IT-forensisch onderzoek · Rechtbanken

Waar houdt de technische conclusie van de IT-deskundige op en waar begint de bewijswaardering door de rechtbank?

Een IT-deskundige moet de rechtbank van zijn vakkennis voorzien, en niet de beslissing van de rechtbank overnemen. Juist bij digitale sporen moet daarom een duidelijk onderscheid worden gemaakt tussen technische bevindingen, vakkundige interpretatie en juridische respectievelijk algemene rechterlijke beoordeling.

Vrijblijvend informeren

Voor de rechtbank is het niet van belang hoeveel analyseprogramma’s er zijn gebruikt. Doorslaggevend is welk concreet technisch feit op basis van de beschikbare gegevens op betrouwbare wijze kan worden vastgesteld, hoe deze vaststelling tot stand komt en wat de grenzen ervan zijn.

De concrete bewijskwestie

We formuleren welke technische feiten kunnen worden vastgesteld, welke conclusies daaruit vanuit vaktechnisch oogpunt gerechtvaardigd zijn en welke alternatieve verklaringen er bestaan. Uitspraken over schuld, opzet, geloofwaardigheid of de juridische betekenis van het totale bewijsmateriaal worden niet als forensische vaststelling gepresenteerd.

Waarom één digitaal spoor zelden volstaat

Digitale artefacten ontstaan in systemen met eigen opslag-, synchronisatie- en logboekmechanismen. Een afzonderlijke tijdstempel, logboekvermelding of databasewaarde wordt daarom niet zonder context als definitieve conclusie beschouwd. Voor zover de bewijskwestie dit vereist, worden meerdere onderling onafhankelijke sporen met elkaar in verband gebracht en worden technisch plausibele tegenhypothesen getoetst.

Waar de grens van de uitspraak ligt

Zelfs een technisch zeer overtuigend bewijs biedt niet automatisch een antwoord op de juridische vraag. De beoordeling van al het bewijsmateriaal en de beslissing blijven bij de rechtbank.

Hoe LanCologne de bewijsvraag behandelt

Bij LanCologne begint het onderzoek met de juridische bewijskwestie en niet met een bepaald analyseprogramma. Eerst wordt vastgesteld welk technisch feit moet worden vastgesteld, welke gegevensbronnen daarvoor relevant zijn en met welke tegenhypothesen rekening moet worden gehouden.

Het bewijsmateriaal en de brongegevens worden eenduidig gedocumenteerd. Voor zover technisch mogelijk vindt de analyse plaats op geverifieerde forensische back-ups of geschikte werkkopieën. Bevindingen die van belang zijn voor de besluitvorming worden niet louter overgenomen omdat ze door software worden weergegeven. Wij controleren de herkomst, de ontstaanslogica en de context van het artefact en toetsen centrale bevindingen indien nodig aan de hand van de onderliggende gegevens of een tweede, vaktechnisch geschikte methode.

In het rapport worden de feitelijke bevindingen, de technische interpretatie en de conclusie van elkaar gescheiden. Ook worden de grenzen van de uitspraken duidelijk beschreven: wat kan worden aangetoond? Wat wordt slechts ondersteund? Welke tegenstrijdige bevindingen zijn er? Wat blijft onduidelijk? Het ontbreken van bewijs wordt niet omgezet in een schijnbaar zekere uitspraak.

Het hoofdgedeelte wordt zo geschreven dat een rechter zonder specialistische kennis op het gebied van IT-forensisch onderzoek de redenering kan begrijpen. De technische controleerbaarheid blijft gewaarborgd. Voor de controle relevante gegevensbronnen, integriteitsinformatie, artefacten en onderzoeksstappen worden zodanig gedocumenteerd dat een onafhankelijke IT-forensisch expert de centrale bevindingen voor een eventueel tegenrapport kan nagaan.

Van gerechtelijk bevel tot betrouwbare verklaring

1Het gerechtelijk mandaat en de bewijskwestie vaktechnisch afbakenen.
2Controleer of de vraag binnen het eigen vakgebied valt en of er navraag bij de rechtbank moet worden gedaan.
3Bewijsmateriaal, uitgangssituatie en beschikbare gegevens vastleggen.
4De integriteit van de onderzoeksgegevens verifiëren, voor zover dit technisch mogelijk is.
5Uit de bewijskwestie technische onderzoekshypothesen en tegenhypothesen afleiden.
6Alleen de voor dit doel relevante gegevensbronnen doelgericht onderzoeken.
7Bevindingen die van belang zijn voor de besluitvorming in een technische context valideren.
8Houd rekening met tegenstrijdigheden, ontbrekende gegevens en alternatieve verklaringen.
9Geef de grenzen van de uitspraak uitdrukkelijk aan.
10Geef een duidelijk antwoord op de bewijskwestie en maak een technische toetsing mogelijk.

