IT-kriminalteknik · Utredningsmyndigheter

Hur beaktas App-Update som orsak till till synes motstridiga data?

Updates kan migrera data, ändra tidsvärden eller ta bort äldre strukturer.

Varför denna fråga är viktig för utredningsmyndigheterna

I avancerade utredningsfrågor handlar det sällan enbart om huruvida ett enskilt föremål finns eller inte. Det avgörande är om den tekniska tolkningen är tillförlitlig, vilka mothypoteser som finns och vilka slutsatser som just inte får dras utifrån den tillgängliga datagrunden.

Teknisk undersökningsmetod

Vi granskar tidpunkten för Update, schemaändringar, spår av migrering och tidsmässiga samband med de relevanta fynden.

Var gränsen för uttalanden går

En strukturförändring innebär inte automatiskt manipulation.

Varför LanCologne?

LanCologne används inte i komplexa utredningar för att på ett så effektivt sätt som möjligt bekräfta en befintlig misstanketeori. Uppgiften består i att oberoende granska en konkret teknisk fråga och att bedöma såväl belastande som avlastande fynd utifrån samma sakkunniga måttstock.

Datagrunden dokumenteras tydligt. I den mån det är tekniskt möjligt utförs utvärderingen på verifierade säkerhetskopior eller lämpliga arbetskopior. När det gäller resultat som är avgörande för beslut förlitar vi oss inte enbart på automatiskt genererade rapporter. Ursprung, logik bakom uppkomsten och systemkontext granskas; vid behov sker en validering utifrån primärdata eller med hjälp av en andra fackmässigt lämplig metod.

Särskilt när det gäller komplexa fall är det avgörande att skilja mellan vad som avser enheten, kontot, sessionen, användarens handling och den fysiska personen. Man skiljer också mellan positiv fastställelse, ren överensstämmelse, bristande bevis och tekniskt uteslutande.

Resultaten dokumenteras på ett sådant sätt att utredare och åklagare kan förstå huvudbudskapet utan särskilda kunskaper inom kriminalteknik. Samtidigt dokumenteras de tekniska grunderna på ett sätt som gör det möjligt att återge dem vid en senare granskning av andra kriminaltekniker, försvaret och domstolen.

Från utredningsuppdrag till tillförlitligt vittnesmål

1Avgränsa utredningsfrågan och det tekniska undersökningsuppdraget på ett precist sätt.

2Formulera belastande hypoteser, avlastande mothypoteser och möjliga tekniska alternativa förklaringar.

3Dokumentera bevismaterial, utgångsdata, integritet och kända brister.

4Identifiera relevanta primärkällor, uppgifter om utrustning, konton, Server och molntjänster.

5Undersöka artefakter som är avgörande för beslutsfattandet i deras uppkomst- och systemkontext.

6Oberoende validering av parsers och verktygsresultat vid kritiska fynd.

7Lösa problem med tid, synkronisering och versioner på ett öppet sätt eller dokumentera dem som kvarstående osäkerhet.

8Bedöm belastande och avlastande fynd utifrån samma sakkunniga måttstock.

9Uttryckligen ange begränsningar i slutsatserna, luckor i data och alternativa förklaringar som fortfarande är öppna för diskussion.

10Besvara utredningsfrågan på ett begripligt sätt och säkerställa att svaret går att verifiera tekniskt.

Betydande, icke-betydande och oklara fynd

Undersökningen lämnar resultatet öppet. Om flera tillförlitliga källor stöder en hypotes i utredningen, redogörs det för deras tekniska samband. Om det finns motbevis eller en tekniskt hållbar alternativ förklaring, dokumenteras dessa på likvärdigt sätt. Om datagrunden inte är tillräcklig, anges uttryckligen att det inte går att bevisa detta.

Reproducerbarhet och senare rättslig prövning

Huvudbudskapet formuleras på ett sätt som är begripligt för utredare och åklagare. Samtidigt dokumenteras de tekniska grunderna som är relevanta för utredningen på ett sådant sätt att en annan kvalificerad IT-forensiker kan följa de väsentliga slutsatserna utifrån samma datagrund. Detta underlättar senare förfrågningar, kontrollutredningar och en eventuell bevisupptagning i domstol.

