Diese Übersicht bündelt alle Fragen und Antworten rund um IT-Forensik für Gerichte bei LanCologne – von der Zuordnung von Nutzern und Konten über Dateien, Metadaten und Kommunikationsspuren bis hin zu Widersprüchen in digitalen Beweismitteln und der Rolle des IT-Sachverständigen im Gerichtsverfahren. Klicken Sie auf eine Kategorie, um die passenden Fragen zu sehen.
Nutzer- und Kontozuordnung
- È possibile stabilire chi ha utilizzato un computer o uno smartphone?
- È possibile dimostrare tecnicamente la validità di un dato specifico inserito dall'utente?
- È possibile distinguere l'effettivo invio di un messaggio dalla sua semplice presenza nell'account?
- È possibile distinguere tra account utente locale, account di dominio e account cloud?
- È possibile ricostruire un cambio di utente o una sessione utente parallela?
- Qual è il valore informativo di una registrazione automatica?
- È possibile associare un artefatto digitale a un determinato profilo utente?
- Come vanno valutati i reperti provenienti da account condivisi o tecnici?
- È possibile distinguere se i dati digitali sono stati generati automaticamente o a seguito di un’azione dell’utente?
- Kann festgestellt werden, ob ein Benutzerkonto kompromittiert oder von einem Dritten verwendet wurde?
- Wie werden digitale Spuren bewertet, wenn mehrere Geräte denselben Account verwenden?
- Kann eine digitale Handlung bei gemeinsam genutzten Computern einem bestimmten Benutzer zugeordnet werden?
- Kann zwischen lokalem Benutzerkonto, Domänenkonto und Cloud-Konto zuverlässig unterschieden werden?
- Kann ein Benutzerwechsel oder eine parallele Benutzersitzung nachgewiesen werden?
- Welche Aussagekraft hat eine automatische Anmeldung für die Benutzerzuordnung?
- Kann ein digitales Artefakt einem bestimmten Benutzerprofil innerhalb eines Mehrbenutzersystems zugeordnet werden?
Kommunikation: Chat, E-Mail und Nachrichten
- È tecnicamente possibile verificare l'autenticità e la completezza della cronologia di una chat?
- È tecnicamente possibile risalire alla provenienza e al percorso di invio di un’e-mail?
- Qual è il valore probatorio delle notifiche push come prova digitale?
- Cosa dimostra effettivamente una conferma di lettura digitale?
- Come vanno valutate le differenze nelle versioni delle notizie tra mittente e destinatario?
- È possibile distinguere, nel caso di un allegato e-mail, tra ricezione, salvataggio, apertura ed elaborazione?
- È possibile stabilire se un’e-mail sia stata inoltrata o se il suo contenuto sia stato copiato manualmente?
- Qual è il valore informativo delle intestazioni delle e-mail riguardo alla provenienza e al percorso di trasmissione?
- È possibile stabilire se un’e-mail è stata cancellata localmente, sul server o tramite sincronizzazione?
Fotos, Videos und Multimedia
- È possibile dedurre l'utilizzo effettivo del dispositivo dal blocco dello schermo?
- È possibile stabilire se una foto o un video siano stati realizzati con un determinato dispositivo?
- È possibile distinguere tra la registrazione originale, il file modificato e la copia convertita?
- Qual è il valore informativo delle anteprime e delle cache delle miniature?
- Qual è il valore probatorio di una registrazione dello schermo come prova digitale?
- Wie belastbar sind Foto- und Video-Metadaten als gerichtlicher Beweis?
- Beweist ein Vorschaubild oder Thumbnail, dass die zugehörige Datei geöffnet wurde?
Geräte, Netzwerk und Systemartefakte
- È possibile stabilire se un dispositivo è stato collegato a un determinato WLAN?
- Che significato hanno i file identici presenti su più dispositivi?
- Kann festgestellt werden, welches Gerät eine synchronisierte Änderung ursprünglich erzeugt hat?
- Kann ein behaupteter Fernzugriff auf einen Computer technisch belegt werden?
- Kann ein Netzwerkwechsel eines Geräts zeitlich rekonstruiert werden?
- È possibile stabilire se un aggiornamento di sistema abbia modificato o rimosso tracce digitali?
- In che modo il trasferimento su un nuovo dispositivo influisce sulla valutazione delle prove?
- È possibile dimostrare se un determinato dispositivo esterno sia stato collegato a un computer?
- È possibile verificare se un determinato software è stato installato o se è stato effettivamente eseguito?
- È possibile verificare a posteriori se un software, ora disinstallato, era stato installato in precedenza?
- È possibile verificare se i dati sono stati trasmessi o recuperati tramite una condivisione di rete?
- Qual è il valore probatorio dei dati volatili presenti nella memoria di lavoro in sede giudiziaria?