Positieve bevindingen, negatieve bevindingen en geen bewijs

Een deskundige conclusie moet openstaan voor verschillende uitkomsten. Als de gegevens de te toetsen hypothese bevestigen, wordt uitgelegd waarop deze is gebaseerd. Als er betrouwbare aanwijzingen zijn die deze hypothese tegenspreken, worden ook deze weergegeven. Als de gegevensbasis onvoldoende is voor een zekere conclusie, wordt dit aangeduid als ‘niet bewezen’ of als een ‘openstaande technische vraag’. Juist deze scheiding voorkomt dat uit een gegevenslacune een schijnbaar zekere uitspraak voortkomt.

Begrijpelijk voor de rechtbank – technisch toetsbaar voor een tegenexpert

De inhoudelijke kern wordt in begrijpelijke taal uitgelegd. Vaktermen worden alleen gebruikt waar dat nodig is, en worden vervolgens toegelicht. Tegelijkertijd blijven de cruciale technische basisprincipes behouden: onderzochte gegevensbronnen, relevante artefacten, integriteitsinformatie, tijdsreferenties en methodische stappen. Een IT-forensisch expert die niet bij de procedure betrokken is, moet de afleiding kunnen controleren, zonder dat de hoofdtekst voor de rechtbank een verzameling technische ruwe gegevens wordt.

Methodologische indeling

Voor forensisch IT-onderzoek in gerechtelijke zaken bestaat er geen wettelijk vastgelegde lijst van voorgeschreven analyseprogramma’s. Van technisch belang zijn een gecontroleerde gegevensbasis, integriteit, gedocumenteerde onderzoeksstappen, traceerbare conclusies en de mogelijkheid tot onafhankelijke controle.

De BSI-basisbeveiligingsmodule DER.2.2 „Voorbereiding op IT-forensisch onderzoek“ bevat nuttige uitgangspunten voor de voorbereiding op latere forensische onderzoeken en voor het veiligstellen van bewijsmateriaal bij IT-beveiligingsincidenten. Het is echter geen forensische norm in het kader van het strafprocesrecht; de eigenlijke forensische analyse valt niet onder dit onderdeel. Deze afbakening wordt uitdrukkelijk in acht genomen.

LanCologne als onafhankelijk IT-deskundige

Wanneer een rechtbank een concrete digitale bewijskwestie technisch moet laten uitzoeken, onderzoeken wij de beschikbare gegevensbasis op onafhankelijke wijze en zonder vooringenomenheid. Het doel is niet het verzamelen van een zo groot mogelijke hoeveelheid technische resultaten, maar een vakkundig onderbouwd antwoord: begrijpelijk voor de rechtbank, transparant in de redenering en technisch controleerbaar.

Wettelijk kader

Voor het bewijs door deskundigen in civiele procedures zijn met name §§ 402 e.v. ZPO relevant. § 403 ZPO heeft betrekking op de omschrijving van de te beoordelen punten. Volgens § 404a ZPO stuurt de rechtbank de werkzaamheden van de deskundige aan en kan zij de aard en omvang van zijn werkzaamheden vaststellen. § 407a ZPO bevat de verplichtingen van de deskundige, onder meer om zijn eigen vakgebied te toetsen en om twijfels over de inhoud en omvang van de opdracht weg te nemen. § 411 ZPO regelt het schriftelijke deskundigenrapport, alsmede de toelichting daarop en eventuele aanvullingen. De beoordeling van het deskundigenrapport in samenhang met de overige bewijsresultaten blijft een taak van de rechtbank (§ 286 ZPO).

Bij rapporten in het kader van strafrechtelijke procedures zijn de artikelen 72 e.v. van het Wetboek van Strafvordering (StPO) van toepassing op deskundigen. Welke bepalingen in de concrete procedure van toepassing zijn, hangt af van de opdracht en de aard van de procedure. Het IT-forensisch onderzoek vervangt noch de juridische beoordeling, noch de bewijswaardering door de rechter.

Veelgestelde vragen

Waar houdt de technische conclusie van de IT-deskundige op en waar begint de bewijswaardering door de rechtbank?+
Een IT-deskundige moet de rechtbank van zijn vakkennis voorzien, niet de beslissing van de rechtbank overnemen.
Hoe verloopt zo’n technisch onderzoek in de praktijk?+
Bij LanCologne begint het onderzoek met de juridische bewijskwestie en niet met een bepaald analyseprogramma.
Levert het resultaat van het onderzoek een eenduidige conclusie op voor de rechtbank?+
Zelfs een technisch zeer overtuigend bewijs biedt niet automatisch een antwoord op de juridische vraag. De beoordeling van al het bewijsmateriaal en de beslissing blijven bij de rechtbank.
Is daar een wettelijke grondslag voor?+
Voor het bewijs door deskundigen in civiele procedures zijn met name §§ 402 e.v. van het Duitse Wetboek van Burgerlijke Rechtsvordering (ZPO) van belang. § 403 ZPO heeft betrekking op de omschrijving van de te beoordelen punten. Overeenkomstig § 404a ZPO stuurt de rechtbank de werkzaamheden van de deskundige aan en kan zij de aard en omvang van zijn werkzaamheden vaststellen.

LanCologne – IT-forensisch onderzoek voor rechtbanken

Heeft u een digitale vraag? LanCologne ondersteunt u met een objectief, onbevooroordeeld IT-forensisch onderzoek.

Nu contact opnemen