellt werden, ob gelöschte Daten später überschrieben wurden?
- Wie beeinflusst eine Wiederherstellung aus einem Backup die Beweisbewertung?
- Welche Aussagen sind nach einem Zurücksetzen auf Werkseinstellungen noch möglich?
Authentifizierung, Verschlüsselung und Zugriffsschutz
- Peut-on faire la distinction entre l'authentification par mot de passe, l'authentification biométrique et l'authentification basée sur la session ?
- Quelle valeur probante ont les mots de passe, jetons et identifiants enregistrés devant un tribunal ?
- Quelle est la valeur informative des conteneurs chiffrés et des supports de données virtuels ?
- Quelle conclusion peut-on tirer lorsque les éléments de preuve sont cryptés ou ne sont accessibles que partiellement ?
- Comment une signature numérique est-elle vérifiée sur le plan technique ?
Anonymisierung, VPN und Netzwerkspuren
- Welche Aussagekraft hat die Nutzung eines VPN für die Zuordnung digitaler Aktivitäten?
- Wie werden Proxy-, Relay- oder Anonymisierungsverbindungen forensisch eingeordnet?
- Welche Aussagekraft besitzen DNS-Spuren als Nachweis einer Internetaktivität?
- Welche Aussagekraft hat eine VPN-Nutzung für die Zuordnung von Internetaktivitäten?
Cloud, virtuelle Systeme und Container
- Kann festgestellt werden, ob ein Archiv entpackt oder dessen Inhalt genutzt wurde?
- Wie werden virtuelle Maschinen als digitale Beweismittel untersucht?
- Kann festgestellt werden, ob eine virtuelle Maschine zu einem bestimmten Zeitpunkt ausgeführt wurde?
- Welche Aussagekraft haben Cloud-Synchronisationsspuren vor Gericht?
- Quelle est la valeur probante des conteneurs chiffrés et des supports de données virtuels devant les tribunaux ?
- Comment les machines virtuelles sont-elles examinées en tant que preuves numériques ?
Dateien, Metadaten und Zeitstempel
- Est-il possible de déterminer quand un fichier a été créé ou modifié ?
- Est-il possible de déterminer si un fichier a effectivement été ouvert ou utilisé ?
- Kann festgestellt werden, ob eine Datei nur angezeigt oder tatsächlich bearbeitet wurde?
- Welche Aussagekraft haben Entwürfe, Autosave-Dateien und temporäre Dokumente?
- Kann eine Datei einem bestimmten Erstellungsprogramm zugeordnet werden?
- Kann nachvollzogen werden, ob ein Dokument aus einer anderen Datei exportiert wurde?
- Können Spuren aus der Zwischenablage eine Copy-and-Paste-Handlung belegen?
- Welche Aussagekraft haben ZIP-, RAR- und andere Archivdateien vor Gericht?
- Wie belastbar ist eine digitale Timeline vor Gericht?
- Welche Aussagekraft haben Suchindexe und indexierte Dateiinhalte?
- Kann eine tatsächlich ausgeführte Suche von einer bloßen Indexierung unterschieden werden?
- Kann festgestellt werden, ob eine digitale Handlung durch eine geplante Aufgabe oder Automatisierung ausgelöst wurde?
- Kann festgestellt werden, ob eine Berechtigung zu einem bestimmten Zeitpunkt bestand?
- Kann eine Änderung von Benutzer- oder Gruppenberechtigungen rekonstruiert werden?
- À partir de quand peut-on tirer une conclusion de l'absence d'un artefact numérique ?
- Est-il possible de prouver qu'un document numérique a été modifié a posteriori ?
- Est-il possible de déterminer quelle version d'un document était disponible à un moment donné ?
- Est-il possible de déterminer si un fichier a été téléchargé depuis Internet ?
- Est-il possible de déterminer si un ordinateur était allumé ou éteint à un moment donné ?
- Kann nachvollzogen werden, ob Dateien umbenannt oder innerhalb eines Systems verschoben wurden?
- Quelle valeur probante ont, devant un tribunal, les fichiers restaurés ou ceux dont il ne reste que des fragments ?
- Est-il possible de savoir si un fichier ou une information a été imprimé(e) ?
- Kann festgestellt werden, ob eine Datei tatsächlich geöffnet wurde?
- Kann nachgewiesen werden, dass eine Person den Inhalt einer digitalen Datei tatsächlich zur Kenntnis genommen hat?
- Kann unterschieden werden, ob eine Datei kopiert, verschoben oder synchronisiert wurde?
- Kann der Zeitpunkt einer Löschung technisch eingegrenzt werden?
- Kann ein Dateizugriff nachgewiesen werden, obwohl die Datei unverändert blieb?
