Diese Übersicht bündelt alle Fragen und Antworten rund um IT-Forensik für Gerichte bei LanCologne – von der Zuordnung von Nutzern und Konten über Dateien, Metadaten und Kommunikationsspuren bis hin zu Widersprüchen in digitalen Beweismitteln und der Rolle des IT-Sachverständigen im Gerichtsverfahren. Klicken Sie auf eine Kategorie, um die passenden Fragen zu sehen.
Nutzer- und Kontozuordnung
- Kan worden aangetoond wie een computer of smartphone heeft gebruikt?
- Kan een specifieke gebruikersinvoer technisch worden aangetoond?
- Kan er onderscheid worden gemaakt tussen het daadwerkelijk verzenden van een bericht en het louter aanwezig zijn ervan in het account?
- Kan er onderscheid worden gemaakt tussen een lokaal gebruikersaccount, een domeinaccount en een cloudaccount?
- Kan een gebruikerswisseling of een parallelle gebruikerssessie worden gereconstrueerd?
- Welche Aussagekraft hat eine automatische Anmeldung?
- Kann ein digitales Artefakt einem bestimmten Benutzerprofil zugeordnet werden?
- Wie sind Artefakte aus gemeinsam genutzten oder technischen Konten zu bewerten?
- Kann unterschieden werden, ob digitale Daten automatisch oder durch eine Benutzerhandlung erzeugt wurden?
- Kann festgestellt werden, ob ein Benutzerkonto kompromittiert oder von einem Dritten verwendet wurde?
- Wie werden digitale Spuren bewertet, wenn mehrere Geräte denselben Account verwenden?
- Kann eine digitale Handlung bei gemeinsam genutzten Computern einem bestimmten Benutzer zugeordnet werden?
- Kann zwischen lokalem Benutzerkonto, Domänenkonto und Cloud-Konto zuverlässig unterschieden werden?
- Kann ein Benutzerwechsel oder eine parallele Benutzersitzung nachgewiesen werden?
- Welche Aussagekraft hat eine automatische Anmeldung für die Benutzerzuordnung?
- Kann ein digitales Artefakt einem bestimmten Benutzerprofil innerhalb eines Mehrbenutzersystems zugeordnet werden?
Kommunikation: Chat, E-Mail und Nachrichten
- Kan een chatgeschiedenis technisch worden gecontroleerd op authenticiteit en volledigheid?
- Is het technisch mogelijk om de herkomst en de verzendroute van een e-mail te achterhalen?
- Welke bewijskracht hebben pushmeldingen als digitaal bewijs?
- Wat bewijst een digitale leesbevestiging eigenlijk?
- Hoe moeten verschillen in de status van berichten aan de zender- en ontvangerstijde worden beoordeeld?
- Kan er bij een e-mailbijlage onderscheid worden gemaakt tussen ontvangst, opslag, openen en bewerken?
- Kan worden vastgesteld of een e-mail is doorgestuurd of dat de inhoud ervan handmatig is overgenomen?
- Welche Aussagekraft haben E-Mail-Header für Herkunft und Übertragungsweg?
- Kann festgestellt werden, ob eine E-Mail lokal, serverseitig oder durch Synchronisation gelöscht wurde?
Fotos, Videos und Multimedia
- Kann aus einer Bildschirmsperre auf tatsächliche Gerätenutzung geschlossen werden?
- Kan worden vastgesteld of een foto of video met een bepaald apparaat is gemaakt?
- Kan er onderscheid worden gemaakt tussen de originele opname, het bewerkte bestand en de geconverteerde kopie?
- Hoeveel informatie geven voorvertoningsafbeeldingen en thumbnail-caches?
- Welke bewijskracht heeft een schermopname als digitaal bewijsmateriaal?
- In hoeverre zijn foto- en videometadata bruikbaar als bewijs in een rechtszaak?
- Beweist ein Vorschaubild oder Thumbnail, dass die zugehörige Datei geöffnet wurde?
