Diese Übersicht bündelt alle Fragen und Antworten rund um IT-Forensik für Gerichte bei LanCologne – von der Zuordnung von Nutzern und Konten über Dateien, Metadaten und Kommunikationsspuren bis hin zu Widersprüchen in digitalen Beweismitteln und der Rolle des IT-Sachverständigen im Gerichtsverfahren. Klicken Sie auf eine Kategorie, um die passenden Fragen zu sehen.
Nutzer- und Kontozuordnung
- È possibile stabilire chi ha utilizzato un computer o uno smartphone?
- È possibile dimostrare tecnicamente la validità di un dato specifico inserito dall'utente?
- È possibile distinguere l'effettivo invio di un messaggio dalla sua semplice presenza nell'account?
- È possibile distinguere tra account utente locale, account di dominio e account cloud?
- È possibile ricostruire un cambio di utente o una sessione utente parallela?
- Welche Aussagekraft hat eine automatische Anmeldung?
- Kann ein digitales Artefakt einem bestimmten Benutzerprofil zugeordnet werden?
- Wie sind Artefakte aus gemeinsam genutzten oder technischen Konten zu bewerten?
- Kann unterschieden werden, ob digitale Daten automatisch oder durch eine Benutzerhandlung erzeugt wurden?
- Kann festgestellt werden, ob ein Benutzerkonto kompromittiert oder von einem Dritten verwendet wurde?
- Wie werden digitale Spuren bewertet, wenn mehrere Geräte denselben Account verwenden?
- Kann eine digitale Handlung bei gemeinsam genutzten Computern einem bestimmten Benutzer zugeordnet werden?
- Kann zwischen lokalem Benutzerkonto, Domänenkonto und Cloud-Konto zuverlässig unterschieden werden?
- Kann ein Benutzerwechsel oder eine parallele Benutzersitzung nachgewiesen werden?
- Welche Aussagekraft hat eine automatische Anmeldung für die Benutzerzuordnung?
- Kann ein digitales Artefakt einem bestimmten Benutzerprofil innerhalb eines Mehrbenutzersystems zugeordnet werden?
Kommunikation: Chat, E-Mail und Nachrichten
- È tecnicamente possibile verificare l'autenticità e la completezza della cronologia di una chat?
- È tecnicamente possibile risalire alla provenienza e al percorso di invio di un’e-mail?
- Qual è il valore probatorio delle notifiche push come prova digitale?
- Cosa dimostra effettivamente una conferma di lettura digitale?
- Come vanno valutate le differenze nelle versioni delle notizie tra mittente e destinatario?
- È possibile distinguere, nel caso di un allegato e-mail, tra ricezione, salvataggio, apertura ed elaborazione?
- È possibile stabilire se un’e-mail sia stata inoltrata o se il suo contenuto sia stato copiato manualmente?
- Qual è il valore informativo delle intestazioni delle e-mail riguardo alla provenienza e al percorso di trasmissione?
- Kann festgestellt werden, ob eine E-Mail lokal, serverseitig oder durch Synchronisation gelöscht wurde?
Fotos, Videos und Multimedia
- Kann aus einer Bildschirmsperre auf tatsächliche Gerätenutzung geschlossen werden?
- Kann festgestellt werden, ob ein Foto oder Video mit einem bestimmten Gerät aufgenommen wurde?
- Kann zwischen Originalaufnahme, bearbeiteter Datei und konvertierter Kopie unterschieden werden?
- Welche Aussagekraft haben Vorschaubilder und Thumbnail-Caches?
- Welche Aussagekraft besitzt eine Bildschirmaufzeichnung als digitales Beweismittel?
- Wie belastbar sind Foto- und Video-Metadaten als gerichtlicher Beweis?
- Beweist ein Vorschaubild oder Thumbnail, dass die zugehörige Datei geöffnet wurde?
Geräte, Netzwerk und Systemartefakte
- Kann festgestellt werden, ob ein Gerät mit einem bestimmten WLAN verbunden war?
- Welche Aussagekraft haben identische Dateien auf mehreren Geräten?
- Kann festgestellt werden, welches Gerät eine synchronisierte Änderung ursprünglich erzeugt hat?
- Kann ein behaupteter Fernzugriff auf einen Computer technisch belegt werden?
- Kann ein Netzwerkwechsel eines Geräts zeitlich rekonstruiert werden?
- È possibile stabilire se un aggiornamento di sistema abbia modificato o rimosso tracce digitali?
- In che modo il trasferimento su un nuovo dispositivo influisce sulla valutazione delle prove?
- È possibile dimostrare se un determinato dispositivo esterno sia stato collegato a un computer?
- È possibile verificare se un determinato software è stato installato o se è stato effettivamente eseguito?
- È possibile verificare a posteriori se un software, ora disinstallato, era stato installato in precedenza?
- È possibile verificare se i dati sono stati trasmessi o recuperati tramite una condivisione di rete?
- Qual è il valore probatorio dei dati volatili presenti nella memoria di lavoro in sede giudiziaria?
