IT-forenzika · preiskovalni organi

Wann ist ein technischer Negativbefund belastbar?

Das Fehlen einer Spur kann nur dann sinnvoll bewertet werden, wenn bekannt ist, ob diese Spur unter den konkreten Bedingungen überhaupt entstehen und erhalten bleiben müsste.

Nezavezujoča poizvedba

Zakaj je to vprašanje pomembno za preiskovalne organe

Pri naprednejših preiskovalnih vprašanjih redko gre zgolj za to, ali posamezni artefakt sploh obstaja. Odločilno je, ali je tehnična interpretacija zanesljiva, katere nasprotne hipoteze obstajajo in katerih zaključkov iz obstoječe baze podatkov pravzaprav ne smemo potegniti.

Tehnični pristop k preiskavi

Wir prüfen Protokollierung, Retention, Systemversion, Nutzungsszenario und mögliche Datenrotation, bevor aus einem fehlenden Artefakt ein Schluss gezogen wird.

Kje je meja izjavljanja

„Nicht gefunden“ ist nicht automatisch „nicht geschehen“.

Zakaj LanCologne?

LanCologne se v zapletenih preiskavah ne uporablja za čim učinkovitejše potrditev obstoječe hipoteze o sumu. Njegova naloga je neodvisno preveriti konkretno tehnično vprašanje ter obremenilne in razbremenilne ugotovitve oceniti po istih strokovnih merilih.

Podatkovna baza je jasno dokumentirana. Če je to tehnično mogoče, se analiza izvaja na preverjenih varnostnih kopijah ali ustreznih delovnih kopijah. Pri ugotovitvah, ki so pomembne za odločanje, se ne zanašamo izključno na avtomatsko ustvarjene poročila. Preverjamo izvor, logiko nastanka in sistemski kontekst; po potrebi izvedemo validacijo na podlagi primarnih podatkov ali z drugo strokovno ustrezno metodo.

Zlasti pri zapletenih primerih je ključno razlikovanje med povezavo z napravo, povezavo z računom, povezavo s sejo, dejanjem uporabnika in fizično osebo. Prav tako se razlikuje med pozitivno ugotovitvijo, zgolj združljivostjo, neobstojem dokazov in tehničnim izključitvijo.

Rezultati se dokumentirajo tako, da lahko preiskovalci in tožilci razumejo bistvo ugotovitev tudi brez posebnega forenzičnega znanja. Hkrati pa so tehnične podlage dokumentirane na način, ki omogoča njihovo ponovno preverjanje s strani drugih forenzikov, obrambe in sodišča.

Od preiskovalnega naloga do zanesljive izjave

1Natančno opredeliti predmet preiskave in nalog za tehnično preiskavo.

2Oblikovati obremenilno hipotezo, razbremenilne nasprotne hipoteze in možne alternativne tehnične razlage.

3Dokumentirati dokazna sredstva, izhodne podatke, celovitost in znane vrzeli.

4Določiti ustrezne primarne vire, sklicevanja na naprave, račune, Server in oblak.

5Preučiti artefakte, ki so pomembni za odločanje, v kontekstu njihovega nastanka in sistema.

6Neodvisno preverjanje rezultatov analizatorjev in orodij v primeru kritičnih ugotovitev.

7Težave s časom, sinhronizacijo in različicami je treba pregledno rešiti ali jih dokumentirati kot preostalo negotovost.

8Ugotovitve, ki kažejo na krivdo, in tiste, ki kažejo na nedolžnost, je treba oceniti po enakih strokovnih merilih.

9Izrecno navesti omejitve ugotovitev, vrzeli v podatkih in možne alternativne razlage.

10Na preiskovalno vprašanje je treba odgovoriti na razumljiv način in zagotoviti tehnično preverljivost.

Obremenilni, razbremenilni in odprti izvidi

Raziskava ostaja odprta glede izida. Če več zanesljivih virov podpira hipotezo preiskave, se pojasni njihova tehnična povezanost. Če obstajajo nasprotni izsledki ali tehnično utemeljena alternativna razlaga, se ti enakovredno dokumentirajo. Če podatkovna baza ni zadostna, se izrecno navede, da ni bilo mogoče dokazati preostalega.

Ponovljivost in naknadna sodna presoja

Ključna ugotovitev je oblikovana na način, ki je razumljiv za preiskovalce in tožilce. Hkrati so tehnične osnove, pomembne za preiskavo, dokumentirane tako, da lahko drug usposobljen IT-forenzik na podlagi iste baze podatkov ponovno preveri bistvene ugotovitve. To olajša poznejša poizvedovanja, ponovne preveritve in morebitno sodno pridobivanje dokazov.

