IT-forensisch onderzoek · OSINT
OSINT-onderzoek bij een sterk vermoeden van een interne dader
Bij het vermoeden van een interne dader binnen een onderneming is bijzondere zorgvuldigheid geboden: openbaar toegankelijke digitale sporen van een verdachte persoon kunnen relevante aanvullende informatie opleveren, maar mogen alleen worden onderzocht binnen de grenzen die zijn toegestaan op grond van het arbeids- en gegevensbeschermingsrecht.
Bij OSINT-onderzoek is dit punt bijzonder belangrijk, omdat de omvang, kwaliteit en betrouwbaarheid van openbaar toegankelijke informatie sterk kunnen verschillen, afhankelijk van de vraagstelling, de betrokken persoon of organisatie en het gebruikte platform. Een bedrijfsonderzoek, een infrastructuuranalyse en de verificatie van een afzonderlijke socialemedia-post mogen niet volgens hetzelfde stramien worden behandeld. Bron, actualiteit, verifieerbaarheid en het juridische kader bepalen welke informatie betrouwbaar is en welke onderzoeksmethode geschikt is.
Aangezien een dergelijk vermoeden doorgaans ontstaat in het kader van een lopend intern onderzoek, stemmen wij de omvang en de aanpak van het onderzoek nauw af met de opdrachtgever en diens juridisch adviseur, voordat de daadwerkelijke analyse van start gaat.
Waarom LanCologne?
LanCologne voert OSINT-onderzoeken niet uit volgens een algemeen standaardschema, maar op basis van de concrete bewijskwestie, de beschikbare openbare bronnen en het betreffende wettelijke kader. Onze medewerkers beschikken over tientallen jaren ervaring in de informatietechnologie en jarenlange praktijkervaring op het gebied van IT-forensisch onderzoek. Wij ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken en overheidsinstanties bij het technisch onderzoek naar digitale feiten.
Het onderzoek wordt in principe gedocumenteerd en op een traceerbare manier uitgevoerd. Gevonden, openbaar toegankelijke online-inhoud wordt, voor zover technisch mogelijk, tijdig gearchiveerd of als screenshot opgeslagen, om de bewijskracht ervan te behouden, ook als de oorspronkelijke inhoud later wordt gewijzigd of verwijderd.
Onze werkwijze en de gebruikte hulpmiddelen
Ons OSINT-onderzoek begint niet met een ongestructureerde online zoektocht, maar met het inkaderen van de concrete bewijsvraag binnen een bestaande IT-forensische, juridische of bedrijfsinterne zaak. Pas daarna wordt vastgesteld welke openbaar toegankelijke digitale bronnen relevant kunnen zijn voor de vraagstelling en in welke volgorde deze worden doorgenomen.
In de volgende stap wordt de onderzoeksstrategie vastgesteld. Daarbij maken we een onderscheid tussen relevante informatie die via sociale netwerken, openbare registers, technische infrastructuurgegevens of algemeen toegankelijke webcontent kan worden verkregen. De keuze van de bronnen is uitsluitend gebaseerd op de concrete bewijskwestie, en niet op de loutere beschikbaarheid van afzonderlijke hulpmiddelen.
Elke stap in het onderzoek en elk gevonden digitaal bewijsstuk wordt gedocumenteerd met een tijdstempel en bronvermelding en, voor zover technisch mogelijk, vastgelegd in de vorm van een screenshot of een gearchiveerde kopie. Zo blijft de traceerbaarheid gewaarborgd, zelfs als de oorspronkelijke online-inhoud inmiddels is gewijzigd of verwijderd.
Bij vermoedens van interne daders hechten wij er bijzonder veel waarde aan om uitsluitend openbaar toegankelijke informatie te analyseren en de reikwijdte van het onderzoek strikt af te stemmen op de vraagstelling van de opdrachtgever die volgens het arbeidsrecht is toegestaan, in plaats van een uitgebreid onderzoek naar de persoon uit te voeren.
Voor een lezer die geen expert is op dit gebied, is één punt daarbij bijzonder belangrijk: een OSINT-tool „vindt" niet automatisch de waarheid. Het verzamelt en koppelt openbaar toegankelijke informatie volgens geprogrammeerde regels, waarbij verouderde, onjuiste of opzettelijk misleidende online-inhoud onopgemerkt in een resultaat terecht kan komen. Daarom controleren we bij cruciale bevindingen uit welke bron een stuk informatie afkomstig is en of een tweede, onafhankelijke bron dezelfde feiten bevestigt.
