IT-forensisch onderzoek · Particulieren

Hoe kan ik laten controleren wanneer een foto daadwerkelijk is genomen?

Das Datum, das eine Galerie-App anzeigt, ist nicht zwangsläufig der Aufnahmezeitpunkt. Es kann aus den EXIF-Daten stammen, aus der Dateisystemzeit, aus dem Zeitpunkt des Imports oder des Empfangs über einen Messenger. Für einen belastbaren Zeitpunkt müssen mehrere unabhängige Quellen übereinstimmen.

Vrijblijvend informeren

Waarom deze vraag belangrijk is voor particulieren

Chatberichten, foto’s, video’s en schermafbeeldingen kunnen bij privé-, civielrechtelijke of strafrechtelijke geschillen een aanzienlijk gewicht krijgen. Uit de weergave ervan blijkt echter niet automatisch iets over de herkomst, wijzigingen, het tijdstip of het auteurschap.

Technische achtergrond

EXIF-Felder wie DateTimeOriginal, OffsetTimeOriginal und GPS-Zeit werden von der Kamera geschrieben – nach der jeweiligen Geräteuhr. Messenger entfernen Metadaten häufig beim Versand. Cloud-Dienste ergänzen eigene Upload-Zeitpunkte. Bearbeitungsprogramme können Felder überschreiben.

Relevante Spuren und Datenquellen

• EXIF/XMP: DateTimeOriginal, Zeitzonen-Offset, GPS-Zeitstempel, Kameramodell, Seriennummer
• Dateisystemzeiten auf Gerät oder Speicherkarte
• Fotodatenbank des Smartphones (z. B. Photos.sqlite auf iOS)
• Upload- und Empfangszeitpunkte in Cloud oder Messenger
• Bildinhalt-Plausibilität (z. B. Schatten, Wetter, sichtbare Uhrzeit)

Grenzen

• Liegt nur eine weitergeleitete Kopie ohne Metadaten vor, ist der Zeitpunkt oft nicht bestimmbar.
• EXIF-Daten lassen sich verändern; einzelne Zeitstempel beweisen nichts allein.

Mogelijke resultaten

• Aufnahmezeitpunkt durch mehrere Quellen gestützt
• Zeitpunkt nur eingrenzbar (frühester/spätester Zeitpunkt)
• Hinweise auf nachträgliche Änderung von Zeitstempeln

Waarom LanCologne?

Digitale Beweismittel wirken für Laien häufig eindeutiger, als sie technisch sind. Ein Screenshot kann echt aussehen und trotzdem bearbeitet sein.

Zo gaan we te werk

• Original-Datei oder besser das Aufnahmegerät sichern.
• Alle vorhandenen Zeitquellen auslesen und Zeitzonen bzw. Geräteuhr berücksichtigen.
• Widersprüche erklären oder als offen kennzeichnen.

Authenticiteit is niet hetzelfde als auteurschap

Een bericht kan technisch gezien op authentieke wijze in een account of op een apparaat zijn opgeslagen, zonder dat daaruit op zichzelf met zekerheid kan worden afgeleid welke natuurlijke persoon het heeft opgesteld. Deze scheiding voorkomt dat een correcte technische bevinding wordt vermengd met een ongefundeerde bewering over de identiteit van een persoon.

De oorspronkelijke gegevens zijn belangrijker dan de weergave op het scherm alleen

Een screenshot kan waardevol zijn, vooral als de inhoud later verdwijnt. Voor een grondiger onderzoek proberen we echter ook de originele bestanden, app-gegevens, databases of andere primaire bronnen te verkrijgen. Deze bevatten vaak context die in de zichtbare weergave ontbreekt.

Waarom LanCologne bij het onderzoek van digitaal bewijsmateriaal?

LanCologne beschouwt digitale inhoud niet als waar of onwaar alleen omdat deze aannemelijk lijkt. Wij onderzoeken het beschikbare technische bewijsmateriaal, documenteren de herkomst en de beperkingen van de bevindingen en presenteren de afleiding op een zodanige wijze dat deze begrijpelijk is voor de particuliere klant en tegelijkertijd navolgbaar blijft voor advocaten, opsporingsinstanties, rechtbanken of andere gekwalificeerde IT-forensisch onderzoekers.

In het geval van gemanipuleerde digitale bewijsgegevens kan, afhankelijk van de concrete feiten, § 269 StGB van toepassing zijn. De bepaling heeft, onder de gestelde voorwaarden, betrekking op het opslaan of wijzigen van voor het bewijs relevante gegevens met bedrieglijke opzet, respectievelijk het gebruik van dergelijke opgeslagen of gewijzigde gegevens. Of een concreet bestand of bericht aan alle strafbare feiten voldoet, is een juridische vraag; een technische vaststelling van manipulatie alleen geeft hierop geen antwoord.

Voor civiele procedures is § 371 ZPO van toepassing. Volgens deze bepaling kan het bewijs door middel van een bezichtiging ook worden geleverd door het overleggen of verzenden van elektronische documenten. § 371a ZPO bevat bijzondere bepalingen inzake de bewijskracht van elektronische documenten, met name wat betreft gekwalificeerde elektronische handtekeningen en bepaalde openbare elektronische documenten. Niet elk gewoon chatbericht of beeldbestand bezit daarom automatisch de daarin geregelde bijzondere bewijskracht.

Voor bewijs door deskundigen gelden §§ 402 e.v. ZPO. Een particulier in opdracht gegeven IT-forensisch rapport is niet louter op grond van zijn technische kwaliteit een gerechtelijk deskundigenrapport. De begrijpelijke methodiek en de verzamelde bewijsgrondslag ervan kunnen echter van belang zijn voor advocaten en bij een latere vakkundige toetsing.

Hashwaarden zijn een belangrijk instrument om de integriteit te waarborgen, maar bieden geen garantie voor de authenticiteit van de oorspronkelijke inhoud. Een hash geeft aan dat een bepaalde gegevensset sinds het genereren van de hash ongewijzigd is gebleven, oftewel bit voor bit overeenkomt met een referentieset. Het geeft niet automatisch uitsluitsel over de vraag of de inhoud vóór het opslaan is gemanipuleerd.

LanCologne beoordeelt technische gegevens en de zeggingskracht daarvan. De juridische beoordeling van bewijs, de strafrechtelijke kwalificatie en de beslissing welk bewijs in de procedure welk gewicht krijgt, zijn de verantwoordelijkheid van advocaten, opsporingsinstanties en rechtbanken.

Veelgestelde vragen

Gerelateerde onderwerpen

• Hoe kan ik achterhalen of een foto achteraf is bewerkt?
• Hoe kan ik laten vaststellen of foto’s van schade of bewijsfoto’s achteraf zijn bewerkt?
• IT-forensisch onderzoek voor particulieren

LanCologne – IT-forensisch onderzoek voor particulieren

Heeft u een digitale vraag? LanCologne ondersteunt u met een objectief, onbevooroordeeld IT-forensisch onderzoek.

Nu contact opnemen