IT-forensisch onderzoek · Rechtbanken

IT-forensisch onderzoek voor rechtbanken – de bewijskwestie staat centraal

Een rechtbank heeft geen behoefte aan een zo lang mogelijk technisch rapport of een opsomming van de gebruikte programma’s. Wat de rechtbank nodig heeft, is een degelijk antwoord op de gestelde bewijsvraag.

Vrijblijvend informeren

Dat is precies waar we ons onderzoek op richten. Eerst wordt vastgesteld wat er technisch gezien moet worden beantwoord. Vervolgens bepalen we welke gegevensbronnen hiervoor geschikt zijn, welke onderzoeksstappen nodig zijn en met welke alternatieve verklaringen rekening moet worden gehouden. Pas daarna begint de eigenlijke analyse.

Het resultaat kan een positieve vaststelling, een uitsluiting of een gemotiveerde conclusie zijn dat „dit op basis van de beschikbare gegevens niet met zekerheid kan worden vastgesteld“. Alle drie de resultaten kunnen vaktechnisch correct zijn. Het is van doorslaggevend belang dat de rechtbank kan nagaan hoe de verklaring tot stand is gekomen en wat de grenzen ervan zijn.

De eigenlijke bewijskwestie

Hoe wordt een bewijskwestie voor de rechter omgezet in een technisch deugdelijk onderzoek?

We splitsen de juridische vraag op in technisch controleerbare deelvragen. Als bijvoorbeeld moet worden vastgesteld of een bestand op een bepaalde dag is gewijzigd, volstaat één tijdstempel niet. Er moet onder andere worden gekeken naar metagegevens van het bestandssysteem, sporen van applicaties, back-ups, logbestanden en, indien van toepassing, synchronisatieprocessen.

Het onderzoek blijft daarbij gebonden aan de gerechtelijke opdracht. In geval van betwiste feiten bepaalt de rechtbank overeenkomstig § 404a, lid 3, ZPO welke feiten als uitgangspunt voor het deskundigenonderzoek moeten dienen. Wij vervangen deze richtlijn niet door eigen veronderstellingen.

Waar de grens van de uitspraak ligt

Een deskundige mag een onduidelijke bewijskwestie niet op eigen houtje herinterpreteren als een andere kwestie. Indien er twijfel bestaat over de inhoud of de reikwijdte van de opdracht, schrijft § 407a, lid 4, van het Duitse Wetboek van Burgerlijke Rechtsvordering (ZPO) voor dat de rechtbank hierover duidelijkheid moet verschaffen.

Waarom LanCologne?

Bij gerechtelijke opdrachten is het voor ons niet van belang welk analyseprogramma als eerste een treffer aangeeft. Het gaat erom of de bewijskwestie op vakkundige wijze kan worden beantwoord en of dit antwoord een onafhankelijke toetsing kan doorstaan.

We werken zonder vooringenomenheid, documenteren de herkomst van cruciale bevindingen en onderzoeken alternatieve technische verklaringen. De daadwerkelijke analyse vindt in principe plaats op basis van een forensische kopie of een op bewijsveilige wijze vastgelegde dataset. Originelen worden niet onnodig rechtstreeks onderzocht. Wanneer live-maatregelen technisch noodzakelijk zijn, worden de daardoor mogelijke veranderingen uitdrukkelijk gedocumenteerd.

Afhankelijk van de vraagstelling worden cruciale bevindingen gecontroleerd met behulp van een tweede, vaktechnisch geschikte methode of rechtstreeks aan de hand van de onderliggende ruwe gegevens. Welke hulpmiddelen hiervoor worden gebruikt, hangt af van het bewijsmateriaal en de vraagstelling. Bepalend zijn de geschiktheid, de vakmatige erkenning en de traceerbaarheid van de methode – niet een productnaam.

In ons rapport wordt een onderscheid gemaakt tussen de vastgestelde feiten, de technische beoordeling en de resterende onzekerheid. Het ontbreken van bewijs wordt even zorgvuldig gemotiveerd als het vinden van bewijs.

Zo gaan we te werk bij gerechtelijke opdrachten

Onze werkwijze – van de gerechtelijke opdracht tot het antwoord

1De opdracht en de bewijskwestie toetsen

We gaan eerst na of de vraag binnen ons vakgebied valt, op welke feiten de rechtbank zich baseert en of de inhoud of omvang van de opdracht duidelijk zijn. Bij twijfel wordt de rechtbank om opheldering gevraagd. Dit is in overeenstemming met § 404a en § 407a ZPO.

2Onafhankelijkheid controleren

Mogelijke redenen die aanleiding zouden kunnen geven tot twijfel over de onpartijdigheid, worden vóór aanvang van het feitenonderzoek onderzocht en worden, indien nodig, aan de rechtbank meegedeeld.

