{"id":391322,"date":"2026-08-09T17:25:20","date_gmt":"2026-08-09T16:25:20","guid":{"rendered":"https:\/\/lancologne.de\/it-forensik\/gerichte\/datei-erstellt-veraendert-gericht\/"},"modified":"2026-08-10T11:09:10","modified_gmt":"2026-08-10T10:09:10","slug":"datei-erstellt-veraendert-gericht","status":"publish","type":"page","link":"https:\/\/lancologne.de\/it\/it-forensik\/gerichte\/datei-erstellt-veraendert-gericht\/","title":{"rendered":"\u00c8 possibile stabilire quando un file \u00e8 stato creato o modificato?"},"content":{"rendered":"

[et_pb_section fb_built=“1″ fullwidth=“off“ specialty=“off“ background_color=“#0A0814″ custom_padding=“60px|0|60px|0″]
\n[et_pb_row custom_padding=“0|0|0|0″]
\n[et_pb_column type=“4_4″]
\n[et_pb_text]<\/p>\n

IT-Forensik \u00b7 Gerichte<\/p>\n

L\u00e4sst sich feststellen, wann eine Datei erstellt oder ver\u00e4ndert wurde?<\/h1>\n

Zeitstempel wirken auf den ersten Blick eindeutig. In der Praxis geh\u00f6ren sie zu den am h\u00e4ufigsten missverstandenen digitalen Spuren. Eine Datei kann mehrere Zeitangaben besitzen, deren Bedeutung vom Dateisystem, Betriebssystem, Anwendungsprogramm und \u00dcbertragungsweg abh\u00e4ngt.<\/p>\n

Unverbindlich anfragen<\/a>
\n[\/et_pb_text]
\n[\/et_pb_column]
\n[\/et_pb_row]
\n[\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#ffffff“ custom_padding=“40px|0|10px|0″]
\n[et_pb_row]
\n[et_pb_column type=“4_4″]
\n[et_pb_text]<\/p>\n

Eine kopierte Datei kann beispielsweise ein urspr\u00fcngliches \u00c4nderungsdatum behalten, w\u00e4hrend ihr Erstellungszeitpunkt auf dem Zielsystem neu gesetzt wird. Cloud-Synchronisation, ZIP-Archive, Backups, E-Mail-Anh\u00e4nge oder Dateiwiederherstellung k\u00f6nnen Zeitangaben zus\u00e4tzlich ver\u00e4ndern.<\/p>\n

Deshalb beantworten wir die Frage nach Entstehung oder Ver\u00e4nderung einer Datei nicht anhand einer einzelnen Spalte in einem Forensikprogramm. Wir pr\u00fcfen die Zeitangaben in ihrem technischen Zusammenhang und suchen nach unabh\u00e4ngigen Spuren, die den behaupteten Ablauf best\u00e4tigen oder ihm widersprechen.<\/p>\n

[\/et_pb_text]
\n[\/et_pb_column]
\n[\/et_pb_row]
\n[\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″]
\n[et_pb_row]
\n[et_pb_column type=“4_4″]
\n[et_pb_text]<\/p>\n

Die eigentliche Beweisfrage<\/h2>\n

Wie wird ein Dateizeitpunkt forensisch abgesichert?<\/p>\n

Zun\u00e4chst wird festgestellt, welche Zeitstempel \u00fcberhaupt vorliegen und was sie technisch bedeuten. Danach werden Dateisystemdaten mit Dokumentmetadaten, Anwendungsspuren, Backups, Snapshots, E-Mail- oder Cloud-Kontext und gegebenenfalls Protokollen verglichen.<\/p>\n

Sind mehrere unabh\u00e4ngige Quellen zeitlich konsistent, kann sich daraus ein belastbarer Zeitraum ergeben. Widersprechen sich die Quellen, wird dieser Widerspruch nicht gegl\u00e4ttet, sondern untersucht und im Gutachten erl\u00e4utert.<\/p>\n

[\/et_pb_text]
\n[\/et_pb_column]
\n[\/et_pb_row]
\n[\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″]
\n[et_pb_row]
\n[et_pb_column type=“4_4″]
\n[et_pb_text]<\/p>\n

Wo die Aussagegrenze liegt<\/h2>\n

Ein einzelner Zeitstempel beweist regelm\u00e4\u00dfig weder die Person, die eine Datei ver\u00e4ndert hat, noch die konkrete Handlung, die zu diesem Zeitstempel f\u00fchrte.<\/p>\n

