IT forenzika · Sudovi

Kann festgestellt werden, ob ein Computer zu einem bestimmten Zeitpunkt ein- oder ausgeschaltet war?

Für manche Beweisfragen ist nicht der Inhalt einer Datei, sondern der Betriebszustand eines Systems entscheidend. Start-, Shutdown-, Sleep-, Wake-, Login- und Crash-Spuren können Hinweise auf die tatsächliche Systemaktivität geben.

Upitajte bez obaveze

Za sud je broj korištenih programa za analizu nebitan. Ono što je važno jest koja se specifična tehnička činjenica može pouzdano utvrditi na temelju dostupnih podataka, kako je do tog nalaza došlo i koja su njegova ograničenja.

Konkretno pitanje dokaza

Wir korrelieren mehrere voneinander unabhängige Zeitquellen und berücksichtigen, dass moderne Betriebssysteme zwischen vollständigem Herunterfahren, Ruhezustand, Standby und Schnellstart unterscheiden.

Zašto jedan digitalni trag rijetko kad bude dovoljan

Digitalni artefakti se generiraju u sustavima s vlastitim mehanizmima za pohranu, sinkronizaciju i vođenje dnevnika. Jedan vremenski žig, zapis u dnevniku ili vrijednost u bazi podataka stoga se bez konteksta ne smatra konačnim dokazom. Kada to pitanje dokaza zahtijeva, koreliraju se više neovisnih tragova i ispituju tehnički vjerojatne protuhipoteze.

Gdje leže granice onoga što se može reći

Ein einzelner Logeintrag genügt regelmäßig nicht, um den vollständigen Betriebszustand eines Geräts über einen längeren Zeitraum zu beweisen.

Kako LanCologne rješava pitanje koje zahtijeva dokaz

Bei LanCologne beginnt die Untersuchung mit der gerichtlichen Beweisfrage und nicht mit einem bestimmten Analyseprogramm. Zunächst wird geklärt, welche technische Tatsache festgestellt werden soll, welche Datenquellen dafür Aussagekraft besitzen und welche Gegenhypothesen berücksichtigt werden müssen.

Die Beweismittel und die Ausgangsdaten werden eindeutig dokumentiert. Soweit technisch möglich, erfolgt die Auswertung auf verifizierten forensischen Sicherungen oder geeigneten Arbeitskopien. Entscheidungserhebliche Treffer werden nicht allein deshalb übernommen, weil sie von einer Software angezeigt werden. Wir prüfen Herkunft, Entstehungslogik und Kontext des Artefakts und kontrollieren zentrale Befunde bei Bedarf anhand der zugrunde liegenden Daten oder einer zweiten fachlich geeigneten Methode.

Izvješće razlikuje utvrđivanja činjenica, tehničku interpretaciju i zaključke. Granice utvrđenja opisane su jednako jasno: Što se može dokazati? Što je tek potkrijepljeno? Koji postoje protudokazi? Što ostaje neriješeno? Nedostatak dokaza ne tumači se kao naizgled sigurna izjava.

Der Hauptteil wird so geschrieben, dass ein Richter ohne IT-forensische Spezialkenntnisse die Herleitung verstehen kann. Die technische Nachprüfbarkeit bleibt erhalten. Prüfrelevante Datenquellen, Integritätsinformationen, Artefakte und Untersuchungsschritte werden so dokumentiert, dass ein unabhängiger IT-Forensiker die zentralen Feststellungen für ein mögliches Gegengutachten nachvollziehen kann.

Od sudske odluke do pouzdane izjave

1Razlikujte opseg sudske odluke i pitanje dokaza iz tehničke perspektive.
2Provjerite spada li predmet u vaše područje stručnosti i je li potrebno zatražiti pojašnjenje od suda.
3Dokumentirajte dokaze, početno stanje i dostupne podatke.
4Provjerite integritet podataka studije u mjeri u kojoj je to tehnički izvedivo.
5Izvedite tehničke testne hipoteze i kontrahipoteze iz pitanja koje treba dokazati.
6Istražite samo one izvore podataka koji su relevantni za ovu svrhu na ciljan način.
7Potvrdite nalaze relevantne za donošenje odluka u tehničkom kontekstu.
8Uzmite u obzir proturječnosti, nedostajuće podatke i alternativna objašnjenja.
9Izričito navedite granice izjave.
10Dajte jasan odgovor na pitanje o dokazima i omogućite tehnički pregled.

Pozitivni rezultati, negativni rezultati i nije pronađen nikakav dokaz

Stručni nalaz mora biti otvoren. Ako podaci potvrde hipotezu koja se istražuje, daje se objašnjenje što je njezina osnova. Ako pouzdani dokazi proturječe toj hipotezi, i to se iznosi. Ako skup podataka nije dovoljan za donošenje konačnog zaključka, to se opisuje kao nedostatak dokaza ili kao otvoreno tehničko pitanje. Upravo ta razlika sprječava da praznina u podacima dovede do naizgled konačne izjave.

