IT-kriminalteknik · Domstolar
Was lässt sich nach einem Zurücksetzen auf Werkseinstellungen noch belastbar feststellen?
Ein Reset kann lokale Benutzerdaten weitgehend entfernen und neue Systemstrukturen erzeugen. Die verbleibende Aussagekraft hängt stark von Gerät, Verschlüsselung und vorhandenen externen Datenquellen ab.
För domstolen är det inte avgörande hur många program som används. Det avgörande är vilka tekniska fakta som på ett tillförlitligt sätt kan fastställas utifrån den tillgängliga datagrunden, hur detta fastställande kommer till stånd och vilka begränsningar som gäller vid tolkningen.
Den konkreta bevisfrågan
Wir prüfen den aktuellen Gerätezustand, Reset- und Aktivierungsspuren sowie verfügbare Backups, Cloud- oder Gegenstellendaten.
Varför det tekniska sammanhanget är avgörande
Digitala spår uppstår inte isolerat. Operativsystem, applikationer, molntjänster, nätverk och användarkontext kan alla ge upphov till samma synliga resultat på olika sätt. Därför betraktas inte en enskild tidsstämpel, loggpost eller databasvärde som ett slutgiltigt bevis utan att man först granskar hur den uppkommit. Vid behov korreleras flera oberoende spår med varandra.
Var gränsen för uttalanden går
Aus nicht mehr vorhandenen lokalen Daten darf nicht auf deren frühere Nichtexistenz geschlossen werden.
Hur LanCologne hanterar bevisfrågan
Inom LanCologne inleds den rättsliga IT-forensiken med bevisfrågan och inte med ett specifikt analysprogram. Först fastställs vilka tekniska fakta som ska klargöras, vilka datakällor som är relevanta för detta och vilka alternativa förklaringar som måste prövas på allvar.
Utgångsdata och bevismaterial dokumenteras. I den mån det är tekniskt möjligt sker utvärderingen på verifierade forensiska säkerhetskopior eller lämpliga arbetskopior. Automatiskt genererade träffar används inte utan granskning när det gäller frågor som är avgörande för beslutet. Avgörande är ursprung, uppkomstlogik och sammanhang för respektive artefakt. Centrala fynd kontrolleras vid behov utifrån de underliggande uppgifterna eller med en andra fackmässigt lämplig metod.
I utlåtandet skiljs fakta, sakkunnig tolkning och slutsats åt. Lika viktigt är gränsen för vad som kan fastställas: Vad är tekniskt bevisat? Vad är endast underbyggt? Vilka motbevis finns? Vilka alternativa förklaringar är möjliga? Vad går det inte att fastställa utifrån de tillgängliga uppgifterna?
Huvuddelen är formulerad på ett sätt som är begripligt för domare och andra parter i förfarandet som saknar specialkunskaper inom IT-forensik. Den tekniska verifierbarheten bibehålls. De datakällor, integritetsuppgifter, artefakter och undersökningssteg som är väsentliga för en oberoende granskning dokumenteras på ett överskådligt sätt i ett tekniskt avsnitt.
Från uppdrag till tillförlitligt resultat
Resultat, motresultat och ingen påvisning
Ett rättsligt utlåtande måste förbli öppet för olika slutsatser. Om uppgifterna stöder en hypotes ska det förklaras på vilket sätt. Om tillförlitliga bevis motsäger hypotesen ska även dessa redovisas. Om datagrunden är otillräcklig ska det uttryckligen anges att bevis inte finns för det återstående. Inget till synes säkert påstående får konstrueras utifrån en lucka i datagrunden.
Förståeligt för domstolen – granskningsbart för motutredaren
De tekniska grunderna förklaras på ett lättförståeligt språk. Tekniska termer används endast där det är nödvändigt och förklaras därefter. Samtidigt dokumenteras de avgörande tekniska grunderna på ett sådant sätt att en oberoende IT-forensiker kan följa resonemanget utifrån samma datagrund och vid behov återskapa det.
Metodologisk klassificering
Inom rättslig IT-forensik finns det ingen lagstadgad förteckning över föreskrivna analysprogram. Ur fackmässig synvinkel är det väsentligt med en kontrollerad databas, integritet, dokumenterade undersökningssteg, verifierbara slutsatser och möjligheten till oberoende granskning.
BSI:s grundskyddsmodul DER.2.2 „Förberedelser inför IT-forensik“ innehåller användbara riktlinjer för att förbereda sig inför senare IT-forensiska undersökningar och för att säkra bevis vid IT-säkerhetsincidenter. Den utgör dock uttryckligen inte ett regelverk för IT-forensiska utredningar vid brott; inte heller den egentliga forensiska analysen ingår i denna modul. Den presenteras därför inte som en standard för kriminalteknik inom straffprocessen.
LanCologne som oberoende IT-expert
När en domstol behöver få en konkret fråga om digitalt bevismaterial tekniskt utredd, granskar vi den befintliga datamängden på ett oberoende sätt och utan förutfattade meningar. Målet är inte att få fram så många tekniska träffar som möjligt, utan ett sakligt underbyggt svar: begripligt för domstolen, med en transparent härledning och tekniskt verifierbart.
Rättslig ram
När det gäller expertbevisning i civilrättsliga förfaranden är särskilt §§ 402 ff. ZPO avgörande. Enligt § 404a ZPO leder domstolen expertens verksamhet och kan fastställa arten och omfattningen av denna. Vid omtvistade sakförhållanden bestämmer domstolen vilka fakta som ska ligga till grund för expertutlåtandet. § 407a ZPO ålägger experten bland annat att omedelbart pröva om uppdraget faller inom hans eller hennes expertområde; tvivel om uppdragets innehåll och omfattning ska klargöras av domstolen. Det skriftliga utlåtandet och eventuella förklaringar eller tillägg regleras i § 411 ZPO. Den slutliga bedömningen av utlåtandet tillsammans med det samlade resultatet av bevisupptagningen förblir domstolens uppgift (§ 286 ZPO).
När det gäller utlåtanden i straffrättsliga förfaranden gäller §§ 72 ff. i straffprocesslagen (StPO) för sakkunniga; § 78 i StPO avser domarens ledning av den sakkunniges verksamhet. Vilka bestämmelser som är tillämpliga i det konkreta förfarandet beror på förfarandets art och uppdraget. Den IT-forensiska utredningen ersätter inte en rättslig bedömning.
Vanliga frågor
LanCologne – IT-kriminalteknik för domstolar
Har du en fråga som rör digital teknik? LanCologne hjälper dig med en saklig och opartisk IT-forensisk utredning.