IT-kriminalteknik · Advokater och försvarsadvokater

Hur kontrolleras det om en fil som hittats härrör från en säkerhetskopia eller från aktiv användning?

Eine Datei auf einem sichergestellten Gerät beweist nicht, dass der Nutzer sie dort gespeichert oder geöffnet hat. Sie kann durch eine Wiederherstellung aus einem Backup, eine Gerätemigration, eine Cloud-Synchronisation oder einen automatischen Import auf das Gerät gelangt sein.

Begär en icke-bindande offert

Varför denna fråga är viktig för försvarssidan

Särskilt när det gäller digitala bevis kan små skillnader i datakälla, systemkontext eller tidssemantik avsevärt förändra innebörden av ett resultat. För försvaret är det därför avgörande om den belastande slutsatsen verkligen följer av primärdata eller om en mer ingående teknisk utvärdering krävs.

Technischer Hintergrund

Typisch sind iCloud- oder iTunes-Wiederherstellungen auf neue iPhones, Migrationsassistenten unter macOS, Windows-Profilübernahmen und OneDrive-/Google-Drive-Synchronisation. Solche Vorgänge erzeugen charakteristische Zeitmuster: viele Dateien mit nahezu identischen Erstellungszeiten, Restore-Protokolle, fehlende Nutzungsspuren.

Relevante Spuren und Datenquellen

  • Dateisystemzeiten im Vergleich (Erstellt vs. Geändert)
  • Restore- und Migrationsprotokolle
  • Nutzungsspuren: zuletzt geöffnet, Thumbnails, Jump Lists, LNK-Dateien, iOS-Biome/KnowledgeC
  • Cloud-Sync-Datenbanken

Grenzen

  • Fehlende Nutzungsspuren sind ein Indiz, kein Beweis für Nicht-Nutzung.
  • Ohne Rohdaten ist nur eine Prüfung der Methodik der Ermittlungsakte möglich.

Mögliche Ergebnisse

  • Datei mit hoher Wahrscheinlichkeit aus Restore/Migration übernommen
  • Nutzungsspuren vorhanden (Zeitpunkte)
  • Keine Aussage möglich – mit Begründung

Varför LanCologne?

Efter granskning av akten eller så snart försvaret på lagligt sätt har fått tillgång till tekniskt relevanta handlingar kan en oberoende kontroll tydliggöra den faktiska bevisstyrkan hos digitala fynd. LanCologne arbetar inte med målet att nödvändigtvis hitta ett fel i utredningsakten.

So gehen wir vor

  • Feststellung, wie die Datei auf das Gerät gelangt ist.
  • Prüfung auf Nutzungsspuren nach diesem Zeitpunkt.
  • Bewertung mit Gegenhypothesen in einer Stellungnahme.

Betydande, icke-betydande och oklara fynd

En oberoende granskning är endast trovärdig om även belastande resultat bekräftas så snart uppgifterna stöder dem. På samma sätt ska även förmildrande motbevis eller osäkerheter som inte går att reda ut tydligt anges. En process som endast är tekniskt möjlig får inte framställas som ett fastställt faktum.

Förståeligt för försvarsadvokaten – tekniskt verifierbart för andra kriminaltekniker

De viktigaste resultaten redovisas på ett tydligt sätt. Källor till information som är relevant för granskningen, uppgifter om integritet, tidsangivelser, ID-nummer, källor till rådata och metodiska steg dokumenteras på ett sådant sätt att en annan kvalificerad IT-forensiker kan följa de väsentliga slutsatserna ur ett fackmässigt perspektiv.

LanCologne som oberoende tekniskt stöd för försvarssidan

Om en försvarsadvokat vill låta en digital bevisbedömning eller en teknisk slutsats från utredningsakten granskas oberoende, erbjuder LanCologne stöd i form av en saklig och förutfattningslös motgranskning. Målet är att få ett tillförlitligt svar på vad de tillgängliga uppgifterna faktiskt bevisar – och var deras bevisvärde upphör.