Geräte, Netzwerk und Systemartefakte
- Kan worden vastgesteld of een apparaat verbonden was met een bepaalde WLAN?
- Wat is de betekenis van identieke bestanden op meerdere apparaten?
- Kann festgestellt werden, welches Gerät eine synchronisierte Änderung ursprünglich erzeugt hat?
- Kann ein behaupteter Fernzugriff auf einen Computer technisch belegt werden?
- Kann ein Netzwerkwechsel eines Geräts zeitlich rekonstruiert werden?
- Kan worden vastgesteld of een systeemupdate digitale sporen heeft gewijzigd of verwijderd?
- Wie wirkt sich die Migration auf ein neues Gerät auf die Beweisbewertung aus?
- Kann nachgewiesen werden, ob ein bestimmtes externes Gerät mit einem Computer verbunden war?
- Kann festgestellt werden, ob eine bestimmte Software installiert oder tatsächlich ausgeführt wurde?
- Kann die frühere Installation einer inzwischen deinstallierten Software nachträglich festgestellt werden?
- Kan worden aangetoond of gegevens via een netwerkdelingsmap zijn verzonden of opgehaald?
- Welche Aussagekraft besitzen flüchtige Daten aus dem Arbeitsspeicher vor Gericht?
- Kann eine Remote-Desktop- oder Fernzugriffssitzung nachträglich nachgewiesen werden?
- Kann festgestellt werden, ob ein Gerät zum relevanten Zeitpunkt gesperrt oder aktiv bedient wurde?
- Kann nachvollzogen werden, mit welchem Netzwerk ein Gerät zu einem bestimmten Zeitpunkt verbunden war?
- Hoe worden tijdgegevens van externe Server-apparaten vergeleken met de lokale tijd van het apparaat?
- Welke invloed kunnen systeemupdates hebben op digitale sporen?
- Kan een migratie van een oud naar een nieuw apparaat forensisch worden opgespoord?
Löschung, Wiederherstellung und Backup
- Kan worden aangetoond of gegevens opzettelijk zijn gewist?
- Welke sporen kan een herstel vanuit een back-up achterlaten?
- Wat kan er na het terugzetten naar de fabrieksinstellingen nog met zekerheid worden vastgesteld?
- Welke bewijskracht hebben back-ups, snapshots en historische back-ups?
- Kan worden vastgesteld of een gegevensdrager is geformatteerd of dat er een nieuw besturingssysteem is geïnstalleerd?
- Welche Aussagekraft besitzen Papierkorb- und Trash-Artefakte vor Gericht?
- Kann festgestellt werden, ob gelöschte Daten später überschrieben wurden?
- Wie beeinflusst eine Wiederherstellung aus einem Backup die Beweisbewertung?
- Welche Aussagen sind nach einem Zurücksetzen auf Werkseinstellungen noch möglich?
Authentifizierung, Verschlüsselung und Zugriffsschutz
- Kan er onderscheid worden gemaakt tussen wachtwoord-, biometrische en sessiegebaseerde authenticatie?
- Welke bewijskracht hebben opgeslagen wachtwoorden, tokens en toegangsgegevens voor de rechter?
- Hoe betrouwbaar zijn versleutelde containers en virtuele opslagmedia?
- Welke verklaring is toegestaan in het geval van versleuteld of slechts gedeeltelijk toegankelijk bewijsmateriaal?
- Hoe wordt een digitale handtekening technisch gecontroleerd?
Anonymisierung, VPN und Netzwerkspuren
- Welche Aussagekraft hat die Nutzung eines VPN für die Zuordnung digitaler Aktivitäten?
- Wie werden Proxy-, Relay- oder Anonymisierungsverbindungen forensisch eingeordnet?
- Welche Aussagekraft besitzen DNS-Spuren als Nachweis einer Internetaktivität?
- Welche Aussagekraft hat eine VPN-Nutzung für die Zuordnung von Internetaktivitäten?
Cloud, virtuelle Systeme und Container
- Kann festgestellt werden, ob ein Archiv entpackt oder dessen Inhalt genutzt wurde?
