Diese Übersicht bündelt alle Fragen und Antworten rund um IT-Forensik für Gerichte bei LanCologne – von der Zuordnung von Nutzern und Konten über Dateien, Metadaten und Kommunikationsspuren bis hin zu Widersprüchen in digitalen Beweismitteln und der Rolle des IT-Sachverständigen im Gerichtsverfahren. Klicken Sie auf eine Kategorie, um die passenden Fragen zu sehen.
Nutzer- und Kontozuordnung
- Est-il possible d'identifier la personne qui a utilisé un ordinateur ou un smartphone ?
- Est-il possible de prouver techniquement une saisie concrète effectuée par un utilisateur ?
- Est-il possible de distinguer l'envoi effectif d'un message de sa simple présence dans le compte ?
- Peut-on faire la distinction entre un compte utilisateur local, un compte de domaine et un compte cloud ?
- Est-il possible de reconstituer un changement d'utilisateur ou une session utilisateur parallèle ?
- Quelle est la valeur d'une inscription automatique ?
- Un artefact numérique peut-il être associé à un profil d'utilisateur spécifique ?
- Comment évaluer les objets provenant de comptes partagés ou de comptes techniques ?
- Est-il possible de déterminer si des données numériques ont été générées automatiquement ou à la suite d'une action de l'utilisateur ?
- Est-il possible de déterminer si un compte utilisateur a été piraté ou utilisé par un tiers ?
- Comment les traces numériques sont-elles évaluées lorsque plusieurs appareils utilisent le même compte ?
- Sur des ordinateurs partagés, est-il possible d'attribuer une action numérique à un utilisateur précis ?
- Est-il possible de distinguer de manière fiable un compte utilisateur local d'un compte de domaine et d'un compte cloud ?
- Est-il possible de prouver qu'il y a eu un changement d'utilisateur ou une session utilisateur parallèle ?
- Quelle est la pertinence d'une connexion automatique pour l'attribution des utilisateurs ?
- Un artefact numérique peut-il être associé à un profil utilisateur spécifique au sein d'un système multi-utilisateurs ?
Kommunikation: Chat, E-Mail und Nachrichten
- Est-il techniquement possible de vérifier l'authenticité et l'intégralité d'un historique de discussion ?
- Est-il techniquement possible de déterminer l'origine d'un e-mail et le chemin qu'il a emprunté pour être envoyé ?
- Quelle est la valeur probante des notifications push en tant que preuve numérique ?
- Que prouve réellement une confirmation de lecture numérique ?
- Comment évaluer les différences entre les états des messages du côté de l'expéditeur et de celui du destinataire ?
- Est-il possible de faire la distinction entre la réception, l'enregistrement, l'ouverture et le traitement d'une pièce jointe à un e-mail ?
- Est-il possible de déterminer si un e-mail a été transféré ou si son contenu a été copié manuellement ?
- Quelle valeur informative les en-têtes d'e-mails apportent-ils quant à l'origine et au chemin de transmission ?
- Est-il possible de déterminer si un e-mail a été supprimé localement, sur le serveur ou lors d'une synchronisation ?
Fotos, Videos und Multimedia
- Kann aus einer Bildschirmsperre auf tatsächliche Gerätenutzung geschlossen werden?
- Kann festgestellt werden, ob ein Foto oder Video mit einem bestimmten Gerät aufgenommen wurde?
- Kann zwischen Originalaufnahme, bearbeiteter Datei und konvertierter Kopie unterschieden werden?
- Welche Aussagekraft haben Vorschaubilder und Thumbnail-Caches?
- Welche Aussagekraft besitzt eine Bildschirmaufzeichnung als digitales Beweismittel?
- Wie belastbar sind Foto- und Video-Metadaten als gerichtlicher Beweis?
- Beweist ein Vorschaubild oder Thumbnail, dass die zugehörige Datei geöffnet wurde?
