IT-kriminalteknik · Domstolar

Går det att fastställa om administrativa eller utökade behörigheter har använts?

Bestimmte Systemhandlungen sind nur mit administrativen oder erhöhten Berechtigungen möglich. Für die Beweisfrage kann deshalb relevant sein, welche Rechte ein Konto besaß und ob eine konkrete Aktion mit erhöhten Rechten ausgeführt wurde.

Begär en icke-bindande offert

För domstolen spelar det ingen roll hur många analysprogram som har använts. Det avgörande är vilka konkreta tekniska fakta som på ett tillförlitligt sätt kan fastställas utifrån de tillgängliga uppgifterna, hur denna slutsats har kommit till stånd och vilka begränsningar den har.

Den konkreta bevisfrågan

Wir unterscheiden Kontoberechtigung, Gruppenmitgliedschaft, Authentifizierung und tatsächliche Privilegiennutzung anhand der verfügbaren System- und Sicherheitsartefakte.

Varför ett enda digitalt spår sällan räcker

Digitala artefakter uppstår i system med egna mekanismer för lagring, synkronisering och loggning. En enskild tidsstämpel, loggpost eller databasvärde betraktas därför inte som ett slutgiltigt bevis utan sammanhang. I den mån bevisfrågan kräver det korreleras flera oberoende spår med varandra och tekniskt rimliga mothypoteser prövas.

Var gränsen för uttalanden går

Die Mitgliedschaft in einer Administratorgruppe beweist nicht, dass jede Handlung mit erhöhten Rechten ausgeführt wurde oder wer die betreffende Sitzung tatsächlich bedient hat.

Hur LanCologne hanterar bevisfrågan

I LanCologne inleds undersökningen med den rättsliga bevisfrågan och inte med ett visst analysprogram. Först klargörs vilka tekniska fakta som ska fastställas, vilka datakällor som är relevanta för detta och vilka mothypoteser som måste beaktas.

Bevismaterialet och utgångsdata dokumenteras tydligt. I den mån det är tekniskt möjligt sker utvärderingen på verifierade forensiska säkerhetskopior eller lämpliga arbetskopior. Träffar som är avgörande för beslutet godtas inte enbart på grund av att de visas av en programvara. Vi granskar artefaktens ursprung, uppkomstlogik och sammanhang och kontrollerar vid behov centrala fynd utifrån de underliggande uppgifterna eller med hjälp av en andra fackmässigt lämplig metod.

I utlåtandet hålls fakta, teknisk tolkning och slutsatser åtskilda. Även uttalandets gränser beskrivs tydligt: Vad kan bevisas? Vad är endast underbyggt? Vilka motbevis finns? Vad förblir oklart? Avsaknaden av bevis omtolkas inte till ett till synes säkert påstående.

Huvuddelen ska vara skriven på ett sådant sätt att en domare utan särskilda kunskaper inom IT-forensik kan förstå hur slutsatserna har dragits. Den tekniska verifierbarheten bibehålls. Källor som är relevanta för granskningen, integritetsinformation, artefakter och undersökningssteg dokumenteras på ett sådant sätt att en oberoende IT-forensiker kan följa de centrala slutsatserna för en eventuell motutredning.

Från domstolens uppdrag till ett tillförlitligt vittnesmål

Positiva resultat, negativa resultat och inga påvisbara resultat

Ett sakkunnigt resultat måste vara öppet för olika slutsatser. Om data bekräftar den hypotes som ska prövas, redogörs det för vilka grunder som ligger till grund för detta. Om tillförlitliga bevis motsäger denna hypotes ska även dessa redovisas. Om datagrunden inte räcker till för ett säkert beslut betecknas detta som brist på bevis eller som en öppen teknisk fråga. Det är just denna åtskillnad som förhindrar att en datalucka leder till ett till synes säkert påstående.

Förståeligt för domstolen – tekniskt verifierbart för en motexpert

Den tekniska kärnan förklaras på ett lättförståeligt språk. Facktermer används endast där de är nödvändiga och förklaras därefter. Samtidigt bevaras de avgörande tekniska grunderna: undersökta datakällor, relevanta artefakter, integritetsinformation, tidsreferenser och metodiska steg. En IT-forensiker som inte är insatt i förfarandet ska kunna granska härledningen utan att huvudtexten för domstolen blir en samling tekniska rådata.

Metodologisk klassificering

Inom rättslig IT-forensik finns det ingen lagstadgad förteckning över föreskrivna analysprogram. Ur fackmässigt perspektiv är det avgörande med en kontrollerad databas, integritet, dokumenterade undersökningssteg, verifierbara slutsatser och möjligheten till oberoende granskning.

BSI:s grundskyddsmodul DER.2.2 „Förberedelser för IT-forensik“ innehåller användbara riktlinjer för att förbereda sig inför senare forensiska undersökningar och för att säkra bevis vid IT-säkerhetsincidenter. Den utgör dock ingen standard för kriminalteknik inom straffprocessen; den egentliga kriminaltekniska analysen ingår inte i denna modul. Denna avgränsning beaktas uttryckligen.

LanCologne som oberoende IT-expert

När en domstol behöver få en konkret fråga om digitala bevis klargjord ur teknisk synvinkel, granskar vi den befintliga datamängden på ett oberoende sätt och utan förutfattade meningar. Målet är inte att samla in så många tekniska träffar som möjligt, utan att ge ett sakligt underbyggt svar: ett svar som är begripligt för domstolen, transparent i sitt resonemang och tekniskt verifierbart.

När det gäller expertutlåtanden i civilrättsliga förfaranden är särskilt §§ 402 ff. i ZPO relevanta. § 403 i ZPO avser angivandet av de frågor som ska utredas. Enligt § 404a i ZPO leder domstolen expertens arbete och kan fastställa arten och omfattningen av detta. § 407a ZPO innehåller expertens skyldigheter, bland annat att granska sitt eget specialområde och att klargöra eventuella tvivel om uppdragets innehåll och omfattning. § 411 ZPO reglerar det skriftliga expertutlåtandet samt förklaringar och kompletteringar till detta. Bedömningen av utlåtandet tillsammans med övriga bevisresultat förblir domstolens uppgift (§ 286 ZPO).

När det gäller utlåtanden i straffrättsliga förfaranden gäller §§ 72 ff. i straffprocesslagen (StPO) för sakkunniga. Vilka bestämmelser som är tillämpliga i det konkreta förfarandet beror på uppdraget och typen av förfarande. Den IT-forensiska utredningen ersätter varken den rättsliga bedömningen eller domstolens bevisvärdering.

Vanliga frågor

LanCologne – IT-kriminalteknik för domstolar

Har du en fråga som rör digital teknik? LanCologne hjälper dig med en saklig och opartisk IT-forensisk utredning.

Kontakta oss nu