3Bewijsmateriaal eenduidig vastleggen

Apparaten, gegevensdragers, back-ups en ter beschikking gestelde bestanden worden geïdentificeerd en gedocumenteerd. De toestand ten tijde van het onderzoek wordt vastgelegd.

4De gegevensintegriteit waarborgen

Voor zover dit technisch mogelijk is, wordt er een forensische kopie of een forensische afbeelding gemaakt. Hashwaarden en andere integriteitscontroles dienen ter eenduidige toewijzing. Het origineel wordt bewaard voor latere controles.

5Testhypothesen afleiden uit de bewijsvraag

We stellen vast welke sporen de beweerde gebeurtenis zouden ondersteunen, welke tegenstrijdige bevindingen denkbaar zijn en welke alternatieve technische verklaringen moeten worden onderzocht.

6Relevante gegevensbronnen onderzoeken

Alleen artefacten die voor de bewijskwestie van wetenschappelijke waarde zijn, worden onderzocht. Automatische treffers worden niet zonder controle overgenomen.

7Bevindingen onafhankelijk valideren

Bevindingen die van belang zijn voor de besluitvorming worden – voor zover nodig – gecontroleerd aan de hand van een tweede erkende methode, een andere technische benadering of rechtstreeks aan de hand van de ruwe gegevens.

8De grenzen van uitspraken bepalen

We gaan uitdrukkelijk na welke conclusies er niet uit de gegevens mogen worden getrokken. Ontbrekende gegevens, mogelijke verwijdering, technische beperkingen, onvolledige extracties of tegenstrijdige sporen worden vermeld.

9De bewijskwestie duidelijk beantwoorden

Het definitieve antwoord vloeit voort uit de gedocumenteerde bevindingen. Het wordt niet sterker geformuleerd dan de gegevens toelaten.

10Technische bijlage bijvoegen

De hoofdtekst blijft ook voor niet-forensische deskundigen begrijpelijk. De technische bijlage bevat de informatie die een onafhankelijke IT-forensisch deskundige nodig heeft voor een vakkundige controle of een tegenrapport.

Wettelijk kader

ZPO §§ 403, 404a, 407a, 411, 412; aanvullend § 286 ZPO betreffende de rechterlijke bewijswaardering. In strafzaken zijn §§ 72 e.v. StPO van toepassing op deskundigen.

De deskundige levert de feitelijke onderbouwing. De juridische beoordeling en de uiteindelijke bewijswaardering blijven de taak van de rechtbank.

Veelgestelde vragen

Waarom staat bij een gerechtelijk IT-forensisch onderzoek de bewijskwestie centraal?+
Een rechtbank heeft geen behoefte aan een zo lang mogelijk technisch rapport of een opsomming van de gebruikte programma’s. Wat de rechtbank nodig heeft, is een degelijk antwoord op de gestelde bewijsvraag. Hoe wordt een bewijsvraag van de rechtbank omgezet in een technisch degelijk onderzoek?
Hoe verloopt zo’n technisch onderzoek in de praktijk?+
Onze werkwijze – van de gerechtelijke opdracht tot het antwoord. We gaan eerst na of de vraag binnen ons vakgebied valt, op welke feiten de rechtbank zich baseert en of de inhoud of de reikwijdte van de opdracht duidelijk zijn.
Levert het resultaat van het onderzoek een eenduidige conclusie op voor de rechtbank?+
Een deskundige mag een onduidelijke bewijskwestie niet op eigen houtje herinterpreteren als een andere kwestie. Indien er twijfel bestaat over de inhoud of de reikwijdte van de opdracht, schrijft § 407a, lid 4, van het Duitse Wetboek van Burgerlijke Rechtsvordering (ZPO) voor dat de rechtbank hierover duidelijkheid moet verschaffen.
Is daar een wettelijke grondslag voor?+
ZPO §§ 403, 404a, 407a, 411, 412; aanvullend § 286 ZPO betreffende de rechterlijke bewijswaardering. In strafzaken zijn §§ 72 e.v. StPO van toepassing op deskundigen. De deskundige levert de feitelijke basis vanuit zijn vakgebied.

LanCologne – IT-forensisch onderzoek voor rechtbanken

Heeft u voor een bewijskwestie in een rechtszaak een onafhankelijk technisch onderzoek nodig? LanCologne onderzoekt digitale sporen op objectieve, transparante en reproduceerbare wijze. Wij documenteren zowel positieve bevindingen als het ontbreken van bewijs en technische beperkingen op een zodanige wijze dat de conclusie begrijpelijk blijft voor de rechtbank en technisch verifieerbaar blijft voor een onafhankelijke IT-forensisch deskundige.

Nu contact opnemen