- È possibile dimostrare a posteriori l'avvenuta esecuzione di una sessione di desktop remoto o di accesso remoto?
- È possibile stabilire se, nel momento in questione, un dispositivo fosse bloccato o in uso?
- È possibile risalire alla rete a cui un dispositivo era connesso in un determinato momento?
- In che modo le indicazioni temporali del Server esterno vengono confrontate con l'ora locale del dispositivo?
- Welchen Einfluss können Systemupdates auf digitale Spuren haben?
- Kann eine Migration von einem alten auf ein neues Gerät forensisch erkannt werden?
Löschung, Wiederherstellung und Backup
- È possibile dimostrare se i dati sono stati cancellati intenzionalmente?
- Quali tracce può lasciare un ripristino da un backup?
- Cosa si può ancora stabilire con certezza dopo un ripristino delle impostazioni di fabbrica?
- Qual è il valore probatorio dei backup, degli snapshot e delle copie di sicurezza storiche?
- È possibile stabilire se un supporto dati è stato formattato o se è stato reinstallato un sistema operativo?
- Welche Aussagekraft besitzen Papierkorb- und Trash-Artefakte vor Gericht?
- Kann festgestellt werden, ob gelöschte Daten später überschrieben wurden?
- Wie beeinflusst eine Wiederherstellung aus einem Backup die Beweisbewertung?
- Welche Aussagen sind nach einem Zurücksetzen auf Werkseinstellungen noch möglich?
Authentifizierung, Verschlüsselung und Zugriffsschutz
- È possibile distinguere tra autenticazione tramite password, autenticazione biometrica e autenticazione basata sulla sessione?
- Qual è il valore probatorio delle password, dei token e dei dati di accesso memorizzati in sede giudiziaria?
- Qual è il valore informativo dei container crittografati e dei supporti dati virtuali?
- Quale dichiarazione è ammissibile in presenza di prove crittografate o accessibili solo in parte?
- Come viene verificata tecnicamente una firma digitale?
Anonymisierung, VPN und Netzwerkspuren
- Welche Aussagekraft hat die Nutzung eines VPN für die Zuordnung digitaler Aktivitäten?
- Wie werden Proxy-, Relay- oder Anonymisierungsverbindungen forensisch eingeordnet?
- Welche Aussagekraft besitzen DNS-Spuren als Nachweis einer Internetaktivität?
- Welche Aussagekraft hat eine VPN-Nutzung für die Zuordnung von Internetaktivitäten?
Cloud, virtuelle Systeme und Container
- Kann festgestellt werden, ob ein Archiv entpackt oder dessen Inhalt genutzt wurde?
- Wie werden virtuelle Maschinen als digitale Beweismittel untersucht?
- Kann festgestellt werden, ob eine virtuelle Maschine zu einem bestimmten Zeitpunkt ausgeführt wurde?
- Welche Aussagekraft haben Cloud-Synchronisationsspuren vor Gericht?
- Qual è il valore probatorio dei container crittografati e dei supporti dati virtuali in sede giudiziaria?
- In che modo vengono esaminate le macchine virtuali come prove digitali?
Dateien, Metadaten und Zeitstempel
- È possibile stabilire quando un file è stato creato o modificato?
- È possibile stabilire se un file sia stato effettivamente aperto o utilizzato?
- Kann festgestellt werden, ob eine Datei nur angezeigt oder tatsächlich bearbeitet wurde?
- Welche Aussagekraft haben Entwürfe, Autosave-Dateien und temporäre Dokumente?
- Kann eine Datei einem bestimmten Erstellungsprogramm zugeordnet werden?
- Kann nachvollzogen werden, ob ein Dokument aus einer anderen Datei exportiert wurde?
- Können Spuren aus der Zwischenablage eine Copy-and-Paste-Handlung belegen?
- Welche Aussagekraft haben ZIP-, RAR- und andere Archivdateien vor Gericht?
- Wie belastbar ist eine digitale Timeline vor Gericht?
- Welche Aussagekraft haben Suchindexe und indexierte Dateiinhalte?
- Kann eine tatsächlich ausgeführte Suche von einer bloßen Indexierung unterschieden werden?
- Kann festgestellt werden, ob eine digitale Handlung durch eine geplante Aufgabe oder Automatisierung ausgelöst wurde?
- Kann festgestellt werden, ob eine Berechtigung zu einem bestimmten Zeitpunkt bestand?
- Kann eine Änderung von Benutzer- oder Gruppenberechtigungen rekonstruiert werden?
- Wann darf aus dem Fehlen eines digitalen Artefakts überhaupt ein Schluss gezogen werden?
- Kann nachgewiesen werden, ob ein digitales Dokument nachträglich verändert wurde?
- Kann festgestellt werden, welche Version eines Dokuments zu einem bestimmten Zeitpunkt vorlag?
- È possibile stabilire se un file è stato scaricato da Internet?
- È possibile stabilire se un computer fosse acceso o spento in un determinato momento?
- È possibile verificare se i file sono stati rinominati o spostati all’interno di un sistema?
