Dit overzicht bundelt alle vragen en antwoorden over IT-forensisch onderzoek voor rechtbanken bij LanCologne – van het toewijzen van gebruikers en accounts via bestanden, metagegevens en communicatiesporen tot tegenstrijdigheden in digitaal bewijsmateriaal en de rol van de IT-deskundige in de gerechtelijke procedure. Klik op een categorie om de bijbehorende vragen te bekijken.
Toewijzing van gebruikers en accounts
- Kan worden aangetoond wie een computer of smartphone heeft gebruikt?
- Kan een specifieke gebruikersinvoer technisch worden aangetoond?
- Kan er onderscheid worden gemaakt tussen het daadwerkelijk verzenden van een bericht en het louter aanwezig zijn ervan in het account?
- Kan er onderscheid worden gemaakt tussen een lokaal gebruikersaccount, een domeinaccount en een cloudaccount?
- Kan een gebruikerswisseling of een parallelle gebruikerssessie worden gereconstrueerd?
- Wat is de waarde van een automatische aanmelding?
- Kan een digitaal artefact aan een bepaald gebruikersprofiel worden gekoppeld?
- Hoe moeten artefacten uit gedeelde of technische accounts worden beoordeeld?
- Kan er onderscheid worden gemaakt tussen digitale gegevens die automatisch zijn gegenereerd en gegevens die door een handeling van de gebruiker zijn gegenereerd?
- Kan worden vastgesteld of een gebruikersaccount is gehackt of door een derde is gebruikt?
- Hoe worden digitale sporen beoordeeld als meerdere apparaten hetzelfde account gebruiken?
- Kan een digitale handeling op gedeelde computers aan een bepaalde gebruiker worden toegeschreven?
- Kan er op betrouwbare wijze onderscheid worden gemaakt tussen een lokaal gebruikersaccount, een domeinaccount en een cloudaccount?
- Kan worden aangetoond dat er sprake is van een wisseling van gebruiker of een gelijktijdige gebruikerssessie?
- Welke betekenis heeft een automatische aanmelding voor de toewijzing van gebruikers?
- Kan een digitaal artefact worden toegewezen aan een bepaald gebruikersprofiel binnen een systeem met meerdere gebruikers?
Communicatie: chat, e-mail en berichten
- Kan een chatgeschiedenis technisch worden gecontroleerd op authenticiteit en volledigheid?
- Is het technisch mogelijk om de herkomst en de verzendroute van een e-mail te achterhalen?
- Welke bewijskracht hebben pushmeldingen als digitaal bewijs?
- Wat bewijst een digitale leesbevestiging eigenlijk?
- Hoe moeten verschillen in de status van berichten aan de zender- en ontvangerstijde worden beoordeeld?
- Kan er bij een e-mailbijlage onderscheid worden gemaakt tussen ontvangst, opslag, openen en bewerken?
- Kan worden vastgesteld of een e-mail is doorgestuurd of dat de inhoud ervan handmatig is overgenomen?
- In hoeverre zijn e-mailheaders een betrouwbare bron van informatie over de herkomst en de verzendroute?
- Kan worden vastgesteld of een e-mail lokaal, op de server of via synchronisatie is verwijderd?
Foto's, video's en multimedia
- Kan uit een schermvergrendeling worden afgeleid of het apparaat daadwerkelijk wordt gebruikt?
- Kan worden vastgesteld of een foto of video met een bepaald apparaat is gemaakt?
- Kan er onderscheid worden gemaakt tussen de originele opname, het bewerkte bestand en de geconverteerde kopie?
- Hoeveel informatie geven voorvertoningsafbeeldingen en thumbnail-caches?
- Welke bewijskracht heeft een schermopname als digitaal bewijsmateriaal?
- In hoeverre zijn foto- en videometadata bruikbaar als bewijs in een rechtszaak?
- Geeft een voorbeeldafbeelding of thumbnail aan dat het bijbehorende bestand is geopend?
