IT-forensisch onderzoek · Rechtbanken
Kann festgestellt werden, ob eine virtuelle Maschine zu einem bestimmten Zeitpunkt ausgeführt wurde?
Für bestimmte Sachverhalte reicht die Existenz einer VM-Datei nicht aus; entscheidend kann deren tatsächlicher Betrieb sein.
Voor de rechtbank is het niet van doorslaggevend belang hoeveel programma’s er worden gebruikt. Van doorslaggevend belang is welk technisch feit op basis van de beschikbare gegevens op betrouwbare wijze kan worden vastgesteld, hoe deze vaststelling tot stand komt en welke beperkingen er bij de interpretatie gelden.
De concrete bewijskwestie
Wir prüfen Hypervisor-Protokolle, Lock- und Zustandsdateien, Snapshots, Host-Ereignisse und Gastartefakte.
Waarom de technische context van cruciaal belang is
Digitale sporen ontstaan niet op zichzelf. Het besturingssysteem, de applicatie, de clouddienst, het netwerk en de gebruikerscontext kunnen hetzelfde zichtbare resultaat op verschillende manieren tot stand brengen. Daarom wordt een afzonderlijke tijdstempel, logboekvermelding of databasewaarde niet als definitieve conclusie beschouwd zonder de logica achter het ontstaan ervan te onderzoeken. Voor zover nodig worden meerdere, onderling onafhankelijke sporen met elkaar in verband gebracht.
Waar de grens van de uitspraak ligt
Die Existenz aktueller VM-Dateien beweist nicht zwingend eine Ausführung im streitigen Zeitraum. Zeitwerte können durch Kopieren oder Snapshot-Nutzung beeinflusst sein.
Hoe LanCologne de bewijsvraag behandelt
Bij LanCologne begint de forensische IT-onderzoeksprocedure met de bewijskwestie en niet met een bepaald analyseprogramma. Eerst wordt vastgesteld welk technisch feit moet worden opgehelderd, welke gegevensbronnen hiervoor relevant zijn en welke alternatieve verklaringen serieus moeten worden onderzocht.
De uitgangsgegevens en bewijsmateriaal worden gedocumenteerd. Voor zover technisch mogelijk vindt de analyse plaats op geverifieerde forensische back-ups of geschikte werkkopieën. Automatisch gegenereerde treffers worden bij beslissingsrelevante kwesties niet zonder controle overgenomen. Bepalend zijn de herkomst, de ontstaanslogica en de context van het betreffende artefact. Belangrijke bevindingen worden indien nodig gecontroleerd aan de hand van de onderliggende gegevens of met een tweede, vaktechnisch geschikte methode.
In het rapport worden de feitelijke bevindingen, de vaktechnische interpretatie en de conclusie van elkaar gescheiden. Even belangrijk is de grens van de uitspraak: wat is technisch bewezen? Wat wordt slechts ondersteund? Welke tegenstrijdige bevindingen zijn er? Welke alternatieve verklaring blijft mogelijk? Wat kan op basis van de beschikbare gegevens niet worden vastgesteld?
Het hoofdgedeelte is zo geformuleerd dat het begrijpelijk is voor rechters en andere procespartijen die geen specialistische kennis op het gebied van IT-forensisch onderzoek hebben. De technische toetsbaarheid blijft gewaarborgd. De gegevensbronnen, integriteitsinformatie, artefacten en onderzoeksstappen die essentieel zijn voor een onafhankelijke toetsing, worden op een begrijpelijke manier gedocumenteerd in een technisch gedeelte.
Van opdracht tot betrouwbare conclusie
Bevinding, tegenbevinding en geen bewijs
Een gerechtelijk rapport moet openstaan voor alle mogelijke uitkomsten. Als de gegevens een hypothese ondersteunen, wordt uitgelegd op welke gronden. Als er betrouwbare aanwijzingen zijn die de hypothese tegenspreken, worden deze eveneens weergegeven. Is de gegevensbasis onvoldoende, dan wordt het resterende gebrek aan bewijs uitdrukkelijk vermeld. Uit een gegevenslacune wordt geen schijnbaar zekere conclusie afgeleid.