- Qual è il valore probatorio in sede giudiziaria dei file recuperati o conservati solo in forma frammentaria?
- È possibile stabilire se un file o un'informazione sia stato stampato?
- È possibile verificare se un file è stato effettivamente aperto?
- Kann nachgewiesen werden, dass eine Person den Inhalt einer digitalen Datei tatsächlich zur Kenntnis genommen hat?
- Kann unterschieden werden, ob eine Datei kopiert, verschoben oder synchronisiert wurde?
- Kann der Zeitpunkt einer Löschung technisch eingegrenzt werden?
- Kann ein Dateizugriff nachgewiesen werden, obwohl die Datei unverändert blieb?
- Kann eine Manipulation von Datei- oder Systemzeitstempeln festgestellt werden?
- Kann zwischen einer Original-Mediendatei und einer konvertierten oder erneut gespeicherten Fassung unterschieden werden?
- Welche Aussagekraft haben Suchindexe für die Existenz oder Nutzung einer Datei?
Widersprüche, Plausibilität und Beweiswürdigung
- In che modo un perito informatico verifica una presunta catena di eventi quando le prove digitali si contraddicono a vicenda?
- In che misura i metadati modificabili manualmente sono attendibili come prove?
- Il malware può costituire una spiegazione alternativa per un’azione digitale?
- Come gestire le tracce digitali contraddittorie?
- Come si verifica la plausibilità tecnica di una presunta catena di eventi digitali?
- Wie bewertet ein IT-Sachverständiger zwei technisch plausible Erklärungen?
- Wie wird ein technischer Nichtnachweis im Gutachten sauber formuliert?
- Wie sind widersprüchliche digitale Beweismittel in einem IT-Gutachten zu behandeln?
Gutachten, Gerichtsverfahren und Sachverständige
- Wie wird die Unabhängigkeit und Neutralität eines IT-Sachverständigen praktisch umgesetzt?
- Warum muss ein IT-Gutachten für Nicht-Forensiker verständlich sein?
- Warum gehört ein technischer Anhang zu einem nachvollziehbaren IT-Gutachten?
- Wie wird ein IT-Gutachten für ein mögliches Gegengutachten reproduzierbar aufgebaut?
- Wie wird eine gerichtliche IT-Beweisfrage abschließend und eindeutig beantwortet?
- Wie werden Zeitzonen, Sommerzeit und fehlerhafte Systemuhren im Gutachten berücksichtigt?
- Wie kann ein bereits vorliegendes privates IT-Gutachten technisch überprüft werden?
- Sachverständiger oder sachverständiger Zeuge – was ist bei digitalen Tatsachen zu unterscheiden?
- Wie wird ein IT-Gutachten vor Gericht erläutert und auf Ergänzungsfragen geprüft?
- Welche Bedeutung hat eine lückenhafte Chain of Custody für die technische Aussagekraft?
- Was geschieht, wenn während der IT-forensischen Untersuchung neue, vom gerichtlichen Auftrag nicht erfasste Tatsachen auffallen?
- Wo endet die technische Schlussfolgerung des IT-Sachverständigen und wo beginnt die Beweiswürdigung des Gerichts?
Sonstige Beweisfragen
- Welchen Beweiswert hat ein Screenshot oder Foto eines digitalen Inhalts?
- È possibile verificare se i dati sono stati copiati su un supporto USB?
- Come si fa a conservare le prove digitali in modo che l'indagine rimanga verificabile in un secondo momento?
- In che misura i dati digitali relativi alla posizione sono attendibili come prove in sede giudiziaria?
- È tecnicamente possibile ricostruire un presunto utilizzo di Internet o del browser?
- È possibile risalire all'origine di un file digitale o di un set di dati?
- Come vengono trattate le prove digitali danneggiate o incomplete?
- Come vengono valutati in tribunale i record del database e le tracce WAL/di giornale?
- Qual è il valore probatorio dei registri di sistema e degli eventi in sede giudiziaria?
- Kann eine IP-Adresse einer bestimmten Person zugeordnet werden?
- Lassen sich Hinweise auf Anti-Forensik oder gezielte Spurenbeseitigung feststellen?
- Was ist beweiskräftiger: Originaldaten, forensische Sicherung oder exportierter Report?
- Wann kann eine neue IT-forensische Begutachtung nach § 412 ZPO sinnvoll sein?
- Kann nachgewiesen werden, ob ein digitales Beweismittel nach der Sicherstellung verändert wurde?
- Kann festgestellt werden, ob administrative oder erhöhte Rechte verwendet wurden?
- Wie ist ein digitales Beweismittel zu bewerten, das vor der forensischen Sicherung bereits weiter benutzt wurde?
- Kann die Reihenfolge mehrerer digitaler Handlungen zuverlässig rekonstruiert werden?
- Kann die Echtheit und Herkunft eines Screenshots technisch geprüft werden?
- Kann festgestellt werden, wann ein ZIP-, RAR- oder anderes Archiv erstellt oder entpackt wurde?
- Kann bei einer PDF-Datei nachvollzogen werden, aus welchem Quelldokument sie erzeugt wurde?