Kryminalistyka informatyczna · Adwokaci i obrońcy w sprawach karnych

W jaki sposób sprawdza się, czy znaleziony plik pochodzi z kopii zapasowej, a nie z bieżącej eksploatacji?

Eine Datei auf einem sichergestellten Gerät beweist nicht, dass der Nutzer sie dort gespeichert oder geöffnet hat. Sie kann durch eine Wiederherstellung aus einem Backup, eine Gerätemigration, eine Cloud-Synchronisation oder einen automatischen Import auf das Gerät gelangt sein.

Wysyłaj zapytanie bez zobowiązań

Dlaczego to pytanie ma znaczenie dla obrony w sprawie karnej

Szczególnie w przypadku dowodów cyfrowych nawet niewielkie różnice w źródle danych, kontekście systemowym lub semantyce czasowej mogą znacząco zmienić znaczenie ustaleń. Dla obrony kluczowe znaczenie ma zatem to, czy obciążający wniosek rzeczywiście wynika z danych pierwotnych, czy też konieczna jest bardziej szczegółowa ocena techniczna.

Technischer Hintergrund

Typisch sind iCloud- oder iTunes-Wiederherstellungen auf neue iPhones, Migrationsassistenten unter macOS, Windows-Profilübernahmen und OneDrive-/Google-Drive-Synchronisation. Solche Vorgänge erzeugen charakteristische Zeitmuster: viele Dateien mit nahezu identischen Erstellungszeiten, Restore-Protokolle, fehlende Nutzungsspuren.

Relevante Spuren und Datenquellen

  • Dateisystemzeiten im Vergleich (Erstellt vs. Geändert)
  • Restore- und Migrationsprotokolle
  • Nutzungsspuren: zuletzt geöffnet, Thumbnails, Jump Lists, LNK-Dateien, iOS-Biome/KnowledgeC
  • Cloud-Sync-Datenbanken

Grenzen

  • Fehlende Nutzungsspuren sind ein Indiz, kein Beweis für Nicht-Nutzung.
  • Ohne Rohdaten ist nur eine Prüfung der Methodik der Ermittlungsakte möglich.

Mögliche Ergebnisse

  • Datei mit hoher Wahrscheinlichkeit aus Restore/Migration übernommen
  • Nutzungsspuren vorhanden (Zeitpunkte)
  • Keine Aussage möglich – mit Begründung

Dlaczego LanCologne?

Po zapoznaniu się z aktami sprawy lub gdy tylko obrona otrzyma zgodnie z prawem dokumenty istotne z technicznego punktu widzenia, niezależna weryfikacja może ujawnić rzeczywistą siłę dowodową wyników badań cyfrowych. LanCologne nie działa przy tym w celu koniecznie znalezienia błędu w aktach śledztwa.

So gehen wir vor

  • Feststellung, wie die Datei auf das Gerät gelangt ist.
  • Prüfung auf Nutzungsspuren nach diesem Zeitpunkt.
  • Bewertung mit Gegenhypothesen in einer Stellungnahme.

Wyniki obciążające, uniewinniające i niejednoznaczne

Niezależna weryfikacja jest wiarygodna tylko wtedy, gdy potwierdzane są również wyniki obciążające, o ile dane to potwierdzają. Podobnie jasno wskazywane są wyniki uniewinniające lub niemożliwe do wyjaśnienia niejasności. Przebieg wydarzeń, który jest jedynie technicznie możliwy, nie jest przedstawiany jako ustalony fakt.

Zrozumiałe dla obrońcy – możliwe do zweryfikowania pod względem technicznym przez innych ekspertów kryminalistycznych

Główny wynik jest wyjaśniony jasnym językiem. Źródła danych istotne dla badania, informacje dotyczące integralności, odniesienia czasowe, identyfikatory, lokalizacje danych surowych oraz etapy metodologiczne są udokumentowane w taki sposób, aby inny wykwalifikowany ekspert z zakresu informatyki śledczej mógł fachowo zrozumieć istotne ustalenia.

LanCologne jako niezależne wsparcie techniczne dla obrony w sprawach karnych

Jeśli adwokat chce poddać niezależnej weryfikacji wyniki analizy cyfrowej klucza lub wnioski techniczne zawarte w aktach śledztwa, firma LanCologne zapewnia obiektywną i bezstronną weryfikację. Celem jest uzyskanie wiarygodnej odpowiedzi na pytanie, co faktycznie potwierdzają dostępne dane – i gdzie kończy się ich znaczenie.

