IT-kriminalteknik · Privatpersoner

Hur kan jag bevissäkra originalfilen till ett digitalt bevismaterial?

Om du öppnar, exporterar eller redigerar filen flera gånger kan det leda till att metadata och filstatus ändras.

Varför denna fråga är viktig för privatpersoner

Chattar, foton, videor och skärmdumpar kan få stor betydelse vid privata tvister eller tvister inom civil- eller straffrätten. Deras synliga utseende ger dock inte automatiskt svar på frågor om ursprung, ändringar, tidpunkt eller upphovsman.

Teknisk undersökningsmetod

Vi säkrar den lagligt tillgängliga originalfilen respektive lämplig forensisk datakälla, dokumenterar dess ursprung och integritet och arbetar därefter med kopior.

Var gränsen för uttalanden går

Det är inte alla filer som i strikt mening kan bevaras som originalverk, till exempel när endast en nedladdning från en plattform finns tillgänglig; detta ursprung dokumenteras på ett öppet sätt.

Varför LanCologne?

För lekmän framstår digitala bevis ofta som mer entydiga än vad de är i praktiken. En skärmdump kan se äkta ut och ändå vara redigerad. Omvänt kan saknade metadata eller en ny komprimering ha helt normala orsaker. En fil kan finnas på en smartphone utan att ha skapats där.

LanCologne bryter därför ner den till synes enkla frågan „Är det äkta?“ i tekniskt verifierbara delfrågor: Finns originalfilen? Från vilket program eller vilken datakälla härstammar den? Är interna strukturer och metadata konsekventa? Finns det motsvarande poster i databaser, säkerhetskopior, moln- eller systemartefakter? Har filen exporterats, konverterats eller redigerats? Vilka av dessa processer går det faktiskt att verifiera?

Det är särskilt viktigt att skilja mellan äkthet och upphovsrätt. Även om ett meddelande tekniskt sett fanns på ett visst konto, bevisar det inte automatiskt vilken fysisk person som skrev det. På samma sätt bevisar en kameramodell i EXIF-data inte utan ytterligare granskning vilken konkret fysisk enhet som har skapat en fil.

Vi föredrar primärdata framför rena återgivningar. Originalmeddelanden, databaser och originalfiler innehåller oftast mer teknisk kontext än skärmdumpar, utskrifter eller efterhand gjorda exportfiler.

Resultatet förblir öppet. Vi dokumenterar bekräftande, motstridiga och oavgörbara fynd på samma sätt och förklarar på ett begripligt sätt hur långt ett tekniskt uttalande faktiskt sträcker sig.

Vår arbetsmetod

1Definiera den konkreta bevisfrågan: innehåll, ursprung, tidpunkt, ändring eller upphovsrätt.

2Erhållit originalutrustningen respektive originalfilen i den mån detta är lagligt möjligt.

3Skapa arbetskopior och dokumentera integriteten hos lämpliga datatillstånd.

4Gör en tydlig åtskillnad mellan skärmdump, export och primärdata.

5Undersöka filstruktur, metadata och applikationsspecifika artefakter.

6Tolka tidsstämplar utifrån deras respektive tekniska betydelse.

7Kontrollera relevanta databaser, säkerhetskopior, molndata och systemloggar.

8Skillnaden mellan vanlig konvertering och plattformsbehandling å ena sidan och riktad manipulation å andra sidan.

9Låt aldrig automatiska manipulationsdetektorer eller AI-detektorer fatta beslut på egen hand.

10Man ska inte likställa äkthet, ursprung, ägande och upphovsrätt.

11Dokumentera mothypoteser och luckor i datamaterialet.

12Presentera resultatet på ett begripligt sätt och så att det går att återskapa vid en fackmässig granskning.

Äkthet är inte detsamma som upphovsrätt

Ett meddelande kan tekniskt sett vara autentiskt lagrat i ett konto eller på en enhet, utan att det i sig med säkerhet går att avgöra vilken fysisk person som har skrivit det. Denna åtskillnad förhindrar att en korrekt teknisk slutsats blandas ihop med ett obevisat påstående om en persons identitet.

Originaldata är viktigare än själva skärmvisningen

En skärmdump kan vara värdefull, särskilt om innehållet senare försvinner. För en mer ingående undersökning försöker vi dock även skaffa fram originalfiler, appdata, databaser eller andra primärkällor. Dessa innehåller ofta sammanhang som saknas i den synliga presentationen.

Varför LanCologne vid granskning av digitala bevis?

LanCologne betraktar inte digitalt innehåll som sant eller falskt bara för att det verkar trovärdigt. Vi granskar den tillgängliga tekniska bevisgrunden, dokumenterar ursprung och uttalsgränser och presenterar slutsatserna på ett sätt som är begripligt för privatkunder och samtidigt förståeligt för advokater, utredningsmyndigheter, domstolar eller andra kvalificerade IT-forensiker.

