Informatica forense · Avvocati e difensori penali

Come si verifica se un file rilevato proviene da un backup anziché dall'utilizzo attivo?

Eine Datei auf einem sichergestellten Gerät beweist nicht, dass der Nutzer sie dort gespeichert oder geöffnet hat. Sie kann durch eine Wiederherstellung aus einem Backup, eine Gerätemigration, eine Cloud-Synchronisation oder einen automatischen Import auf das Gerät gelangt sein.

Richiesta non vincolante

Perché questa domanda è importante per la difesa penale

Proprio nel caso delle prove digitali, piccole differenze nella fonte dei dati, nel contesto del sistema o nella semantica temporale possono modificare in modo significativo il significato di un risultato. Per la difesa è quindi fondamentale stabilire se la conclusione incriminante derivi effettivamente dai dati primari o se sia necessaria una valutazione tecnica più approfondita.

Technischer Hintergrund

Typisch sind iCloud- oder iTunes-Wiederherstellungen auf neue iPhones, Migrationsassistenten unter macOS, Windows-Profilübernahmen und OneDrive-/Google-Drive-Synchronisation. Solche Vorgänge erzeugen charakteristische Zeitmuster: viele Dateien mit nahezu identischen Erstellungszeiten, Restore-Protokolle, fehlende Nutzungsspuren.

Relevante Spuren und Datenquellen

  • Dateisystemzeiten im Vergleich (Erstellt vs. Geändert)
  • Restore- und Migrationsprotokolle
  • Nutzungsspuren: zuletzt geöffnet, Thumbnails, Jump Lists, LNK-Dateien, iOS-Biome/KnowledgeC
  • Cloud-Sync-Datenbanken

Grenzen

  • Fehlende Nutzungsspuren sind ein Indiz, kein Beweis für Nicht-Nutzung.
  • Ohne Rohdaten ist nur eine Prüfung der Methodik der Ermittlungsakte möglich.

Mögliche Ergebnisse

  • Datei mit hoher Wahrscheinlichkeit aus Restore/Migration übernommen
  • Nutzungsspuren vorhanden (Zeitpunkte)
  • Keine Aussage möglich – mit Begründung

Perché LanCologne?

Dopo aver consultato il fascicolo o non appena la difesa disponga legittimamente di documenti tecnicamente rilevanti, una verifica indipendente può mettere in luce l’effettivo valore probatorio dei reperti digitali. LanCologne non opera con l’obiettivo di trovare necessariamente un errore nel fascicolo delle indagini.

So gehen wir vor

  • Feststellung, wie die Datei auf das Gerät gelangt ist.
  • Prüfung auf Nutzungsspuren nach diesem Zeitpunkt.
  • Bewertung mit Gegenhypothesen in einer Stellungnahme.

Risultati a carico, a discarico e in sospeso

Una verifica indipendente è credibile solo se vengono confermati anche i risultati negativi, non appena i dati li confermano. Allo stesso modo, vengono chiaramente indicati i risultati contrari a carico o le incertezze irrisolvibili. Un scenario tecnicamente possibile non viene presentato come un fatto accertato.

Comprensibile per l’avvocato difensore – verificabile dal punto di vista tecnico per altri esperti forensi

I risultati principali vengono illustrati con un linguaggio chiaro. Le fonti dei dati rilevanti ai fini dell'analisi, le informazioni sull'integrità, i riferimenti temporali, gli ID, le posizioni dei dati grezzi e le fasi metodologiche vengono documentati in modo tale che un altro esperto qualificato in informatica forense possa comprendere dal punto di vista tecnico le conclusioni essenziali.

LanCologne come supporto tecnico indipendente per la difesa penale

Se un avvocato penalista desidera far verificare in modo indipendente un risultato di analisi digitale o una conclusione tecnica contenuta nel fascicolo delle indagini, LanCologne offre il proprio supporto con una controverifica obiettiva e imparziale. L’obiettivo è ottenere una risposta attendibile su ciò che i dati disponibili dimostrano effettivamente – e su quali siano i limiti della loro validità.