[\/et_pb_text]
\n[\/et_pb_column]
\n[\/et_pb_row]
\n[\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″]
\n[et_pb_row]
\n[et_pb_column type=“4_4″]
\n[et_pb_text]<\/p>\n

Warum LanCologne?<\/h2>\n

Bei gerichtlichen Auftr\u00e4gen ist f\u00fcr uns nicht entscheidend, welches Analyseprogramm einen Treffer zuerst anzeigt. Entscheidend ist, ob die Beweisfrage fachlich beantwortet werden kann und ob diese Antwort einer unabh\u00e4ngigen Pr\u00fcfung standh\u00e4lt.<\/p>\n

Wir arbeiten ergebnisoffen, dokumentieren die Herkunft entscheidender Befunde und pr\u00fcfen alternative technische Erkl\u00e4rungen. Die eigentliche Auswertung erfolgt grunds\u00e4tzlich auf einer forensischen Kopie beziehungsweise einem beweissicher erfassten Datenbestand. Originale werden nicht unn\u00f6tig direkt untersucht. Wo Live-Ma\u00dfnahmen technisch erforderlich sind, werden die dadurch m\u00f6glichen Ver\u00e4nderungen ausdr\u00fccklich dokumentiert.<\/p>\n

Entscheidende Befunde werden abh\u00e4ngig von der Fragestellung mit einer zweiten fachlich geeigneten Methode oder unmittelbar anhand der zugrunde liegenden Rohdaten \u00fcberpr\u00fcft. Welche Werkzeuge hierf\u00fcr eingesetzt werden, richtet sich nach Beweismittel und Fragestellung. Ma\u00dfgeblich sind Eignung, fachliche Anerkennung und Nachvollziehbarkeit der Methode \u2013 nicht ein Produktname.<\/p>\n

Unser Gutachten trennt Tatsachenbefund, technische Bewertung und verbleibende Unsicherheit. Ein Nichtnachweis wird ebenso sorgf\u00e4ltig begr\u00fcndet wie ein positiver Nachweis.<\/p>\n

[\/et_pb_text]
\n[\/et_pb_column]
\n[\/et_pb_row]
\n[\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″]
\n[et_pb_row]
\n[et_pb_column type=“4_4″]
\n[et_pb_text]<\/p>\n

So arbeiten wir bei gerichtlichen Auftr\u00e4gen<\/h2>\n

Unsere Arbeitsweise \u2013 vom gerichtlichen Auftrag zur Antwort<\/p>\n

1<\/span>Auftrag und Beweisfrage pr\u00fcfen<\/span><\/div>\n

Wir pr\u00fcfen zun\u00e4chst, ob die Frage in unser Fachgebiet f\u00e4llt, welche Tatsachen das Gericht zugrunde legt und ob Inhalt oder Umfang des Auftrags eindeutig sind. Bestehen Zweifel, wird eine Kl\u00e4rung durch das Gericht herbeigef\u00fchrt. Das entspricht \u00a7 404a und \u00a7 407a ZPO.<\/p>\n

2<\/span>Unabh\u00e4ngigkeit pr\u00fcfen<\/span><\/div>\n

M\u00f6gliche Gr\u00fcnde, die Zweifel an der Unparteilichkeit begr\u00fcnden k\u00f6nnten, werden vor Beginn der sachlichen Untersuchung gepr\u00fcft und gegebenenfalls dem Gericht offengelegt.<\/p>\n

3<\/span>Beweismittel eindeutig erfassen<\/span><\/div>\n

Ger\u00e4te, Datentr\u00e4ger, Sicherungen und bereitgestellte Dateien werden identifiziert und dokumentiert. Der Untersuchungszustand wird festgehalten.<\/p>\n

4<\/span>Datenintegrit\u00e4t sichern<\/span><\/div>\n

Soweit technisch m\u00f6glich, wird eine forensische Kopie oder ein forensisches Abbild erstellt. Hashwerte und andere Integrit\u00e4tspr\u00fcfungen dienen der eindeutigen Zuordnung. Das Original bleibt f\u00fcr sp\u00e4tere Pr\u00fcfungen erhalten.<\/p>\n

5<\/span>Pr\u00fcfhypothesen aus der Beweisfrage ableiten<\/span><\/div>\n

Wir legen fest, welche Spuren den behaupteten Vorgang st\u00fctzen w\u00fcrden, welche Gegenbefunde denkbar sind und welche alternativen technischen Erkl\u00e4rungen gepr\u00fcft werden m\u00fcssen.<\/p>\n

