Sporbarhedskæden (Chain of Custody) refererer til den sporbare dokumentation af, hvordan bevismateriale håndteres, fra dets anskaffelse via sikring og undersøgelse til dets returnering, arkivering eller videre overførsel. Inden for digital retsmedicin kaldes dette ofte også beviskæden (chain of evidence).

Det centrale spørgsmål er ikke kun hvilke digitale spor der blev fundet. Det skal også være muligt at spore, hvilken enhed eller hvilket datasæt der blev undersøgt, hvornår det blev erhvervet, hvem der havde adgang til det, hvilke sikkerhedskopier der blev oprettet, og på hvilket grundlag den efterfølgende analyse blev udført.

En korrekt dokumenteret sporbarhedskæde skaber således en sporbar forbindelse mellem det oprindelige undersøgelsesobjekt og de efterfølgende præsenterede retsmedicinske resultater. Det er en væsentlig del af professionel IT-retsmedicin.

Hvad betyder Chain of Custody?

Det engelske udtryk "chain of custody" kan oversættes til "beviskæde" eller "forvaringskæde". Det refererer til en løbende dokumentation af, hvad der er sket med et potentielt bevismateriale.

For et digitalt objekt, der undersøges, kan dette f.eks. være en notesbog, en harddisk, en smartphone, et USB-stik, et hukommelseskort eller et retsmedicinsk billede.

Dokumentationen omfatter især identiteten af ​​det objekt, der undersøges, dets erhvervelse, relevante overdragelser, adgange, sikkerhedsforanstaltninger og yderligere behandlingstrin.

Målet er, at en kvalificeret tredjepart senere kan spore bevismaterialets vej, og på hvilket datagrundlag efterforskningen blev udført.

Hvorfor er sporbarhedskæden særligt vigtig i digital retsmedicin?

Digital information adskiller sig fra mange traditionelle former for bevismateriale på ét afgørende aspekt: ​​det kan hurtigt kopieres, ændres eller slettes.

En fil kan duplikeres inden for få sekunder. Metadata kan ændres. Operativsystemer udfører nogle gange skrivehandlinger automatisk. En smartphone kan synkronisere data med cloudtjenester. Systemtilstande på en kørende computer ændrer sig konstant.

Derfor er det ikke nok blot at præsentere et interessant fund ved afslutningen af ​​en undersøgelse.

Det skal være muligt at spore, hvor de underliggende data stammer fra, og hvordan de blev håndteret under undersøgelsen.

Er forældremyndigheden det samme som at sikre beviser?

Nej. Begge områder er tæt beslægtede, men de beskriver ikke det samme.

Retsmedicinsk bevisbevaring involverer teknisk registrering og bevaring af relevante data. Dette kan f.eks. omfatte sektor-for-sektor datalagring, smartphone-udtræk eller sikring af specifikke logdata.

I modsætning hertil dokumenterer sporbarhedskæden håndteringen af ​​bevismaterialet og, hvis det er relevant, de sikkerhedsforanstaltninger, der er skabt ud fra det.

En teknisk fejlfri databackup kan derfor stadig være utilstrækkeligt dokumenteret. Omvendt erstatter perfekt overdragelsesdokumentation ikke professionel teknisk backup.

Hvor begynder beviskæden?

Ideelt set begynder dokumentationen, så snart undersøgelsesobjektet først overtages på en kontrolleret måde.

Det skal tydeligt fremgå, hvilken genstand der blev overdraget, og hvilken stand den var i.

For en bærbar computer kan f.eks. producent, model og serienummer være relevant. For en smartphone kan producent, model, IMEI eller andre unikke enhedsidentifikatorer dokumenteres, forudsat at de er tilgængelige og nødvendige i den pågældende situation.

For udvidede databærere kan modelnavn, serienummer, kapacitet og grænseflade bidrage til entydig identifikation.

Hvilke oplysninger skal inkluderes i en dokumentation for sporbarhedskæden?