LanCologne kot neodvisni zunanji strokovnjak za računalniško forenziko

Če mora organ za kazensko preiskavo podrobno preučiti zapleteno digitalno vprašanje ter ga dati v neodvisno ali ponovljivo preverjanje, podjetje LanCologne pomaga z objektivno preiskavo, ki ni vnaprej usmerjena k določenemu izidu. V središču pozornosti je zanesljiv odgovor na konkretno preiskovalno vprašanje – vključno z nasprotnimi ugotovitvami, omejitvami izjav in tehnično preverljivostjo.

Pravni okvir

Vodenje preiskave in pravna ocena ostajata v pristojnosti pristojnih organov kazenskega pregona. V skladu s § 160 Zakona o kazenskem postopku (StPO) tožilstvo preiskuje dejansko stanje in mora ugotoviti tako obremenilne kot razbremenilne okoliščine. § 161 StPO ureja splošna pooblastila tožilstva za preiskavo; § 163 StPO pa naloge policije v preiskovalnem postopku.

Za izvedence na splošno veljajo §§ 72 in naslednji ZK. V skladu s § 161a(1) ZK morajo izvedenci na poziv priti pred državno tožilstvo in podati svoje mnenje. 82. člen Zakona o kazenskem postopku ureja obliko podajanja izvedenskih mnenj v predhodnem postopku. 78. člen Zakona o kazenskem postopku se nanaša na sodniško vodenje dejavnosti izvedenca, če je sodniško vodenje ustrezno.

Zagotovitev in zaseg se uredita zlasti v skladu s členoma 94 in 98 Kazenskega postopkovnega zakonika. Člen 110(3) Kazenskega postopkovnega zakonika se nanaša na pregled elektronskih nosilcev podatkov in zavarovanje podatkov, ki bi lahko bili pomembni za preiskavo. O dopustnosti, obsegu in odredbi državnih ukrepov odločajo izključno pristojni organi kazenskega pregona in sodišča.

V skladu s § 1(3) JVEG se vključitev s strani policije ali drugih organov kazenskega pregona po naročilu ali s predhodnim soglasjem tožilstva v smislu pravice do nadomestila obravnava enako kot vključitev s strani tožilstva.

Pogosta vprašanja

Wann ist ein technischer Negativbefund belastbar?+

Pri naprednejših preiskovalnih vprašanjih redko gre zgolj za to, ali posamezni artefakt sploh obstaja. Odločilno je, ali je tehnična interpretacija zanesljiva, katere nasprotne hipoteze obstajajo in katerih zaključkov iz obstoječe baze podatkov pravzaprav ne smemo potegniti.

Kako poteka takšna tehnična preiskava v praksi?+

Wir prüfen Protokollierung, Retention, Systemversion, Nutzungsszenario und mögliche Datenrotation, bevor aus einem fehlenden Artefakt ein Schluss gezogen wird.

Ali preiskava vedno prinese nedvoumni rezultat, ki obtožuje ali razbremeni?+

„Nicht gefunden“ ist nicht automatisch „nicht geschehen“.

Ali za to obstaja pravna podlaga?+

Vodenje preiskave in pravna ocena ostajata v pristojnosti pristojnih organov kazenskega pregona. V skladu s § 160 Zakona o kazenskem postopku (StPO) tožilstvo preiskuje dejansko stanje in mora ugotoviti tako obremenilne kot razbremenilne okoliščine. § 161 StPO ureja splošna pooblastila tožilstva za preiskavo; § 163 StPO pa naloge policije v preiskovalnem postopku. Za izvedence na splošno veljajo §§ 72 in naslednji ZK. V skladu s § 161a(1) ZK morajo izvedenci na poziv priti pred tožilstvo in podati svoje mnenje. § 82 Kazenskega postopkovnega zakonika ureja obliko podajanja izvedenskih mnenj v predhodnem postopku. § 78 Kazenskega postopkovnega zakonika se nanaša na sodniško vodenje dejavnosti izvedenca, če je sodniško vodenje ustrezno. Zavarovanje in zaseg se uredita zlasti v skladu s §§ 94 in 98 Kazenskega postopkovnega zakonika. § 110(3) Zakona o kazenskem postopku (StPO) se nanaša na pregled elektronskih nosilcev podatkov in zavarovanje podatkov, ki so lahko pomembni za preiskavo. O dopustnosti, obsegu in odredbi državnih ukrepov odločajo izključno pristojni organi kazenskega pregona in sodišča. V skladu s § 1(3) Zakona o plačilu pravnih stroškov (JVEG) je sodelovanje s strani policije ali drugih organov kazenskega pregona po naročilu ali s predhodnim soglasjem tožilstva z vidika pravice do plačila enakovredno sodelovanju na zahtevo tožilstva.