IT-forensisch onderzoek · Rechtbanken

Hoe onderzoekt een IT-deskundige een vermeende reeks gebeurtenissen als digitale bewijsstukken elkaar tegenspreken?

Gerechtelijke kwesties kunnen niet altijd worden verklaard aan de hand van één enkel consistent digitaal spoor. Juist tegenstrijdige bevindingen vereisen een methodische plausibiliteitscontrole.

Vrijblijvend informeren

Voor de rechtbank is het niet van belang hoeveel analyseprogramma’s er zijn gebruikt. Doorslaggevend is welk concreet technisch feit op basis van de beschikbare gegevens op betrouwbare wijze kan worden vastgesteld, hoe deze vaststelling tot stand komt en wat de grenzen ervan zijn.

De concrete bewijskwestie

We classificeren elke bron op basis van de logica achter het ontstaan ervan en de zeggingskracht ervan, controleren tijdsverbanden, afhankelijkheden en mogelijke technische alternatieve verklaringen, en onderzoeken welke reeksen van gebeurtenissen verenigbaar zijn met alle betrouwbare bevindingen.

Waarom één digitaal spoor zelden volstaat

Digitale artefacten ontstaan in systemen met eigen opslag-, synchronisatie- en logboekmechanismen. Een afzonderlijke tijdstempel, logboekvermelding of databasewaarde wordt daarom niet zonder context als definitieve conclusie beschouwd. Voor zover de bewijskwestie dit vereist, worden meerdere onderling onafhankelijke sporen met elkaar in verband gebracht en worden technisch plausibele tegenhypothesen getoetst.

Waar de grens van de uitspraak ligt

De deskundige mag een tegenstrijdigheid niet oplossen door ongemakkelijke aanwijzingen te negeren. Als er meerdere technisch aannemelijke verklaringen overblijven, moet deze onzekerheid deel uitmaken van de conclusie.

Hoe LanCologne de bewijsvraag behandelt

Bij LanCologne begint een gerechtelijk IT-forensisch onderzoek met de bewijsvraag en niet met een bepaald analyseprogramma. Eerst wordt vastgesteld welk technisch feit moet worden vastgesteld, welke gegevensbronnen hiervoor überhaupt relevant zijn en met welke tegenhypothesen rekening moet worden gehouden.

Het bewijsmateriaal en de brongegevens worden eenduidig gedocumenteerd. Voor zover technisch mogelijk vindt de analyse plaats op geverifieerde forensische back-ups of geschikte werkkopieën. Treffers die van belang zijn voor de besluitvorming worden niet louter overgenomen omdat ze door software worden weergegeven. De herkomst, de logica achter het ontstaan en de context van het artefact worden gecontroleerd; belangrijke bevindingen worden indien nodig geverifieerd aan de hand van de onderliggende gegevens of een tweede, vaktechnisch geschikte methode.

In het rapport worden de feitelijke bevindingen, de technische interpretatie en de conclusie van elkaar gescheiden. Ook worden de grenzen van de uitspraken duidelijk beschreven: wat kan worden aangetoond? Wat wordt slechts ondersteund? Welke tegenstrijdige bevindingen zijn er? Wat blijft onduidelijk? Het ontbreken van bewijs wordt niet omgezet in een schijnbaar zekere uitspraak.

Het hoofdgedeelte wordt zo geschreven dat een rechter zonder specialistische kennis op het gebied van IT-forensisch onderzoek de redenering kan begrijpen. De technische controleerbaarheid blijft gewaarborgd. Voor de controle relevante gegevensbronnen, integriteitsinformatie, artefacten en onderzoeksstappen worden zodanig gedocumenteerd dat een onafhankelijke IT-forensisch expert de centrale bevindingen in het kader van een eventueel tegenrapport kan nagaan.

Van gerechtelijk bevel tot betrouwbare verklaring

Positieve bevindingen, negatieve bevindingen en geen bewijs

Een deskundige conclusie moet openstaan voor verschillende uitkomsten. Als de gegevens de te toetsen hypothese bevestigen, wordt uitgelegd waarop deze is gebaseerd. Als er betrouwbare aanwijzingen zijn die deze hypothese tegenspreken, worden ook deze weergegeven. Als de gegevensbasis onvoldoende is voor een zekere conclusie, wordt dit aangeduid als ‘niet bewezen’ of als een ‘openstaande technische vraag’. Juist deze scheiding voorkomt dat uit een gegevenslacune een schijnbaar zekere uitspraak voortkomt.

