Kryminalistyka informatyczna · Sądy
Welche Aussagekraft besitzen flüchtige Daten aus dem Arbeitsspeicher vor Gericht?
Der Arbeitsspeicher kann Informationen enthalten, die auf einem ausgeschalteten Datenträger nicht oder nicht in gleicher Form vorhanden sind: laufende Prozesse, Netzwerkzustände, temporäre Inhalte oder kryptografisch relevante Daten.
Dla sądu nie ma znaczenia, ile programów analitycznych zostało wykorzystanych. Decydujące znaczenie ma to, jaki konkretny fakt techniczny można wiarygodnie ustalić na podstawie dostępnych danych, w jaki sposób dochodzi się do tego ustalenia oraz jakie są jego granice.
Konkretna kwestia dowodowa
Bei vorhandener RAM-Sicherung prüfen wir deren Entstehung, Integrität und Analysegrundlage. Bei Live-Erhebungen muss zugleich berücksichtigt werden, dass jede Erfassung eines laufenden Systems selbst Veränderungen verursacht.
Dlaczego pojedynczy ślad cyfrowy rzadko wystarcza
Artefakty cyfrowe powstają w systemach wyposażonych we własne mechanizmy przechowywania, synchronizacji i rejestrowania. Dlatego też pojedynczy znacznik czasu, wpis w dzienniku lub wartość w bazie danych nie są traktowane jako ostateczny dowód bez uwzględnienia kontekstu. O ile wymaga tego kwestia dowodowa, koreluje się ze sobą kilka niezależnych od siebie śladów i weryfikuje się technicznie prawdopodobne hipotezy przeciwne.
Gdzie leży granica możliwości wypowiedzi
RAM ist eine Momentaufnahme eines dynamischen Zustands. Ein fehlender Inhalt beweist nicht, dass er zuvor niemals vorhanden war.
Jak LanCologne podchodzi do zadania dowodowego
Bei LanCologne beginnt die Untersuchung mit der gerichtlichen Beweisfrage und nicht mit einem bestimmten Analyseprogramm. Zunächst wird geklärt, welche technische Tatsache festgestellt werden soll, welche Datenquellen dafür Aussagekraft besitzen und welche Gegenhypothesen berücksichtigt werden müssen.
Die Beweismittel und die Ausgangsdaten werden eindeutig dokumentiert. Soweit technisch möglich, erfolgt die Auswertung auf verifizierten forensischen Sicherungen oder geeigneten Arbeitskopien. Entscheidungserhebliche Treffer werden nicht allein deshalb übernommen, weil sie von einer Software angezeigt werden. Wir prüfen Herkunft, Entstehungslogik und Kontext des Artefakts und kontrollieren zentrale Befunde bei Bedarf anhand der zugrunde liegenden Daten oder einer zweiten fachlich geeigneten Methode.
W ekspertyzie oddzielono od siebie ustalenia faktyczne, interpretację techniczną i wnioski. Równie jasno opisano granice stwierdzeń: co da się udowodnić? Co jest jedynie poparte dowodami? Jakie istnieją wyniki przeciwne? Co pozostaje otwarte? Brak dowodów nie jest przekształcany w pozornie pewne stwierdzenie.
Der Hauptteil wird so geschrieben, dass ein Richter ohne IT-forensische Spezialkenntnisse die Herleitung verstehen kann. Die technische Nachprüfbarkeit bleibt erhalten. Prüfrelevante Datenquellen, Integritätsinformationen, Artefakte und Untersuchungsschritte werden so dokumentiert, dass ein unabhängiger IT-Forensiker die zentralen Feststellungen für ein mögliches Gegengutachten nachvollziehen kann.
Od nakazu sądowego do wiarygodnego zeznania
Wyniki pozytywne, wyniki negatywne i brak wykrycia
Wynik ekspertyzy musi być otwarty na różne możliwości. Jeśli dane potwierdzają badaną hipotezę, wyjaśnia się, na czym się ona opiera. Jeśli wiarygodne dowody zaprzeczają tej hipotezie, należy je również przedstawić. Jeśli baza danych nie jest wystarczająca do podjęcia pewnej decyzji, określa się to jako brak dowodów lub otwartą kwestię techniczną. Właśnie takie rozróżnienie zapobiega sytuacji, w której luka w danych prowadzi do sformułowania pozornie pewnego stwierdzenia.