Det nødvendige omfang afhænger af den sag, der undersøges. Typisk bør det være muligt at spore, hvilket bevismateriale der blev accepteret, fra hvem det stammer, hvornår accepten fandt sted, og hvem der modtog det.

Yderligere oplysninger kan gives vedrørende enhedens tilstand, eventuelle eksisterende skader, dens driftsstatus, tilbehør eller eventuelle særlige omstændigheder under overdragelsen.

Yderligere poster kan dokumentere, hvornår en sikkerhedskopi blev oprettet, hvilken person der udførte den, hvilken procedure der blev brugt, hvilke retsmedicinske billeder eller udtræk der blev produceret, og til hvem beviserne efterfølgende blev overdraget.

Hvorfor skal et bevismateriale være tydeligt markeret?

I en større undersøgelse kan der være adskillige enheder til stede. Flere identiske bærbare computere eller smartphones er ikke ualmindelige.

En beskrivelse som "sort iPhone" eller "medarbejderens bærbare computer" er ikke tilstrækkelig.

Det objekt, der undersøges, bør tildeles et unikt bevisidentifikator. Dette identifikator kan derefter bruges i sikkerhedsprotokoller, arbejdsdokumenter, billedetiketter og rapporter.

Dette reducerer risikoen for forvirring af enheder eller datasæt.

Hvorfor skal en enheds tilstand dokumenteres ved anskaffelse?

En digital enheds tilstand kan påvirke den efterfølgende sikkerhedskopieringsmetode.

For eksempel kan det med en smartphone være relevant, om den er tændt eller slukket, låst eller ulåst.

Et kørende og allerede dekrypteret computersystem kan tilbyde andre backupmuligheder end en slukket enhed.

Synlige skader eller manglende komponenter kan også være vigtige for senere evaluering.

Hvorfor kan fotos være nyttige, når man indsamler beviser?

Fotografier kan supplere skriftlig dokumentation. For eksempel kan de dokumentere en enheds ydre tilstand, tilsluttede komponenter, skader eller synlige enhedsmærker.

Et fotografi erstatter dog ikke tydelig skriftlig identifikation og yderligere dokumentation af beviser.

Hvad betyder bevisintegritet?

Evidensintegritet betyder, at det kan spores, om et relevant digitalt datasæt har ændret sig i forhold til en defineret referencetilstand.

Her anvendes kryptografiske hashværdier. Hvis der for eksempel genereres en SHA-256-værdi under en retsmedicinsk analyse, kan den senere genberegnes og sammenlignes med den dokumenterede referenceværdi.

Hvis begge værdier stemmer overens, tyder det stærkt på, at det testede datasæt er forblevet uændret i forhold til referencetilstanden.

Kan en hashværdi erstatte kæden af ​​​​forvaring?

Nej. En hashværdi og en custody-kæde opfylder forskellige funktioner.

En hashværdi kan verificere integriteten af ​​et defineret datasæt. Den afslører dog ikke, hvem der besad bevismaterialet, hvornår det blev overdraget, eller hvem der havde adgang til det.

I modsætning hertil dokumenterer beviskæden den organisatoriske og faktiske håndtering af undersøgelsesobjektet.

Professionel digital bevisbevaring kombinerer derfor teknisk integritetskontrol med sporbar dokumentation af bevismateriale.

Hvad er forskellen på originalt bevismateriale og et retsmedicinsk billede?

Det originale bevismateriale er den oprindeligt erhvervede undersøgelsesgenstand, for eksempel en harddisk.

En retsmedicinsk backup kan oprettes fra denne databærer. Det resulterende billede er et uafhængigt digitalt bevismateriale, der skal være tydeligt knyttet til originalen.

Dokumentationen bør derfor angive, hvilket bevismateriale et billede stammer fra, hvornår det blev oprettet, og hvilke integritetsværdier der hører til det.

