IT-forenzika · Sodišča
IT-forenzika za sodišča – v središču pozornosti je vprašanje dokazov
Ein Gericht braucht keinen möglichst langen technischen Bericht und keine Aufzählung eingesetzter Programme. Es braucht eine belastbare Antwort auf die gestellte Beweisfrage.
Genau daran richten wir die Untersuchung aus. Zunächst wird geklärt, was technisch beantwortet werden soll. Danach bestimmen wir, welche Datenquellen hierfür geeignet sind, welche Untersuchungsschritte erforderlich sind und welche alternativen Erklärungen berücksichtigt werden müssen. Erst dann beginnt die eigentliche Auswertung.
Das Ergebnis kann ein positiver Nachweis, ein Ausschluss oder ein begründetes „anhand der vorliegenden Daten nicht sicher feststellbar“ sein. Alle drei Ergebnisse können fachlich richtig sein. Entscheidend ist, dass das Gericht erkennen kann, wie die Aussage zustande gekommen ist und wo ihre Grenzen liegen.
Dejansko vprašanje glede dokazov
Wie wird aus einer gerichtlichen Beweisfrage eine technisch belastbare Untersuchung?
Wir zerlegen die gerichtliche Frage in technisch prüfbare Teilfragen. Wenn beispielsweise geklärt werden soll, ob eine Datei an einem bestimmten Tag verändert wurde, genügt nicht ein einzelner Zeitstempel. Zu prüfen sind unter anderem Dateisystemmetadaten, Anwendungsspuren, Sicherungen, Protokolle und gegebenenfalls Synchronisationsvorgänge.
Die Untersuchung bleibt dabei an den gerichtlichen Auftrag gebunden. Bei streitigem Sachverhalt bestimmt das Gericht nach § 404a Absatz 3 ZPO, welche Tatsachen der Begutachtung zugrunde zu legen sind. Wir ersetzen diese Vorgabe nicht durch eigene Annahmen.
Kje je meja izjavljanja
Strokovni izvedenec ne sme na lastno pobudo preoblikovati nejasnega dokaznega vprašanja v drugo vprašanje. Če obstajajo dvomi glede vsebine ali obsega pooblastila, § 407a(4) ZPO zahteva, da to pojasni sodišče.
Zakaj LanCologne?
Pri sodnih naročilih za nas ni odločilno, kateri program za analizo najprej prikaže zadetek. Odločilno je, ali je mogoče na dokazno vprašanje strokovno odgovoriti in ali ta odgovor zdrži neodvisno preverjanje.
Delujemo brez vnaprejšnjih predpostavk, dokumentiramo izvor ključnih ugotovitev in preverjamo alternativne tehnične razlage. Dejanska analiza se načeloma izvaja na forenzični kopiji oziroma na podatkovni zbirki, ki je bila zajeta na način, ki zagotavlja dokazno vrednost. Izvirniki se ne preiskujejo neposredno, če to ni nujno potrebno. Kadar so tehnično potrebni posegi v živo, se morebitne spremembe, ki jih ti povzročijo, izrecno dokumentirajo.
Odločilne ugotovitve se, odvisno od vprašanja, preverijo z drugo strokovno ustrezno metodo ali neposredno na podlagi izhodiščnih surovih podatkov. Katera orodja se za to uporabijo, je odvisno od dokaznega gradiva in vprašanja. Odločilni so primernost, strokovna priznanje in sledljivost metode – ne pa ime izdelka.
Naše strokovno mnenje ločuje ugotovljena dejstva, tehnično oceno in preostalo negotovost. Negativni izid je enako skrbno utemeljen kot pozitiven izid.
Tako delamo pri sodnih naročilih
Naš način dela – od sodnega naloga do odgovora
Najprej preverimo, ali vprašanje spada v naše strokovno področje, na katerih dejstvih temelji sodišče ter ali sta vsebina in obseg naročila jasno opredeljeni. V primeru dvoma sodišče poskrbi za pojasnilo. To je v skladu s § 404a in § 407a ZPO.
Morebitni razlogi, ki bi lahko vzbudili dvom o nepristranskosti, se preverijo pred začetkom vsebinske preiskave in se po potrebi razkrijejo sodišču.
Naprave, nosilci podatkov, varnostne kopije in na voljo dane datoteke se identificirajo in dokumentirajo. Zabeleži se stanje ob preiskavi.
Če je to tehnično mogoče, se pripravi forenzična kopija ali forenzični odtis. Hash vrednosti in drugi preizkusi celovitosti služijo za nedvoumno identifikacijo. Izvirnik se ohrani za poznejše preverjanje.
Določimo, kateri sledi bi podprli domnevni dogodek, kateri nasprotni dokazi so možni in katere alternativne tehnične razlage je treba preveriti.
Preučujejo se le tisti artefakti, ki imajo strokovno vrednost za dokazno vprašanje. Avtomatske ujemitve se ne prevzamejo brez preverjanja.
Ugotovitve, ki so pomembne za odločitev, se – če je to potrebno – preverijo z drugo priznano metodo, z drugega tehničnega vidika ali neposredno na podlagi surovih podatkov.
Izrecno preverjamo, kaj iz podatkov ni dovoljeno sklepati. Navajamo manjkajoče podatke, morebitno izbrisanje, tehnične omejitve, nepopolne izpiske ali nasprotujoče si sledi.
Končni odgovor izhaja iz dokumentiranih ugotovitev. Ni izražen močneje, kot to dopuščajo podatki.
Glavno besedilo je razumljivo tudi za tiste, ki niso forenzični strokovnjaki. Tehnična priloga vsebuje informacije, ki jih neodvisni IT-forenzični strokovnjak potrebuje za strokovno preverjanje ali izdelavo nasprotnega mnenja.
Pravni okvir
ZPO §§ 403, 404a, 407a, 411, 412; ergänzend § 286 ZPO zur richterlichen Beweiswürdigung. In Strafsachen gelten die §§ 72 ff. StPO für Sachverständige.
Strokovni izvedenec zagotovi strokovno dejansko podlago. Pravna presoja in končna ocena dokazov ostajata v pristojnosti sodišča.
Pogosta vprašanja
LanCologne – IT-forenzika za sodišča
Potrebujete neodvisno tehnično preiskavo v zvezi s sodnim dokaznim vprašanjem? LanCologne preiskuje digitalne sledi objektivno, pregledno in ponovljivo. Dokumentiramo tako pozitivne ugotovitve kot tudi primere, ko dokazov ni mogoče najti, ter tehnične omejitve, tako da je sklepna ugotovitev razumljiva za sodišče in strokovno preverljiva za neodvisnega IT-forenzika.
V zvezi s to temo