Apparaten, netwerk- en systeemelementen
- Kan worden vastgesteld of een apparaat verbonden was met een bepaalde WLAN?
- Wat is de betekenis van identieke bestanden op meerdere apparaten?
- Kan worden vastgesteld welk apparaat een gesynchroniseerde wijziging oorspronkelijk heeft veroorzaakt?
- Kan een beweerde toegang op afstand tot een computer technisch worden aangetoond?
- Kan het tijdstip van een netwerkwisseling van een apparaat worden achterhaald?
- Kan worden vastgesteld of een systeemupdate digitale sporen heeft gewijzigd of verwijderd?
- Welke invloed heeft de migratie naar een nieuw apparaat op de beoordeling van bewijsmateriaal?
- Kan worden aangetoond of een bepaald extern apparaat op een computer was aangesloten?
- Kan worden vastgesteld of bepaalde software is geïnstalleerd of daadwerkelijk is uitgevoerd?
- Kan achteraf worden vastgesteld of een programma dat inmiddels is verwijderd, eerder was geïnstalleerd?
- Kan worden aangetoond of gegevens via een netwerkdelingsmap zijn verzonden of opgehaald?
- Welke bewijskracht hebben vluchtige gegevens uit het werkgeheugen voor de rechtbank?
- Kan een Remote Desktop- of sessie op afstand achteraf worden aangetoond?
- Kan worden vastgesteld of een apparaat op het betreffende tijdstip was vergrendeld of actief werd bediend?
- Is het mogelijk om na te gaan met welk netwerk een apparaat op een bepaald moment verbonden was?
- Hoe worden tijdgegevens van externe Server-apparaten vergeleken met de lokale tijd van het apparaat?
- Welke invloed kunnen systeemupdates hebben op digitale sporen?
- Kan een migratie van een oud naar een nieuw apparaat forensisch worden opgespoord?
Verwijderen, herstellen en back-up maken
- Kan worden aangetoond of gegevens opzettelijk zijn gewist?
- Welke sporen kan een herstel vanuit een back-up achterlaten?
- Wat kan er na het terugzetten naar de fabrieksinstellingen nog met zekerheid worden vastgesteld?
- Welke bewijskracht hebben back-ups, snapshots en historische back-ups?
- Kan worden vastgesteld of een gegevensdrager is geformatteerd of dat er een nieuw besturingssysteem is geïnstalleerd?
- Welke bewijskracht hebben prullenbak- en trash-artefacten voor de rechtbank?
- Kan worden vastgesteld of verwijderde gegevens later zijn overschreven?
- Welke invloed heeft het terugzetten vanuit een back-up op de beoordeling van bewijsmateriaal?
- Welke meldingen zijn nog mogelijk na het terugzetten naar de fabrieksinstellingen?
Authenticatie, versleuteling en toegangsbeveiliging
- Kan er onderscheid worden gemaakt tussen wachtwoord-, biometrische en sessiegebaseerde authenticatie?
- Welke bewijskracht hebben opgeslagen wachtwoorden, tokens en toegangsgegevens voor de rechter?
- Hoe betrouwbaar zijn versleutelde containers en virtuele opslagmedia?
- Welke verklaring is toegestaan in het geval van versleuteld of slechts gedeeltelijk toegankelijk bewijsmateriaal?
- Hoe wordt een digitale handtekening technisch gecontroleerd?
Anonimisering, VPN en netwerksporen
- In hoeverre is het gebruik van een VPN relevant voor het toewijzen van digitale activiteiten?
- Hoe worden proxy-, relay- of anonimiseringsverbindingen forensisch geclassificeerd?
- In hoeverre zijn DNA-sporen een betrouwbaar bewijs van internetactiviteit?
- In hoeverre is het gebruik van een VPN relevant voor het toewijzen van internetactiviteiten?
