Diese Übersicht bündelt alle Fragen und Antworten rund um IT-Forensik für Gerichte bei LanCologne – von der Zuordnung von Nutzern und Konten über Dateien, Metadaten und Kommunikationsspuren bis hin zu Widersprüchen in digitalen Beweismitteln und der Rolle des IT-Sachverständigen im Gerichtsverfahren. Klicken Sie auf eine Kategorie, um die passenden Fragen zu sehen.
Nutzer- und Kontozuordnung
- É possível determinar quem utilizou um computador ou um smartphone?
- É possível comprovar tecnicamente uma entrada concreta do utilizador?
- É possível distinguir o envio efetivo de uma mensagem da mera existência da mesma na conta?
- É possível distinguir entre uma conta de utilizador local, uma conta de domínio e uma conta na nuvem?
- É possível reconstituir uma mudança de utilizador ou uma sessão de utilizador paralela?
- Welche Aussagekraft hat eine automatische Anmeldung?
- Kann ein digitales Artefakt einem bestimmten Benutzerprofil zugeordnet werden?
- Wie sind Artefakte aus gemeinsam genutzten oder technischen Konten zu bewerten?
- Kann unterschieden werden, ob digitale Daten automatisch oder durch eine Benutzerhandlung erzeugt wurden?
- Kann festgestellt werden, ob ein Benutzerkonto kompromittiert oder von einem Dritten verwendet wurde?
- Wie werden digitale Spuren bewertet, wenn mehrere Geräte denselben Account verwenden?
- Kann eine digitale Handlung bei gemeinsam genutzten Computern einem bestimmten Benutzer zugeordnet werden?
- Kann zwischen lokalem Benutzerkonto, Domänenkonto und Cloud-Konto zuverlässig unterschieden werden?
- Kann ein Benutzerwechsel oder eine parallele Benutzersitzung nachgewiesen werden?
- Welche Aussagekraft hat eine automatische Anmeldung für die Benutzerzuordnung?
- Kann ein digitales Artefakt einem bestimmten Benutzerprofil innerhalb eines Mehrbenutzersystems zugeordnet werden?
Kommunikation: Chat, E-Mail und Nachrichten
- É possível verificar, do ponto de vista técnico, a autenticidade e a integridade do histórico de uma conversa?
- É tecnicamente possível identificar a origem e o percurso de envio de um e-mail?
- Qual é o valor probatório das notificações push enquanto prova digital?
- O que é que uma confirmação digital de leitura realmente prova?
- Como se devem avaliar as diferenças no estado das mensagens entre o remetente e o destinatário?
- É possível distinguir, no caso de um anexo de e-mail, entre a receção, o armazenamento, a abertura e o processamento?
- É possível determinar se um e-mail foi reencaminhado ou se o seu conteúdo foi copiado manualmente?
- Que valor informativo têm os cabeçalhos dos e-mails no que diz respeito à origem e à via de transmissão?
- É possível determinar se um e-mail foi eliminado localmente, no servidor ou através da sincronização?
Fotos, Videos und Multimedia
- É possível deduzir a utilização efetiva do dispositivo a partir do bloqueio do ecrã?
- É possível determinar se uma fotografia ou um vídeo foi gravado com um determinado dispositivo?
- É possível distinguir entre a gravação original, o ficheiro editado e a cópia convertida?
- Qual é a relevância das imagens de pré-visualização e das caches de miniaturas?
- Qual é o valor probatório de uma gravação de ecrã enquanto prova digital?
- Qual é a validade dos metadados de fotografias e vídeos como prova judicial?
- Uma pré-visualização ou miniatura indica que o ficheiro correspondente foi aberto?
Geräte, Netzwerk und Systemartefakte
- É possível determinar se um dispositivo esteve ligado a um determinado WLAN?
- Welche Aussagekraft haben identische Dateien auf mehreren Geräten?
- Kann festgestellt werden, welches Gerät eine synchronisierte Änderung ursprünglich erzeugt hat?
- Kann ein behaupteter Fernzugriff auf einen Computer technisch belegt werden?
- Kann ein Netzwerkwechsel eines Geräts zeitlich rekonstruiert werden?
- É possível determinar se uma atualização do sistema alterou ou eliminou vestígios digitais?
- Wie wirkt sich die Migration auf ein neues Gerät auf die Beweisbewertung aus?
- Kann nachgewiesen werden, ob ein bestimmtes externes Gerät mit einem Computer verbunden war?
- Kann festgestellt werden, ob eine bestimmte Software installiert oder tatsächlich ausgeführt wurde?
- Kann die frühere Installation einer inzwischen deinstallierten Software nachträglich festgestellt werden?
- É possível comprovar se os dados foram transmitidos ou acedidos através de uma partilha de rede?
- Que valor probatório têm os dados voláteis da memória principal num tribunal?
- Kann eine Remote-Desktop- oder Fernzugriffssitzung nachträglich nachgewiesen werden?