Zrozumiałe dla sądu – możliwe do zweryfikowania pod kątem technicznym przez biegłego kontrrewizora
Istota zagadnienia jest wyjaśniona przystępnym językiem. Terminy specjalistyczne są używane tylko tam, gdzie jest to konieczne, a następnie wyjaśniane. Jednocześnie zachowane zostają kluczowe podstawy techniczne: badane źródła danych, istotne artefakty, informacje o integralności, odniesienia czasowe oraz etapy metodologiczne. Specjalista ds. informatyki śledczej, który nie jest zaznajomiony z daną procedurą, powinien mieć możliwość zweryfikowania tok rozumowania, przy czym tekst główny nie staje się dla sądu zbiorem surowych danych technicznych.
Klasyfikacja metodologiczna
W zakresie sądowej informatyki kryminalistycznej nie istnieje ustawowy wykaz obowiązkowych programów analitycznych. Z fachowego punktu widzenia decydujące znaczenie mają: kontrolowana baza danych, integralność, udokumentowane etapy badania, zrozumiałe wnioski oraz możliwość przeprowadzenia niezależnej weryfikacji.
Der BSI-Grundschutz-Baustein DER.2.2 „Vorsorge für die IT-Forensik“ enthält hilfreiche Grundgedanken zur Vorbereitung auf spätere forensische Untersuchungen und zur Spurensicherung bei IT-Sicherheitsvorfällen. Er ist jedoch kein strafprozessualer Forensikstandard; die eigentliche forensische Analyse ist nicht Gegenstand dieses Bausteins. Diese Abgrenzung wird ausdrücklich beachtet.
LanCologne jako niezależny ekspert ds. IT
Gdy sąd musi zlecić wyjaśnienie konkretnej kwestii dowodowej o charakterze cyfrowym z technicznego punktu widzenia, analizujemy dostępną bazę danych w sposób niezależny i bez z góry przyjętych założeń. Celem nie jest zebranie jak największej liczby wyników technicznych, lecz uzyskanie merytorycznie uzasadnionej odpowiedzi: zrozumiałej dla sądu, przejrzystej pod względem sposobu jej uzyskania oraz możliwej do zweryfikowania pod względem technicznym.
Ramy prawne
Für den Sachverständigenbeweis in Zivilverfahren sind insbesondere §§ 402 ff. ZPO relevant. § 403 ZPO betrifft die Bezeichnung der zu begutachtenden Punkte. Nach § 404a ZPO leitet das Gericht die Tätigkeit des Sachverständigen und kann Art und Umfang seiner Tätigkeit bestimmen. § 407a ZPO enthält Pflichten des Sachverständigen, unter anderem zur Prüfung des eigenen Fachgebiets und zur Klärung von Zweifeln über Inhalt und Umfang des Auftrags. § 411 ZPO regelt das schriftliche Gutachten sowie dessen Erläuterung und Ergänzung. Die Würdigung des Gutachtens zusammen mit dem übrigen Beweisergebnis bleibt Aufgabe des Gerichts (§ 286 ZPO).
Bei strafprozessualen Gutachten gelten für Sachverständige die §§ 72 ff. StPO. Welche Vorschriften im konkreten Verfahren einschlägig sind, hängt vom Auftrag und der Verfahrensart ab. Die IT-forensische Begutachtung ersetzt weder die rechtliche Bewertung noch die gerichtliche Beweiswürdigung.
Najczęściej zadawane pytania
LanCologne – informatyka śledcza dla sądów
Mają Państwo pytania dotyczące technologii cyfrowych? Firma LanCologne zapewni Państwu pomoc w postaci obiektywnego, bezstronnego dochodzenia informatyczno-kryminalistycznego.