- È possibile dimostrare a posteriori l'avvenuta esecuzione di una sessione di desktop remoto o di accesso remoto?
- È possibile stabilire se, nel momento in questione, un dispositivo fosse bloccato o in uso?
- È possibile risalire alla rete a cui un dispositivo era connesso in un determinato momento?
- In che modo le indicazioni temporali del Server esterno vengono confrontate con l'ora locale del dispositivo?
- Che impatto possono avere gli aggiornamenti di sistema sulle tracce digitali?
- È possibile rilevare a livello forense il trasferimento dei dati da un vecchio dispositivo a uno nuovo?
Löschung, Wiederherstellung und Backup
- È possibile dimostrare se i dati sono stati cancellati intenzionalmente?
- Quali tracce può lasciare un ripristino da un backup?
- Cosa si può ancora stabilire con certezza dopo un ripristino delle impostazioni di fabbrica?
- Qual è il valore probatorio dei backup, degli snapshot e delle copie di sicurezza storiche?
- È possibile stabilire se un supporto dati è stato formattato o se è stato reinstallato un sistema operativo?
- Qual è il valore probatorio degli artefatti presenti nel cestino e nel “Trash” in sede giudiziaria?
- È possibile stabilire se i dati cancellati siano stati successivamente sovrascritti?
- In che modo il ripristino da un backup influisce sulla valutazione delle prove?
- Quali operazioni è ancora possibile eseguire dopo aver ripristinato le impostazioni di fabbrica?
Authentifizierung, Verschlüsselung und Zugriffsschutz
- È possibile distinguere tra autenticazione tramite password, autenticazione biometrica e autenticazione basata sulla sessione?
- Qual è il valore probatorio delle password, dei token e dei dati di accesso memorizzati in sede giudiziaria?
- Qual è il valore informativo dei container crittografati e dei supporti dati virtuali?
- Quale dichiarazione è ammissibile in presenza di prove crittografate o accessibili solo in parte?
- Come viene verificata tecnicamente una firma digitale?
Anonymisierung, VPN und Netzwerkspuren
- Qual è l’importanza dell’uso di una VPN per l’attribuzione delle attività digitali?
- Come vengono classificate dal punto di vista forense le connessioni proxy, relay o di anonimizzazione?
- Qual è il valore probatorio delle tracce di DNS come prova di un’attività su Internet?
- Qual è la rilevanza dell'utilizzo di una VPN ai fini dell'attribuzione delle attività su Internet?
Cloud, virtuelle Systeme und Container
- È possibile stabilire se un archivio sia stato decompresso o se il suo contenuto sia stato utilizzato?
- In che modo vengono esaminate le macchine virtuali come prove digitali?
- È possibile stabilire se una macchina virtuale fosse in esecuzione in un determinato momento?
- Qual è il valore probatorio delle tracce di sincronizzazione nel cloud in sede giudiziaria?
- Qual è il valore probatorio dei container crittografati e dei supporti dati virtuali in sede giudiziaria?
- In che modo vengono esaminate le macchine virtuali come prove digitali?
Dateien, Metadaten und Zeitstempel
- È possibile stabilire quando un file è stato creato o modificato?
- È possibile stabilire se un file sia stato effettivamente aperto o utilizzato?
- È possibile stabilire se un file sia stato solo visualizzato o se sia stato effettivamente modificato?
- Qual è il valore probatorio delle bozze, dei file salvati automaticamente e dei documenti temporanei?
- È possibile associare un file a un determinato programma con cui è stato creato?
- È possibile verificare se un documento è stato esportato da un altro file?
- Le tracce presenti negli appunti possono dimostrare che è stata effettuata un'operazione di copia e incolla?
- Qual è il valore probatorio dei file ZIP, RAR e di altri formati di archiviazione in sede giudiziaria?
- Qual è il valore probatorio di una cronologia digitale in tribunale?
- Qual è il valore informativo degli indici di ricerca e dei contenuti dei file indicizzati?
- È possibile distinguere una ricerca effettivamente eseguita da una semplice indicizzazione?
- È possibile stabilire se un'azione digitale sia stata innescata da un'attività pianificata o da un processo automatizzato?
- È possibile stabilire se, in un determinato momento, sussistesse un’autorizzazione?
- È possibile ricostruire una modifica delle autorizzazioni di un utente o di un gruppo?
- In quali casi è possibile trarre una conclusione dalla mancanza di un artefatto digitale?
- È possibile dimostrare se un documento digitale è stato modificato in un secondo momento?
- È possibile stabilire quale versione di un documento fosse disponibile in un determinato momento?
- È possibile stabilire se un file è stato scaricato da Internet?
- È possibile stabilire se un computer fosse acceso o spento in un determinato momento?
- È possibile verificare se i file sono stati rinominati o spostati all’interno di un sistema?