- Kann festgestellt werden, ob ein Gerät zum relevanten Zeitpunkt gesperrt oder aktiv bedient wurde?
- É possível saber a que rede um dispositivo estava ligado num determinado momento?
- Como é que as indicações de hora do Server externo são comparadas com a hora local do dispositivo?
- Que influência podem as atualizações do sistema ter nos rastros digitais?
- É possível detetar, através de uma análise forense, uma migração de um dispositivo antigo para um novo?
Löschung, Wiederherstellung und Backup
- É possível comprovar se os dados foram apagados deliberadamente?
- Que vestígios pode deixar uma restauração a partir de uma cópia de segurança?
- O que é que ainda se pode determinar com segurança após uma reposição das predefinições de fábrica?
- Que valor probatório têm as cópias de segurança, os instantâneos e os registos históricos?
- É possível determinar se um suporte de dados foi formatado ou se foi reinstalado um sistema operativo?
- Welche Aussagekraft besitzen Papierkorb- und Trash-Artefakte vor Gericht?
- Kann festgestellt werden, ob gelöschte Daten später überschrieben wurden?
- Wie beeinflusst eine Wiederherstellung aus einem Backup die Beweisbewertung?
- Welche Aussagen sind nach einem Zurücksetzen auf Werkseinstellungen noch möglich?
Authentifizierung, Verschlüsselung und Zugriffsschutz
- É possível distinguir entre a autenticação por palavra-passe, a autenticação biométrica e a autenticação baseada na sessão?
- Que valor probatório têm as palavras-passe, os tokens e os dados de acesso guardados num tribunal?
- Qual é o valor informativo dos contentores encriptados e dos discos virtuais?
- Que tipo de declaração é admissível no caso de provas encriptadas ou apenas parcialmente acessíveis?
- Como é que uma assinatura digital é verificada do ponto de vista técnico?
Anonymisierung, VPN und Netzwerkspuren
- Qual é a relevância da utilização de uma VPN para a atribuição de atividades digitais?
- Como é que as ligações por proxy, de retransmissão ou de anonimização são classificadas do ponto de vista forense?
- Qual é o valor probatório dos vestígios de DNS como prova de atividade na Internet?
- Qual é a relevância da utilização de uma VPN para a atribuição de atividades na Internet?
Cloud, virtuelle Systeme und Container
- Kann festgestellt werden, ob ein Archiv entpackt oder dessen Inhalt genutzt wurde?
- Wie werden virtuelle Maschinen als digitale Beweismittel untersucht?
- Kann festgestellt werden, ob eine virtuelle Maschine zu einem bestimmten Zeitpunkt ausgeführt wurde?
- Welche Aussagekraft haben Cloud-Synchronisationsspuren vor Gericht?
- Que valor probatório têm os contentores encriptados e os suportes de dados virtuais em tribunal?
- Como é que as máquinas virtuais são analisadas enquanto prova digital?
Dateien, Metadaten und Zeitstempel
- É possível determinar quando um ficheiro foi criado ou alterado?
- É possível determinar se um ficheiro foi realmente aberto ou utilizado?
- Kann festgestellt werden, ob eine Datei nur angezeigt oder tatsächlich bearbeitet wurde?
- Welche Aussagekraft haben Entwürfe, Autosave-Dateien und temporäre Dokumente?
- Kann eine Datei einem bestimmten Erstellungsprogramm zugeordnet werden?
- Kann nachvollzogen werden, ob ein Dokument aus einer anderen Datei exportiert wurde?
- Können Spuren aus der Zwischenablage eine Copy-and-Paste-Handlung belegen?
- Welche Aussagekraft haben ZIP-, RAR- und andere Archivdateien vor Gericht?
- Qual é o valor probatório de uma linha do tempo digital em tribunal?
- Qual é o valor informativo dos índices de pesquisa e do conteúdo dos ficheiros indexados?
- É possível distinguir uma pesquisa efetivamente realizada de uma mera indexação?
- É possível determinar se uma ação digital foi desencadeada por uma tarefa planeada ou por uma automatização?
- É possível determinar se existia uma autorização num determinado momento?
- Kann eine Änderung von Benutzer- oder Gruppenberechtigungen rekonstruiert werden?
- Wann darf aus dem Fehlen eines digitalen Artefakts überhaupt ein Schluss gezogen werden?
- Kann nachgewiesen werden, ob ein digitales Dokument nachträglich verändert wurde?
- Kann festgestellt werden, welche Version eines Dokuments zu einem bestimmten Zeitpunkt vorlag?
- É possível determinar se um ficheiro foi descarregado da Internet?
- Kann festgestellt werden, ob ein Computer zu einem bestimmten Zeitpunkt ein- oder ausgeschaltet war?
- Kann nachvollzogen werden, ob Dateien umbenannt oder innerhalb eines Systems verschoben wurden?
- Que valor probatório têm, em tribunal, os ficheiros recuperados ou que se conservam apenas de forma fragmentária?
