IT-forensisch onderzoek · Particulieren

Hoe kan ik een audiobestand laten onderzoeken op knippen of bewerking?

Audio kann durch normale Konvertierung oder gezielte Bearbeitung verändert werden.

Waarom deze vraag belangrijk is voor particulieren

Chatberichten, foto’s, video’s en schermafbeeldingen kunnen bij privé-, civielrechtelijke of strafrechtelijke geschillen een aanzienlijk gewicht krijgen. Uit de weergave ervan blijkt echter niet automatisch iets over de herkomst, wijzigingen, het tijdstip of het auteurschap.

Technische onderzoeksaanpak

Wir untersuchen Dateiformat, Codec, Metadaten, zeitliche Struktur und technisch erkennbare Übergänge und vergleichen vorhandene Original- und Folgeversionen.

Waar de grens van de uitspraak ligt

Nicht jede Bearbeitung ist zuverlässig nachweisbar; aus fehlenden Bearbeitungsspuren darf keine absolute Echtheitsgarantie abgeleitet werden.

Waarom LanCologne?

Digitaal bewijsmateriaal lijkt voor leken vaak eenduidiger dan het in technische zin is. Een screenshot kan er echt uitzien en toch bewerkt zijn. Omgekeerd kunnen ontbrekende metagegevens of een hercompressie volkomen normale oorzaken hebben. Een bestand kan op een smartphone staan zonder dat het daar is aangemaakt.

LanCologne splitst daarom de ogenschijnlijk eenvoudige vraag „Is dit echt?“ op in technisch controleerbare deelvragen: Is het originele bestand beschikbaar? Uit welke toepassing of gegevensbron is het afkomstig? Zijn de interne structuren en metagegevens consistent? Zijn er overeenkomende vermeldingen in databases, back-ups, cloud- of systeemartefacten? Is het bestand geëxporteerd, geconverteerd of bewerkt? Welke van deze bewerkingen zijn daadwerkelijk aantoonbaar?

Het is vooral belangrijk om authenticiteit en auteurschap van elkaar te onderscheiden. Zelfs als een bericht technisch gezien op een bepaald account aanwezig was, is daarmee nog niet automatisch bewezen welke natuurlijke persoon het heeft ingevoerd. Evenzo bewijst een cameramodel in EXIF-gegevens zonder nader onderzoek niet welk concreet fysiek apparaat een bestand heeft gegenereerd.

Wij geven de voorkeur aan primaire gegevens boven louter weergaven. Originele berichten, databases en originele bestanden bevatten doorgaans meer technische context dan schermafbeeldingen, afdrukken of achteraf geëxporteerde bestanden.

De uitkomst blijft open. We documenteren zowel bevestigende, tegenstrijdige als onbeslisbare bevindingen en leggen op begrijpelijke wijze uit hoe ver een technische uitspraak daadwerkelijk reikt.

Onze werkwijze

1De concrete bewijskwestie definiëren: inhoud, herkomst, tijdstip, wijziging of auteurschap.

2Het originele apparaat of het originele bestand, voor zover dit rechtmatig beschikbaar is, ontvangen.

3Werkkopieën aanmaken en de integriteit van geschikte gegevensstanden documenteren.

4Maak een duidelijk onderscheid tussen schermafbeeldingen, exportbestanden en primaire gegevens.

5De bestandsstructuur, metadata en toepassingsspecifieke artefacten onderzoeken.

6Tijdstempels interpreteren op basis van hun respectieve technische betekenis.

7Controleer de bijbehorende databases, back-ups, cloudgegevens en systeemlogbestanden.

8Maak onderscheid tussen normale conversie en platformverwerking enerzijds en gerichte manipulatie anderzijds.

9Laat automatische manipulatie- of AI-detectoren nooit zelfstandig beslissingen nemen.

10Authenticiteit, herkomst, eigendom en auteurschap mogen niet over één kam worden geschoren.

11Documenteer tegenhypothesen en hiaten in de gegevens.

12De resultaten op een begrijpelijke manier weergeven en zodanig dat ze voor een technische controle kunnen worden gereproduceerd.

Authenticiteit is niet hetzelfde als auteurschap

Een bericht kan technisch gezien op authentieke wijze in een account of op een apparaat zijn opgeslagen, zonder dat daaruit op zichzelf met zekerheid kan worden afgeleid welke natuurlijke persoon het heeft opgesteld. Deze scheiding voorkomt dat een correcte technische bevinding wordt vermengd met een ongefundeerde bewering over de identiteit van een persoon.

De oorspronkelijke gegevens zijn belangrijker dan de weergave op het scherm alleen

Een screenshot kan waardevol zijn, vooral als de inhoud later verdwijnt. Voor een grondiger onderzoek proberen we echter ook de originele bestanden, app-gegevens, databases of andere primaire bronnen te verkrijgen. Deze bevatten vaak context die in de zichtbare weergave ontbreekt.

Waarom LanCologne bij het onderzoek van digitaal bewijsmateriaal?

LanCologne beschouwt digitale inhoud niet als waar of onwaar alleen omdat deze aannemelijk lijkt. Wij onderzoeken het beschikbare technische bewijsmateriaal, documenteren de herkomst en de beperkingen van de bevindingen en presenteren de afleiding op een zodanige wijze dat deze begrijpelijk is voor de particuliere klant en tegelijkertijd navolgbaar blijft voor advocaten, opsporingsinstanties, rechtbanken of andere gekwalificeerde IT-forensisch onderzoekers.