6<\/span>Relevante Datenquellen untersuchen<\/span><\/div>\n

Untersucht werden nur solche Artefakte, die f\u00fcr die Beweisfrage einen fachlichen Erkenntniswert haben. Automatische Treffer werden nicht ungepr\u00fcft \u00fcbernommen.<\/p>\n

7<\/span>Befunde unabh\u00e4ngig validieren<\/span><\/div>\n

Entscheidungserhebliche Feststellungen werden \u2013 soweit erforderlich \u2013 mit einer zweiten anerkannten Methode, einer anderen technischen Sicht oder unmittelbar anhand der Rohdaten gegengepr\u00fcft.<\/p>\n

8<\/span>Aussagegrenzen bestimmen<\/span><\/div>\n

Wir pr\u00fcfen ausdr\u00fccklich, was aus den Daten nicht gefolgert werden darf. Fehlende Daten, m\u00f6gliche L\u00f6schung, technische Grenzen, unvollst\u00e4ndige Extraktionen oder widerspr\u00fcchliche Spuren werden benannt.<\/p>\n

9<\/span>Beweisfrage klar beantworten<\/span><\/div>\n

Die Schlussantwort folgt aus den dokumentierten Befunden. Sie wird nicht st\u00e4rker formuliert, als die Daten es zulassen.<\/p>\n

10<\/span>Technischen Anhang beif\u00fcgen<\/span><\/div>\n

Der Haupttext bleibt auch f\u00fcr Nicht-Forensiker verst\u00e4ndlich. Der technische Anhang enth\u00e4lt die Informationen, die ein unabh\u00e4ngiger IT-Forensiker f\u00fcr eine fachliche Nachpr\u00fcfung oder ein Gegengutachten ben\u00f6tigt.<\/p>\n

[\/et_pb_text]
\n[\/et_pb_column]
\n[\/et_pb_row]
\n[\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#f0ebf0″ custom_padding=“40px|0|40px|0″]
\n[et_pb_row]
\n[et_pb_column type=“4_4″]
\n[et_pb_text]<\/p>\n

\n<\/svg><\/p>\n

Rechtlicher Rahmen<\/h2>\n<\/div>\n

ZPO \u00a7\u00a7 403, 404a, 407a, 411; \u00a7 286 ZPO. Der Sachverst\u00e4ndige liefert die technische Einordnung, die W\u00fcrdigung verbleibt beim Gericht.<\/p>\n

Der Sachverst\u00e4ndige liefert die fachliche Tatsachengrundlage. Die rechtliche W\u00fcrdigung und die abschlie\u00dfende Beweisw\u00fcrdigung bleiben Aufgabe des Gerichts.<\/p>\n

[\/et_pb_text]
\n[\/et_pb_column]
\n[\/et_pb_row]
\n[\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#F8F7F9″ custom_padding=“36px|0|36px|0″]
\n[et_pb_row]
\n[et_pb_column type=“4_4″]
\n[et_pb_text]<\/p>\n

\n

\ud83d\udd17 Verwandte Themen<\/h3>\n
<\/svg>IT-Forensik f\u00fcr Gerichte<\/a><\/svg>Digitale Beweissicherung<\/a><\/svg>Mobile Forensik<\/a><\/svg>Windows-Forensik<\/a><\/div>\n<\/div>\n

[\/et_pb_text]
\n[\/et_pb_column]
\n[\/et_pb_row]
\n[\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″]
\n[et_pb_row]
\n[et_pb_column type=“4_4″]
\n[et_pb_text]<\/p>\n

