IT-kriminalteknik · Domstolar

Kan en överföring från en gammal enhet till en ny enhet spåras med hjälp av forensisk analys?

Vid byte av utrustning kan data, inställningar och historiska uppgifter överföras till ett nytt system.

Begär en icke-bindande offert

För domstolen spelar det ingen roll hur många analysprogram som har använts. Det avgörande är vilka konkreta tekniska fakta som på ett tillförlitligt sätt kan fastställas utifrån de tillgängliga uppgifterna, hur denna slutsats har kommit till stånd och vilka begränsningar den har.

Den konkreta bevisfrågan

Vi granskar spår relaterade till migrering, säkerhetskopiering, konton och enheter, och skiljer överförda historiska data från artefakter som nyligen skapats lokalt.

Varför ett enda digitalt spår sällan räcker

Digitala artefakter uppstår i system med egna mekanismer för lagring, synkronisering och loggning. En enskild tidsstämpel, loggpost eller databasvärde betraktas därför inte som ett slutgiltigt bevis utan sammanhang. I den mån bevisfrågan kräver det korreleras flera oberoende spår med varandra och tekniskt rimliga mothypoteser prövas.

Var gränsen för uttalanden går

Att gamla data finns på en ny enhet bevisar inte att den aktuella händelsen har ägt rum på just den nya enheten.

Hur LanCologne hanterar bevisfrågan

Hos LanCologne inleds en rättslig IT-forensisk utredning med bevisfrågan och inte med ett visst analysprogram. Först klargörs vilka tekniska fakta som ska fastställas, vilka datakällor som överhuvudtaget är relevanta för detta och vilka mothypoteser som måste beaktas.

Bevismaterialet och utgångsdata dokumenteras tydligt. I den mån det är tekniskt möjligt sker utvärderingen på verifierade forensiska säkerhetskopior eller lämpliga arbetskopior. Träffar som är avgörande för beslutet beaktas inte enbart på grund av att de visas av ett program. Artefaktens ursprung, uppkomstlogik och sammanhang granskas; centrala fynd kontrolleras vid behov utifrån de underliggande uppgifterna eller med hjälp av en andra fackmässigt lämplig metod.

I utlåtandet hålls fakta, teknisk tolkning och slutsatser åtskilda. Även uttalandets gränser beskrivs tydligt: Vad kan bevisas? Vad är endast underbyggt? Vilka motbevis finns? Vad förblir oklart? Avsaknaden av bevis omtolkas inte till ett till synes säkert påstående.

Huvuddelen ska skrivas så att en domare utan särskilda kunskaper inom IT-forensik kan förstå hur slutsatserna har dragits. Den tekniska verifierbarheten bibehålls. Källor till data som är relevanta för granskningen, integritetsinformation, artefakter och undersökningssteg dokumenteras på ett sådant sätt att en oberoende IT-forensiker kan följa de centrala slutsatserna inom ramen för en eventuell motutredning.

Från domstolens uppdrag till ett tillförlitligt vittnesmål

Positiva resultat, negativa resultat och inga påvisbara resultat

Ett sakkunnigt resultat måste vara öppet för olika slutsatser. Om data bekräftar den hypotes som ska prövas, redogörs det för vilka grunder som ligger till grund för detta. Om tillförlitliga bevis motsäger denna hypotes ska även dessa redovisas. Om datagrunden inte räcker till för ett säkert beslut betecknas detta som brist på bevis eller som en öppen teknisk fråga. Det är just denna åtskillnad som förhindrar att en datalucka leder till ett till synes säkert påstående.

Förståeligt för domstolen – tekniskt verifierbart för en motexpert

Den tekniska kärnan förklaras på ett lättförståeligt språk. Facktermer används endast där de är nödvändiga och förklaras därefter. Samtidigt bevaras de avgörande tekniska grunderna: undersökta datakällor, relevanta artefakter, integritetsinformation, tidsreferenser och metodiska steg. En IT-forensiker som inte är insatt i förfarandet ska kunna granska härledningen utan att huvudtexten för domstolen blir en samling tekniska rådata.

Metodologisk klassificering

Inom rättslig IT-forensik finns det ingen lagstadgad förteckning över föreskrivna analysprogram. Ur fackmässigt perspektiv är det avgörande med en kontrollerad databas, integritet, dokumenterade undersökningssteg, verifierbara slutsatser och möjligheten till oberoende granskning.

BSI:s grundskyddsmodul DER.2.2 „Förberedelser för IT-forensik“ innehåller användbara riktlinjer för att förbereda sig inför senare forensiska undersökningar och för bevisinsamling vid IT-säkerhetsincidenter. Den utgör dock ingen standard för kriminalteknik inom straffprocessen; modulen klargör uttryckligen att den egentliga kriminaltekniska analysen inte ingår i dess syfte och att den inte avser IT-kriminaltekniska undersökningar i samband med brott.

LanCologne som oberoende IT-expert

När en domstol behöver få en konkret fråga om digitala bevis klargjord ur teknisk synvinkel, granskar vi den befintliga datamängden på ett oberoende sätt och utan förutfattade meningar. Målet är inte att samla in så många tekniska träffar som möjligt, utan att ge ett sakligt underbyggt svar: ett svar som är begripligt för domstolen, transparent i sitt resonemang och tekniskt verifierbart.

När det gäller sakkunnigbevisning i civilrättsliga förfaranden är särskilt §§ 402 ff. ZPO avgörande. § 403 ZPO kopplar framläggandet av bevis till angivandet av de punkter som ska utredas. Enligt § 404a ZPO leder domstolen sakkunnigens verksamhet; vid tvistiga omständigheter fastställer domstolen de fakta som ska ligga till grund för utredningen. § 407a ZPO ålägger sakkunnig att bland annat pröva om uppdraget faller inom hans eller hennes expertområde, att redogöra för eventuella skäl som skulle kunna motivera misstro mot hans eller hennes opartiskhet samt, vid tvivel om uppdragets innehåll och omfattning, att omedelbart begära klargörande från domstolen. § 411 i ZPO reglerar det skriftliga utlåtandet samt förklaringar eller kompletteringar till detta. Bedömningen av utlåtandet tillsammans med övriga bevisresultat förblir domstolens uppgift (§ 286 i ZPO).

I den mån expertutlåtandet avges inom ramen för ett straffrättsligt förfarande gäller §§ 72 ff. i straffprocesslagen (StPO) för sakkunniga. Den konkreta processrättsliga klassificeringen beror på det aktuella uppdraget och förfarandet. Vår uppgift är att ge ett sakkunnigt svar på den tekniska bevisfrågan; detta ersätter varken den rättsliga bedömningen eller domstolens bevisvärdering.

Vanliga frågor

LanCologne – IT-kriminalteknik för domstolar

Har du en fråga som rör digital teknik? LanCologne hjälper dig med en saklig och opartisk IT-forensisk utredning.

Kontakta oss nu