Hvorfor bør analysen ikke udføres direkte på originalen, hvis det er muligt?

Med traditionelle datalagringsmedier er et centralt mål at undgå unødvendige ændringer af originalen.

Derfor kan der først oprettes en retsmedicinsk backup, og selve undersøgelsen kan derefter udføres på en arbejdskopi.

Dette gør det muligt at bevare den originale eller primære sikkerhedskopi som reference.

Om denne tilgang er teknisk mulig og giver mening, afhænger dog af enhedsklassen og den specifikke undersøgelsesmetode.

Hvad er en arbejdskopi?

En arbejdskopi er et datasæt, der bruges til selve analysen, mens den originale retsmedicinske backup kan bevares uændret.

Denne adskillelse giver en praktisk fordel: Skulle arbejdskopien blive beskadiget, eller skulle undersøgelsen gentages med et andet værktøj, kan der oprettes et nyt arbejdsgrundlag ud fra den uændrede backup.

Hvordan dokumenteres en overdragelse?

Under en overdragelse bør det være sporbart, hvilket bevismateriale eller hvilke data der blev overdraget, hvem der overdrog det, hvem der modtog det, og hvornår dette fandt sted.

Afhængigt af tilfældet kan yderligere oplysninger såsom formål, emballagens tilstand eller andre særlige egenskaber dokumenteres.

Dokumentationen bør være så klar, at den pågældende overdragelse senere kan henføres til et specifikt bevismateriale.

Hvad sker der, når beviserne er sendt?

Digitale objekter til undersøgelse sendes ofte til et retsmedicinsk laboratorium via pakkeservice.

I dette tilfælde slutter beviskæden ikke automatisk med forsendelsen. Det skal snarere tydeligt dokumenteres, hvornår pakken blev modtaget, hvem der accepterede den, og hvilken dokumentation den indeholdt.

Emballagens ydre tilstand kan også dokumenteres, hvis der findes unormaliteter.

Skal alle personer, der rører ved et bevismateriale, dokumenteres?

Afgørende er en forståelig dokumentation af relevante adgange og ansvarsændringer.

Hvor detaljeret dette skal være, afhænger af det specifikke efterforskningsmiljø og sagens krav.

I særligt følsomme eller potentielt retsrelevante undersøgelser bør det fortsat være klart identificerbart, hvilke personer der havde adgang til originalfiler og centrale backupfiler.

Hvad betyder adgangskontrol for digital bevismateriale?

Adgangskontrol betyder, at digitale beviser ikke må være frit tilgængelige for uautoriserede personer.

Dette gælder både fysiske enheder og retsmedicinske billeder samt eksporterede undersøgelsesresultater.

Passende tekniske og organisatoriske foranstaltninger kan forhindre, at data ændres, kopieres eller ses uden at blive opdaget.

Hvorfor skal digitale kopier også kontrolleres?

En fysisk smartphone er relativt let at identificere som et enkelt objekt. Et retsmedicinsk billede kan derimod kopieres et ubegrænset antal gange uden at efterlade synlige spor.

Netop derfor skal digitale beviser også være tydeligt identificeret og opbevares på en kontrolleret måde.

Muligheden for en tabsfri kopi er meget værdifuld for retsmedicin, men kræver samtidig en ren håndtering af de forskellige dataversioner.

Hvad betyder reproducerbarhed?

Reproducerbarhed betyder, at en kvalificeret tredjepart skal kunne forstå, på hvilket datagrundlag og med hvilke væsentlige metoder et forskningsresultat er opnået.

Det betyder ikke, at enhver undersøgelse nødvendigvis kan gentages præcist på ethvert tidspunkt. Især live-systemer, cloud-tjenester og mobile enheder kan have dynamiske tilstande.

God dokumentation forbedrer dog muligheden for professionel forståelse af undersøgelsestrinnene betydeligt.

Hvorfor hører værktøjer og versioner hjemme i dokumentationen?