H\u00e4ufige Fragen<\/h2>\n
\nL\u00e4sst sich feststellen, wann eine Datei erstellt oder ver\u00e4ndert wurde?+<\/span><\/summary>\n
Zeitstempel wirken auf den ersten Blick eindeutig. In der Praxis geh\u00f6ren sie zu den am h\u00e4ufigsten missverstandenen digitalen Spuren. Eine Datei kann mehrere Zeitangaben besitzen, deren Bedeutung vom Dateisystem, Betriebssystem, Anwendungsprogramm und \u00dcbertragungsweg abh\u00e4ngt.<\/div>\n<\/details>\n
\nWie geht eine solche technische Untersuchung in der Praxis vor?+<\/span><\/summary>\n
Unsere Arbeitsweise \u2013 vom gerichtlichen Auftrag zur Antwort Wir pr\u00fcfen zun\u00e4chst, ob die Frage in unser Fachgebiet f\u00e4llt, welche Tatsachen das Gericht zugrunde legt und ob Inhalt oder Umfang des Auftrags eindeutig sind.<\/div>\n<\/details>\n
\nGarantiert das Ergebnis der Untersuchung eine eindeutige Aussage f\u00fcr das Gericht?+<\/span><\/summary>\n
Ein einzelner Zeitstempel beweist regelm\u00e4\u00dfig weder die Person, die eine Datei ver\u00e4ndert hat, noch die konkrete Handlung, die zu diesem Zeitstempel f\u00fchrte.<\/div>\n<\/details>\n
\nGibt es daf\u00fcr eine gesetzliche Grundlage?+<\/span><\/summary>\n
ZPO \u00a7\u00a7 403, 404a, 407a, 411; \u00a7 286 ZPO. Der Sachverst\u00e4ndige liefert die technische Einordnung, die W\u00fcrdigung verbleibt beim Gericht. Der Sachverst\u00e4ndige liefert die fachliche Tatsachengrundlage.<\/div>\n<\/details>\n

[\/et_pb_text]
\n[\/et_pb_column]
\n[\/et_pb_row]
\n[\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#9B2242″ custom_padding=“50px|0|50px|0″]
\n[et_pb_row]
\n[et_pb_column type=“4_4″]
\n[et_pb_text]<\/p>\n

LanCologne \u2013 IT-Forensik f\u00fcr Gerichte<\/h2>\n

Sie ben\u00f6tigen zu einer gerichtlichen Beweisfrage eine unabh\u00e4ngige technische Untersuchung? LanCologne pr\u00fcft digitale Spuren sachlich, transparent und reproduzierbar. Wir dokumentieren sowohl positive Befunde als auch Nichtnachweise und technische Grenzen so, dass die Schlussfolgerung f\u00fcr das Gericht verst\u00e4ndlich und f\u00fcr einen unabh\u00e4ngigen IT-Forensiker fachlich \u00fcberpr\u00fcfbar bleibt.<\/p>\n

Jetzt Kontakt aufnehmen<\/a>
\n[\/et_pb_text]
\n[\/et_pb_column]
\n[\/et_pb_row]
\n[\/et_pb_section]<\/p>\n","protected":false},"excerpt":{"rendered":"

\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t<\/div> IT-Forensik \u00b7 Gerichte L\u00e4sst sich feststellen, wann eine Datei erstellt oder ver\u00e4ndert wurde? Zeitstempel wirken auf den ersten Blick eindeutig. In der Praxis geh\u00f6ren sie zu den am h\u00e4ufigsten missverstandenen digitalen Spuren. Eine Datei kann mehrere Zeitangaben besitzen, deren Bedeutung vom Dateisystem, Betriebssystem, Anwendungsprogramm und \u00dcbertragungsweg abh\u00e4ngt. Unverbindlich anfragen
\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t<\/div>
\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t<\/div> Eine kopierte Datei […]<\/p>\n","protected":false},"author":1,"featured_media":0,"parent":391319,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"","meta":{"_et_pb_use_builder":"on","_et_pb_old_content":"","_et_gb_content_width":"","footnotes":""},"class_list":["post-391322","page","type-page","status-publish","hentry"],"_links":{"self":[{"href":"https:\/\/lancologne.de\/it\/wp-json\/wp\/v2\/pages\/391322","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/lancologne.de\/it\/wp-json\/wp\/v2\/pages"}],"about":[{"href":"https:\/\/lancologne.de\/it\/wp-json\/wp\/v2\/types\/page"}],"author":[{"embeddable":true,"href":"https:\/\/lancologne.de\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/lancologne.de\/it\/wp-json\/wp\/v2\/comments?post=391322"}],"version-history":[{"count":2,"href":"https:\/\/lancologne.de\/it\/wp-json\/wp\/v2\/pages\/391322\/revisions"}],"predecessor-version":[{"id":393935,"href":"https:\/\/lancologne.de\/it\/wp-json\/wp\/v2\/pages\/391322\/revisions\/393935"}],"up":[{"embeddable":true,"href":"https:\/\/lancologne.de\/it\/wp-json\/wp\/v2\/pages\/391319"}],"wp:attachment":[{"href":"https:\/\/lancologne.de\/it\/wp-json\/wp\/v2\/media?parent=391322"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}