Geräte, Netzwerk und Systemartefakte
- Kann festgestellt werden, ob ein Gerät mit einem bestimmten WLAN verbunden war?
- Welche Aussagekraft haben identische Dateien auf mehreren Geräten?
- Kann festgestellt werden, welches Gerät eine synchronisierte Änderung ursprünglich erzeugt hat?
- Kann ein behaupteter Fernzugriff auf einen Computer technisch belegt werden?
- Kann ein Netzwerkwechsel eines Geräts zeitlich rekonstruiert werden?
- Est-il possible de déterminer si une mise à jour du système a modifié ou supprimé des traces numériques ?
- Wie wirkt sich die Migration auf ein neues Gerät auf die Beweisbewertung aus?
- Est-il possible de déterminer si un périphérique externe donné a été connecté à un ordinateur ?
- Est-il possible de déterminer si un logiciel donné a été installé ou s'il a effectivement été exécuté ?
- Est-il possible de déterminer a posteriori qu'un logiciel a été installé par le passé, alors qu'il a depuis été désinstallé ?
- Est-il possible de vérifier si des données ont été transmises ou consultées via un partage réseau ?
- Quelle valeur probante ont les données volatiles issues de la mémoire vive devant un tribunal ?
- Est-il possible de retracer a posteriori une session de bureau à distance ou d'accès à distance ?
- Est-il possible de déterminer si un appareil était verrouillé ou en cours d'utilisation au moment en question ?
- Est-il possible de savoir à quel réseau un appareil était connecté à un moment donné ?
- Wie werden Zeitangaben externer Server mit der lokalen Gerätezeit verglichen?
- Welchen Einfluss können Systemupdates auf digitale Spuren haben?
- Kann eine Migration von einem alten auf ein neues Gerät forensisch erkannt werden?
Löschung, Wiederherstellung und Backup
- Est-il possible de prouver que des données ont été effacées intentionnellement ?
- Quelles traces une restauration à partir d'une sauvegarde peut-elle laisser ?
- Quelles conclusions fiables peut-on encore tirer après une réinitialisation aux paramètres d'usine ?
- Quelle est la valeur probante des sauvegardes, des instantanés et des sauvegardes historiques ?
- Est-il possible de déterminer si un support de données a été formaté ou si un système d'exploitation a été réinstallé ?
- Welche Aussagekraft besitzen Papierkorb- und Trash-Artefakte vor Gericht?
- Est-il possible de déterminer si des données supprimées ont été écrasées par la suite ?
- En quoi la restauration à partir d'une sauvegarde influe-t-elle sur l'appréciation des preuves ?
- Quelles opérations sont encore possibles après une réinitialisation aux paramètres d'usine ?
Authentifizierung, Verschlüsselung und Zugriffsschutz
- Peut-on faire la distinction entre l'authentification par mot de passe, l'authentification biométrique et l'authentification basée sur la session ?
- Quelle valeur probante ont les mots de passe, jetons et identifiants enregistrés devant un tribunal ?
- Quelle est la valeur informative des conteneurs chiffrés et des supports de données virtuels ?
- Quelle conclusion peut-on tirer lorsque les éléments de preuve sont cryptés ou ne sont accessibles que partiellement ?
- Comment une signature numérique est-elle vérifiée sur le plan technique ?
Anonymisierung, VPN und Netzwerkspuren
- Welche Aussagekraft hat die Nutzung eines VPN für die Zuordnung digitaler Aktivitäten?
- Wie werden Proxy-, Relay- oder Anonymisierungsverbindungen forensisch eingeordnet?
- Welche Aussagekraft besitzen DNS-Spuren als Nachweis einer Internetaktivität?
- Welche Aussagekraft hat eine VPN-Nutzung für die Zuordnung von Internetaktivitäten?
Cloud, virtuelle Systeme und Container
- Kann festgestellt werden, ob ein Archiv entpackt oder dessen Inhalt genutzt wurde?
