Informatica forense · Privati
Come posso verificare quando è stata effettivamente scattata una foto?
Das Datum, das eine Galerie-App anzeigt, ist nicht zwangsläufig der Aufnahmezeitpunkt. Es kann aus den EXIF-Daten stammen, aus der Dateisystemzeit, aus dem Zeitpunkt des Imports oder des Empfangs über einen Messenger. Für einen belastbaren Zeitpunkt müssen mehrere unabhängige Quellen übereinstimmen.
Perché questa domanda è importante per i privati
Le chat, le foto, i video e gli screenshot possono assumere un peso notevole nelle controversie private, civili o penali. La loro rappresentazione visiva, tuttavia, non fornisce automaticamente risposte alle domande relative alla provenienza, alle modifiche, alla data o alla paternità.
Technischer Hintergrund
EXIF-Felder wie DateTimeOriginal, OffsetTimeOriginal und GPS-Zeit werden von der Kamera geschrieben – nach der jeweiligen Geräteuhr. Messenger entfernen Metadaten häufig beim Versand. Cloud-Dienste ergänzen eigene Upload-Zeitpunkte. Bearbeitungsprogramme können Felder überschreiben.
Relevante Spuren und Datenquellen
- EXIF/XMP: DateTimeOriginal, Zeitzonen-Offset, GPS-Zeitstempel, Kameramodell, Seriennummer
- Dateisystemzeiten auf Gerät oder Speicherkarte
- Fotodatenbank des Smartphones (z. B. Photos.sqlite auf iOS)
- Upload- und Empfangszeitpunkte in Cloud oder Messenger
- Bildinhalt-Plausibilität (z. B. Schatten, Wetter, sichtbare Uhrzeit)
Grenzen
- Liegt nur eine weitergeleitete Kopie ohne Metadaten vor, ist der Zeitpunkt oft nicht bestimmbar.
- EXIF-Daten lassen sich verändern; einzelne Zeitstempel beweisen nichts allein.
Mögliche Ergebnisse
- Aufnahmezeitpunkt durch mehrere Quellen gestützt
- Zeitpunkt nur eingrenzbar (frühester/spätester Zeitpunkt)
- Hinweise auf nachträgliche Änderung von Zeitstempeln
Perché LanCologne?
Digitale Beweismittel wirken für Laien häufig eindeutiger, als sie technisch sind. Ein Screenshot kann echt aussehen und trotzdem bearbeitet sein.
So gehen wir vor
- Original-Datei oder besser das Aufnahmegerät sichern.
- Alle vorhandenen Zeitquellen auslesen und Zeitzonen bzw. Geräteuhr berücksichtigen.
- Widersprüche erklären oder als offen kennzeichnen.
L’autenticità non è la stessa cosa della paternità dell’opera
Dal punto di vista tecnico, un messaggio può essere archiviato in modo autentico in un account o su un dispositivo senza che da ciò si possa dedurre con certezza quale persona fisica lo abbia redatto. Questa separazione impedisce che un risultato tecnico corretto venga confuso con un’affermazione non comprovata relativa a una persona.
I dati originali sono più importanti della semplice visualizzazione sullo schermo
Uno screenshot può rivelarsi prezioso, soprattutto se i contenuti vengono successivamente cancellati. Per un’analisi più approfondita, tuttavia, cerchiamo di ottenere anche i file originali, i dati delle app, i database o altre fonti primarie. Questi spesso contengono informazioni contestuali che non sono visibili nella rappresentazione visiva.
Perché utilizzare il metodo LanCologne nell’esame delle prove digitali?
LanCologne non considera i contenuti digitali veri o falsi solo perché appaiono plausibili. Esaminiamo le prove tecniche disponibili, documentiamo la provenienza e i limiti delle affermazioni e presentiamo il ragionamento in modo che sia comprensibile per il cliente privato e verificabile per l’avvocato, le autorità investigative, il tribunale o un altro esperto qualificato di informatica forense.
Quadro giuridico
In caso di dati probatori digitali manipolati, a seconda delle circostanze concrete, può essere applicabile l’articolo 269 del Codice penale tedesco (StGB). La norma riguarda, alle condizioni previste, la memorizzazione o la modifica di dati rilevanti ai fini probatori con l’intento di ingannare, ovvero l’utilizzo di dati così memorizzati o modificati. Se un determinato file o messaggio soddisfi tutti gli elementi costitutivi del reato è una questione giuridica; la sola constatazione tecnica di una manipolazione non è sufficiente a rispondere a tale domanda.
Per i procedimenti civili è rilevante l’articolo 371 del Codice di procedura civile (ZPO). In base a tale disposizione, la prova tramite ispezione può essere fornita anche mediante presentazione o trasmissione di documenti elettronici. L’articolo 371a del ZPO contiene disposizioni specifiche relative al valore probatorio dei documenti elettronici, in particolare nel caso di firme elettroniche qualificate e di determinati documenti elettronici pubblici. Non tutti i normali messaggi di chat o file immagine possiedono quindi automaticamente il valore probatorio speciale ivi previsto.
Per le prove peritali si applicano gli articoli 402 e seguenti del Codice di procedura civile tedesco (ZPO). Una perizia informatica forense commissionata privatamente non costituisce una perizia giudiziaria solo in virtù della sua qualità tecnica. Tuttavia, la sua metodologia comprensibile e la base probatoria raccolta possono essere importanti per gli avvocati e per una successiva verifica tecnica.
I valori hash sono uno strumento importante per garantire l'integrità, ma non costituiscono una garanzia di autenticità del contenuto originale. Un hash attesta che un determinato set di dati è rimasto invariato dal momento della sua generazione o che corrisponde bit per bit a un set di riferimento. Non indica automaticamente se il contenuto sia stato manomesso prima del salvataggio.
LanCologne valuta i dati tecnici e la loro rilevanza. La valutazione giuridica delle prove, la qualificazione penale e la decisione su quale peso attribuire a ciascuna prova nel corso del procedimento spettano agli avvocati, alle autorità investigative e ai tribunali.
Domande frequenti
Come posso verificare quando è stata effettivamente scattata una foto?
Kann man EXIF-Daten fälschen?
Reicht die Datei, die ich per WhatsApp bekommen habe?
Spielt die Zeitzone eine Rolle?
LanCologne – Informatica forense per privati
Avete una questione di natura digitale? LanCologne vi assiste con un’indagine informatica forense obiettiva e imparziale.
In linea con questo argomento