IT-kriminalteknik · Domstolar
IT-kriminalteknik för domstolar – bevisfrågan står i centrum
Ein Gericht braucht keinen möglichst langen technischen Bericht und keine Aufzählung eingesetzter Programme. Es braucht eine belastbare Antwort auf die gestellte Beweisfrage.
Genau daran richten wir die Untersuchung aus. Zunächst wird geklärt, was technisch beantwortet werden soll. Danach bestimmen wir, welche Datenquellen hierfür geeignet sind, welche Untersuchungsschritte erforderlich sind und welche alternativen Erklärungen berücksichtigt werden müssen. Erst dann beginnt die eigentliche Auswertung.
Das Ergebnis kann ein positiver Nachweis, ein Ausschluss oder ein begründetes „anhand der vorliegenden Daten nicht sicher feststellbar“ sein. Alle drei Ergebnisse können fachlich richtig sein. Entscheidend ist, dass das Gericht erkennen kann, wie die Aussage zustande gekommen ist und wo ihre Grenzen liegen.
Den egentliga bevisfrågan
Wie wird aus einer gerichtlichen Beweisfrage eine technisch belastbare Untersuchung?
Wir zerlegen die gerichtliche Frage in technisch prüfbare Teilfragen. Wenn beispielsweise geklärt werden soll, ob eine Datei an einem bestimmten Tag verändert wurde, genügt nicht ein einzelner Zeitstempel. Zu prüfen sind unter anderem Dateisystemmetadaten, Anwendungsspuren, Sicherungen, Protokolle und gegebenenfalls Synchronisationsvorgänge.
Die Untersuchung bleibt dabei an den gerichtlichen Auftrag gebunden. Bei streitigem Sachverhalt bestimmt das Gericht nach § 404a Absatz 3 ZPO, welche Tatsachen der Begutachtung zugrunde zu legen sind. Wir ersetzen diese Vorgabe nicht durch eigene Annahmen.
Var gränsen för uttalanden går
En sakkunnig får inte på eget bevåg omtolka en oklar bevisfråga till en annan fråga. Om det råder tvivel om uppdragets innehåll eller omfattning kräver § 407a stycke 4 i ZPO att domstolen klargör detta.
Varför LanCologne?
När det gäller uppdrag från domstolar är det inte avgörande för oss vilket analysprogram som först visar ett träffresultat. Det avgörande är om bevisfrågan kan besvaras på ett sakkunnigt sätt och om detta svar håller vid en oberoende granskning.
Vi arbetar utan förutbestämda slutsatser, dokumenterar källan till avgörande fynd och prövar alternativa tekniska förklaringar. Den egentliga utvärderingen sker i princip på en forensisk kopia eller ett bevisvärdigt registrerat datamaterial. Original undersöks inte direkt i onödan. I de fall där åtgärder på originalet är tekniskt nödvändiga dokumenteras de förändringar som detta kan medföra uttryckligen.
Avgörande resultat kontrolleras, beroende på frågeställningen, med hjälp av en andra fackmässigt lämplig metod eller direkt utifrån de underliggande rådata. Vilka verktyg som används för detta beror på bevismaterialet och frågeställningen. Det avgörande är metodens lämplighet, fackmässiga erkännande och spårbarhet – inte ett produktnamn.
Vår utredning skiljer mellan konstaterade fakta, teknisk bedömning och kvarstående osäkerhet. En brist på bevis motiveras lika noggrant som ett positivt bevis.
Så här arbetar vi med uppdrag från domstolar
Vår arbetsmetod – från domstolsuppdrag till svar
Vi prövar först om frågan faller inom vårt specialområde, vilka omständigheter domstolen utgår ifrån och om uppdragets innehåll eller omfattning är entydiga. Om det råder tvivel begärs ett klargörande från domstolen. Detta överensstämmer med §§ 404a och 407a i ZPO.
Eventuella skäl som skulle kunna ge upphov till tvivel om opartiskheten prövas innan den sakliga utredningen inleds och redovisas vid behov för domstolen.
Utrustning, datamedier, säkerhetskopior och tillgängliggjorda filer identifieras och dokumenteras. Undersökningsläget registreras.
I den mån det är tekniskt möjligt skapas en forensisk kopia eller en forensisk avbildning. Hashvärden och andra integritetskontroller används för entydig identifiering. Originalet bevaras för senare granskningar.
Vi fastställer vilka spår som skulle stödja den påstådda händelsen, vilka motstridiga fynd som är tänkbara och vilka alternativa tekniska förklaringar som måste undersökas.
Endast sådana bevisföremål som har ett vetenskapligt värde för bevisfrågan undersöks. Automatiska träffar godtas inte utan granskning.
De konstateranden som är avgörande för beslutet kontrolleras – i den mån det är nödvändigt – med hjälp av en andra erkänd metod, ett annat tekniskt perspektiv eller direkt utifrån rådata.
Vi granskar uttryckligen vad man inte får dra för slutsatser utifrån uppgifterna. Vi pekar på saknade uppgifter, eventuell radering, tekniska begränsningar, ofullständiga utdrag eller motstridiga spår.
Slutsatsen baseras på de dokumenterade fynden. Den formuleras inte starkare än vad uppgifterna medger.
Huvudtexten är lätt att förstå även för den som inte är IT-forensiker. Den tekniska bilagan innehåller den information som en oberoende IT-forensiker behöver för en fackmässig granskning eller ett motutlåtande.
Rättslig ram
ZPO §§ 403, 404a, 407a, 411, 412; ergänzend § 286 ZPO zur richterlichen Beweiswürdigung. In Strafsachen gelten die §§ 72 ff. StPO für Sachverständige.
Sakkunnigpersonen tillhandahåller den sakliga faktaunderlaget. Den rättsliga bedömningen och den slutliga bevisvärderingen åligger fortfarande domstolen.
Vanliga frågor
LanCologne – IT-kriminalteknik för domstolar
Behöver ni en oberoende teknisk utredning i samband med en bevisfråga inför domstol? LanCologne granskar digitala spår på ett sakligt, transparent och reproducerbart sätt. Vi dokumenterar såväl positiva resultat som brist på bevis och tekniska begränsningar på ett sätt som gör att slutsatsen är begriplig för domstolen och kan granskas av en oberoende IT-forensiker.
I anslutning till detta ämne