- Wie werden virtuelle Maschinen als digitale Beweismittel untersucht?
- Kann festgestellt werden, ob eine virtuelle Maschine zu einem bestimmten Zeitpunkt ausgeführt wurde?
- Welche Aussagekraft haben Cloud-Synchronisationsspuren vor Gericht?
- Quelle est la valeur probante des conteneurs chiffrés et des supports de données virtuels devant les tribunaux ?
- Comment les machines virtuelles sont-elles examinées en tant que preuves numériques ?
Dateien, Metadaten und Zeitstempel
- Est-il possible de déterminer quand un fichier a été créé ou modifié ?
- Est-il possible de déterminer si un fichier a effectivement été ouvert ou utilisé ?
- Est-il possible de déterminer si un fichier a simplement été consulté ou s'il a réellement été modifié ?
- Quelle est la valeur informative des brouillons, des fichiers enregistrés automatiquement et des documents temporaires ?
- Est-il possible d'associer un fichier à un programme de création spécifique ?
- Est-il possible de savoir si un document a été exporté à partir d'un autre fichier ?
- Les traces laissées dans le presse-papiers peuvent-elles prouver qu'une opération de copier-coller a eu lieu ?
- Quelle valeur probante ont les fichiers ZIP, RAR et autres fichiers d'archivage devant un tribunal ?
- Quelle est la valeur probante d'une chronologie numérique devant un tribunal ?
- Quelle est la valeur informative des index de recherche et du contenu des fichiers indexés ?
- Peut-on distinguer une recherche effectivement effectuée d'une simple indexation ?
- Est-il possible de déterminer si une action numérique a été déclenchée par une tâche planifiée ou par une automatisation ?
- Est-il possible de déterminer si une autorisation existait à un moment donné ?
- Kann eine Änderung von Benutzer- oder Gruppenberechtigungen rekonstruiert werden?
- À partir de quand peut-on tirer une conclusion de l'absence d'un artefact numérique ?
- Est-il possible de prouver qu'un document numérique a été modifié a posteriori ?
- Est-il possible de déterminer quelle version d'un document était disponible à un moment donné ?
- Est-il possible de déterminer si un fichier a été téléchargé depuis Internet ?
- Est-il possible de déterminer si un ordinateur était allumé ou éteint à un moment donné ?
- Kann nachvollzogen werden, ob Dateien umbenannt oder innerhalb eines Systems verschoben wurden?
- Quelle valeur probante ont, devant un tribunal, les fichiers restaurés ou ceux dont il ne reste que des fragments ?
- Est-il possible de savoir si un fichier ou une information a été imprimé(e) ?
- Kann festgestellt werden, ob eine Datei tatsächlich geöffnet wurde?
- Peut-on prouver qu'une personne a effectivement pris connaissance du contenu d'un fichier numérique ?
- Est-il possible de distinguer si un fichier a été copié, déplacé ou synchronisé ?
- Est-il possible de délimiter techniquement le moment d'une suppression ?
- Peut-on prouver qu'un fichier a été consulté alors qu'il n'a pas été modifié ?
- Est-il possible de détecter une manipulation des horodatages des fichiers ou du système ?
- Est-il possible de faire la distinction entre un fichier multimédia d'origine et une version convertie ou réenregistrée ?
- Quelle valeur probante les index de recherche ont-ils quant à l'existence ou à l'utilisation d'un fichier ?
Widersprüche, Plausibilität und Beweiswürdigung
- Comment un expert en informatique vérifie-t-il une chaîne d'événements alléguée lorsque les preuves numériques se contredisent ?
- Dans quelle mesure les métadonnées modifiables manuellement constituent-elles des preuves fiables ?
- Un logiciel malveillant peut-il constituer une autre explication à une action numérique ?
- Comment gérer les traces numériques contradictoires ?
- Comment vérifie-t-on la plausibilité technique d'une chaîne d'événements numériques présumée ?