Cloud, virtuele systemen en containers
- Kan worden vastgesteld of een archief is uitgepakt of dat de inhoud ervan is gebruikt?
- Hoe worden virtuele machines als digitaal bewijsmateriaal onderzocht?
- Kan worden vastgesteld of een virtuele machine op een bepaald moment actief was?
- Welke bewijskracht hebben sporen van cloudsynchronisatie voor de rechter?
- Welke bewijskracht hebben versleutelde containers en virtuele gegevensdragers voor de rechter?
- Hoe worden virtuele machines als digitaal bewijsmateriaal onderzocht?
Bestanden, metagegevens en tijdstempels
- Kan worden vastgesteld wanneer een bestand is aangemaakt of gewijzigd?
- Kan worden vastgesteld of een bestand daadwerkelijk is geopend of gebruikt?
- Kan worden vastgesteld of een bestand alleen is bekeken of daadwerkelijk is bewerkt?
- Welke waarde hebben ontwerpen, automatisch opgeslagen bestanden en tijdelijke documenten?
- Kan een bestand aan een bepaald programma worden gekoppeld waarmee het is gemaakt?
- Is het mogelijk om na te gaan of een document uit een ander bestand is geëxporteerd?
- Kunnen sporen uit het klembord een kopieer-en-plakactie aantonen?
- Welke bewijskracht hebben ZIP-, RAR- en andere archiefbestanden voor de rechter?
- In hoeverre is een digitale tijdlijn rechtsgeldig?
- Welke waarde hebben zoekindexen en de inhoud van geïndexeerde bestanden?
- Kan een daadwerkelijk uitgevoerde zoekopdracht worden onderscheiden van een loutere indexering?
- Kan worden vastgesteld of een digitale handeling is geactiveerd door een geplande taak of automatisering?
- Kan worden vastgesteld of er op een bepaald moment sprake was van een bevoegdheid?
- Kan een wijziging in gebruikers- of groepsrechten worden gereconstrueerd?
- Wanneer mag er überhaupt een conclusie worden getrokken uit het ontbreken van een digitaal artefact?
- Kan worden aangetoond of een digitaal document achteraf is gewijzigd?
- Kan worden vastgesteld welke versie van een document op een bepaald moment beschikbaar was?
- Kan worden vastgesteld of een bestand van het internet is gedownload?
- Kan worden vastgesteld of een computer op een bepaald moment aan of uit stond?
- Is het mogelijk om na te gaan of bestanden zijn hernoemd of binnen een systeem zijn verplaatst?
- Welke bewijskracht hebben herstelde of slechts fragmentarisch bewaarde bestanden voor de rechter?
- Kan worden vastgesteld of een bestand of informatie is afgedrukt?
- Kan worden vastgesteld of een bestand daadwerkelijk is geopend?
- Kan worden aangetoond dat iemand daadwerkelijk kennis heeft genomen van de inhoud van een digitaal bestand?
- Kan er onderscheid worden gemaakt of een bestand is gekopieerd, verplaatst of gesynchroniseerd?
- Kan het tijdstip van verwijdering technisch worden beperkt?
- Kan er worden aangetoond dat er toegang tot een bestand is geweest, ook al is het bestand ongewijzigd gebleven?
- Kan er worden vastgesteld of er geknoeid is met bestands- of systeemtijdstempels?
- Kan er onderscheid worden gemaakt tussen een origineel mediabestand en een geconverteerde of opnieuw opgeslagen versie?
- In hoeverre zijn zoekindexen een indicatie voor het bestaan of het gebruik van een bestand?
Tegenstrijdigheden, plausibiliteit en bewijsbeoordeling
- Hoe onderzoekt een IT-deskundige een vermeende reeks gebeurtenissen als digitale bewijsstukken elkaar tegenspreken?
- In hoeverre zijn handmatig aanpasbare metagegevens als bewijs betrouwbaar?
- Kan malware een alternatieve verklaring zijn voor een digitale handeling?