Rättslig ram

När det gäller manipulerade digitala bevisuppgifter kan § 269 i den tyska strafflagen (StGB) vara tillämplig, beroende på de konkreta omständigheterna. Bestämmelsen avser, under de förutsatta förutsättningarna, lagring eller ändring av bevisrelevanta uppgifter i bedrägligt syfte respektive användning av sådana lagrade eller ändrade uppgifter. Huruvida en konkret fil eller ett konkret meddelande uppfyller samtliga rekvisit är en juridisk fråga; en teknisk konstatering av manipulation ger i sig inte något svar på detta.

För civilrättsliga förfaranden är § 371 i ZPO relevant. Enligt denna bestämmelse kan bevis genom besiktning även läggas fram genom uppvisande eller överföring av elektroniska dokument. § 371a ZPO innehåller särskilda bestämmelser om bevisvärdet hos elektroniska dokument, särskilt när det gäller kvalificerade elektroniska signaturer och vissa offentliga elektroniska dokument. Därför har inte varje vanligt chattmeddelande eller bildfil automatiskt det särskilda bevisvärde som regleras där.

För expertutlåtanden gäller §§ 402 ff. ZPO. Ett privat beställt IT-forensiskt utlåtande är inte enbart på grund av sin tekniska kvalitet ett rättsligt sakkunnigutlåtande. Dess begripliga metodik och bevisunderlag kan dock vara viktiga för advokater och vid en senare facklig granskning.

Hashvärden är ett viktigt verktyg för att säkerställa dataintegriteten, men utgör ingen garanti för att innehållet är autentiskt. Ett hashvärde dokumenterar att en viss datamängd har förblivit oförändrad sedan hashen skapades, eller att den bit för bit stämmer överens med en jämförelsedata. Det ger inte automatiskt något svar på om innehållet hade manipulerats före säkerhetskopieringen.

LanCologne utvärderar tekniska data och deras bevisvärde. Den rättsliga bedömningen av bevis, den straffrättsliga klassificeringen och beslutet om vilken betydelse olika bevis ska tillmätas i förfarandet åligger advokater, utredningsmyndigheter och domstolar.

Vanliga frågor

Hur kan jag bevissäkra originalfilen till ett digitalt bevismaterial?

Hur går en sådan teknisk undersökning till i praktiken?

Vi säkrar den lagligt tillgängliga originalfilen respektive lämplig forensisk datakälla, dokumenterar dess ursprung och integritet och arbetar därefter med kopior.

Kan en sådan undersökning alltid ge ett entydigt resultat?

Finns det någon rättslig grund för detta?

När det gäller manipulerade digitala bevisuppgifter kan § 269 i den tyska strafflagen (StGB) vara relevant, beroende på de konkreta omständigheterna. Bestämmelsen avser, under de villkor som anges, lagring eller ändring av bevisrelevanta uppgifter i bedrägligt syfte respektive användning av sådana lagrade eller ändrade uppgifter. Huruvida en konkret fil eller ett meddelande uppfyller samtliga rekvisit är en rättslig fråga; en teknisk konstatering av manipulation ger inte i sig något svar på detta. För civilrättsliga förfaranden är § 371 i ZPO relevant. Enligt denna bestämmelse kan bevis genom visning även läggas fram genom framläggande eller överföring av elektroniska dokument. § 371a ZPO innehåller särskilda bestämmelser om bevisvärdet hos elektroniska dokument, särskilt när det gäller kvalificerade elektroniska signaturer och vissa offentliga elektroniska dokument. Därför har inte varje vanligt chattmeddelande eller bildfil automatiskt den särskilda bevisvärde som regleras där. För expertbevis gäller §§ 402 ff. ZPO. Ett privat beställt IT-forensiskt utlåtande är inte ett rättsligt expertutlåtande enbart på grund av sin tekniska kvalitet. Dess återgivbara metodik och den bevisgrund som framkommit kan dock vara viktig för advokater och en senare fackmässig granskning. Hashvärden är ett viktigt integritetsverktyg, men ingen äkthetsgaranti för det ursprungliga innehållet. En hash dokumenterar att ett visst datatillstånd har förblivit oförändrat sedan hashen skapades eller att det bit för bit överensstämmer med ett jämförelsetillstånd. Den ger inte automatiskt svar på om innehållet hade manipulerats före säkerhetskopieringen. LanCologne utvärderar tekniska data och deras bevisvärde. Rättslig bevisvärdering, straffrättslig klassificering och beslutet om vilket bevis som ges vilken betydelse i förfarandet åligger advokater, utredningsmyndigheter och domstolar.