Kryminalistyka informatyczna · Sądy
Welche Aussagen sind nach einem Zurücksetzen auf Werkseinstellungen noch möglich?
Ein Reset kann Nutzerdaten und Systemzustände erheblich verändern. Welche Spuren verbleiben, hängt von Gerät, Betriebssystem, Verschlüsselung und Reset-Art ab.
Dla sądu nie ma znaczenia, ile programów analitycznych zostało wykorzystanych. Decydujące znaczenie ma to, jaki konkretny fakt techniczny można wiarygodnie ustalić na podstawie dostępnych danych, w jaki sposób dochodzi się do tego ustalenia oraz jakie są jego granice.
Konkretna kwestia dowodowa
Wir bestimmen den aktuellen Zustand, suchen nach Reset- und Aktivierungsspuren und prüfen externe Sicherungen, synchronisierte Daten und sonstige verfügbare Quellen.
Dlaczego pojedynczy ślad cyfrowy rzadko wystarcza
Artefakty cyfrowe powstają w systemach wyposażonych we własne mechanizmy przechowywania, synchronizacji i rejestrowania. Dlatego też pojedynczy znacznik czasu, wpis w dzienniku lub wartość w bazie danych nie są traktowane jako ostateczny dowód bez uwzględnienia kontekstu. O ile wymaga tego kwestia dowodowa, koreluje się ze sobą kilka niezależnych od siebie śladów i weryfikuje się technicznie prawdopodobne hipotezy przeciwne.
Gdzie leży granica możliwości wypowiedzi
Ein Reset erlaubt keine pauschale Aussage, dass sämtliche früheren Daten sicher wiederherstellbar oder sicher vernichtet seien.
Jak LanCologne podchodzi do zadania dowodowego
W przypadku LanCologne sądowe badanie informatyczne rozpoczyna się od określenia przedmiotu dowodowego, a nie od wyboru konkretnego programu analitycznego. Najpierw ustala się, jaki fakt techniczny ma zostać stwierdzony, które źródła danych mają w tym kontekście znaczenie dowodowe oraz jakie hipotezy przeciwne należy uwzględnić.
Dowody i dane wyjściowe są jednoznacznie dokumentowane. O ile jest to technicznie możliwe, analiza przeprowadzana jest na zweryfikowanych kopiach zapasowych do celów kryminalistycznych lub odpowiednich kopiach roboczych. Wyniki mające znaczenie dla podjęcia decyzji nie są przyjmowane wyłącznie na tej podstawie, że zostały wskazane przez oprogramowanie. Sprawdzane są pochodzenie, logika powstania oraz kontekst artefaktu; w razie potrzeby kluczowe ustalenia są weryfikowane na podstawie danych źródłowych lub przy użyciu drugiej, odpowiedniej z technicznego punktu widzenia metody.
W ekspertyzie oddzielono od siebie ustalenia faktyczne, interpretację techniczną i wnioski. Równie jasno opisano granice stwierdzeń: co da się udowodnić? Co jest jedynie poparte dowodami? Jakie istnieją wyniki przeciwne? Co pozostaje otwarte? Brak dowodów nie jest przekształcany w pozornie pewne stwierdzenie.
Główna część jest sporządzona w taki sposób, aby sędzia nieposiadający specjalistycznej wiedzy z zakresu informatyki śledczej mógł zrozumieć tok rozumowania. Zachowana zostaje techniczna weryfikowalność. Źródła danych istotne dla kontroli, informacje dotyczące integralności, artefakty oraz etapy badania są dokumentowane w taki sposób, aby niezależny ekspert z zakresu informatyki śledczej mógł odtworzyć kluczowe ustalenia w ramach ewentualnej ekspertyzy kontrargumentacyjnej.
Od nakazu sądowego do wiarygodnego zeznania
Wyniki pozytywne, wyniki negatywne i brak wykrycia
Wynik ekspertyzy musi być otwarty na różne możliwości. Jeśli dane potwierdzają badaną hipotezę, wyjaśnia się, na czym się ona opiera. Jeśli wiarygodne dowody zaprzeczają tej hipotezie, należy je również przedstawić. Jeśli baza danych nie jest wystarczająca do podjęcia pewnej decyzji, określa się to jako brak dowodów lub otwartą kwestię techniczną. Właśnie takie rozróżnienie zapobiega sytuacji, w której luka w danych prowadzi do sformułowania pozornie pewnego stwierdzenia.