LanCologne som oberoende extern expert inom IT-kriminalteknik

När en brottsutredande myndighet behöver låta en komplex digital fråga undersökas ingående, oberoende eller på ett sätt som går att reproducera, bistår LanCologne med en saklig och resultatoöppen utredning. I fokus står ett tillförlitligt svar på den konkreta utredningsfrågan – inklusive motbevis, begränsningar i slutsatserna och teknisk verifierbarhet.

Rättslig ram

Ledningen av utredningen och den rättsliga bedömningen åligger de behöriga brottsbekämpande myndigheterna. Enligt § 160 i straffprocesslagen utreder åklagarmyndigheten sakförhållandena och ska undersöka såväl belastande som förmildrande omständigheter. § 161 i straffprocesslagen reglerar åklagarmyndighetens allmänna utredningsbefogenheter; § 163 i straffprocesslagen reglerar polisens uppgifter i utredningsförfarandet.

För sakkunniga gäller i princip §§ 72 ff. i straffprocesslagen (StPO). Enligt § 161a stycke 1 i straffprocesslagen (StPO) ska sakkunniga, efter kallelse, inställa sig hos åklagarmyndigheten och avge sitt utlåtande. § 82 i StPO reglerar formen för utlåtandet i förundersökningen. § 78 i StPO avser domarens ledning av sakkunnigens verksamhet, i den mån en sådan ledning är relevant.

Beslag och kvarstad regleras särskilt enligt §§ 94 och 98 i straffprocesslagen (StPO). § 110 tredje stycket i straffprocesslagen (StPO) avser granskning av elektroniska lagringsmedier och säkring av uppgifter som kan vara av betydelse för utredningen. Beslut om tillåtlighet, omfattning och beslut om myndighetsåtgärder fattas uteslutande av de behöriga brottsbekämpande myndigheterna och domstolarna.

Enligt § 1 stycke 3 i JVEG ska ett uppdrag från polisen eller andra brottsbekämpande myndigheter på uppdrag av eller med föregående godkännande från åklagarmyndigheten likställas med ett uppdrag från åklagarmyndigheten vad gäller ersättningsrätten.

Vanliga frågor

Hur beaktas App-Update som orsak till till synes motstridiga data?+

Hur går en sådan teknisk undersökning till i praktiken?+

Vi granskar tidpunkten för Update, schemaändringar, spår av migrering och tidsmässiga samband med de relevanta fynden.

Ger undersökningen alltid ett entydigt resultat som talar för eller emot?+

En strukturförändring innebär inte automatiskt manipulation.

Finns det någon rättslig grund för detta?+

Ledningen av utredningen och den rättsliga bedömningen åligger de behöriga brottsbekämpande myndigheterna. Enligt § 160 i straffprocesslagen (StPO) utreder åklagarmyndigheten sakförhållandena och ska ta reda på såväl belastande som förmildrande omständigheter. § 161 i StPO reglerar åklagarmyndighetens allmänna utredningsbefogenheter; § 163 i StPO reglerar polisens uppgifter i utredningsförfarandet. För sakkunniga gäller i princip §§ 72 ff. i rättegångsordningen. Enligt § 161a stycke 1 i rättegångsordningen är sakkunniga skyldiga att inställa sig hos åklagarmyndigheten när de kallas och avge sitt utlåtande. § 82 i straffprocesslagen reglerar formen för avgivande av expertutlåtanden i förundersökningen. § 78 i straffprocesslagen avser domarens ledning av expertens verksamhet, i den mån en sådan ledning är relevant. Beslag och kvarstadsförfaranden regleras särskilt av §§ 94 och 98 i straffprocesslagen. § 110 tredje stycket i rättegångsordningen avser granskning av elektroniska lagringsmedier och säkring av uppgifter som kan vara av betydelse för utredningen. Beslut om tillåtlighet, omfattning och beslut om myndighetsåtgärder fattas uteslutande av de behöriga brottsbekämpande myndigheterna och domstolarna. Enligt § 1 stycke 3 i JVEG (lagen om ersättning till rättsutövare) är ett anlitat uppdrag från polisen eller andra brottsbekämpande myndigheter på uppdrag av eller med föregående godkännande från åklagarmyndigheten likställt med ett uppdrag från åklagarmyndigheten vad gäller ersättningsrätten.