- Comment un expert en informatique évalue-t-il deux explications techniquement plausibles ?
- Comment formuler clairement une absence de preuve technique dans un rapport d'expertise ?
- Comment traiter les éléments de preuve numériques contradictoires dans une expertise informatique ?
Gutachten, Gerichtsverfahren und Sachverständige
- Wie wird die Unabhängigkeit und Neutralität eines IT-Sachverständigen praktisch umgesetzt?
- Warum muss ein IT-Gutachten für Nicht-Forensiker verständlich sein?
- Warum gehört ein technischer Anhang zu einem nachvollziehbaren IT-Gutachten?
- Comment structurer un rapport d'expertise informatique de manière à ce qu'il puisse servir de base à une éventuelle contre-expertise ?
- Comment apporter une réponse définitive et sans ambiguïté à une question relative aux preuves informatiques dans le cadre d'une procédure judiciaire ?
- Comment les fuseaux horaires, l'heure d'été et les horloges système défectueuses sont-ils pris en compte dans l'expertise ?
- Comment procéder à une vérification technique d'une expertise informatique privée déjà existante ?
- Expert ou témoin expert : quelle distinction faut-il faire lorsqu'il s'agit de faits numériques ?
- Wie wird ein IT-Gutachten vor Gericht erläutert und auf Ergänzungsfragen geprüft?
- Welche Bedeutung hat eine lückenhafte Chain of Custody für die technische Aussagekraft?
- Was geschieht, wenn während der IT-forensischen Untersuchung neue, vom gerichtlichen Auftrag nicht erfasste Tatsachen auffallen?
- Wo endet die technische Schlussfolgerung des IT-Sachverständigen und wo beginnt die Beweiswürdigung des Gerichts?
Sonstige Beweisfragen
- Welchen Beweiswert hat ein Screenshot oder Foto eines digitalen Inhalts?
- Est-il possible de vérifier si des données ont été copiées sur un support de stockage USB ?
- Comment les preuves numériques sont-elles conservées de manière à ce que l'enquête puisse être vérifiée ultérieurement ?
- Dans quelle mesure les données numériques relatives à la localisation constituent-elles des preuves recevables devant les tribunaux ?
- Est-il techniquement possible de reconstituer une utilisation présumée d'Internet ou d'un navigateur ?
- Est-il possible de retracer l'origine d'un fichier numérique ou d'un ensemble de données ?
- Comment traite-t-on les éléments de preuve numériques endommagés ou incomplets ?
- Comment les entrées de base de données et les traces WAL/journal sont-elles évaluées devant les tribunaux ?
- Quelle est la valeur probante des journaux système et des journaux d'événements devant les tribunaux ?
- Une adresse IP peut-elle être associée à une personne en particulier ?
- Peut-on constater des indices laissant supposer l'utilisation de techniques anti-forensiques ou l'effacement ciblé de traces ?
- Qu'est-ce qui a le plus de valeur probante : les données originales, une sauvegarde légale ou un rapport exporté ?
- Dans quels cas une nouvelle expertise informatique judiciaire au titre de l'article 412 du Code de procédure civile allemand (ZPO) peut-elle s'avérer utile ?
- Est-il possible de prouver qu'un élément de preuve numérique a été modifié après sa saisie ?
- Est-il possible de déterminer si des droits administratifs ou des droits étendus ont été utilisés ?
- Comment évaluer une preuve numérique qui a continué à être utilisée avant la sauvegarde à des fins d'expertise ?
- Est-il possible de reconstituer de manière fiable la chronologie de plusieurs actions numériques ?
- Kann die Echtheit und Herkunft eines Screenshots technisch geprüft werden?
- Kann festgestellt werden, wann ein ZIP-, RAR- oder anderes Archiv erstellt oder entpackt wurde?
- Kann bei einer PDF-Datei nachvollzogen werden, aus welchem Quelldokument sie erzeugt wurde?