IT-kriminalteknik · Privatpersoner

Hur kan jag ta reda på när en bild faktiskt togs?

Das Datum, das eine Galerie-App anzeigt, ist nicht zwangsläufig der Aufnahmezeitpunkt. Es kann aus den EXIF-Daten stammen, aus der Dateisystemzeit, aus dem Zeitpunkt des Imports oder des Empfangs über einen Messenger. Für einen belastbaren Zeitpunkt müssen mehrere unabhängige Quellen übereinstimmen.

Begär en icke-bindande offert

Varför denna fråga är viktig för privatpersoner

Chattar, foton, videor och skärmdumpar kan få stor betydelse vid privata tvister eller tvister inom civil- eller straffrätten. Deras synliga utseende ger dock inte automatiskt svar på frågor om ursprung, ändringar, tidpunkt eller upphovsman.

Technischer Hintergrund

EXIF-Felder wie DateTimeOriginal, OffsetTimeOriginal und GPS-Zeit werden von der Kamera geschrieben – nach der jeweiligen Geräteuhr. Messenger entfernen Metadaten häufig beim Versand. Cloud-Dienste ergänzen eigene Upload-Zeitpunkte. Bearbeitungsprogramme können Felder überschreiben.

Relevante Spuren und Datenquellen

• EXIF/XMP: DateTimeOriginal, Zeitzonen-Offset, GPS-Zeitstempel, Kameramodell, Seriennummer
• Dateisystemzeiten auf Gerät oder Speicherkarte
• Fotodatenbank des Smartphones (z. B. Photos.sqlite auf iOS)
• Upload- und Empfangszeitpunkte in Cloud oder Messenger
• Bildinhalt-Plausibilität (z. B. Schatten, Wetter, sichtbare Uhrzeit)

Grenzen

• Liegt nur eine weitergeleitete Kopie ohne Metadaten vor, ist der Zeitpunkt oft nicht bestimmbar.
• EXIF-Daten lassen sich verändern; einzelne Zeitstempel beweisen nichts allein.

Mögliche Ergebnisse

• Aufnahmezeitpunkt durch mehrere Quellen gestützt
• Zeitpunkt nur eingrenzbar (frühester/spätester Zeitpunkt)
• Hinweise auf nachträgliche Änderung von Zeitstempeln

Varför LanCologne?

Digitale Beweismittel wirken für Laien häufig eindeutiger, als sie technisch sind. Ein Screenshot kann echt aussehen und trotzdem bearbeitet sein.

So gehen wir vor

• Original-Datei oder besser das Aufnahmegerät sichern.
• Alle vorhandenen Zeitquellen auslesen und Zeitzonen bzw. Geräteuhr berücksichtigen.
• Widersprüche erklären oder als offen kennzeichnen.

Äkthet är inte detsamma som upphovsrätt

Ett meddelande kan tekniskt sett vara autentiskt lagrat i ett konto eller på en enhet, utan att det i sig med säkerhet går att avgöra vilken fysisk person som har skrivit det. Denna åtskillnad förhindrar att en korrekt teknisk slutsats blandas ihop med ett obevisat påstående om en persons identitet.

Originaldata är viktigare än själva skärmvisningen

En skärmdump kan vara värdefull, särskilt om innehållet senare försvinner. För en mer ingående undersökning försöker vi dock även skaffa fram originalfiler, appdata, databaser eller andra primärkällor. Dessa innehåller ofta sammanhang som saknas i den synliga presentationen.

Varför LanCologne vid granskning av digitala bevis?

LanCologne betraktar inte digitalt innehåll som sant eller falskt bara för att det verkar trovärdigt. Vi granskar den tillgängliga tekniska bevisgrunden, dokumenterar ursprung och uttalsgränser och presenterar slutsatserna på ett sätt som är begripligt för privatkunder och samtidigt förståeligt för advokater, utredningsmyndigheter, domstolar eller andra kvalificerade IT-forensiker.

När det gäller manipulerade digitala bevisuppgifter kan § 269 i den tyska strafflagen (StGB) vara tillämplig, beroende på de konkreta omständigheterna. Bestämmelsen avser, under de förutsatta förutsättningarna, lagring eller ändring av bevisrelevanta uppgifter i bedrägligt syfte respektive användning av sådana lagrade eller ändrade uppgifter. Huruvida en konkret fil eller ett konkret meddelande uppfyller samtliga rekvisit är en juridisk fråga; en teknisk konstatering av manipulation ger i sig inte något svar på detta.

För civilrättsliga förfaranden är § 371 i ZPO relevant. Enligt denna bestämmelse kan bevis genom besiktning även läggas fram genom uppvisande eller överföring av elektroniska dokument. § 371a ZPO innehåller särskilda bestämmelser om bevisvärdet hos elektroniska dokument, särskilt när det gäller kvalificerade elektroniska signaturer och vissa offentliga elektroniska dokument. Därför har inte varje vanligt chattmeddelande eller bildfil automatiskt det särskilda bevisvärde som regleras där.

För expertutlåtanden gäller §§ 402 ff. ZPO. Ett privat beställt IT-forensiskt utlåtande är inte enbart på grund av sin tekniska kvalitet ett rättsligt sakkunnigutlåtande. Dess begripliga metodik och bevisunderlag kan dock vara viktiga för advokater och vid en senare facklig granskning.

Hashvärden är ett viktigt verktyg för att säkerställa dataintegriteten, men utgör ingen garanti för att innehållet är autentiskt. Ett hashvärde dokumenterar att en viss datamängd har förblivit oförändrad sedan hashen skapades, eller att den bit för bit stämmer överens med en jämförelsedata. Det ger inte automatiskt något svar på om innehållet hade manipulerats före säkerhetskopieringen.

LanCologne utvärderar tekniska data och deras bevisvärde. Den rättsliga bedömningen av bevis, den straffrättsliga klassificeringen och beslutet om vilken betydelse olika bevis ska tillmätas i förfarandet åligger advokater, utredningsmyndigheter och domstolar.

Vanliga frågor

Weiterführende Themen

• Hur kan jag ta reda på om en bild har redigerats i efterhand?
• Hur kan jag få fastställt om skadefoton eller bevisbilder har redigerats i efterhand?
• IT-forensik för privatpersoner

LanCologne – IT-forensik för privatpersoner

Har du en fråga som rör digital teknik? LanCologne hjälper dig med en saklig och opartisk IT-forensisk utredning.

Kontakta oss nu