IT-forenzika · preiskovalni organi

Kako se nasprotujoče si izjave primerjajo z digitalnimi sledmi?

Wenn Aussagen sich widersprechen – etwa zu Aufenthaltsort, Zeitpunkt eines Kontakts oder Nutzung eines Geräts –, können digitale Spuren helfen. Sie sprechen aber selten für sich: Erst der sorgfältige Abgleich von Zeitbezügen, Gerätezuordnung und Datenquellen zeigt, welche Aussage die Daten stützen.

Nezavezujoča poizvedba

Zakaj je to vprašanje pomembno za preiskovalne organe

Pri naprednejših preiskovalnih vprašanjih redko gre zgolj za to, ali posamezni artefakt sploh obstaja. Odločilno je, ali je tehnična interpretacija zanesljiva, katere nasprotne hipoteze obstajajo in katerih zaključkov iz obstoječe baze podatkov pravzaprav ne smemo potegniti.

Technischer Hintergrund

Zeitstempel stammen von unterschiedlichen Uhren und Zeitzonen; Standortdaten haben Genauigkeitsradien; Nutzungsdaten eines Geräts belegen nicht automatisch, wer es benutzt hat. Ein Abgleich muss diese Unsicherheiten offenlegen, statt sie zu übergehen.

Relevante Spuren und Datenquellen

  • Kommunikationszeitpunkte (Messenger, Anrufe, E-Mail)
  • Standortdaten mit Genauigkeitsangabe (GPS, WLAN, Mobilfunk)
  • Gerätenutzung (iOS KnowledgeC/Biome, Android UsageStats, Bildschirmereignisse)
  • Fahrzeug-, Smart-Home- oder Fitnessdaten, wenn vorhanden

Grenzen

  • Wer ein Gerät bedient hat, ist aus Nutzungsdaten allein meist nicht ableitbar.
  • Fehlende Daten belegen nicht, dass etwas nicht geschehen ist.

Mögliche Ergebnisse

  • Aussage durch Daten gestützt, widerlegt oder nicht prüfbar – je Einzelbehauptung

Zakaj LanCologne?

LanCologne se v zapletenih preiskavah ne uporablja za čim učinkovitejše potrditev obstoječe hipoteze o sumu. Njegova naloga je neodvisno preveriti konkretno tehnično vprašanje ter obremenilne in razbremenilne ugotovitve oceniti po istih strokovnih merilih.

So gehen wir vor

  • Zerlegen der Aussagen in prüfbare Einzelbehauptungen.
  • Zuordnung geeigneter Datenquellen und Zeitnormalisierung.
  • Abgleich mit Angabe der Unsicherheiten; Prüfung alternativer Erklärungen.

Obremenilni, razbremenilni in odprti izvidi

Raziskava ostaja odprta glede izida. Če več zanesljivih virov podpira hipotezo preiskave, se pojasni njihova tehnična povezanost. Če obstajajo nasprotni izsledki ali tehnično utemeljena alternativna razlaga, se ti enakovredno dokumentirajo. Če podatkovna baza ni zadostna, se izrecno navede, da ni bilo mogoče dokazati preostalega.

Ponovljivost in naknadna sodna presoja

Ključna ugotovitev je oblikovana na način, ki je razumljiv za preiskovalce in tožilce. Hkrati so tehnične osnove, pomembne za preiskavo, dokumentirane tako, da lahko drug usposobljen IT-forenzik na podlagi iste baze podatkov ponovno preveri bistvene ugotovitve. To olajša poznejša poizvedovanja, ponovne preveritve in morebitno sodno pridobivanje dokazov.

LanCologne kot neodvisni zunanji strokovnjak za računalniško forenziko

Če mora organ za kazensko preiskavo podrobno preučiti zapleteno digitalno vprašanje ter ga dati v neodvisno ali ponovljivo preverjanje, podjetje LanCologne pomaga z objektivno preiskavo, ki ni vnaprej usmerjena k določenemu izidu. V središču pozornosti je zanesljiv odgovor na konkretno preiskovalno vprašanje – vključno z nasprotnimi ugotovitvami, omejitvami izjav in tehnično preverljivostjo.

Pravni okvir

Vodenje preiskave in pravna ocena ostajata v pristojnosti pristojnih organov kazenskega pregona. V skladu s § 160 Zakona o kazenskem postopku (StPO) tožilstvo preiskuje dejansko stanje in mora ugotoviti tako obremenilne kot razbremenilne okoliščine. § 161 StPO ureja splošna pooblastila tožilstva za preiskavo; § 163 StPO pa naloge policije v preiskovalnem postopku.

Za izvedence na splošno veljajo §§ 72 in naslednji ZK. V skladu s § 161a(1) ZK morajo izvedenci na poziv priti pred državno tožilstvo in podati svoje mnenje. 82. člen Zakona o kazenskem postopku ureja obliko podajanja izvedenskih mnenj v predhodnem postopku. 78. člen Zakona o kazenskem postopku se nanaša na sodniško vodenje dejavnosti izvedenca, če je sodniško vodenje ustrezno.

Zagotovitev in zaseg se uredita zlasti v skladu s členoma 94 in 98 Kazenskega postopkovnega zakonika. Člen 110(3) Kazenskega postopkovnega zakonika se nanaša na pregled elektronskih nosilcev podatkov in zavarovanje podatkov, ki bi lahko bili pomembni za preiskavo. O dopustnosti, obsegu in odredbi državnih ukrepov odločajo izključno pristojni organi kazenskega pregona in sodišča.

V skladu s § 1(3) JVEG se vključitev s strani policije ali drugih organov kazenskega pregona po naročilu ali s predhodnim soglasjem tožilstva v smislu pravice do nadomestila obravnava enako kot vključitev s strani tožilstva.

Pogosta vprašanja

Kako se nasprotujoče si izjave primerjajo z digitalnimi sledmi?+
Pri naprednejših preiskovalnih vprašanjih redko gre zgolj za to, ali posamezni artefakt sploh obstaja. Odločilno je, ali je tehnična interpretacija zanesljiva, katere nasprotne hipoteze obstajajo in katerih zaključkov iz obstoječe baze podatkov pravzaprav ne smemo potegniti.
Ali preiskava vedno prinese nedvoumni rezultat, ki obtožuje ali razbremeni?+
Ein technischer Widerspruch zu einem Teilaspekt erlaubt keine pauschale Aussage über die gesamte Aussage einer Person.
Sind Standortdaten exakt?+
Nein. Sie haben je nach Quelle Genauigkeitsradien von wenigen Metern bis zu Kilometern.
Kann ein Gerät ohne Nutzer Spuren erzeugen?+
Ja, zahlreiche Hintergrundprozesse erzeugen Einträge ohne Benutzerhandlung.
Wie werden Zeitzonen behandelt?+
Alle Zeitangaben werden normalisiert und die Quelle der Uhrzeit wird dokumentiert.

Weiterführende Themen

LanCologne – IT-forenzika za organe kazenskega preiskovanja

Imate vprašanje v zvezi z digitalnim področjem? LanCologne vam nudi podporo z objektivno in nepristransko forenzično preiskavo na področju IT.

Stopite v stik zdaj