- Wie werden virtuelle Maschinen als digitale Beweismittel untersucht?
- Kann festgestellt werden, ob eine virtuelle Maschine zu einem bestimmten Zeitpunkt ausgeführt wurde?
- Welche Aussagekraft haben Cloud-Synchronisationsspuren vor Gericht?
- Welke bewijskracht hebben versleutelde containers en virtuele gegevensdragers voor de rechter?
- Hoe worden virtuele machines als digitaal bewijsmateriaal onderzocht?
Dateien, Metadaten und Zeitstempel
- Kan worden vastgesteld wanneer een bestand is aangemaakt of gewijzigd?
- Kan worden vastgesteld of een bestand daadwerkelijk is geopend of gebruikt?
- Kan worden vastgesteld of een bestand alleen is bekeken of daadwerkelijk is bewerkt?
- Welche Aussagekraft haben Entwürfe, Autosave-Dateien und temporäre Dokumente?
- Kann eine Datei einem bestimmten Erstellungsprogramm zugeordnet werden?
- Kann nachvollzogen werden, ob ein Dokument aus einer anderen Datei exportiert wurde?
- Können Spuren aus der Zwischenablage eine Copy-and-Paste-Handlung belegen?
- Welche Aussagekraft haben ZIP-, RAR- und andere Archivdateien vor Gericht?
- Wie belastbar ist eine digitale Timeline vor Gericht?
- Welche Aussagekraft haben Suchindexe und indexierte Dateiinhalte?
- Kann eine tatsächlich ausgeführte Suche von einer bloßen Indexierung unterschieden werden?
- Kann festgestellt werden, ob eine digitale Handlung durch eine geplante Aufgabe oder Automatisierung ausgelöst wurde?
- Kann festgestellt werden, ob eine Berechtigung zu einem bestimmten Zeitpunkt bestand?
- Kann eine Änderung von Benutzer- oder Gruppenberechtigungen rekonstruiert werden?
- Wanneer mag er überhaupt een conclusie worden getrokken uit het ontbreken van een digitaal artefact?
- Kan worden aangetoond of een digitaal document achteraf is gewijzigd?
- Kan worden vastgesteld welke versie van een document op een bepaald moment beschikbaar was?
- Kan worden vastgesteld of een bestand van het internet is gedownload?
- Kan worden vastgesteld of een computer op een bepaald moment aan of uit stond?
- Kann nachvollzogen werden, ob Dateien umbenannt oder innerhalb eines Systems verschoben wurden?
- Welke bewijskracht hebben herstelde of slechts fragmentarisch bewaarde bestanden voor de rechter?
- Kan worden vastgesteld of een bestand of informatie is afgedrukt?
- Kann festgestellt werden, ob eine Datei tatsächlich geöffnet wurde?
- Kann nachgewiesen werden, dass eine Person den Inhalt einer digitalen Datei tatsächlich zur Kenntnis genommen hat?
- Kann unterschieden werden, ob eine Datei kopiert, verschoben oder synchronisiert wurde?
- Kann der Zeitpunkt einer Löschung technisch eingegrenzt werden?
- Kann ein Dateizugriff nachgewiesen werden, obwohl die Datei unverändert blieb?
- Kann eine Manipulation von Datei- oder Systemzeitstempeln festgestellt werden?
- Kann zwischen einer Original-Mediendatei und einer konvertierten oder erneut gespeicherten Fassung unterschieden werden?
- Welche Aussagekraft haben Suchindexe für die Existenz oder Nutzung einer Datei?
Widersprüche, Plausibilität und Beweiswürdigung
- Hoe onderzoekt een IT-deskundige een vermeende reeks gebeurtenissen als digitale bewijsstukken elkaar tegenspreken?
- In hoeverre zijn handmatig aanpasbare metagegevens als bewijs betrouwbaar?
- Kan malware een alternatieve verklaring zijn voor een digitale handeling?