Retsmedicinsk software er i konstant udvikling. Forskellige versioner kan understøtte nye filformater, fortolke artefakter forskelligt eller indeholde fejlrettelser.

Derfor kan det være nyttigt at dokumentere det anvendte værktøj og dets version under relevante undersøgelsestrin.

Dette gør det lettere senere at forstå, under hvilke tekniske forhold et resultat blev opnået.

Hvad er anderledes ved smartphones?

Inden for smartphone-forensik er beviskæden særligt udfordrende, fordi mobile enheder kontinuerligt kan ændre deres tilstand.

En tændt smartphone kan oprette netværksforbindelser, modtage beskeder, synkronisere data eller køre baggrundsprocesser.

En genstart kan også ændre den kryptografiske tilstand og dermed mulighederne for senere udtrækning.

Derfor bør enhedens tilstand dokumenteres så præcist som muligt ved overdragelse.

Hvorfor er låsestatus på en smartphone relevant?

Med moderne smartphones kan det gøre en betydelig teknisk forskel, om en enhed allerede er blevet låst op siden den sidste genstart.

Visse kryptografiske nøgler og dataklasser kan være tilgængelige forskelligt afhængigt af enhedens tilstand.

Forholdet på anskaffelsestidspunktet kan derfor være relevant for både sikkerhedsstrategien og den efterfølgende dokumentation.

Skal en smartphone slukkes for at bevare bevismateriale?

En generel regel ville være teknisk set forkert.

Hvis du slukker en enhed, der er tændt og ulåst, kan det ændre værdifulde adgangsmuligheder. Omvendt kan der modtages nye data, eller synkroniseringsprocesser kan finde sted, mens enheden kører.

Den passende tilgang afhænger derfor af enheden, dens tilstand, sikkerhedsarkitekturen og undersøgelsesformålet.

Hvilken rolle spiller sporbarhedskæden i datatyveri?

Undersøgelsen af ​​et potentielt datatyveri kan involvere flere enheder og datakilder.

For eksempel kan en virksomhedscomputer, eksterne lagerenheder, en smartphone og serverlogfiler undersøges.

For at sikre, at det senere kan spores, hvilket fund stammer fra hvilken kilde, skal de forskellige undersøgelsesobjekter være klart adskilt og dokumenteret.

Hvad sker der, når flere identiske enheder undersøges?

Især i virksomhedsundersøgelser kan der være flere identiske bærbare computere eller smartphones til stede.

Et unikt bevisnummer og tekniske enhedsidentifikatorer forhindrer, at undersøgelsesresultater tilskrives den forkerte enhed.

Enhedsnavnet bør anvendes konsekvent gennem hele undersøgelsesprocessen.

Hvilken rolle spiller serienumre?

Serienumre kan hjælpe med at identificere en fysisk enhed entydigt.

Disse oplysninger bør dog ikke betragtes som det eneste grundlag for dokumentation. Model, enhedstype, bevisidentifikator og andre karakteristika kan supplere klassificeringen.

Hvilken rolle spiller IMEI og andre smartphone-identifikatorer?

For mobile enheder kan IMEI, serienummer og andre enhedsspecifikke identifikatorer hjælpe med identifikation.

Hvilke identifikatorer der rent faktisk kan og bør dokumenteres, afhænger af enheden, adgangsstatussen og undersøgelsesanmodningen.

Hvad skal man overveje, når man håndterer cloud-data?

Cloud-data mangler ofte et fysisk lagringsmedie, som efterforskeren kan tilgå.

Beviskæden skal derfor i højere grad fokusere på oprindelsen og sikkerhedsprocessen for den digitale dataopgørelse.

Eksempler på relevante faktorer omfatter den anvendte konto, tidspunktet for backup'en, den anvendte grænseflade, det anvendte værktøj og de genererede eksportfiler.

Hvorfor er timingen af ​​en cloud-backup vigtig?

