IT forenzika · odvjetnici i branitelji u kaznenim predmetima

Kako se utvrđuje je li datoteka pronađena u sigurnosnoj kopiji doista iz sigurnosne kopije, a ne iz aktivne upotrebe?

Eine Datei auf einem sichergestellten Gerät beweist nicht, dass der Nutzer sie dort gespeichert oder geöffnet hat. Sie kann durch eine Wiederherstellung aus einem Backup, eine Gerätemigration, eine Cloud-Synchronisation oder einen automatischen Import auf das Gerät gelangt sein.

Upitajte bez obaveze

Zašto je ovo pitanje važno za kaznenu obranu

Posebno u slučaju digitalnih dokaza, čak i neznatne razlike u izvoru podataka, kontekstu sustava ili vremenskoj semantici mogu značajno promijeniti implikacije nalaza. Stoga je ključno za obranu utvrditi proizlazi li optužujući zaključak doista iz primarnih podataka ili je potrebna detaljnija tehnička procjena.

Technischer Hintergrund

Typisch sind iCloud- oder iTunes-Wiederherstellungen auf neue iPhones, Migrationsassistenten unter macOS, Windows-Profilübernahmen und OneDrive-/Google-Drive-Synchronisation. Solche Vorgänge erzeugen charakteristische Zeitmuster: viele Dateien mit nahezu identischen Erstellungszeiten, Restore-Protokolle, fehlende Nutzungsspuren.

Relevante Spuren und Datenquellen

  • Dateisystemzeiten im Vergleich (Erstellt vs. Geändert)
  • Restore- und Migrationsprotokolle
  • Nutzungsspuren: zuletzt geöffnet, Thumbnails, Jump Lists, LNK-Dateien, iOS-Biome/KnowledgeC
  • Cloud-Sync-Datenbanken

Grenzen

  • Fehlende Nutzungsspuren sind ein Indiz, kein Beweis für Nicht-Nutzung.
  • Ohne Rohdaten ist nur eine Prüfung der Methodik der Ermittlungsakte möglich.

Mögliche Ergebnisse

  • Datei mit hoher Wahrscheinlichkeit aus Restore/Migration übernommen
  • Nutzungsspuren vorhanden (Zeitpunkte)
  • Keine Aussage möglich – mit Begründung

Zašto LanCologne?

Nakon što se ispitaju spisi predmeta ili čim obrana zakonito pribavi relevantne tehničke dokumente, neovisna provjera može otkriti stvarnu dokaznu vrijednost digitalnih nalaza. LanCologne ne radi s ciljem nužnog pronalaska pogreške u istražnom spisu.

So gehen wir vor

  • Feststellung, wie die Datei auf das Gerät gelangt ist.
  • Prüfung auf Nutzungsspuren nach diesem Zeitpunkt.
  • Bewertung mit Gegenhypothesen in einer Stellungnahme.

Optužujući, oslobađajući i neizvjesni nalazi

Neovisna revizija je vjerodostojna samo ako se optužujući nalazi također potvrde, pod uvjetom da ih podaci podupiru. Slično tome, oslobađajući protunalazi ili nerješive nesigurnosti jasno se navode. Niz događaja koji je tek tehnički moguć ne predstavlja se kao utvrđena činjenica.

Razumljivo odvjetniku obrane – provjerljivo od strane dodatnih forenzičkih stručnjaka

Glavni je nalaz objašnjen jasnim jezikom. Izvori podataka relevantni za istragu, informacije o integritetu, vremenske reference, ID-ovi, lokacije sirovih podataka i metodološki koraci dokumentirani su na način da drugi kvalificirani IT forenzički stručnjak može tehnički provjeriti ključne nalaze.

LanCologne kao neovisni izvor tehničke podrške za obranu

Ako odvjetnik za kaznenu obranu želi da se digitalno forenzičko izvješće ili tehnički zaključak iz istražnog spisa neovisno provjeri, LanCologne pruža podršku u obliku objektivnog i nepristranog drugog mišljenja. Cilj je doći do pouzdanog odgovora što dostupni podaci zapravo dokazuju – i gdje njihovi dokazi prestaju.