- Qual è il valore probatorio in sede giudiziaria dei file recuperati o conservati solo in forma frammentaria?
- È possibile stabilire se un file o un'informazione sia stato stampato?
- È possibile verificare se un file è stato effettivamente aperto?
- È possibile dimostrare che una persona abbia effettivamente preso visione del contenuto di un file digitale?
- È possibile distinguere se un file è stato copiato, spostato o sincronizzato?
- È possibile circoscrivere tecnicamente il momento in cui avviene la cancellazione?
- È possibile dimostrare l'accesso a un file anche se il file è rimasto invariato?
- Kann eine Manipulation von Datei- oder Systemzeitstempeln festgestellt werden?
- È possibile distinguere tra un file multimediale originale e una versione convertita o salvata nuovamente?
- Qual è il valore indicativo degli indici di ricerca riguardo all'esistenza o all'utilizzo di un file?
Widersprüche, Plausibilität und Beweiswürdigung
- In che modo un perito informatico verifica una presunta catena di eventi quando le prove digitali si contraddicono a vicenda?
- In che misura i metadati modificabili manualmente sono attendibili come prove?
- Il malware può costituire una spiegazione alternativa per un’azione digitale?
- Come gestire le tracce digitali contraddittorie?
- Come si verifica la plausibilità tecnica di una presunta catena di eventi digitali?
- In che modo un perito informatico valuta due spiegazioni tecnicamente plausibili?
- Come si formula correttamente una mancata verifica tecnica nella perizia?
- Wie sind widersprüchliche digitale Beweismittel in einem IT-Gutachten zu behandeln?
Gutachten, Gerichtsverfahren und Sachverständige
- In che modo si concretizzano, nella pratica, l’indipendenza e la neutralità di un perito informatico?
- Perché una perizia informatica deve essere comprensibile anche per chi non è esperto di informatica forense?
- Perché un allegato tecnico è parte integrante di una perizia informatica comprensibile?
- Come si struttura in modo riproducibile una perizia informatica in vista di un’eventuale controperizia?
- Come si può dare una risposta definitiva e inequivocabile a una questione relativa alle prove informatiche in ambito giudiziario?
- In che modo la perizia tiene conto dei fusi orari, dell'ora legale e degli orologi di sistema difettosi?
- Come è possibile verificare dal punto di vista tecnico una perizia informatica privata già esistente?
- Sachverständiger oder sachverständiger Zeuge – was ist bei digitalen Tatsachen zu unterscheiden?
- Wie wird ein IT-Gutachten vor Gericht erläutert und auf Ergänzungsfragen geprüft?
- Welche Bedeutung hat eine lückenhafte Chain of Custody für die technische Aussagekraft?
- Cosa succede se, nel corso dell'indagine informatica forense, vengono alla luce nuovi fatti non contemplati dal mandato giudiziario?
- Dove finisce la conclusione tecnica del perito informatico e dove inizia la valutazione delle prove da parte del tribunale?
Sonstige Beweisfragen
- Qual è il valore probatorio di uno screenshot o di una foto di un contenuto digitale?
- È possibile verificare se i dati sono stati copiati su un supporto USB?
- Come si fa a conservare le prove digitali in modo che l'indagine rimanga verificabile in un secondo momento?
- In che misura i dati digitali relativi alla posizione sono attendibili come prove in sede giudiziaria?
- È tecnicamente possibile ricostruire un presunto utilizzo di Internet o del browser?
- È possibile risalire all'origine di un file digitale o di un set di dati?
- Come vengono trattate le prove digitali danneggiate o incomplete?
- Come vengono valutati in tribunale i record del database e le tracce WAL/di giornale?
- Qual è il valore probatorio dei registri di sistema e degli eventi in sede giudiziaria?
- È possibile associare un indirizzo IP a una persona specifica?
- Lassen sich Hinweise auf Anti-Forensik oder gezielte Spurenbeseitigung feststellen?
- Was ist beweiskräftiger: Originaldaten, forensische Sicherung oder exportierter Report?
- Wann kann eine neue IT-forensische Begutachtung nach § 412 ZPO sinnvoll sein?
- È possibile dimostrare se una prova digitale sia stata alterata dopo il sequestro?
- È possibile stabilire se siano stati utilizzati diritti amministrativi o privilegiati?
- Come va valutata una prova digitale che è stata utilizzata ulteriormente prima del suo salvataggio forense?
- È possibile ricostruire in modo affidabile la sequenza di più azioni digitali?
- È possibile verificare tecnicamente l'autenticità e la provenienza di uno screenshot?
- È possibile stabilire quando un archivio ZIP, RAR o di altro tipo è stato creato o decompresso?
- È possibile risalire al documento di origine da cui è stato generato un file PDF?