Cloud-data er dynamiske. Beskeder kan tilføjes, filer kan ændres, og kontoindstillinger kan justeres.

En backup repræsenterer derfor en specifik tilgængelig tilstand på et specifikt tidspunkt.

Dette tidspunkt bør dokumenteres på en verificerbar måde.

Hvad skal man overveje, når man håndterer e-mail-beviser?

For e-mails er en udskrift eller et skærmbillede ofte utilstrækkeligt til en dybdegående teknisk analyse.

Afhængigt af spørgsmålet kan komplette meddelelser, inklusive headeroplysninger, postkassedata eller serversideoplysninger, være relevante.

Sporbarhedskæden bør afsløre kilden til de undersøgte e-maildata og den metode, hvormed de blev sikret.

Hvad skal man huske på, når man tager skærmbilleder?

Et skærmbillede dokumenterer blot en synlig repræsentation på et bestemt tidspunkt. Det indeholder ikke automatisk alle de tekniske oplysninger om de underliggende data.

Derfor er et skærmbillede af en messenger-chat ikke ensbetydende med en retsmedicinsk udtrækning af den pågældende enhed.

Med henblik på vurderingen skal det fortsat være muligt at spore, hvem der har lavet skærmbilledet, hvilket system det stammer fra, og om yderligere originaldata er tilgængelige.

Kan en forældremyndighed oprettes med tilbagevirkende kraft?

Tidligere begivenheder kan dokumenteres retrospektivt, hvis pålidelige oplysninger om dem er tilgængelige.

Retrospektiv dokumentation er dog ikke det samme som en rettidig beviskæde.

Manglende information bør ikke erstattes af antagelser. Hvis en del af beviskæden ikke kan rekonstrueres pålideligt, bør denne usikkerhed dokumenteres åbent.

Hvad er et brud i forældremyndigheden?

Der kan siges at eksistere et hul, hvis det i en relevant periode ikke er muligt at spore, hvem der kontrollerede et bevismateriale, eller hvad der skete med det.

Betydningen af ​​et sådant hul afhænger af den specifikke sag.

Det betyder ikke automatisk, at de digitale data er blevet manipuleret. Det kan dog rejse spørgsmål om sporbarhed og bevisværdi.

Gør et hul hele bevismaterialet værdiløst?

Det kan man ikke svare på generelt.

Ufuldstændig dokumentation betyder ikke automatisk, at en teknisk konstatering er forkert. Implikationerne afhænger blandt andet af, hvilke oplysninger der mangler, om der er tilgængelige integritetsværdier, og om andre omstændigheder giver verificerbar datasikkerhed.

Desuden er den juridiske vurdering en anden sag end den tekniske evaluering.

Beviser en ubrudt sporbarhedskæde automatisk analysens rigtighed?

Nej. En perfekt beviskæde kan ikke korrigere en fejlagtig teknisk fortolkning.

Forsvarskæden dokumenterer håndteringen af ​​bevismateriale. Om en retsmedicinsk analyse er teknisk korrekt afhænger af undersøgelsesmetoden, værktøjerne, datakvaliteten og fortolkningen.

Svarer forældremyndigheden automatisk til antagelighed i retten?

Nej. Beviskæden er en vigtig del af en forståelig digital efterforskning, men den alene afgør ikke dens juridiske antagelighed.

Dette kan afhænge af andre faktorer, herunder dataenes oprindelse, lovligheden af ​​deres erhvervelse, den specifikke type procedure og den kompetente domstols vurdering.

Teknisk retsmedicinsk analyse og juridisk bevisvurdering skal derfor skelnes fra hinanden.

Hvilken rolle spiller en ekspert?

En ekspert skal ikke blot producere tekniske resultater, men også være i stand til at forklare, hvordan de er opstået, på en forståelig måde.

Dette gælder især identifikation af undersøgelsesobjektet, databackup, væsentlige undersøgelsestrin og den professionelle fortolkning af de fundne spor.