Pravni okvir

Pravo branitelja na uvid u spise i ispitivanje dokaza uređeno je člankom 147. Zakona o kaznenom postupku. Prema stavku 1., branitelj je ovlašten pregledati spise pred sudom ili, u slučaju optužnice, one koji se podnose sudu, te ispitati dokaze koji se nalaze u službenom posjedu. Prije završetka istrage pristup prema stavku 2. može biti ograničen pod uvjetima tamo navedenima. Prema stavku 3. branitelju se ne može uskratiti pristup vještačkim nalazima u bilo kojoj fazi postupka.

Ta prava pripadaju obrambenom odvjetniku, a ne LanCologne. Tehnička provjera koju je proveo privatno angažirani IT forenzički stručnjak zahtijeva da obrana zakonito dostavi relevantne dokumente ili podatke. Angažiranje takvog stručnjaka ne daje LanCologne nikakvo vlastito pravo na pregledavanje datoteka, ispitivanje dokaza ili pristup podacima koje posjeduje Državno odvjetništvo ili policija.

Članak 160. stavak 2. Zakonika o kaznenom postupku (StPO) izričito obvezuje javno tužiteljstvo da istraži i okolnosti koje terete i one koje oslobađaju od krivnje. Prema članku 163a stavku 2. Zakonika o kaznenom postupku, dokazi koje optuženik zatraži za svoju obranu moraju se pribaviti ako su relevantni. Neovisno tehničko vještačenje stoga može otkriti činjenice i protupronađe, čiju dopuštenost u sudskom postupku ocjenjuje branitelj.

Što se tiče elektroničkih dokaza koji su službeno zaplijenjeni, konfiscirani ili pregledani, treba obratiti posebnu pozornost na članke 94., 98. i 110. Zakonika o kaznenom postupku. Ove odredbe ne dodjeljuju ovlasti javnih vlasti privatno angažiranom IT forenzičkom stručnjaku.

IT forenzički stručnjak kojeg obrana angažira u privatnoj svojstvu nije, samom tom angažmanom, formalno imenovani vještak prema člancima 72. i sl. Zakonika o kaznenom postupku. U pravnom postupku potrebno je razlikovati privatna vještačka mišljenja, tehnička savjetovanja i formalno imenovanje vještaka.

Ako istrage ne osiguraju dovoljno osnova za podizanje javne optužnice, Državno odvjetništvo će obustaviti postupak u skladu s člankom 170. stavkom 2. Zakonika o kaznenom postupku. Tehnički nalaz obrane ne jamči takvu odluku, ali može činiti relevantan dio činjenične osnove.

Često postavljana pitanja

Mora li tehnički pregled dovesti do drugačijeg zaključka od onog istražnog tijela?+
Ne. Pravilno naknadno ispitivanje može potvrditi, precizirati ili opovrgnuti početne nalaze. Važni su podaci, a ne željeni ishod.
Može li LanCologne sam zatražiti pristup spisu predmeta prema članku 147. Zakonika o kaznenom postupku?+
Ne. To pravo pripada branitelju. LanCologne može pregledavati samo dokumente i podatke koji su zakonito dostavljeni za tehničku analizu.
Je li izjava koju podnese obrana automatski stručno mišljenje prema člancima 72. i sl. Zakonika o kaznenom postupku?+
Ne. Izjava ili stručno mišljenje naručeno u privatne svrhe mora se razlikovati od službenog imenovanja vještaka u kaznenom postupku.
Može li negativan tehnički nalaz jamčiti obustavu postupka?+
Ne. Odluku donosi javno tužiteljstvo ili, naknadno, sud. Međutim, suprotni nalaz može pružiti čvrstu tehničku činjeničnu osnovu.
Woran erkennt man eine Backup-Wiederherstellung?+
An typischen Zeitmustern, Restore-Protokollen und an der Herkunft ganzer Dateigruppen.
Reicht der behördliche Report dafür?+
Meist nicht, weil Reports Dateien zeigen, aber selten deren Herkunft erklären.
Gilt das auch für Bilder in Messenger-Ordnern?+
Ja. Automatische Downloads sind ein eigenes, häufiges Szenario.

Weiterführende Themen

LanCologne – IT forenzika za odvjetnike i branitelje u kaznenim postupcima

Imate li digitalni upit? LanCologne vam može pomoći s objektivnom, nepristranom IT forenzičkom istragom.

Kontaktirajte nas odmah