IT-forenzika · Odvetniki in zagovorniki v kazenskih zadevah

Kako se preveri, ali datoteka izvira iz varnostne kopije ali iz aktivne rabe?

Eine Datei auf einem sichergestellten Gerät beweist nicht, dass der Nutzer sie dort gespeichert oder geöffnet hat. Sie kann durch eine Wiederherstellung aus einem Backup, eine Gerätemigration, eine Cloud-Synchronisation oder einen automatischen Import auf das Gerät gelangt sein.

Nezavezujoča poizvedba

Zakaj je to vprašanje pomembno za zagovor v kazenskem postopku

Zlasti pri digitalnih dokazih lahko že majhne razlike v viru podatkov, sistemskem kontekstu ali časovni semantiki bistveno spremenijo pomen ugotovitve. Za obrambo je zato ključno, ali obremenilna ugotovitev dejansko izhaja iz primarnih podatkov ali pa je potrebna tehnično podrobnejša ocena.

Technischer Hintergrund

Typisch sind iCloud- oder iTunes-Wiederherstellungen auf neue iPhones, Migrationsassistenten unter macOS, Windows-Profilübernahmen und OneDrive-/Google-Drive-Synchronisation. Solche Vorgänge erzeugen charakteristische Zeitmuster: viele Dateien mit nahezu identischen Erstellungszeiten, Restore-Protokolle, fehlende Nutzungsspuren.

Relevante Spuren und Datenquellen

  • Dateisystemzeiten im Vergleich (Erstellt vs. Geändert)
  • Restore- und Migrationsprotokolle
  • Nutzungsspuren: zuletzt geöffnet, Thumbnails, Jump Lists, LNK-Dateien, iOS-Biome/KnowledgeC
  • Cloud-Sync-Datenbanken

Grenzen

  • Fehlende Nutzungsspuren sind ein Indiz, kein Beweis für Nicht-Nutzung.
  • Ohne Rohdaten ist nur eine Prüfung der Methodik der Ermittlungsakte möglich.

Mögliche Ergebnisse

  • Datei mit hoher Wahrscheinlichkeit aus Restore/Migration übernommen
  • Nutzungsspuren vorhanden (Zeitpunkte)
  • Keine Aussage möglich – mit Begründung

Zakaj LanCologne?

Po vpogledu v spis ali takoj, ko obramba zakonito prejme tehnično relevantno dokumentacijo, lahko neodvisna ponovna preveritev razkrije dejansko dokazno moč digitalnih ugotovitev. Pri tem LanCologne ne deluje z namenom, da bi nujno našel napako v preiskovalnem spisu.

So gehen wir vor

  • Feststellung, wie die Datei auf das Gerät gelangt ist.
  • Prüfung auf Nutzungsspuren nach diesem Zeitpunkt.
  • Bewertung mit Gegenhypothesen in einer Stellungnahme.

Obremenilni, razbremenilni in odprti izvidi

Neodvisna preiskava je verodostojna le, če se potrdijo tudi obremenilni izsledki, takoj ko to podpirajo podatki. Prav tako se jasno navedejo razbremenilni nasprotni izsledki ali negotovosti, ki jih ni mogoče razrešiti. Postopek, ki je le tehnično mogoč, se ne predstavlja kot ugotovljeno dejstvo.

Razumljivo za zagovornika v kazenskem postopku – tehnično preverljivo za druge forenzike

Glavna ugotovitev je pojasnjena v jasnem jeziku. Viri podatkov, pomembni za preiskavo, informacije o celovitosti, časovni podatki, identifikacijske številke, viri surovih podatkov in metodološki koraki so dokumentirani tako, da lahko drug usposobljen IT-forenzik strokovno razume bistvene ugotovitve.

LanCologne kot neodvisna tehnična podpora obrambi v kazenskem postopku

Če želi zagovornik v kazenskem postopku neodvisno preveriti izsledek digitalne forenzične analize ali tehnično ugotovitev iz preiskovalnega spisa, mu LanCologne pomaga z objektivnim in nepristranskim ponovnim preverjanjem. Cilj je pridobiti zanesljiv odgovor na vprašanje, kaj dejansko dokazujejo razpoložljivi podatki – in kje se njihova izpoved konča.