Begrijpelijk voor de rechtbank – technisch toetsbaar voor een tegenexpert

De inhoudelijke kern wordt in begrijpelijke taal uitgelegd. Vaktermen worden alleen gebruikt waar dat nodig is, en worden vervolgens toegelicht. Tegelijkertijd blijven de cruciale technische basisprincipes behouden: onderzochte gegevensbronnen, relevante artefacten, integriteitsinformatie, tijdsreferenties en methodische stappen. Een IT-forensisch expert die niet bij de procedure betrokken is, moet de afleiding kunnen controleren, zonder dat de hoofdtekst voor de rechtbank een verzameling technische ruwe gegevens wordt.

Methodologische indeling

Voor forensisch IT-onderzoek in gerechtelijke zaken bestaat er geen wettelijk vastgelegde lijst van voorgeschreven analyseprogramma’s. Van technisch belang zijn een gecontroleerde gegevensbasis, integriteit, gedocumenteerde onderzoeksstappen, traceerbare conclusies en de mogelijkheid tot onafhankelijke controle.

De BSI-basisbeveiligingsmodule DER.2.2 „Voorbereiding op IT-forensisch onderzoek“ bevat nuttige uitgangspunten voor de voorbereiding op latere forensische onderzoeken en voor het veiligstellen van bewijsmateriaal bij IT-beveiligingsincidenten. Het is echter geen forensische norm in het kader van het strafprocesrecht; in de module wordt uitdrukkelijk verduidelijkt dat de eigenlijke forensische analyse niet het onderwerp ervan is en dat deze geen betrekking heeft op IT-forensisch onderzoek bij strafbare feiten.

LanCologne als onafhankelijk IT-deskundige

Wanneer een rechtbank een concrete digitale bewijskwestie technisch moet laten uitzoeken, onderzoeken wij de beschikbare gegevensbasis op onafhankelijke wijze en zonder vooringenomenheid. Het doel is niet het verzamelen van een zo groot mogelijke hoeveelheid technische resultaten, maar een vakkundig onderbouwd antwoord: begrijpelijk voor de rechtbank, transparant in de redenering en technisch controleerbaar.

Voor het bewijs door deskundigen in civiele procedures zijn met name de §§ 402 e.v. ZPO van toepassing. § 403 ZPO koppelt het aanvoeren van bewijs aan de omschrijving van de te beoordelen punten. Volgens § 404a ZPO stuurt de rechtbank de werkzaamheden van de deskundige aan; bij een betwiste feitelijke situatie bepaalt zij de feiten waarop het deskundigenonderzoek moet worden gebaseerd. § 407a ZPO verplicht de deskundige onder meer om na te gaan of de opdracht binnen zijn vakgebied valt, om mogelijke redenen mee te delen die wantrouwen ten aanzien van zijn onpartijdigheid zouden kunnen rechtvaardigen, en om bij twijfel over de inhoud en omvang van de opdracht onmiddellijk opheldering te vragen aan de rechtbank. § 411 ZPO regelt het schriftelijke deskundigenrapport en de toelichting daarop of de aanvulling daarop. De beoordeling van het deskundigenrapport in combinatie met de overige bewijsresultaten blijft een taak van de rechtbank (§ 286 ZPO).

Voor zover de expertise in een strafzaak plaatsvindt, zijn de artikelen 72 e.v. van het Wetboek van Strafvordering van toepassing op deskundigen. De concrete procesrechtelijke inordening hangt af van de betreffende opdracht en procedure. Onze taak bestaat uit het geven van een deskundig antwoord op de technische bewijskwestie; dit vervangt noch de juridische beoordeling, noch de rechterlijke bewijswaardering.

Veelgestelde vragen

LanCologne – IT-forensisch onderzoek voor rechtbanken

Heeft u een digitale vraag? LanCologne ondersteunt u met een objectief, onbevooroordeeld IT-forensisch onderzoek.

Nu contact opnemen