Diese Übersicht bündelt alle Fragen und Antworten rund um IT-Forensik für Gerichte bei LanCologne – von der Zuordnung von Nutzern und Konten über Dateien, Metadaten und Kommunikationsspuren bis hin zu Widersprüchen in digitalen Beweismitteln und der Rolle des IT-Sachverständigen im Gerichtsverfahren. Klicken Sie auf eine Kategorie, um die passenden Fragen zu sehen.
Nutzer- und Kontozuordnung
- Ali je mogoče ugotoviti, kdo je uporabljal računalnik ali pametni telefon?
- Ali je mogoče konkretni vnos uporabnika tehnično dokazati?
- Ali je mogoče dejansko pošiljanje sporočila razlikovati od njegove zgolj prisotnosti na računu?
- Ali je mogoče razlikovati med lokalnim uporabniškim računom, računom v domeni in računom v oblaku?
- Ali je mogoče rekonstruirati zamenjavo uporabnika ali vzporedno uporabniško sejo?
- Welche Aussagekraft hat eine automatische Anmeldung?
- Kann ein digitales Artefakt einem bestimmten Benutzerprofil zugeordnet werden?
- Wie sind Artefakte aus gemeinsam genutzten oder technischen Konten zu bewerten?
- Kann unterschieden werden, ob digitale Daten automatisch oder durch eine Benutzerhandlung erzeugt wurden?
- Kann festgestellt werden, ob ein Benutzerkonto kompromittiert oder von einem Dritten verwendet wurde?
- Wie werden digitale Spuren bewertet, wenn mehrere Geräte denselben Account verwenden?
- Kann eine digitale Handlung bei gemeinsam genutzten Computern einem bestimmten Benutzer zugeordnet werden?
- Ali je mogoče zanesljivo razlikovati med lokalnim uporabniškim računom, računom v domeni in računom v oblaku?
- Ali je mogoče dokazati zamenjavo uporabnika ali vzporedno uporabniško sejo?
- Kakšen pomen ima samodejna prijava za dodeljevanje uporabnikov?
- Ali je mogoče digitalni artefakt pripisati določenemu uporabniškemu profilu znotraj večuporabniškega sistema?
Kommunikation: Chat, E-Mail und Nachrichten
- Ali je mogoče tehnično preveriti pristnost in popolnost zgodovine klepeta?
- Ali je tehnično mogoče določiti izvor e-poštnega sporočila in pot, po kateri je bilo poslano?
- Kakšno dokazno vrednost imajo push-obvestila kot digitalni dokaz?
- Kaj dejansko dokazuje digitalno potrdilo o branju?
- Kako je treba obravnavati razlike v stanju sporočil na strani pošiljatelja in prejemnika?
- Ali je mogoče pri prilogi v e-pošti razlikovati med prejemom, shranjevanjem, odpiranjem in obdelavo?
- Kann festgestellt werden, ob eine E-Mail weitergeleitet oder ihr Inhalt manuell übernommen wurde?
- Welche Aussagekraft haben E-Mail-Header für Herkunft und Übertragungsweg?
- Ali je mogoče ugotoviti, ali je bil e-poštni sporočil izbrisan lokalno, na strežniku ali prek sinhronizacije?
Fotos, Videos und Multimedia
- Kann aus einer Bildschirmsperre auf tatsächliche Gerätenutzung geschlossen werden?
- Kann festgestellt werden, ob ein Foto oder Video mit einem bestimmten Gerät aufgenommen wurde?
- Kann zwischen Originalaufnahme, bearbeiteter Datei und konvertierter Kopie unterschieden werden?
- Welche Aussagekraft haben Vorschaubilder und Thumbnail-Caches?
- Welche Aussagekraft besitzt eine Bildschirmaufzeichnung als digitales Beweismittel?
- Wie belastbar sind Foto- und Video-Metadaten als gerichtlicher Beweis?
- Beweist ein Vorschaubild oder Thumbnail, dass die zugehörige Datei geöffnet wurde?