Rättslig ram

Försvararens rätt att ta del av handlingar och besiktiga bevisregleras av § 147 i straffprocesslagen. Enligt punkt 1 har försvararen rätt att ta del av de handlingar som finns hos domstolen eller som ska läggas fram vid en åtal, samt att besikta bevisföremål som förvaras av myndigheterna. Innan utredningen avslutas kan rätten till insyn enligt punkt 2 begränsas under de villkor som anges där. Enligt punkt 3 får försvararen under inga omständigheter nekas insyn i sakkunnigas utlåtanden, oavsett i vilket skede av förfarandet det befinner sig.

Dessa rättigheter tillkommer försvarsadvokaten, inte LanCologne. En teknisk motkontroll utförd av en privat anlitad IT-forensiker förutsätter att försvaret lagligen kan tillhandahålla de berörda handlingarna eller uppgifterna. Genom uppdraget erhåller LanCologne ingen egen rätt till aktinsyn, besiktning eller åtkomst gentemot åklagarmyndigheten eller polisen.

§ 160 andra stycket i rättegångsordningen (StPO) ålägger åklagarmyndigheten uttryckligen att utreda såväl belastande som förmildrande omständigheter. Enligt § 163a andra stycket i straffprocesslagen ska bevis som den misstänkte begär för sin förmån tas upp om de är av betydelse. En oberoende teknisk undersökning kan därför ge upphov till fakta och motbevis, vars användning i rättegången bedöms av försvarsadvokaten.

När det gäller elektroniska bevis som har säkrats, beslagtagits eller granskats av myndigheter ska särskilt §§ 94, 98 och 110 i rättegångsordningen (StPO) beaktas. Dessa bestämmelser ger inte en privat anlitad IT-forensiker några myndighetsbefogenheter.

En IT-forensiker som anlitats privat av försvaret är inte enligt §§ 72 ff. StPO en formellt utsedd sakkunnig enbart på grund av detta uppdrag. Privata utlåtanden, teknisk rådgivning och en formell sakkunnigroll måste hållas åtskilda i processrättsligt hänseende.

Om utredningen inte ger tillräckliga skäl för att väcka åtal, avslutar åklagarmyndigheten förfarandet enligt § 170 stycke 2 i rättegångsordningen. Ett tekniskt konstaterande från försvarets sida garanterar inte ett sådant beslut, men kan utgöra en relevant del av den faktiska grunden.

Vanliga frågor

Måste en teknisk granskning leda till ett annat resultat än det som utredningsmyndigheten kommit fram till?+
Nej. En seriös kontrollundersökning kan bekräfta, begränsa eller motbevisa det initiala resultatet. Det är data som är avgörande, inte det önskade resultatet.
Kan LanCologne själv begära insyn i handlingar enligt § 147 i straffprocesslagen?+
Nej. Den rätten tillkommer försvarsadvokaten. LanCologne får endast granska handlingar och uppgifter som lagligen överlämnats för teknisk granskning.
Är ett yttrande från försvaret automatiskt ett sakkunnigutlåtande enligt §§ 72 ff. i rättegångsordningen (StPO)?+
Nej. Ett privat beställt yttrande eller en privat utredning måste skiljas från en formell utnämning av en sakkunnig i ett straffrättsligt förfarande.
Kan ett negativt tekniskt utlåtande garantera att förfarandet avslutas?+
Nej. Beslutet fattas av åklagarmyndigheten eller, i ett senare skede, av domstolen. Motbeviset kan dock utgöra en tillförlitlig teknisk faktagrund.
Woran erkennt man eine Backup-Wiederherstellung?+
An typischen Zeitmustern, Restore-Protokollen und an der Herkunft ganzer Dateigruppen.
Reicht der behördliche Report dafür?+
Meist nicht, weil Reports Dateien zeigen, aber selten deren Herkunft erklären.
Gilt das auch für Bilder in Messenger-Ordnern?+
Ja. Automatische Downloads sind ein eigenes, häufiges Szenario.

Weiterführende Themen

LanCologne – IT-forensik för advokater och brottmålsförsvarare

Har du en fråga som rör digital teknik? LanCologne hjälper dig med en saklig och opartisk IT-forensisk utredning.

Kontakta oss nu