- Kann eine Manipulation von Datei- oder Systemzeitstempeln festgestellt werden?
- Kann zwischen einer Original-Mediendatei und einer konvertierten oder erneut gespeicherten Fassung unterschieden werden?
- Welche Aussagekraft haben Suchindexe für die Existenz oder Nutzung einer Datei?
Widersprüche, Plausibilität und Beweiswürdigung
- Comment un expert en informatique vérifie-t-il une chaîne d'événements alléguée lorsque les preuves numériques se contredisent ?
- Dans quelle mesure les métadonnées modifiables manuellement constituent-elles des preuves fiables ?
- Un logiciel malveillant peut-il constituer une autre explication à une action numérique ?
- Comment gérer les traces numériques contradictoires ?
- Comment vérifie-t-on la plausibilité technique d'une chaîne d'événements numériques présumée ?
- Wie bewertet ein IT-Sachverständiger zwei technisch plausible Erklärungen?
- Wie wird ein technischer Nichtnachweis im Gutachten sauber formuliert?
- Wie sind widersprüchliche digitale Beweismittel in einem IT-Gutachten zu behandeln?
Gutachten, Gerichtsverfahren und Sachverständige
- Wie wird die Unabhängigkeit und Neutralität eines IT-Sachverständigen praktisch umgesetzt?
- Warum muss ein IT-Gutachten für Nicht-Forensiker verständlich sein?
- Warum gehört ein technischer Anhang zu einem nachvollziehbaren IT-Gutachten?
- Wie wird ein IT-Gutachten für ein mögliches Gegengutachten reproduzierbar aufgebaut?
- Wie wird eine gerichtliche IT-Beweisfrage abschließend und eindeutig beantwortet?
- Wie werden Zeitzonen, Sommerzeit und fehlerhafte Systemuhren im Gutachten berücksichtigt?
- Wie kann ein bereits vorliegendes privates IT-Gutachten technisch überprüft werden?
- Sachverständiger oder sachverständiger Zeuge – was ist bei digitalen Tatsachen zu unterscheiden?
- Wie wird ein IT-Gutachten vor Gericht erläutert und auf Ergänzungsfragen geprüft?
- Welche Bedeutung hat eine lückenhafte Chain of Custody für die technische Aussagekraft?
- Was geschieht, wenn während der IT-forensischen Untersuchung neue, vom gerichtlichen Auftrag nicht erfasste Tatsachen auffallen?
- Wo endet die technische Schlussfolgerung des IT-Sachverständigen und wo beginnt die Beweiswürdigung des Gerichts?
Sonstige Beweisfragen
- Welchen Beweiswert hat ein Screenshot oder Foto eines digitalen Inhalts?
- Est-il possible de vérifier si des données ont été copiées sur un support de stockage USB ?
- Comment les preuves numériques sont-elles conservées de manière à ce que l'enquête puisse être vérifiée ultérieurement ?
- Dans quelle mesure les données numériques relatives à la localisation constituent-elles des preuves recevables devant les tribunaux ?
- Est-il techniquement possible de reconstituer une utilisation présumée d'Internet ou d'un navigateur ?
- Est-il possible de retracer l'origine d'un fichier numérique ou d'un ensemble de données ?
- Wie wird mit beschädigten oder unvollständigen digitalen Beweismitteln umgegangen?
- Comment les entrées de base de données et les traces WAL/journal sont-elles évaluées devant les tribunaux ?
- Quelle est la valeur probante des journaux système et des journaux d'événements devant les tribunaux ?
- Une adresse IP peut-elle être associée à une personne en particulier ?
- Peut-on constater des indices laissant supposer l'utilisation de techniques anti-forensiques ou l'effacement ciblé de traces ?
- Qu'est-ce qui a le plus de valeur probante : les données originales, une sauvegarde légale ou un rapport exporté ?
- Dans quels cas une nouvelle expertise informatique judiciaire au titre de l'article 412 du Code de procédure civile allemand (ZPO) peut-elle s'avérer utile ?
- Est-il possible de prouver qu'un élément de preuve numérique a été modifié après sa saisie ?
- Est-il possible de déterminer si des droits administratifs ou des droits étendus ont été utilisés ?
- Comment évaluer une preuve numérique qui a continué à être utilisée avant la sauvegarde à des fins d'expertise ?
- Est-il possible de reconstituer de manière fiable la chronologie de plusieurs actions numériques ?
- Kann die Echtheit und Herkunft eines Screenshots technisch geprüft werden?
- Kann festgestellt werden, wann ein ZIP-, RAR- oder anderes Archiv erstellt oder entpackt wurde?
- Kann bei einer PDF-Datei nachvollzogen werden, aus welchem Quelldokument sie erzeugt wurde?