Geräte, Netzwerk und Systemartefakte
- Kann festgestellt werden, ob ein Gerät mit einem bestimmten WLAN verbunden war?
- Welche Aussagekraft haben identische Dateien auf mehreren Geräten?
- Kann festgestellt werden, welches Gerät eine synchronisierte Änderung ursprünglich erzeugt hat?
- Kann ein behaupteter Fernzugriff auf einen Computer technisch belegt werden?
- Kann ein Netzwerkwechsel eines Geräts zeitlich rekonstruiert werden?
- Ali je mogoče ugotoviti, ali je posodobitev sistema spremenila ali izbrisala digitalne sledi?
- Wie wirkt sich die Migration auf ein neues Gerät auf die Beweisbewertung aus?
- Kann nachgewiesen werden, ob ein bestimmtes externes Gerät mit einem Computer verbunden war?
- Kann festgestellt werden, ob eine bestimmte Software installiert oder tatsächlich ausgeführt wurde?
- Kann die frühere Installation einer inzwischen deinstallierten Software nachträglich festgestellt werden?
- Ali je mogoče ugotoviti, ali so bili podatki preneseni ali pridobljeni prek omrežne delitve?
- Welche Aussagekraft besitzen flüchtige Daten aus dem Arbeitsspeicher vor Gericht?
- Kann eine Remote-Desktop- oder Fernzugriffssitzung nachträglich nachgewiesen werden?
- Kann festgestellt werden, ob ein Gerät zum relevanten Zeitpunkt gesperrt oder aktiv bedient wurde?
- Kann nachvollzogen werden, mit welchem Netzwerk ein Gerät zu einem bestimmten Zeitpunkt verbunden war?
- Wie werden Zeitangaben externer Server mit der lokalen Gerätezeit verglichen?
- Welchen Einfluss können Systemupdates auf digitale Spuren haben?
- Kann eine Migration von einem alten auf ein neues Gerät forensisch erkannt werden?
Löschung, Wiederherstellung und Backup
- Ali je mogoče dokazati, ali so bili podatki namerno izbrisani?
- Katere sledi lahko pusti obnovitev iz varnostne kopije?
- Kaj je mogoče zanesljivo ugotoviti po ponastavitvi na tovarniške nastavitve?
- Kakšno dokazno vrednost imajo varnostne kopije, posnetki stanja in zgodovinske varnostne kopije?
- Ali je mogoče ugotoviti, ali je bil nosilec podatkov formatiran ali pa je bil na njem na novo nameščen operacijski sistem?
- Welche Aussagekraft besitzen Papierkorb- und Trash-Artefakte vor Gericht?
- Kann festgestellt werden, ob gelöschte Daten später überschrieben wurden?
- Wie beeinflusst eine Wiederherstellung aus einem Backup die Beweisbewertung?
- Welche Aussagen sind nach einem Zurücksetzen auf Werkseinstellungen noch möglich?
Authentifizierung, Verschlüsselung und Zugriffsschutz
- Ali je mogoče razlikovati med avtentifikacijo z geslom, biometrično avtentifikacijo in avtentifikacijo na podlagi seje?
- Kakšno dokazno vrednost imajo shranjena gesla, žetoni in podatki za dostop pred sodiščem?
- Kakšno vrednost imajo šifrirani kontejnerji in virtualni nosilci podatkov?
- Katera izjava je dopustna v primeru šifriranih ali le delno dostopnih dokazov?
- Kako se tehnično preveri digitalni podpis?
Anonymisierung, VPN und Netzwerkspuren
- Welche Aussagekraft hat die Nutzung eines VPN für die Zuordnung digitaler Aktivitäten?
- Wie werden Proxy-, Relay- oder Anonymisierungsverbindungen forensisch eingeordnet?
- Welche Aussagekraft besitzen DNS-Spuren als Nachweis einer Internetaktivität?
- Welche Aussagekraft hat eine VPN-Nutzung für die Zuordnung von Internetaktivitäten?
Cloud, virtuelle Systeme und Container
- Kann festgestellt werden, ob ein Archiv entpackt oder dessen Inhalt genutzt wurde?
