IT-Forensik · Ermittlungsbehörden
Wie wird ein behaupteter Fernzugriff als alternative Täterhypothese geprüft?
Behauptete Remote-Nutzung kann für die Frage bedeutsam sein, ob eine Aktivität lokal oder durch einen Dritten ausgelöst wurde.
Warum diese Frage für Ermittlungsbehörden wichtig ist
Digitale Ermittlungen müssen belastbare Tatsachen liefern, dürfen aber technische Indizien nicht überinterpretieren. Für die Ermittlungsarbeit ist daher nicht nur wichtig, ob ein Artefakt vorhanden ist, sondern was es tatsächlich beweist, welche Gegenhypothesen bestehen und welche weitergehenden Schlussfolgerungen gerade nicht zulässig sind.
Abordagem técnica de investigação
Wir prüfen Remote-Funktionen, Sitzungsdaten, Verbindungs- und Netzwerkspuren sowie den zeitlichen Bezug zur streitigen Handlung.
Onde se situa o limite da afirmação
Eine installierte Fernwartungssoftware beweist weder einen Zugriff noch dessen Urheber.
Porquê o LanCologne?
LanCologne arbeitet bei Ermittlungsaufträgen nicht nach dem Prinzip, eine vorgegebene Verdachtshypothese technisch zu bestätigen. Ausgangspunkt ist die konkrete Ermittlungsfrage. Dazu werden belastende und entlastende technische Möglichkeiten gleichermaßen geprüft.
Die übergebenen Beweismittel oder Datenbestände werden eindeutig dokumentiert. Soweit technisch möglich, erfolgt die Auswertung auf verifizierten Sicherungen beziehungsweise geeigneten Arbeitskopien. Automatisch erzeugte Treffer werden bei entscheidungserheblichen Fragen nicht ungeprüft übernommen. Herkunft, Entstehungslogik und Kontext des Artefakts werden kontrolliert; bei Bedarf erfolgt eine unabhängige Gegenprüfung anhand der zugrunde liegenden Daten oder mit einer zweiten fachlich geeigneten Methode.
Für eine Strafermittlungsbehörde ist entscheidend, dass aus einem technischen Indiz keine stärkere Aussage gemacht wird, als die Daten tatsächlich tragen. Deshalb unterscheiden wir zwischen Gerätebezug, Accountbezug, Benutzerbezug und Personenzuordnung ebenso wie zwischen Möglichkeit, tatsächlicher Nutzung und nachweisbarer Handlung.
Ebenso wichtig ist der Negativbefund. Wenn sich eine Ermittlungsannahme anhand der vorhandenen Daten nicht bestätigen lässt oder technisch plausible Alternativerklärungen bestehen, wird dies ausdrücklich dokumentiert. Das entspricht einer ergebnisoffenen sachverständigen Arbeitsweise und unterstützt die Pflicht, sowohl belastende als auch entlastende Umstände zu berücksichtigen.
Vom Ermittlungsauftrag zur belastbaren Aussage
Belastende und entlastende Befunde
Eine sachverständige Untersuchung muss ergebnisoffen bleiben. Stützen die Daten die Ermittlungsannahme, wird erläutert, wodurch. Widersprechen ihr belastbare Spuren oder bleibt eine alternative technische Erklärung bestehen, wird dies ebenso dokumentiert. Reicht der Datenbestand für keine sichere Aussage, wird ein Nichtnachweis als solcher bezeichnet.
Nachvollziehbar für Staatsanwaltschaft, Polizei, Verteidigung und Gericht
Der Hauptbefund wird in verständlicher Sprache formuliert. Gleichzeitig werden die prüfrelevanten technischen Grundlagen so dokumentiert, dass ein weiterer qualifizierter IT-Forensiker die Kernaussagen anhand derselben Datenbasis nachvollziehen kann. Damit bleibt die Untersuchung auch für spätere Gegenprüfungen oder eine gerichtliche Beweisaufnahme transparent.
LanCologne als externer IT-Forensik-Sachverständiger
Wenn eine Ermittlungsbehörde eine digitale Spezialfrage unabhängig und technisch belastbar klären lassen muss, unterstützt LanCologne mit einer nachvollziehbaren, ergebnisoffenen Untersuchung. Ziel ist nicht die größtmögliche Zahl an Treffern, sondern eine belastbare fachliche Antwort auf die konkrete Ermittlungsfrage.
Quadro jurídico
Die Ermittlungsleitung und die rechtliche Bewertung verbleiben bei den zuständigen Strafverfolgungsorganen. Nach § 160 StPO erforscht die Staatsanwaltschaft den Sachverhalt und hat sowohl belastende als auch entlastende Umstände zu ermitteln. § 161 StPO regelt ihre allgemeine Ermittlungsbefugnis und die Möglichkeit, Ermittlungen durch Behörden und Beamte des Polizeidienstes vornehmen zu lassen. Die Aufgaben der Polizei im Ermittlungsverfahren sind in § 163 StPO geregelt.
Für Sachverständige gelten grundsätzlich die §§ 72 ff. StPO. § 161a Abs. 1 StPO verpflichtet Sachverständige, auf Ladung vor der Staatsanwaltschaft zu erscheinen und ihr Gutachten zu erstatten; die sachverständigenbezogenen Vorschriften des siebenten Abschnitts gelten entsprechend, soweit nichts anderes bestimmt ist. § 82 StPO betrifft die Form der Gutachtenerstattung im Vorverfahren.
Sicherstellung und Beschlagnahme von Gegenständen mit möglicher Beweisbedeutung richten sich insbesondere nach §§ 94 und 98 StPO. § 110 Abs. 3 StPO regelt die Durchsicht elektronischer Speichermedien und ermöglicht unter den dort genannten Voraussetzungen auch die Sicherung untersuchungsrelevanter Daten. Die Entscheidung über Zulässigkeit, Umfang und Anordnung solcher Maßnahmen liegt bei den zuständigen staatlichen Stellen, nicht bei LanCologne.
Nach § 1 Abs. 3 JVEG steht eine Heranziehung durch Polizei oder andere Strafverfolgungsbehörden im Auftrag oder mit vorheriger Billigung der Staatsanwaltschaft einer staatsanwaltschaftlichen Heranziehung vergütungsrechtlich gleich.
Perguntas frequentes
LanCologne – IT-Forensik für Strafermittlungsbehörden
Tem alguma questão relacionada com o mundo digital? A LanCologne presta-lhe apoio através de uma investigação forense informática objetiva e imparcial.