IT-forenzika · Sodišča

Kann festgestellt werden, ob eine Datei tatsächlich geöffnet wurde?

Zwischen dem Vorhandensein einer Datei und ihrer tatsächlichen Öffnung besteht ein wesentlicher Unterschied.

Nezavezujoča poizvedba

Za sodišče ni pomembno, koliko programov za analizo je bilo uporabljenih. Odločilno je, katero konkretno tehnično dejstvo je mogoče zanesljivo ugotoviti na podlagi razpoložljivih podatkov, kako je ta ugotovitev nastala in kje so njene meje.

Konkretno vprašanje glede dokazov

Wir prüfen anwendungs- und betriebssystemspezifische Nutzungsartefakte, zuletzt verwendete Dokumente, Vorschaumechanismen, Dateisystemzugriffe und weitere korrespondierende Spuren.

Zakaj ena sama digitalna sled redko zadostuje

Digitalni artefakti nastajajo v sistemih z lastnimi mehanizmi shranjevanja, sinhronizacije in beleženja. Posamezni časovni žig, vnos v dnevnik ali vrednost v bazi podatkov se zato ne upošteva kot dokončna ugotovitev brez konteksta. Če to zahteva dokazno vprašanje, se med seboj poveže več neodvisnih sledi in preverijo tehnično verjetne nasprotne hipoteze.

Kje je meja izjavljanja

Manche Artefakte entstehen bereits durch Vorschau, Indexierung oder automatische Verarbeitung. Deshalb darf ein technischer Zugriff nicht ohne Prüfung mit bewusster Kenntnisnahme gleichgesetzt werden.

Kako LanCologne obravnava dokazno vprašanje

Pri LanCologne se sodna informacijsko-forenzična preiskava začne z vprašanjem o dokazih in ne z določenim programom za analizo. Najprej se ugotovi, katero tehnično dejstvo je treba ugotoviti, kateri viri podatkov so za to sploh relevantni in katere nasprotne hipoteze je treba upoštevati.

Dokazi in izhodni podatki so jasno dokumentirani. Kolikor je to tehnično mogoče, se analiza izvaja na preverjenih forenzičnih varnostnih kopijah ali ustreznih delovnih kopijah. Ugotovitve, pomembne za odločitev, se ne upoštevajo zgolj zato, ker jih prikaže programska oprema. Preverijo se izvor, logika nastanka in kontekst artefakta; ključne ugotovitve se po potrebi preverijo na podlagi izhodiščnih podatkov ali z drugo strokovno ustrezno metodo.

V strokovnem mnenju so ugotovitve dejanskega stanja, tehnična interpretacija in zaključki ločeni drug od drugega. Enako jasno so opisane tudi meje trditev: kaj je mogoče dokazati? Kaj je zgolj podprto? Katere nasprotne ugotovitve obstajajo? Kaj ostaja odprto? Nedokazljivost se ne preoblikuje v navidezno zanesljivo trditev.

Glavni del je napisan tako, da lahko sodnik brez posebnega znanja s področja računalniške forenzike razume potek sklepanja. Tehnična preverljivost ostane ohranjena. Viri podatkov, pomembni za preverjanje, informacije o celovitosti, artefakti in koraki preiskave so dokumentirani tako, da lahko neodvisni IT-forenzik v okviru morebitnega nasprotnega mnenja razume ključne ugotovitve.

Od sodnega naloga do zanesljive izjave

Pozitivni rezultati, negativni rezultati in odsotnost dokazov

Strokovna ugotovitev mora biti odprta glede izida. Če podatki potrjujejo preverjano hipotezo, se pojasni, na čem ta temelji. Če tej hipotezi nasprotujejo zanesljivi dokazi, se tudi ti predstavijo. Če podatkovna baza ne zadostuje za zanesljivo odločitev, se to označi kot nedokazano oziroma kot odprto tehnično vprašanje. Prav ta ločitev preprečuje, da bi iz vrzeli v podatkih nastala navidezno zanesljiva trditev.

Razumljivo za sodišče – tehnično preverljivo za nasprotnega izvedenca

Strokovno jedro je pojasnjeno v razumljivem jeziku. Strokovni izrazi se uporabljajo le tam, kjer so potrebni, in so nato razloženi. Hkrati so ohranjeni ključni tehnični temelji: preučeni viri podatkov, relevantni artefakti, informacije o integriteti, časovne reference in metodološki koraki. IT-forenzik, ki ni seznanjen s postopkom, mora biti sposoben preveriti izpeljavo, ne da bi glavno besedilo za sodišče postalo zgolj zbirka surovih tehničnih podatkov.

Metodološka uvrstitev

Za sodno informacijsko forenziko ne obstaja zakonsko predpisan seznam obveznih programov za analizo. Strokovno gledano so ključnega pomena nadzorovana baza podatkov, celovitost, dokumentirani koraki preiskave, preverljive zaključke ter možnost neodvisnega pregleda.

Modul DER.2.2 „Priprava na IT-forenziko“ v okviru osnovne zaščite BSI vsebuje koristna osnovna načela za pripravo na poznejše forenzične preiskave in za zavarovanje dokazov ob incidentih v zvezi z IT-varnostjo. Vendar pa ne gre za standard za forenziko v kazenskem postopku; modul izrecno pojasnjuje, da dejanska forenzična analiza ni njegov predmet in da se ne nanaša na IT-forenzične preiskave v primeru kaznivih dejanj.

LanCologne kot neodvisni IT-strokovnjak

Če mora sodišče tehnično pojasniti konkretno vprašanje v zvezi z digitalnimi dokazi, neodvisno in brez vnaprejšnjih predpostavk preučimo obstoječo bazo podatkov. Cilj ni čim obsežnejše zbiranje tehničnih zadetkov, temveč strokovno utemeljen odgovor: razumljiv za sodišče, pregleden v svojem izpeljanju in tehnično preverljiv.

Za izvedensko dokazovanje v civilnih postopkih so odločilni zlasti §§ 402 in naslednji ZPO. § 403 ZPO pogojuje predložitev dokazov z opredelitvijo točk, ki jih je treba preučiti. V skladu s § 404a ZPO sodišče usmerja delo izvedenca; v primeru spornih dejanskih okoliščin določi dejstva, na katerih naj temelji izvedensko mnenje. Člen 407a ZPO strokovnega izvedenca med drugim zavezuje, da preveri, ali naročilo spada v njegovo strokovno področje, da sporoči morebitne razloge, ki bi lahko upravičevali nezaupanje v njegovo nepristranskost, ter da v primeru dvomov glede vsebine in obsega naročila nemudoma zaprosi sodišče za pojasnilo. § 411 ZPO ureja pisno izvedensko mnenje ter njegovo pojasnilo ali dopolnitev. Ocena izvedenskega mnenja skupaj z ostalimi dokaznimi ugotovitvami ostaja naloga sodišča (§ 286 ZPO).

Če se strokovna ocena izvaja v kazenskem postopku, za izvedence veljajo §§ 72 in naslednji Kazenskega postopkovnega zakonika (StPO). Konkretna procesnopravna uvrstitev je odvisna od posameznega naročila in postopka. Naša naloga je strokovno odgovoriti na tehnično dokazno vprašanje; to ne nadomešča niti pravne ocene niti sodne presoje dokazov.

Pogosta vprašanja

LanCologne – IT-forenzika za sodišča

Imate vprašanje v zvezi z digitalnim področjem? LanCologne vam nudi podporo z objektivno in nepristransko forenzično preiskavo na področju IT.

Stopite v stik zdaj