Wettelijk kader

In het geval van gemanipuleerde digitale bewijsgegevens kan, afhankelijk van de concrete feiten, § 269 StGB van toepassing zijn. De bepaling heeft, onder de gestelde voorwaarden, betrekking op het opslaan of wijzigen van voor het bewijs relevante gegevens met bedrieglijke opzet, respectievelijk het gebruik van dergelijke opgeslagen of gewijzigde gegevens. Of een concreet bestand of bericht aan alle strafbare feiten voldoet, is een juridische vraag; een technische vaststelling van manipulatie alleen geeft hierop geen antwoord.

Voor civiele procedures is § 371 ZPO van toepassing. Volgens deze bepaling kan het bewijs door middel van een bezichtiging ook worden geleverd door het overleggen of verzenden van elektronische documenten. § 371a ZPO bevat bijzondere bepalingen inzake de bewijskracht van elektronische documenten, met name wat betreft gekwalificeerde elektronische handtekeningen en bepaalde openbare elektronische documenten. Niet elk gewoon chatbericht of beeldbestand bezit daarom automatisch de daarin geregelde bijzondere bewijskracht.

Voor bewijs door deskundigen gelden §§ 402 e.v. ZPO. Een particulier in opdracht gegeven IT-forensisch rapport is niet louter op grond van zijn technische kwaliteit een gerechtelijk deskundigenrapport. De begrijpelijke methodiek en de verzamelde bewijsgrondslag ervan kunnen echter van belang zijn voor advocaten en bij een latere vakkundige toetsing.

Hashwaarden zijn een belangrijk instrument om de integriteit te waarborgen, maar bieden geen garantie voor de authenticiteit van de oorspronkelijke inhoud. Een hash geeft aan dat een bepaalde gegevensset sinds het genereren van de hash ongewijzigd is gebleven, oftewel bit voor bit overeenkomt met een referentieset. Het geeft niet automatisch uitsluitsel over de vraag of de inhoud vóór het opslaan is gemanipuleerd.

LanCologne beoordeelt technische gegevens en de zeggingskracht daarvan. De juridische beoordeling van bewijs, de strafrechtelijke kwalificatie en de beslissing welk bewijs in de procedure welk gewicht krijgt, zijn de verantwoordelijkheid van advocaten, opsporingsinstanties en rechtbanken.

Veelgestelde vragen

Hoe kan ik een audiobestand laten onderzoeken op knippen of bewerking?

Hoe verloopt zo’n technisch onderzoek in de praktijk?

Wir untersuchen Dateiformat, Codec, Metadaten, zeitliche Struktur und technisch erkennbare Übergänge und vergleichen vorhandene Original- und Folgeversionen.

Kan zo’n onderzoek altijd een eenduidige uitkomst opleveren?

Nicht jede Bearbeitung ist zuverlässig nachweisbar; aus fehlenden Bearbeitungsspuren darf keine absolute Echtheitsgarantie abgeleitet werden.

Is daar een wettelijke grondslag voor?

Bij gemanipuleerde digitale bewijsgegevens kan, afhankelijk van de concrete feiten, § 269 StGB van toepassing zijn. Deze bepaling heeft, onder de daarin gestelde voorwaarden, betrekking op het opslaan of wijzigen van voor het bewijs relevante gegevens met het oogmerk om te misleiden, respectievelijk op het gebruik van dergelijke opgeslagen of gewijzigde gegevens. Of een concreet bestand of bericht aan alle bestanddelen van het strafbare feit voldoet, is een juridische vraag; een technische vaststelling van manipulatie alleen geeft hierop geen antwoord. Voor civiele procedures is § 371 van het Duitse Wetboek van Burgerlijke Rechtsvordering (ZPO) relevant. Volgens deze bepaling kan het bewijs door middel van een visuele inspectie ook worden geleverd door het overleggen of verzenden van elektronische documenten. § 371a ZPO bevat bijzondere bepalingen inzake de bewijskracht van elektronische documenten, met name bij gekwalificeerde elektronische handtekeningen en bepaalde openbare elektronische documenten. Niet elk gewoon chatbericht of beeldbestand bezit daarom automatisch de daarin geregelde bijzondere bewijskracht. Voor deskundigenbewijs gelden §§ 402 e.v. ZPO. Een particulier in opdracht gegeven IT-forensisch rapport is niet louter op grond van zijn technische kwaliteit een gerechtelijk deskundigenrapport. De begrijpelijke methodiek en de verkregen bewijsbasis kunnen echter belangrijk zijn voor advocaten en een latere vakkundige toetsing. Hashwaarden zijn een belangrijk instrument voor het waarborgen van de integriteit, maar bieden geen garantie voor de authenticiteit van de oorspronkelijke inhoud. Een hash documenteert dat een bepaalde gegevensstand sinds het genereren van de hash ongewijzigd is gebleven, respectievelijk bit voor bit overeenkomt met een vergelijkingsstand. Het geeft niet automatisch antwoord op de vraag of de inhoud vóór de back-up was gemanipuleerd. LanCologne beoordeelt technische gegevens en de zeggingskracht daarvan. De juridische beoordeling van bewijs, de strafrechtelijke inordening en de beslissing welk bewijs in de procedure welk belang krijgt, zijn de verantwoordelijkheid van advocaten, opsporingsinstanties en rechtbanken.