For et ekspertkontor med speciale i IT og mobil forensik er forståelig dokumentation derfor ikke blot administrativt arbejde, men en del af den metodiske kvalitet.

Praktisk eksempel: Firmalaptop i tilfælde af mistanke om databrud

En virksomhed afleverer en bærbar computer, der blev brugt af en tidligere medarbejder. Der er mistanke om, at fortrolige virksomhedsdata er blevet overført til eksterne lagringsenheder.

Ved modtagelse er den bærbare computer tydeligt mærket. Producent, model, serienummer og ydre stand er dokumenteret.

Databæreren sikres derefter retsmedicinsk under kontrollerede forhold. Den resulterende backup er unikt knyttet til det originale bevismateriale. Integritetsværdier dokumenteres.

Analysen udføres på et dedikeret arbejdsgrundlag.

Den efterfølgende rapport kan derfor ikke blot vise, hvilke USB-artefakter eller filadgange der blev registreret, men også spore, hvilken specifik enhed de undersøgte data stammer fra.

Praktisk eksempel: Smartphone i en tvist

En smartphone udleveres til undersøgelse, fordi visse beskeder kan være relevante som bevismateriale.

Ved overdragelsen dokumenteres det, hvilken enhed der er til stede, og hvilken stand den er i.

Den efterfølgende ekstraktion er tildelt den specifikke enhed og metode, der anvendes.

Dette sikrer, at det senere kan spores, at de evaluerede meddelelser ikke stammer fra en vilkårlig eksportfil, men fra en dokumenteret backupproces for den pågældende enhed.

Praktisk eksempel: to identiske USB-sticks

I en virksomhedsundersøgelse udleveres to USB-sticks fra samme producent og med samme kapacitet.

Hvis de blot blev behandlet som "USB-stick 1" og "USB-stick 2" uden yderligere identifikation, kunne en senere forveksling være vanskelig at opdage.

En unik bevisidentifikator og dokumentation af tekniske identifikationsfunktioner reducerer denne risiko.

Praktisk eksempel: Anden ekspertudtalelse efter flere måneder

Flere måneder efter en undersøgelse skal en anden ekspert gennemgå de oprindelige resultater.

Hvis der er en forståelig dokumentation af beviser, den oprindelige sikringsproces og passende integritetsværdier, kan den anden efterforsker meget bedre forstå, hvilket datagrundlag den første analyse var baseret på.

Hvis der derimod mangler oprindelsesoplysninger og -attributioner, kan selv et teknisk intakt billede være vanskeligt at placere i den oprindelige kontekst.

Typiske fejl i sporbarhedskæden

En almindelig fejl er at bruge en for generel beskrivelse af det objekt, der undersøges. Udtryk som "kundens mobiltelefon" eller "firmabærbar" kan føre til forvirring, når der er flere enheder involveret.

Andre problemer omfatter udokumenterede overdragelser, manglende tidsoplysninger, retsmedicinske billeder, der ikke kan tildeles, og uklare filnavne.

Selv en hashværdi uden klar information om, hvilket datasæt der blev hashet, har kun begrænset dokumentationsværdi.

En anden fejl er at forsøge at rekonstruere ansvarskæden først ved afslutningen af ​​en efterforskning. Rettidig dokumentation er betydeligt mere pålidelig.

Hvordan kan en god beviskæde organiseres i praksis?

Hvert objekt, der undersøges, bør umiddelbart efter overtagelsen modtages en unik identifikator.

Denne identifikator bør derefter anvendes konsekvent i backuplogfiler, filnavne, arbejdsdokumenter og rapporter.

Overdragelser og relevante behandlingstrin bør dokumenteres omgående. Digitale sikkerhedskopier bør tydeligt tildeles deres oprindelige objekt.

Hvor det er teknisk muligt, supplerer hashværdier denne dokumentation med en verificerbar integritetskontrol.

