IT-forensisch onderzoek · Rechtbanken
Kan worden aangetoond wie een computer of smartphone heeft gebruikt?
De vraag „Wie heeft het apparaat gebruikt?“ behoort tot de meest voorkomende en tegelijkertijd moeilijkste bewijsvragen binnen de IT-forensiek. Een aangemeld gebruikersaccount is niet automatisch het bewijs dat de persoon op wiens naam het account staat, zelf achter het apparaat zat. Hetzelfde geldt voor een smartphone die aan een persoon toebehoort, maar mogelijk door derden is gebruikt.
Een betrouwbare toewijzing kan daarom niet worden afgeleid uit één enkel artefact. Deze vloeit – indien van toepassing – voort uit een reeks onderling verenigbare sporen: aanmelding, apparaatstatus, gebruikersprofiel, communicatiegegevens, bestandsactiviteiten, lokale of cloudgebaseerde accounts, eventueel biometrische of apparaatspecifieke aanwijzingen en het tijdsverband met andere gebeurtenissen.
Het is niet onze taak om van een gebruikersaccount een persoon te maken, maar om aan de rechtbank uit te leggen welke koppeling technisch vaststaat, waarschijnlijk is, alleen mogelijk is of niet aantoonbaar is.
De eigenlijke bewijskwestie
Welke sporen kan een gebruikerstoewijzing achterlaten?
Afhankelijk van het apparaat en de vraagstelling kunnen inloggebeurtenissen, gebruikersaccounts, sessiegegevens, apparaatkoppelingen, app-accounts, communicatiesporen, locatie- of netwerkgegevens en activiteiten in het bestandssysteem relevant zijn. De correlatie is hierbij doorslaggevend.
Een voorbeeld: een Windows-aanmelding om 10:02 uur, een geopend document om 10:05 uur en een bericht dat direct daarna is verzonden vanuit een account dat op hetzelfde profiel is aangemeld, kunnen samen meer zeggen dan elk afzonderlijk bewijsstuk. Toch moet worden nagegaan of geautomatiseerde processen, toegang op afstand of gebruik door derden als alternatieve verklaring in aanmerking komen.
Waar de grens van de uitspraak ligt
Technische artefacten wijzen vaak in eerste instantie op een account, een sessie of een apparaat – niet noodzakelijkerwijs op de natuurlijke persoon die erachter zit. Deze grens moet in het rapport duidelijk blijven.
Waarom LanCologne?
Bij gerechtelijke opdrachten is het voor ons niet van belang welk analyseprogramma als eerste een treffer aangeeft. Het gaat erom of de bewijskwestie op vakkundige wijze kan worden beantwoord en of dit antwoord een onafhankelijke toetsing kan doorstaan.
We werken zonder vooringenomenheid, documenteren de herkomst van cruciale bevindingen en onderzoeken alternatieve technische verklaringen. De daadwerkelijke analyse vindt in principe plaats op basis van een forensische kopie of een op bewijsveilige wijze vastgelegde dataset. Originelen worden niet onnodig rechtstreeks onderzocht. Wanneer live-maatregelen technisch noodzakelijk zijn, worden de daardoor mogelijke veranderingen uitdrukkelijk gedocumenteerd.
Afhankelijk van de vraagstelling worden cruciale bevindingen gecontroleerd met behulp van een tweede, vaktechnisch geschikte methode of rechtstreeks aan de hand van de onderliggende ruwe gegevens. Welke hulpmiddelen hiervoor worden gebruikt, hangt af van het bewijsmateriaal en de vraagstelling. Bepalend zijn de geschiktheid, de vakmatige erkenning en de traceerbaarheid van de methode – niet een productnaam.
In ons rapport wordt een onderscheid gemaakt tussen de vastgestelde feiten, de technische beoordeling en de resterende onzekerheid. Het ontbreken van bewijs wordt even zorgvuldig gemotiveerd als het vinden van bewijs.
Zo gaan we te werk bij gerechtelijke opdrachten
Onze werkwijze – van de gerechtelijke opdracht tot het antwoord
We gaan eerst na of de vraag binnen ons vakgebied valt, op welke feiten de rechtbank zich baseert en of de inhoud of omvang van de opdracht duidelijk zijn. Bij twijfel wordt de rechtbank om opheldering gevraagd. Dit is in overeenstemming met § 404a en § 407a ZPO.
Mogelijke redenen die aanleiding zouden kunnen geven tot twijfel over de onpartijdigheid, worden vóór aanvang van het feitenonderzoek onderzocht en worden, indien nodig, aan de rechtbank meegedeeld.
Apparaten, gegevensdragers, back-ups en ter beschikking gestelde bestanden worden geïdentificeerd en gedocumenteerd. De toestand ten tijde van het onderzoek wordt vastgelegd.
Voor zover dit technisch mogelijk is, wordt er een forensische kopie of een forensische afbeelding gemaakt. Hashwaarden en andere integriteitscontroles dienen ter eenduidige toewijzing. Het origineel wordt bewaard voor latere controles.
We stellen vast welke sporen de beweerde gebeurtenis zouden ondersteunen, welke tegenstrijdige bevindingen denkbaar zijn en welke alternatieve technische verklaringen moeten worden onderzocht.
Alleen artefacten die voor de bewijskwestie van wetenschappelijke waarde zijn, worden onderzocht. Automatische treffers worden niet zonder controle overgenomen.
Bevindingen die van belang zijn voor de besluitvorming worden – voor zover nodig – gecontroleerd aan de hand van een tweede erkende methode, een andere technische benadering of rechtstreeks aan de hand van de ruwe gegevens.
We gaan uitdrukkelijk na welke conclusies er niet uit de gegevens mogen worden getrokken. Ontbrekende gegevens, mogelijke verwijdering, technische beperkingen, onvolledige extracties of tegenstrijdige sporen worden vermeld.
Het definitieve antwoord vloeit voort uit de gedocumenteerde bevindingen. Het wordt niet sterker geformuleerd dan de gegevens toelaten.
De hoofdtekst blijft ook voor niet-forensische deskundigen begrijpelijk. De technische bijlage bevat de informatie die een onafhankelijke IT-forensisch deskundige nodig heeft voor een vakkundige controle of een tegenrapport.
Wettelijk kader
ZPO §§ 403, 404a, 407a en 411; § 286 ZPO voor de definitieve rechterlijke beoordeling. In strafzaken §§ 72 e.v. StPO.
De deskundige levert de feitelijke onderbouwing. De juridische beoordeling en de uiteindelijke bewijswaardering blijven de taak van de rechtbank.
Veelgestelde vragen
LanCologne – IT-forensisch onderzoek voor rechtbanken
Heeft u voor een bewijskwestie in een rechtszaak een onafhankelijk technisch onderzoek nodig? LanCologne onderzoekt digitale sporen op objectieve, transparante en reproduceerbare wijze. Wij documenteren zowel positieve bevindingen als het ontbreken van bewijs en technische beperkingen op een zodanige wijze dat de conclusie begrijpelijk blijft voor de rechtbank en technisch verifieerbaar blijft voor een onafhankelijke IT-forensisch deskundige.
In het kader van dit thema
- Kan een specifieke gebruikersinvoer technisch worden aangetoond?
- Kan er onderscheid worden gemaakt tussen het daadwerkelijk verzenden van een bericht en het louter aanwezig zijn ervan in het account?
- Kan er onderscheid worden gemaakt tussen een lokaal gebruikersaccount, een domeinaccount en een cloudaccount?
- Kan een gebruikerswisseling of een parallelle gebruikerssessie worden gereconstrueerd?