- Hoe moet er worden omgegaan met tegenstrijdige digitale sporen?
- Hoe wordt een beweerde digitale gebeurtenissenketen getoetst op technische plausibiliteit?
- Hoe beoordeelt een IT-deskundige twee technisch aannemelijke verklaringen?
- Hoe wordt een technisch gebrek aan bewijs in het rapport duidelijk geformuleerd?
- Hoe moet in een IT-rapport worden omgegaan met tegenstrijdige digitale bewijsstukken?
Deskundigenrapporten, gerechtelijke procedures en deskundigen
- Hoe worden de onafhankelijkheid en neutraliteit van een IT-deskundige in de praktijk toegepast?
- Waarom moet een IT-rapport begrijpelijk zijn voor mensen die geen forensisch deskundigen zijn?
- Waarom hoort er een technische bijlage bij een begrijpelijk IT-rapport?
- Hoe wordt een IT-rapport voor een eventueel tegenrapport op een reproduceerbare manier opgebouwd?
- Hoe wordt een juridische vraag over IT-bewijs definitief en ondubbelzinnig beantwoord?
- Hoe wordt in het rapport rekening gehouden met tijdzones, zomertijd en defecte systeemklokken?
- Hoe kan een reeds bestaand particulier IT-rapport technisch worden gecontroleerd?
- Deskundige of deskundige getuige – wat is het verschil bij digitale feiten?
- Hoe wordt een IT-rapport voor de rechtbank toegelicht en getoetst aan aanvullende vragen?
- Welke invloed heeft een onvolledige chain of custody op de technische betrouwbaarheid?
- Wat gebeurt er als er tijdens het IT-forensisch onderzoek nieuwe feiten aan het licht komen die niet onder de gerechtelijke opdracht vallen?
- Waar houdt de technische conclusie van de IT-deskundige op en waar begint de bewijswaardering door de rechtbank?
Overige bewijskwesties
- Welke bewijskracht heeft een screenshot of foto van digitale inhoud?
- Kan worden aangetoond of er gegevens naar een USB-stick zijn gekopieerd?
- Hoe worden digitale bewijsstukken zodanig beveiligd dat het onderzoek achteraf nog kan worden gecontroleerd?
- In hoeverre zijn digitale locatiegegevens bruikbaar als bewijs in een rechtszaak?
- Kan het beweerde internet- of browsergebruik technisch worden gereconstrueerd?
- Is de herkomst van een digitaal bestand of een gegevensset te traceren?
- Hoe wordt er omgegaan met beschadigd of onvolledig digitaal bewijsmateriaal?
- Hoe worden database-records en WAL-/journaalgegevens in de rechtbank beoordeeld?
- Welke bewijskracht hebben systeem- en gebeurtenislogboeken voor de rechter?
- Kan een IP-adres aan een bepaalde persoon worden gekoppeld?
- Zijn er aanwijzingen voor anti-forensische maatregelen of het doelbewust wissen van sporen?
- Wat is het meest overtuigend: originele gegevens, een forensische back-up of een geëxporteerd rapport?
- Wanneer kan een nieuw IT-forensisch onderzoek op grond van § 412 ZPO zinvol zijn?
- Kan worden aangetoond of digitaal bewijsmateriaal na de inbeslagname is gewijzigd?
- Kan worden vastgesteld of er gebruik is gemaakt van administratieve rechten of uitgebreide rechten?
- Hoe moet digitaal bewijsmateriaal worden beoordeeld dat al vóór de forensische back-up verder is gebruikt?
- Kan de volgorde van meerdere digitale handelingen op betrouwbare wijze worden gereconstrueerd?
- Kan de authenticiteit en herkomst van een screenshot technisch worden gecontroleerd?
- Kan worden vastgesteld wanneer een ZIP-, RAR- of ander archief is aangemaakt of uitgepakt?
- Is bij een PDF-bestand te achterhalen uit welk brondocument het is gegenereerd?