Pravni okvir

Pravica zagovornika do vpogleda v spise in ogleda dokaznih predmetov je urejena v § 147 Zakona o kazenskem postopku. V skladu z odstavkom 1 je zagovornik pooblaščen za vpogled v spise, ki so na voljo sodišču ali ki jih je treba predložiti v primeru obtožnice, ter za ogled uradno shranjenih dokaznih predmetov. Pred zaključkom preiskave se lahko vpogled v skladu z odstavkom 2 omeji pod tam navedenimi pogoji. V skladu z odstavkom 3 se zagovorniku v nobeni fazi postopka ne sme zavrniti vpogleda v izvedenska mnenja.

Te pravice pripadajo zagovorniku, ne pa podjetju LanCologne. Tehnična protipreverba, ki jo opravi zasebno pooblaščen IT-forenzik, predpostavlja, da lahko obramba zadevne dokumente ali podatke zakonito da na voljo. LanCologne s tem pooblastilom ne pridobi lastne pravice do vpogleda v spise, ogleda ali dostopa do podatkov pri tožilstvu ali policiji.

§ 160(2) Zakona o kazenskem postopku (StPO) tožilstvo izrecno zavezuje, da preišče tako obremenilne kot razbremenilne okoliščine. V skladu s § 163a(2) Zakona o kazenskem postopku je treba zbrati dokaze, ki jih je obtoženec predložil v svojo obrambo, če so pomembni. Neodvisna tehnična preiskava lahko zato prinese dejstva in nasprotne ugotovitve, katerih uporabo v postopku oceni zagovornik.

Kar zadeva uradno zasežena, zaplenjena ali pregledana elektronska dokazna sredstva, je treba upoštevati zlasti člene 94, 98 in 110 Zakona o kazenskem postopku. Te določbe zasebnemu forenzičnemu strokovnjaku za informacijsko tehnologijo ne podeljujejo državnih pooblastil.

IT-forenzik, ki ga je obramba zasebno pooblastila, ni zgolj zaradi tega pooblastila uradno imenovan izvedenec v smislu §§ 72 in naslednjih členov Zakona o kazenskem postopku (StPO). Zasebna mnenja, tehnično svetovanje in uradno imenovanje izvedenca je treba v postopku ločevati.

Če preiskava ne prinese zadostnih razlogov za vložitev javne obtožbe, tožilstvo ustavi postopek v skladu s § 170(2) Zakona o kazenskem postopku. Tehnična ugotovitev s strani obrambe ne zagotavlja takšne odločitve, lahko pa predstavlja pomemben del dejanske podlage.

Pogosta vprašanja

Ali mora tehnična ponovna preiskava priti do drugačnega rezultata kot preiskovalni organ?+
Ne. Resna ponovna preiskava lahko potrdi, omeji ali ovrže prvotno ugotovitev. Odločilni so podatki, ne pa želeni izid.
Ali lahko LanCologne sam zahteva vpogled v spise v skladu s § 147 Kazenskega postopkovnega zakona?+
Ne. To pravico ima zagovornik. LanCologne lahko preuči le tiste dokumente in podatke, ki so mu bili zakonito predloženi v tehnični pregled.
Ali je izjava obrambe avtomatično strokovno mnenje v skladu s §§ 72 in naslednjimi Zakona o kazenskem postopku?+
Ne. Med zasebno naročenim mnenjem ali zasebnim izvedenskim poročilom je treba razlikovati med uradnim imenovanjem izvedenca v kazenskem postopku.
Ali lahko tehnični nasprotni izvid zagotovi ustavitev postopka?+
Ne. Odločitev sprejme tožilstvo oziroma kasneje sodišče. Nasprotni izvid pa lahko zagotovi trdno tehnično podlago za ugotavljanje dejstev.
Woran erkennt man eine Backup-Wiederherstellung?+
An typischen Zeitmustern, Restore-Protokollen und an der Herkunft ganzer Dateigruppen.
Reicht der behördliche Report dafür?+
Meist nicht, weil Reports Dateien zeigen, aber selten deren Herkunft erklären.
Gilt das auch für Bilder in Messenger-Ordnern?+
Ja. Automatische Downloads sind ein eigenes, häufiges Szenario.

Weiterführende Themen

LanCologne – IT-forenzika za odvetnike in zagovornike v kazenskih zadevah

Imate vprašanje v zvezi z digitalnim področjem? LanCologne vam nudi podporo z objektivno in nepristransko forenzično preiskavo na področju IT.

Stopite v stik zdaj