- Wie werden virtuelle Maschinen als digitale Beweismittel untersucht?
- Kann festgestellt werden, ob eine virtuelle Maschine zu einem bestimmten Zeitpunkt ausgeführt wurde?
- Welche Aussagekraft haben Cloud-Synchronisationsspuren vor Gericht?
- Kakšno dokazno vrednost imajo šifrirani kontejnerji in virtualni nosilci podatkov pred sodiščem?
- Wie werden virtuelle Maschinen als digitales Beweismittel untersucht?
Dateien, Metadaten und Zeitstempel
- Ali je mogoče ugotoviti, kdaj je bila datoteka ustvarjena ali spremenjena?
- Ali je mogoče ugotoviti, ali je bila datoteka dejansko odprta ali v uporabi?
- Kann festgestellt werden, ob eine Datei nur angezeigt oder tatsächlich bearbeitet wurde?
- Kakšno vrednost imajo osnutki, datoteke za samodejno shranjevanje in začasni dokumenti?
- Ali je mogoče datoteko pripisati določenemu programu, s katerim je bila ustvarjena?
- Ali je mogoče ugotoviti, ali je bil dokument izvožen iz druge datoteke?
- Ali lahko sledi v odložišču dokazujejo, da je bil opravljen postopek kopiranja in lepljenja?
- Kakšno dokazno vrednost imajo datoteke ZIP, RAR in druge arhivske datoteke pred sodiščem?
- Kako zanesljiva je digitalna časovna os pred sodiščem?
- Kakšno vrednost imajo iskalni indeksi in indeksirana vsebina datotek?
- Kann eine tatsächlich ausgeführte Suche von einer bloßen Indexierung unterschieden werden?
- Kann festgestellt werden, ob eine digitale Handlung durch eine geplante Aufgabe oder Automatisierung ausgelöst wurde?
- Kann festgestellt werden, ob eine Berechtigung zu einem bestimmten Zeitpunkt bestand?
- Kann eine Änderung von Benutzer- oder Gruppenberechtigungen rekonstruiert werden?
- Wann darf aus dem Fehlen eines digitalen Artefakts überhaupt ein Schluss gezogen werden?
- Kann nachgewiesen werden, ob ein digitales Dokument nachträglich verändert wurde?
- Kann festgestellt werden, welche Version eines Dokuments zu einem bestimmten Zeitpunkt vorlag?
- Ali je mogoče ugotoviti, ali je bila datoteka prenesena iz interneta?
- Kann festgestellt werden, ob ein Computer zu einem bestimmten Zeitpunkt ein- oder ausgeschaltet war?
- Kann nachvollzogen werden, ob Dateien umbenannt oder innerhalb eines Systems verschoben wurden?
- Kakšno dokazno vrednost imajo pred sodiščem obnovljene ali le delno ohranjene datoteke?
- Ali je mogoče ugotoviti, ali je bila datoteka ali informacija natisnjena?
- Kann festgestellt werden, ob eine Datei tatsächlich geöffnet wurde?
- Kann nachgewiesen werden, dass eine Person den Inhalt einer digitalen Datei tatsächlich zur Kenntnis genommen hat?
- Ali je mogoče razlikovati, ali je bila datoteka kopirana, premaknjena ali sinhronizirana?
- Ali je mogoče čas izbrisa tehnično omejiti?
- Ali je mogoče dokazati dostop do datoteke, čeprav je datoteka ostala nespremenjena?
- Ali je mogoče ugotoviti, ali je prišlo do manipulacije z časovnimi oznakami datotek ali sistema?
- Ali je mogoče razlikovati med izvirno datoteko in pretvorjeno ali ponovno shranjeno različico?
- Welche Aussagekraft haben Suchindexe für die Existenz oder Nutzung einer Datei?
Widersprüche, Plausibilität und Beweiswürdigung
- Kako IT-izvedenec preveri domnevni potek dogodkov, če si digitalni dokazi med seboj nasprotujejo?
- Kako zanesljivi so ročno spremenjeni metapodatki kot dokaz?