Begrijpelijk voor de rechtbank – toetsbaar voor de tegenexpert
De inhoudelijke kern wordt in begrijpelijke taal uitgelegd. Technische termen worden alleen gebruikt waar dat nodig is, en worden vervolgens toegelicht. Tegelijkertijd worden de cruciale technische basisprincipes zodanig gedocumenteerd dat een onafhankelijke IT-forensisch onderzoeker de afleiding aan de hand van dezelfde gegevensbasis kan volgen en indien nodig kan reproduceren.
Methodologische indeling
Voor forensisch IT-onderzoek in gerechtelijke zaken bestaat er geen wettelijk vastgelegde lijst van voorgeschreven analyseprogramma’s. Van essentieel vaktechnisch belang zijn een gecontroleerde gegevensbasis, integriteit, gedocumenteerde onderzoeksstappen, traceerbare conclusies en de mogelijkheid tot onafhankelijke controle.
De BSI-basisbeveiligingsmodule DER.2.2 „Voorbereiding op IT-forensisch onderzoek“ bevat nuttige uitgangspunten voor de voorbereiding op latere IT-forensische onderzoeken en voor het veiligstellen van bewijsmateriaal bij IT-beveiligingsincidenten. Het is echter uitdrukkelijk geen regelwerk voor IT-forensisch onderzoek bij strafbare feiten; ook de eigenlijke forensische analyse valt niet onder dit onderdeel. Het wordt daarom niet gepresenteerd als een forensische norm in het strafprocesrecht.
LanCologne als onafhankelijk IT-deskundige
Wanneer een rechtbank een concrete digitale bewijskwestie technisch moet laten uitzoeken, onderzoeken wij de beschikbare gegevensbasis op onafhankelijke wijze en zonder vooringenomenheid. Het doel is niet om zoveel mogelijk technische treffers te vinden, maar om een vakkundig onderbouwd antwoord te geven: begrijpelijk voor de rechtbank, transparant in de redenering en technisch controleerbaar.
Wettelijk kader
Voor het bewijs door deskundigen in civiele procedures zijn met name de artikelen 402 e.v. van het Duitse Wetboek van Burgerlijke Rechtsvordering (ZPO) van toepassing. Overeenkomstig artikel 404a ZPO stuurt de rechtbank de werkzaamheden van de deskundige aan en kan zij de aard en omvang van zijn werkzaamheden vaststellen. Bij een betwiste feitelijke situatie bepaalt de rechtbank welke feiten ten grondslag moeten liggen aan het deskundigenonderzoek. § 407a ZPO verplicht de deskundige onder meer om onmiddellijk na te gaan of de opdracht binnen zijn vakgebied valt; twijfels over de inhoud en omvang van de opdracht moeten door de rechtbank worden opgehelderd. Het schriftelijke rapport en eventuele toelichtingen of aanvullingen zijn geregeld in § 411 ZPO. De uiteindelijke beoordeling van het rapport, samen met het totale resultaat van de bewijsvoering, blijft een taak van de rechtbank (§ 286 ZPO).
Bij rapporten in het kader van strafrechtelijke procedures zijn de artikelen 72 e.v. van het Wetboek van Strafvordering (StPO) van toepassing op deskundigen; artikel 78 StPO heeft betrekking op de rechterlijke leiding over de werkzaamheden van de deskundige. Welke voorschriften in de concrete procedure van toepassing zijn, hangt af van het soort procedure en de opdracht. Het IT-forensisch onderzoek is geen vervanging voor een juridische beoordeling.
Veelgestelde vragen
LanCologne – IT-forensisch onderzoek voor rechtbanken
Heeft u een digitale vraag? LanCologne ondersteunt u met een objectief, onbevooroordeeld IT-forensisch onderzoek.