Quadro giuridico

Il diritto di consultazione degli atti e di ispezione del difensore è disciplinato dall’articolo 147 del Codice di procedura penale. Ai sensi del comma 1, il difensore è autorizzato a consultare gli atti in possesso del tribunale o che devono essere presentati in caso di accusa, nonché a ispezionare i reperti custoditi d’ufficio. Prima della conclusione delle indagini, la consultazione di cui al comma 2 può essere limitata alle condizioni ivi previste. Ai sensi del comma 3, la consultazione delle perizie degli esperti non può essere negata al difensore in nessuna fase del procedimento.

Tali diritti spettano al difensore, non a LanCologne. Una controperizia tecnica da parte di un perito informatico forense incaricato privatamente presuppone che la difesa possa mettere a disposizione in modo legittimo i documenti o i dati in questione. Con l’incarico, LanCologne non acquisisce alcun diritto di consultazione degli atti, di ispezione o di accesso nei confronti della Procura o della Polizia.

L'articolo 160, comma 2, del Codice di procedura penale (StPO) obbliga espressamente la Procura a accertare sia le circostanze a carico che quelle a discarico. Ai sensi dell’articolo 163a, comma 2, del Codice di procedura penale, le prove richieste dall’imputato a propria discolpa devono essere acquisite qualora siano rilevanti. Una perizia tecnica indipendente può quindi fornire fatti e risultati contrari, il cui utilizzo processuale viene valutato dal difensore.

Per quanto riguarda le prove elettroniche sequestrate, confiscate o esaminate dalle autorità, occorre attenersi in particolare agli articoli 94, 98 e 110 del Codice di procedura penale. Tali disposizioni non conferiscono a un perito informatico forense incaricato da privati alcun potere sovrano.

Un perito informatico forense incaricato privatamente dalla difesa non è, per il solo fatto di tale incarico, un perito formalmente nominato ai sensi degli articoli 72 e seguenti del Codice di procedura penale. Le perizie private, la consulenza tecnica e la nomina formale a perito devono essere distinte dal punto di vista procedurale.

Se le indagini non forniscono motivi sufficienti per l'avvio dell'azione penale, la Procura archivia il procedimento ai sensi dell'articolo 170, comma 2, del Codice di procedura penale. Una perizia tecnica presentata dalla difesa non garantisce di per sé una tale decisione, ma può costituire un elemento rilevante della base fattuale.

Domande frequenti

Una controperizia tecnica deve necessariamente giungere a una conclusione diversa da quella dell'autorità investigativa?+
No. Una verifica approfondita e attendibile può confermare, limitare o smentire il risultato iniziale. Ciò che conta sono i dati, non il risultato desiderato.
LanCologne può richiedere autonomamente l’accesso agli atti ai sensi dell’articolo 147 del Codice di procedura penale?+
No. Tale diritto spetta al difensore. LanCologne può esaminare solo i documenti e i dati che gli sono stati legittimamente forniti a fini di verifica tecnica.
Una memoria presentata dalla difesa costituisce automaticamente una perizia ai sensi degli articoli 72 e seguenti del Codice di procedura penale?+
No. Un parere o una perizia commissionata a titolo privato va distinto dal ricorso formale a un perito nell’ambito di un procedimento penale.
Un esito tecnico contrario può garantire l’archiviazione del procedimento?+
No. La decisione spetta alla Procura o, in seguito, al tribunale. Il risultato contrario può tuttavia fornire una solida base fattuale dal punto di vista tecnico.
Woran erkennt man eine Backup-Wiederherstellung?+
An typischen Zeitmustern, Restore-Protokollen und an der Herkunft ganzer Dateigruppen.
Reicht der behördliche Report dafür?+
Meist nicht, weil Reports Dateien zeigen, aber selten deren Herkunft erklären.
Gilt das auch für Bilder in Messenger-Ordnern?+
Ja. Automatische Downloads sind ein eigenes, häufiges Szenario.

Weiterführende Themen

LanCologne – Informatica forense per avvocati e difensori penali

Avete una questione di natura digitale? LanCologne vi assiste con un’indagine informatica forense obiettiva e imparziale.

Contattaci subito