Zrozumiałe dla sądu – możliwe do zweryfikowania pod kątem technicznym przez biegłego kontrrewizora
Istota zagadnienia jest wyjaśniona przystępnym językiem. Terminy specjalistyczne są używane tylko tam, gdzie jest to konieczne, a następnie wyjaśniane. Jednocześnie zachowane zostają kluczowe podstawy techniczne: badane źródła danych, istotne artefakty, informacje o integralności, odniesienia czasowe oraz etapy metodologiczne. Specjalista ds. informatyki śledczej, który nie jest zaznajomiony z daną procedurą, powinien mieć możliwość zweryfikowania tok rozumowania, przy czym tekst główny nie staje się dla sądu zbiorem surowych danych technicznych.
Klasyfikacja metodologiczna
W zakresie sądowej informatyki kryminalistycznej nie istnieje ustawowy wykaz obowiązkowych programów analitycznych. Z fachowego punktu widzenia decydujące znaczenie mają: kontrolowana baza danych, integralność, udokumentowane etapy badania, zrozumiałe wnioski oraz możliwość przeprowadzenia niezależnej weryfikacji.
Moduł DER.2.2 „Środki zapobiegawcze w zakresie informatyki śledczej“ w ramach systemu podstawowej ochrony BSI zawiera przydatne wytyczne dotyczące przygotowania do przyszłych badań kryminalistycznych oraz zabezpieczania dowodów w przypadku incydentów związanych z bezpieczeństwem informatycznym. Nie stanowi on jednak standardu kryminalistycznego w zakresie postępowania karnego; w module tym wyraźnie zaznaczono, że nie dotyczy on właściwej analizy kryminalistycznej i nie odnosi się do badań kryminalistycznych w zakresie IT w przypadku przestępstw.
LanCologne jako niezależny ekspert ds. IT
Gdy sąd musi zlecić wyjaśnienie konkretnej kwestii dowodowej o charakterze cyfrowym z technicznego punktu widzenia, analizujemy dostępną bazę danych w sposób niezależny i bez z góry przyjętych założeń. Celem nie jest zebranie jak największej liczby wyników technicznych, lecz uzyskanie merytorycznie uzasadnionej odpowiedzi: zrozumiałej dla sądu, przejrzystej pod względem sposobu jej uzyskania oraz możliwej do zweryfikowania pod względem technicznym.
Ramy prawne
W odniesieniu do dowodu z opinii biegłego w postępowaniu cywilnym zastosowanie mają w szczególności §§ 402 i nast. ZPO. § 403 ZPO wiąże przedstawienie dowodu z określeniem kwestii podlegających ocenie biegłego. Zgodnie z § 404a ZPO sąd kieruje pracą biegłego; w przypadku spornych okoliczności faktycznych określa on fakty, które mają stanowić podstawę ekspertyzy. § 407a ZPO zobowiązuje biegłego między innymi do sprawdzenia, czy zlecenie mieści się w zakresie jego specjalizacji, do poinformowania o ewentualnych przyczynach, które mogłyby uzasadniać brak zaufania do jego bezstronności, a w razie wątpliwości co do treści i zakresu zlecenia – do niezwłocznego wyjaśnienia tych kwestii przez sąd. § 411 ZPO reguluje kwestię pisemnej opinii biegłego, a także jej wyjaśnienia lub uzupełnienia. Ocena opinii biegłego wraz z pozostałymi wynikami postępowania dowodowego pozostaje w gestii sądu (§ 286 ZPO).
W przypadku gdy ekspertyza jest sporządzana w ramach postępowania karnego, do biegłych mają zastosowanie §§ 72 i nast. kodeksu postępowania karnego (StPO). Konkretna kwalifikacja procesowa zależy od danego zlecenia i postępowania. Naszym zadaniem jest udzielenie fachowej odpowiedzi na techniczne pytanie dowodowe; nie zastępuje to ani oceny prawnej, ani sądowej oceny dowodów.
Najczęściej zadawane pytania
LanCologne – informatyka śledcza dla sądów
Mają Państwo pytania dotyczące technologii cyfrowych? Firma LanCologne zapewni Państwu pomoc w postaci obiektywnego, bezstronnego dochodzenia informatyczno-kryminalistycznego.