- É possível determinar se um ficheiro ou uma informação foi impresso?
- É possível determinar se um ficheiro foi realmente aberto?
- É possível comprovar que uma pessoa tomou efetivamente conhecimento do conteúdo de um ficheiro digital?
- É possível distinguir se um ficheiro foi copiado, movido ou sincronizado?
- É possível delimitar tecnicamente o momento em que a eliminação deve ocorrer?
- É possível comprovar o acesso a um ficheiro, mesmo que este não tenha sofrido alterações?
- Kann eine Manipulation von Datei- oder Systemzeitstempeln festgestellt werden?
- Kann zwischen einer Original-Mediendatei und einer konvertierten oder erneut gespeicherten Fassung unterschieden werden?
- Welche Aussagekraft haben Suchindexe für die Existenz oder Nutzung einer Datei?
Widersprüche, Plausibilität und Beweiswürdigung
- Como é que um perito em TI analisa uma cadeia de eventos alegada, quando as provas digitais se contradizem entre si?
- Até que ponto os metadados que podem ser alterados manualmente são considerados provas fiáveis?
- Pode o malware ser uma explicação alternativa para uma ação digital?
- Como lidar com vestígios digitais contraditórios?
- Como se verifica a plausibilidade técnica de uma cadeia de eventos digitais alegada?
- Wie bewertet ein IT-Sachverständiger zwei technisch plausible Erklärungen?
- Wie wird ein technischer Nichtnachweis im Gutachten sauber formuliert?
- Wie sind widersprüchliche digitale Beweismittel in einem IT-Gutachten zu behandeln?
Gutachten, Gerichtsverfahren und Sachverständige
- Wie wird die Unabhängigkeit und Neutralität eines IT-Sachverständigen praktisch umgesetzt?
- Warum muss ein IT-Gutachten für Nicht-Forensiker verständlich sein?
- Warum gehört ein technischer Anhang zu einem nachvollziehbaren IT-Gutachten?
- Wie wird ein IT-Gutachten für ein mögliches Gegengutachten reproduzierbar aufgebaut?
- Wie wird eine gerichtliche IT-Beweisfrage abschließend und eindeutig beantwortet?
- Wie werden Zeitzonen, Sommerzeit und fehlerhafte Systemuhren im Gutachten berücksichtigt?
- Wie kann ein bereits vorliegendes privates IT-Gutachten technisch überprüft werden?
- Sachverständiger oder sachverständiger Zeuge – was ist bei digitalen Tatsachen zu unterscheiden?
- Wie wird ein IT-Gutachten vor Gericht erläutert und auf Ergänzungsfragen geprüft?
- Welche Bedeutung hat eine lückenhafte Chain of Custody für die technische Aussagekraft?
- Was geschieht, wenn während der IT-forensischen Untersuchung neue, vom gerichtlichen Auftrag nicht erfasste Tatsachen auffallen?
- Wo endet die technische Schlussfolgerung des IT-Sachverständigen und wo beginnt die Beweiswürdigung des Gerichts?
Sonstige Beweisfragen
- Welchen Beweiswert hat ein Screenshot oder Foto eines digitalen Inhalts?
- É possível comprovar se foram copiados dados para um suporte de dados USB?
- Como é que as provas digitais são preservadas de forma a que a investigação continue a ser verificável posteriormente?
- Qual é a validade dos dados digitais de localização como prova em tribunal?
- É possível reconstruir tecnicamente uma alegada utilização da Internet ou do navegador?
- É possível rastrear a origem de um ficheiro digital ou de um conjunto de dados?
- Como é que se lida com provas digitais danificadas ou incompletas?
- Wie werden Datenbankeinträge und WAL-/Journal-Spuren vor Gericht bewertet?
- Welche Aussagekraft haben System- und Ereignisprotokolle vor Gericht?
- Kann eine IP-Adresse einer bestimmten Person zugeordnet werden?
- Lassen sich Hinweise auf Anti-Forensik oder gezielte Spurenbeseitigung feststellen?
- Was ist beweiskräftiger: Originaldaten, forensische Sicherung oder exportierter Report?
- Wann kann eine neue IT-forensische Begutachtung nach § 412 ZPO sinnvoll sein?
- Kann nachgewiesen werden, ob ein digitales Beweismittel nach der Sicherstellung verändert wurde?
- Kann festgestellt werden, ob administrative oder erhöhte Rechte verwendet wurden?
- Wie ist ein digitales Beweismittel zu bewerten, das vor der forensischen Sicherung bereits weiter benutzt wurde?
- Kann die Reihenfolge mehrerer digitaler Handlungen zuverlässig rekonstruiert werden?
- Kann die Echtheit und Herkunft eines Screenshots technisch geprüft werden?
- Kann festgestellt werden, wann ein ZIP-, RAR- oder anderes Archiv erstellt oder entpackt wurde?
- Kann bei einer PDF-Datei nachvollzogen werden, aus welchem Quelldokument sie erzeugt wurde?