Razumljivo sudu – tehnički provjerljivo od strane protu-stručnjaka

Osnovni tehnički sadržaj objašnjen je jasnim, pristupačnim jezikom. Tehnički izrazi koriste se samo gdje je to nužno i potom se definiraju. Istovremeno su zadržani ključni tehnički temelji: ispitivani izvori podataka, relevantni artefakti, informacije o integritetu, vremenske reference i metodološki koraci. IT forenzički stručnjak koji nije upoznat s postupkom trebao bi moći provjeriti razmišljanje bez da glavni tekst postane skup sirovih tehničkih podataka za sud.

Metodološka klasifikacija

Ne postoji zakonski propisani popis programa za analizu u forenzičkim IT istragama. S tehničkog gledišta ključni su čimbenici kontrolirana baza podataka, integritet podataka, dokumentirani istražni koraci, provjerljivi zaključci i mogućnost neovisne verifikacije.

Der BSI-Grundschutz-Baustein DER.2.2 „Vorsorge für die IT-Forensik“ enthält hilfreiche Grundgedanken zur Vorbereitung auf spätere forensische Untersuchungen und zur Spurensicherung bei IT-Sicherheitsvorfällen. Er ist jedoch kein strafprozessualer Forensikstandard; die eigentliche forensische Analyse ist nicht Gegenstand dieses Bausteins. Diese Abgrenzung wird ausdrücklich beachtet.

LanCologne kao neovisni IT stručnjak

Kada sud treba razjasniti određeno pitanje vezano uz digitalne dokaze iz tehničke perspektive, mi neovisno i bez predrasuda ispitujemo dostupne podatke. Cilj nije sastaviti što opsežniji popis tehničkih nalaza, nego pružiti tehnički utemeljen odgovor: razumljiv sudu, transparentan u obrazloženju i tehnički provjerljiv.

Pravni okvir

Für den Sachverständigenbeweis in Zivilverfahren sind insbesondere §§ 402 ff. ZPO relevant. § 403 ZPO betrifft die Bezeichnung der zu begutachtenden Punkte. Nach § 404a ZPO leitet das Gericht die Tätigkeit des Sachverständigen und kann Art und Umfang seiner Tätigkeit bestimmen. § 407a ZPO enthält Pflichten des Sachverständigen, unter anderem zur Prüfung des eigenen Fachgebiets und zur Klärung von Zweifeln über Inhalt und Umfang des Auftrags. § 411 ZPO regelt das schriftliche Gutachten sowie dessen Erläuterung und Ergänzung. Die Würdigung des Gutachtens zusammen mit dem übrigen Beweisergebnis bleibt Aufgabe des Gerichts (§ 286 ZPO).

Bei strafprozessualen Gutachten gelten für Sachverständige die §§ 72 ff. StPO. Welche Vorschriften im konkreten Verfahren einschlägig sind, hängt vom Auftrag und der Verfahrensart ab. Die IT-forensische Begutachtung ersetzt weder die rechtliche Bewertung noch die gerichtliche Beweiswürdigung.

Često postavljana pitanja

Kann festgestellt werden, ob ein Computer zu einem bestimmten Zeitpunkt ein- oder ausgeschaltet war?+
Für manche Beweisfragen ist nicht der Inhalt einer Datei, sondern der Betriebszustand eines Systems entscheidend. Start-, Shutdown-, Sleep-, Wake-, Login- und Crash-Spuren können Hinweise auf die tatsächliche Systemaktivität geben.
Kako se takva tehnička istraga provodi u praksi?+
Bei LanCologne beginnt die Untersuchung mit der gerichtlichen Beweisfrage und nicht mit einem bestimmten Analyseprogramm.
Pruža li rezultat istrage sudu jasne dokaze?+
Ein einzelner Logeintrag genügt regelmäßig nicht, um den vollständigen Betriebszustand eines Geräts über einen längeren Zeitraum zu beweisen.
Postoji li za ovo pravna osnova?+
Für den Sachverständigenbeweis in Zivilverfahren sind insbesondere §§ 402 ff. ZPO relevant. § 403 ZPO betrifft die Bezeichnung der zu begutachtenden Punkte. Nach § 404a ZPO leitet das Gericht die Tätigkeit des Sachverständigen und kann Art und Umfang seiner Tätigkeit bestimmen.

LanCologne – IT forenzika za sudove

Imate li digitalni upit? LanCologne vam može pomoći s objektivnom, nepristranom IT forenzičkom istragom.

Kontaktirajte nas odmah