Ramy prawne

Prawo obrońcy do wglądu w akta i oględzin dowodów reguluje § 147 kodeksu postępowania karnego (StPO). Zgodnie z ust. 1 obrońca jest uprawniony do wglądu w akta znajdujące się w posiadaniu sądu lub które mają zostać przedłożone w przypadku wniesienia aktu oskarżenia, a także do oględzin dowodów przechowywanych w urzędzie. Przed zakończeniem postępowania przygotowawczego wgląd, o którym mowa w ust. 2, może zostać ograniczony na warunkach tam określonych. Zgodnie z ust. 3 obrońcy nie można odmówić wglądu do opinii biegłych na żadnym etapie postępowania.

Prawa te przysługują obrońcy, a nie firmie LanCologne. Przeprowadzenie technicznej weryfikacji przez prywatnie zatrudnionego eksperta ds. informatyki śledczej wymaga, aby obrona mogła zgodnie z prawem udostępnić odpowiednie dokumenty lub dane. Zlecenie to nie daje firmie LanCologne żadnego własnego prawa do wglądu w akta, oględzin ani dostępu w stosunku do prokuratury lub policji.

§ 160 ust. 2 kodeksu postępowania karnego wyraźnie zobowiązuje prokuraturę do zbadania zarówno okoliczności obciążających, jak i rozładowujących. Zgodnie z § 163a ust. 2 kodeksu postępowania karnego należy zebrać dowody wnioskowane przez oskarżonego w celu jego uniewinnienia, jeżeli mają one znaczenie dla sprawy. Niezależna ekspertyza techniczna może zatem dostarczyć faktów i wyników sprzecznych z zarzutami, których wykorzystanie w postępowaniu ocenia obrońca.

W przypadku elektronicznych dowodów zabezpieczonych, zajętych lub przeanalizowanych w ramach postępowania urzędowego należy w szczególności uwzględnić przepisy §§ 94, 98 i 110 kodeksu postępowania karnego. Przepisy te nie przyznają prywatnemu ekspertowi ds. informatyki śledczej uprawnień o charakterze publicznym.

Ekspert ds. informatyki śledczej, którego obrona zatrudniła prywatnie, nie jest – wyłącznie na podstawie tego zlecenia – formalnie powołanym biegłym w rozumieniu §§ 72 i nast. kodeksu postępowania karnego. Należy rozróżnić na gruncie procesowym prywatną ekspertyzę, doradztwo techniczne oraz formalne powołanie biegłego.

Jeżeli w wyniku postępowania przygotowawczego nie pojawią się wystarczające podstawy do wniesienia oskarżenia publicznego, prokuratura umarza postępowanie zgodnie z § 170 ust. 2 Kodeksu postępowania karnego. Ustalenia techniczne przedstawione przez obronę nie gwarantują takiej decyzji, mogą jednak stanowić istotną część stanu faktycznego.

Najczęściej zadawane pytania

Czy wyniki technicznej weryfikacji muszą różnić się od ustaleń organu śledczego?+
Nie. Rzetelna weryfikacja może potwierdzić, ograniczyć lub obalić wstępne ustalenia. Decydujące znaczenie mają dane, a nie oczekiwany wynik.
Czy LanCologne może samodzielnie wystąpić o wgląd do akt na podstawie § 147 kodeksu postępowania karnego?+
Nie. Prawo to przysługuje obrońcy. LanCologne może badać wyłącznie dokumenty i dane przekazane zgodnie z prawem w celu przeprowadzenia kontroli technicznej.
Czy oświadczenie strony obrony stanowi automatycznie ekspertyzę w rozumieniu §§ 72 i nast. kodeksu postępowania karnego?+
Nie. Należy odróżnić prywatnie zleconą opinię lub prywatną ekspertyzę od formalnego powołania biegłego w postępowaniu karnym.
Czy brak dowodów technicznych może zagwarantować umorzenie postępowania?+
Nie. Decyzję podejmuje prokuratura, a w dalszej kolejności sąd. Wynik przeciwny może jednak stanowić solidną techniczną podstawę faktyczną.
Woran erkennt man eine Backup-Wiederherstellung?+
An typischen Zeitmustern, Restore-Protokollen und an der Herkunft ganzer Dateigruppen.
Reicht der behördliche Report dafür?+
Meist nicht, weil Reports Dateien zeigen, aber selten deren Herkunft erklären.
Gilt das auch für Bilder in Messenger-Ordnern?+
Ja. Automatische Downloads sind ein eigenes, häufiges Szenario.

Weiterführende Themen

LanCologne – Informatyka śledcza dla prawników i adwokatów zajmujących się sprawami karnymi

Mają Państwo pytania dotyczące technologii cyfrowych? Firma LanCologne zapewni Państwu pomoc w postaci obiektywnego, bezstronnego dochodzenia informatyczno-kryminalistycznego.

Skontaktuj się z nami już teraz