IT-kriminalteknik · Utredningsmyndigheter

Hur bedöms system- och säkerhetsloggar som bevis i en utredning?

Loggfiler kan ge viktiga uppgifter om inloggningar, processer, enheter och nätverksaktivitet.

Begär en icke-bindande offert

Varför denna fråga är viktig för utredningsmyndigheterna

Digitala utredningar måste leverera tillförlitliga fakta, men får inte överinterpretiera tekniska indicier. För utredningsarbetet är det därför inte bara viktigt om ett bevisföremål finns, utan också vad det faktiskt bevisar, vilka mothypoteser som finns och vilka ytterligare slutsatser som just inte är tillåtna.

Teknisk undersökningsmetod

Vi granskar den konkreta logiken för loggföring, lagring, tidsbas samt eventuell rotation eller luckor.

Var gränsen för uttalanden går

Avsaknaden av en loggpost är endast betydelsefull om den aktuella händelsen, under de specifika omständigheterna, borde ha loggats.

Varför LanCologne?

LanCologne arbetar inte enligt principen att tekniskt bekräfta en förutbestämd misstankhypotes vid utredningsuppdrag. Utgångspunkten är den konkreta utredningsfrågan. I detta sammanhang granskas både belastande och entlastande tekniska möjligheter på lika villkor.

De överlämnade bevisen eller datamängderna dokumenteras tydligt. I den mån det är tekniskt möjligt sker utvärderingen på verifierade säkerhetskopior eller lämpliga arbetskopior. Automatiskt genererade träffar används inte utan granskning när det gäller frågor som är avgörande för beslutet. Artefaktets ursprung, uppkomstlogik och sammanhang kontrolleras; vid behov genomförs en oberoende dubbelkontroll utifrån de underliggande uppgifterna eller med en andra metod som är lämplig ur fackmässig synvinkel.

För en brottsutredande myndighet är det avgörande att man inte drar några slutsatser av tekniska indicier som går utöver vad uppgifterna faktiskt visar. Därför skiljer vi mellan koppling till enhet, koppling till konto, koppling till användare och koppling till person, liksom mellan möjlighet, faktisk användning och bevisbar handling.

Ett negativt resultat är lika viktigt. Om en utredningshypotes inte kan bekräftas utifrån tillgängliga uppgifter eller om det finns tekniskt rimliga alternativa förklaringar, ska detta uttryckligen dokumenteras. Detta överensstämmer med ett sakkunnigt arbetssätt utan förutbestämda slutsatser och stödjer skyldigheten att beakta såväl belastande som förmildrande omständigheter.

Från utredningsuppdrag till tillförlitligt vittnesmål

Bevis som talar för och emot

En sakkunnigundersökning måste förbli öppen för olika utfall. Om uppgifterna stöder utredningens hypotes ska det förklaras på vilket sätt. Om tillförlitliga spår motsäger den eller om det finns en alternativ teknisk förklaring ska detta också dokumenteras. Om uppgifterna inte räcker till för att dra någon säker slutsats ska detta betecknas som ”ingen bevisning”.

Förståeligt för åklagarmyndigheten, polisen, försvaret och domstolen

Huvudresultatet formuleras på ett lättförståeligt språk. Samtidigt dokumenteras de tekniska grunderna som är relevanta för utredningen på ett sådant sätt att en annan kvalificerad IT-forensiker kan förstå de centrala slutsatserna utifrån samma datagrund. På så sätt förblir utredningen transparent även för senare kontrollgranskningar eller bevisupptagning i domstol.

LanCologne som extern expert inom IT-kriminalteknik

När en utredningsmyndighet behöver få en specifik digital fråga utredd på ett oberoende och tekniskt tillförlitligt sätt, bistår LanCologne med en transparent utredning utan förutbestämda slutsatser. Målet är inte att få så många träffar som möjligt, utan att få ett tillförlitligt sakligt svar på den konkreta utredningsfrågan.

Ledningen av utredningen och den rättsliga bedömningen åligger de behöriga brottsbekämpande myndigheterna. Enligt § 160 i straffprocesslagen (StPO) utreder åklagarmyndigheten sakförhållandena och ska ta reda på såväl belastande som förmildrande omständigheter. § 161 i rättegångsordningen reglerar åklagarmyndighetens allmänna utredningsbefogenheter och möjligheten att låta myndigheter och tjänstemän inom polisen genomföra utredningar. Polisens uppgifter i utredningsförfarandet regleras i § 163 i rättegångsordningen.

För sakkunniga gäller i princip §§ 72 ff. i straffprocesslagen (StPO). § 161a stycke 1 i StPO ålägger sakkunniga att inställa sig vid åklagarmyndigheten efter kallelse och avge sitt utlåtande; bestämmelserna om sakkunniga i det sjunde avsnittet gäller i tillämpliga delar, om inte annat anges. § 82 i StPO avser formen för utfärdande av utlåtanden under förundersökningen.

Beslag och kvarstadsförfaranden av föremål som kan ha bevisvärde regleras framför allt enligt §§ 94 och 98 i rättegångsordningen (StPO). § 110 stycke 3 i rättegångsordningen (StPO) reglerar granskningen av elektroniska lagringsmedier och möjliggör, under de villkor som anges där, även säkring av uppgifter som är relevanta för utredningen. Beslutet om tillåtlighet, omfattning och förordnande av sådana åtgärder ligger hos de behöriga statliga myndigheterna, inte hos LanCologne.

Enligt § 1 stycke 3 i JVEG ska ett uppdrag från polisen eller andra brottsbekämpande myndigheter på uppdrag av eller med föregående godkännande från åklagarmyndigheten likställas med ett uppdrag från åklagarmyndigheten vad gäller ersättningsrätten.

Vanliga frågor

LanCologne – IT-kriminalteknik för brottsutredande myndigheter

Har du en fråga som rör digital teknik? LanCologne hjälper dig med en saklig och opartisk IT-forensisk utredning.

Kontakta oss nu