- Ali je lahko zlonamerna programska oprema alternativna razlaga za digitalno dejanje?
- Kako ravnati z nasprotujočimi si digitalnimi sledmi?
- Kako se preveri tehnična verodostojnost domnevne digitalne verige dogodkov?
- Wie bewertet ein IT-Sachverständiger zwei technisch plausible Erklärungen?
- Wie wird ein technischer Nichtnachweis im Gutachten sauber formuliert?
- Wie sind widersprüchliche digitale Beweismittel in einem IT-Gutachten zu behandeln?
Gutachten, Gerichtsverfahren und Sachverständige
- Wie wird die Unabhängigkeit und Neutralität eines IT-Sachverständigen praktisch umgesetzt?
- Warum muss ein IT-Gutachten für Nicht-Forensiker verständlich sein?
- Warum gehört ein technischer Anhang zu einem nachvollziehbaren IT-Gutachten?
- Wie wird ein IT-Gutachten für ein mögliches Gegengutachten reproduzierbar aufgebaut?
- Wie wird eine gerichtliche IT-Beweisfrage abschließend und eindeutig beantwortet?
- Wie werden Zeitzonen, Sommerzeit und fehlerhafte Systemuhren im Gutachten berücksichtigt?
- Wie kann ein bereits vorliegendes privates IT-Gutachten technisch überprüft werden?
- Sachverständiger oder sachverständiger Zeuge – was ist bei digitalen Tatsachen zu unterscheiden?
- Wie wird ein IT-Gutachten vor Gericht erläutert und auf Ergänzungsfragen geprüft?
- Welche Bedeutung hat eine lückenhafte Chain of Custody für die technische Aussagekraft?
- Was geschieht, wenn während der IT-forensischen Untersuchung neue, vom gerichtlichen Auftrag nicht erfasste Tatsachen auffallen?
- Wo endet die technische Schlussfolgerung des IT-Sachverständigen und wo beginnt die Beweiswürdigung des Gerichts?
Sonstige Beweisfragen
- Welchen Beweiswert hat ein Screenshot oder Foto eines digitalen Inhalts?
- Ali je mogoče dokazati, ali so bili podatki kopirani na USB-nosilec podatkov?
- Kako se digitalni dokazi zavarujejo tako, da je preiskava kasneje še vedno preverljiva?
- V kolikšni meri so digitalni podatki o lokaciji zanesljivi kot sodni dokaz?
- Ali je mogoče domnevno uporabo interneta ali brskalnika tehnično rekonstruirati?
- Ali je mogoče ugotoviti izvor digitalne datoteke ali niza podatkov?
- Wie wird mit beschädigten oder unvollständigen digitalen Beweismitteln umgegangen?
- Wie werden Datenbankeinträge und WAL-/Journal-Spuren vor Gericht bewertet?
- Welche Aussagekraft haben System- und Ereignisprotokolle vor Gericht?
- Kann eine IP-Adresse einer bestimmten Person zugeordnet werden?
- Lassen sich Hinweise auf Anti-Forensik oder gezielte Spurenbeseitigung feststellen?
- Was ist beweiskräftiger: Originaldaten, forensische Sicherung oder exportierter Report?
- Wann kann eine neue IT-forensische Begutachtung nach § 412 ZPO sinnvoll sein?
- Kann nachgewiesen werden, ob ein digitales Beweismittel nach der Sicherstellung verändert wurde?
- Kann festgestellt werden, ob administrative oder erhöhte Rechte verwendet wurden?
- Wie ist ein digitales Beweismittel zu bewerten, das vor der forensischen Sicherung bereits weiter benutzt wurde?
- Kann die Reihenfolge mehrerer digitaler Handlungen zuverlässig rekonstruiert werden?
- Kann die Echtheit und Herkunft eines Screenshots technisch geprüft werden?
- Kann festgestellt werden, wann ein ZIP-, RAR- oder anderes Archiv erstellt oder entpackt wurde?
- Kann bei einer PDF-Datei nachvollzogen werden, aus welchem Quelldokument sie erzeugt wurde?