IT-forenzika · Sodišča

Kann die frühere Installation einer inzwischen deinstallierten Software nachträglich festgestellt werden?

Auch nach einer Deinstallation können Spuren einer früheren Softwareinstallation erhalten bleiben. Ob diese für eine gerichtliche Aussage ausreichen, hängt vom Betriebssystem, der Anwendung und dem Erhaltungszustand des Systems ab.

Nezavezujoča poizvedba

Za sodišče ni pomembno, koliko programov za analizo je bilo uporabljenih. Odločilno je, katero konkretno tehnično dejstvo je mogoče zanesljivo ugotoviti na podlagi razpoložljivih podatkov, kako je ta ugotovitev nastala in kje so njene meje.

Konkretno vprašanje glede dokazov

Wir prüfen verbliebene Konfigurationsdaten, Installationsprotokolle, Verzeichnisse, Paketinformationen, Ausführungs- und Ereignisspuren sowie gegebenenfalls historische Sicherungen.

Zakaj ena sama digitalna sled redko zadostuje

Digitalni artefakti nastajajo v sistemih z lastnimi mehanizmi shranjevanja, sinhronizacije in beleženja. Posamezni časovni žig, vnos v dnevnik ali vrednost v bazi podatkov se zato ne upošteva kot dokončna ugotovitev brez konteksta. Če to zahteva dokazno vprašanje, se med seboj poveže več neodvisnih sledi in preverijo tehnično verjetne nasprotne hipoteze.

Kje je meja izjavljanja

Ein Restartefakt kann eine frühere Existenz stützen, muss aber hinsichtlich Herkunft, Zeitpunkt und möglicher Übernahme aus Backups oder Migrationen geprüft werden.

Kako LanCologne obravnava dokazno vprašanje

Pri metodi LanCologne se preiskava začne z vprašanjem o sodnih dokazih in ne z določenim programom analize. Najprej se ugotovi, katero tehnično dejstvo je treba ugotoviti, kateri viri podatkov so za to relevantni in katere nasprotne hipoteze je treba upoštevati.

Dokazi in izhodni podatki so jasno dokumentirani. Če je to tehnično mogoče, se analiza izvaja na preverjenih forenzičnih varnostnih kopijah ali ustreznih delovnih kopijah. Ujemanja, ki so pomembna za odločitev, se ne upoštevajo zgolj zato, ker jih prikaže programska oprema. Preverjamo izvor, logiko nastanka in kontekst artefakta ter po potrebi preverjamo ključne ugotovitve na podlagi izhodiščnih podatkov ali z drugo strokovno ustrezno metodo.

V strokovnem mnenju so ugotovitve dejanskega stanja, tehnična interpretacija in zaključki ločeni drug od drugega. Enako jasno so opisane tudi meje trditev: kaj je mogoče dokazati? Kaj je zgolj podprto? Katere nasprotne ugotovitve obstajajo? Kaj ostaja odprto? Nedokazljivost se ne preoblikuje v navidezno zanesljivo trditev.

Glavni del je napisan tako, da lahko sodnik brez posebnega znanja s področja računalniške forenzike razume potek sklepanja. Tehnična preverljivost ostane ohranjena. Viri podatkov, pomembni za preverjanje, informacije o celovitosti, artefakti in koraki preiskave so dokumentirani tako, da lahko neodvisni IT-forenzik razume ključne ugotovitve za morebitno nasprotno mnenje.

Od sodnega naloga do zanesljive izjave

Pozitivni rezultati, negativni rezultati in odsotnost dokazov

Strokovna ugotovitev mora biti odprta glede izida. Če podatki potrjujejo preverjano hipotezo, se pojasni, na čem ta temelji. Če tej hipotezi nasprotujejo zanesljivi dokazi, se tudi ti predstavijo. Če podatkovna baza ne zadostuje za zanesljivo odločitev, se to označi kot nedokazano oziroma kot odprto tehnično vprašanje. Prav ta ločitev preprečuje, da bi iz vrzeli v podatkih nastala navidezno zanesljiva trditev.

Razumljivo za sodišče – tehnično preverljivo za nasprotnega izvedenca

Strokovno jedro je pojasnjeno v razumljivem jeziku. Strokovni izrazi se uporabljajo le tam, kjer so potrebni, in so nato razloženi. Hkrati so ohranjeni ključni tehnični temelji: preučeni viri podatkov, relevantni artefakti, informacije o integriteti, časovne reference in metodološki koraki. IT-forenzik, ki ni seznanjen s postopkom, mora biti sposoben preveriti izpeljavo, ne da bi glavno besedilo za sodišče postalo zgolj zbirka surovih tehničnih podatkov.

Metodološka uvrstitev

Za sodno informacijsko forenziko ne obstaja zakonsko predpisan seznam obveznih programov za analizo. Strokovno gledano so ključnega pomena nadzorovana baza podatkov, celovitost, dokumentirani koraki preiskave, preverljive zaključke ter možnost neodvisnega pregleda.

Modul DER.2.2 „Priprava na IT-forenziko“ v okviru osnovne zaščite BSI vsebuje koristna osnovna načela za pripravo na poznejše forenzične preiskave in za zavarovanje dokazov ob incidentih na področju IT-varnosti. Vendar pa ne gre za standard forenzike v kazenskem postopku; dejanska forenzična analiza ni predmet tega modula. To razmejitev je treba izrecno upoštevati.

LanCologne kot neodvisni IT-strokovnjak

Če mora sodišče tehnično pojasniti konkretno vprašanje v zvezi z digitalnimi dokazi, neodvisno in brez vnaprejšnjih predpostavk preučimo obstoječo bazo podatkov. Cilj ni čim obsežnejše zbiranje tehničnih zadetkov, temveč strokovno utemeljen odgovor: razumljiv za sodišče, pregleden v svojem izpeljanju in tehnično preverljiv.

Za dokazovanje s strokovnim mnenjem v civilnih postopkih so pomembni zlasti §§ 402 in naslednji ZPO. § 403 ZPO se nanaša na opredelitev točk, ki jih je treba preučiti. V skladu s § 404a ZPO sodišče usmerja delo strokovnega izvedenca in lahko določi vrsto ter obseg njegovega dela. § 407a ZPO vsebuje obveznosti izvedenca, med drugim glede preverjanja lastnega strokovnega področja ter pojasnjevanja dvomov o vsebini in obsegu naročila. § 411 ZPO ureja pisno izvedensko mnenje ter njegovo pojasnjevanje in dopolnjevanje. Ocena izvedenskega mnenja skupaj z ostalimi dokaznimi ugotovitvami ostaja naloga sodišča (§ 286 ZPO).

Pri izvedenskih mnenjih v kazenskem postopku za izvedence veljajo §§ 72 in naslednji Kazenskega postopkovnega zakonika (StPO). Kateri predpisi so v konkretnem postopku relevantni, je odvisno od naročila in vrste postopka. IT-forenzično mnenje ne nadomešča niti pravne ocene niti sodne presoje dokazov.

Pogosta vprašanja

LanCologne – IT-forenzika za sodišča

Imate vprašanje v zvezi z digitalnim področjem? LanCologne vam nudi podporo z objektivno in nepristransko forenzično preiskavo na področju IT.

Stopite v stik zdaj