- Hoe moet er worden omgegaan met tegenstrijdige digitale sporen?
- Hoe wordt een beweerde digitale gebeurtenissenketen getoetst op technische plausibiliteit?
- Wie bewertet ein IT-Sachverständiger zwei technisch plausible Erklärungen?
- Wie wird ein technischer Nichtnachweis im Gutachten sauber formuliert?
- Wie sind widersprüchliche digitale Beweismittel in einem IT-Gutachten zu behandeln?
Gutachten, Gerichtsverfahren und Sachverständige
- Wie wird die Unabhängigkeit und Neutralität eines IT-Sachverständigen praktisch umgesetzt?
- Waarom moet een IT-rapport begrijpelijk zijn voor mensen die geen forensisch deskundigen zijn?
- Waarom hoort er een technische bijlage bij een begrijpelijk IT-rapport?
- Hoe wordt een IT-rapport voor een eventueel tegenrapport op een reproduceerbare manier opgebouwd?
- Hoe wordt een juridische vraag over IT-bewijs definitief en ondubbelzinnig beantwoord?
- Hoe wordt in het rapport rekening gehouden met tijdzones, zomertijd en defecte systeemklokken?
- Wie kann ein bereits vorliegendes privates IT-Gutachten technisch überprüft werden?
- Sachverständiger oder sachverständiger Zeuge – was ist bei digitalen Tatsachen zu unterscheiden?
- Wie wird ein IT-Gutachten vor Gericht erläutert und auf Ergänzungsfragen geprüft?
- Welche Bedeutung hat eine lückenhafte Chain of Custody für die technische Aussagekraft?
- Was geschieht, wenn während der IT-forensischen Untersuchung neue, vom gerichtlichen Auftrag nicht erfasste Tatsachen auffallen?
- Waar houdt de technische conclusie van de IT-deskundige op en waar begint de bewijswaardering door de rechtbank?
Sonstige Beweisfragen
- Welchen Beweiswert hat ein Screenshot oder Foto eines digitalen Inhalts?
- Kan worden aangetoond of er gegevens naar een USB-stick zijn gekopieerd?
- Hoe worden digitale bewijsstukken zodanig beveiligd dat het onderzoek achteraf nog kan worden gecontroleerd?
- In hoeverre zijn digitale locatiegegevens bruikbaar als bewijs in een rechtszaak?
- Kan het beweerde internet- of browsergebruik technisch worden gereconstrueerd?
- Is de herkomst van een digitaal bestand of een gegevensset te traceren?
- Wie wird mit beschädigten oder unvollständigen digitalen Beweismitteln umgegangen?
- Wie werden Datenbankeinträge und WAL-/Journal-Spuren vor Gericht bewertet?
- Welche Aussagekraft haben System- und Ereignisprotokolle vor Gericht?
- Kann eine IP-Adresse einer bestimmten Person zugeordnet werden?
- Lassen sich Hinweise auf Anti-Forensik oder gezielte Spurenbeseitigung feststellen?
- Wat is het meest overtuigend: originele gegevens, een forensische back-up of een geëxporteerd rapport?
- Wanneer kan een nieuw IT-forensisch onderzoek op grond van § 412 ZPO zinvol zijn?
- Kan worden aangetoond of digitaal bewijsmateriaal na de inbeslagname is gewijzigd?
- Kan worden vastgesteld of er gebruik is gemaakt van administratieve rechten of uitgebreide rechten?
- Hoe moet digitaal bewijsmateriaal worden beoordeeld dat al vóór de forensische back-up verder is gebruikt?
- Kan de volgorde van meerdere digitale handelingen op betrouwbare wijze worden gereconstrueerd?
- Kan de authenticiteit en herkomst van een screenshot technisch worden gecontroleerd?
- Kann festgestellt werden, wann ein ZIP-, RAR- oder anderes Archiv erstellt oder entpackt wurde?
- Kann bei einer PDF-Datei nachvollzogen werden, aus welchem Quelldokument sie erzeugt wurde?