Voor ons OSINT-onderzoek maken we gebruik van beproefde tools zoals Maltego, SpiderFoot en Shodan, aangevuld met gestructureerd handmatig onderzoek via zoekmachines, sociale netwerken en openbare registers. Onze OSINT-diensten vormen daarbij in principe een aanvullend onderdeel van bestaande IT-forensische, juridische of bedrijfsinterne vraagstukken, en zijn geen op zichzelf staande zoektocht naar personen of onderzoek in de zin van een detectivebureau. Als een aanvraag buiten dit kader valt, wijzen wij hier op transparante wijze op, in plaats van stilzwijgend een dienst te verlenen die niet onder onze dienstverlening valt.
Typische toepassingsgebieden
Zo verloopt het OSINT-onderzoek
Allereerst wordt vastgesteld in welke IT-forensische, juridische of bedrijfsinterne context het onderzoek plaatsvindt en welke concrete vraag moet worden beantwoord. Dit bepaalt de omvang en de grenzen van het verdere onderzoek.
Op basis van de bewijsvraag wordt bepaald welke openbaar toegankelijke bronnen, zoals sociale netwerken, registers, gegevens over technische infrastructuur of algemene webinhoud, relevant kunnen zijn.
Het onderzoek wordt uitgevoerd met behulp van onze beproefde tools en gestructureerde handmatige controles. Elke stap wordt vastgelegd om de werkwijze traceerbaar te maken.
Relevante online-inhoud wordt, voor zover technisch mogelijk, tijdig gearchiveerd of als screenshot met tijdstempel opgeslagen, om de bewijskracht ervan te behouden, ook als deze later wordt gewijzigd.
De gevonden informatie wordt op gestructureerde wijze geanalyseerd en, voor zover mogelijk, vergeleken met andere, onafhankelijke bronnen om fouten in afzonderlijke bronnen te voorkomen.
Bij bevindingen die van bijzonder bewijskrachtig belang zijn of ongebruikelijk lijken, controleren we de bron, de context en de plausibiliteit handmatig om geautomatiseerde verkeerde interpretaties of gerichte desinformatie uit te sluiten.
Aan het einde wordt niet alleen opgesomd wat er kon worden onderzocht. We leggen uit welke bron de bevindingen ondersteunt, welke conclusie gerechtvaardigd is en waar de grenzen van het onderzoek liggen.
Waarom is dit onderzoeksgebied forensisch relevant?
Bij het vermoeden van een interne dader binnen een onderneming is bijzondere zorgvuldigheid geboden: openbaar toegankelijke digitale sporen van een verdachte persoon kunnen relevante aanvullende informatie opleveren, maar mogen alleen worden onderzocht binnen de grenzen die zijn toegestaan op grond van het arbeids- en gegevensbeschermingsrecht.
De forensische waarde ligt niet alleen in de hoeveelheid gevonden informatie, maar ook in de herkomst en de betrouwbaarheid ervan. Een enkele post op sociale media, een registervermelding of een aanwijzing over de technische infrastructuur kan zonder context misleidend zijn. Daarom documenteren we hoe een stuk informatie tot stand kan zijn gekomen, welke alternatieve verklaringen er zijn en welke andere bronnen de bevinding ondersteunen.
Aangezien een dergelijk vermoeden doorgaans ontstaat in het kader van een lopend intern onderzoek, stemmen wij de omvang en de aanpak van het onderzoek nauw af met de opdrachtgever en diens juridisch adviseur, voordat de daadwerkelijke analyse van start gaat.
Juist bij OSINT-onderzoek kan een poging tot volledige verificatie bovendien op grenzen stuiten wanneer online-inhoud is verwijderd, privé is gemaakt of opzettelijk misleidend is opgesteld. Het gebrek aan traceerbaarheid, gesloten platforms en snel veranderende inhoud maken duidelijk waarom tijdige documentatie en transparante communicatie over bestaande beperkingen vóór de daadwerkelijke analyse zo belangrijk zijn. Tekortkomingen in deze fase kunnen later niet altijd ongedaan worden gemaakt.
Veelgestelde vragen
LanCologne – IT-forensisch onderzoek OSINT Keulen
Heeft u behoefte aan een professioneel OSINT-onderzoek naar „OSINT-onderzoek bij een acuut vermoeden van een interne dader"? LanCologne ondersteunt u bij de gestructureerde, gedocumenteerde analyse van openbaar toegankelijke digitale bronnen in het kader van bestaande IT-forensische, juridische of bedrijfsinterne vraagstukken. Het gaat daarbij niet om het genereren van zoveel mogelijk resultaten, maar om het verzamelen van technisch onderbouwde en verifieerbare informatie.