Ofte stillede spørgsmål om sporbarhedskæden

Hvad betyder "Chain of Custody" på tysk?

I forbindelse med digital bevisførelse oversættes Chain of Custody ofte til beviskæde eller custody chain.

Hvad er en digital beviskæde?

Den giver verificerbar dokumentation af, hvilke digitale beviser der blev erhvervet, hvem der håndterede dem, hvilke sikkerhedskopier der blev oprettet, og hvilke relevante overførsler eller behandlingstrin der fandt sted.

Hvorfor er en forældremyndighed nødvendig?

Det hjælper med at dokumentere bevisernes oprindelse og håndtering på en forståelig måde og med at forbinde det efterfølgende undersøgelsesresultat med den oprindelige datakilde.

Begynder forældremyndigheden først i det retsmedicinske laboratorium?

Ikke nødvendigvis. Ideelt set begynder kontrolleret dokumentation, så snart den første relevante beslaglæggelse eller overdragelse af den genstand, der undersøges, finder sted.

Hvad skal dokumenteres ved overdragelse af udstyr?

Som minimum skal enheden være tydeligt identificerbar. Afhængigt af sagen kan bevisidentifikator, enhedtype, producent, model, serienummer, tilstand, overdragelsestidspunkt og involverede personer være relevante.

Hvad er et bevisnummer?

Et bevisnummer eller en unik identifikator tjener til entydigt at identificere et undersøgelsesobjekt gennem hele processen.

Er en hashværdi en del af sporbarhedskæden?

Det kan være en vigtig teknisk komponent i integritetskontrol. Det erstatter dog ikke dokumentation af overdragelser og adgange.

Kan en hashværdi bevise, hvem der havde adgang til en harddisk?

Nej. En hashværdi kan verificere dataintegritet, men den indeholder ingen oplysninger om, hvilken person der ejede eller havde adgang til en enhed.

Skal det originale bevismateriale altid undersøges?

Nej. Med egnede datalagringsmedier kan der først oprettes en retsmedicinsk sikkerhedskopi, og analysen kan derefter udføres på en arbejdskopi.

Hvorfor arbejde med en kopi?

Dette gør det muligt for det oprindelige bevismateriale eller den primære sikkerhed at forblive så uændret som muligt, mens analysen udføres på et dedikeret arbejdsbasis.

Skal en arbejdskopi også dokumenteres?

I undersøgelser af bevismateriale bør det kunne spores, fra hvilken original sikkerhedskopi den anvendte arbejdskopi blev oprettet.

Hvad sker der, hvis der er et hul i forældremyndigheden?

Betydningen afhænger af den specifikke sag. Et hul beviser ikke automatisk manipulation, men det kan forringe bevisernes verificerbarhed.

Er bevismateriale med en brudt forældremyndighed automatisk ubrugeligt?

Nej. En sådan generel erklæring ville ikke være fagligt passende. Virkningerne skal vurderes ud fra de specifikke omstændigheder.

Er forældremyndigheden altid præcist foreskrevet ved lov?

Der findes ikke et universelt anvendeligt svar for enhver tænkelig tysk efterforsknings- og proceduremæssig kontekst. De specifikke juridiske krav afhænger af den respektive procedure, mandat og bevismateriale.

Er en perfekt forældremyndighed automatisk juridisk forsvarlig?

Nej. Det forbedrer sporbarheden, men erstatter ikke professionel sikkerhed, en korrekt analyse eller en juridisk gennemgang af bevisernes antagelighed.

Gælder sporbarhedskæden også for smartphones?

Ja. Især med smartphones er enhedens status også vigtig, fordi låsestatus, kryptering, netværksforbindelser og genstarter kan påvirke de tilgængelige data.

Gælder sporbarhedskæden også for cloud-data?

Ja. Der fokuserer dokumentationen mere på datakilde, brugerkonto, backuptidspunkt, erhvervelsesmetode og genererede eksport- eller backupdata.

Gælder det også for e-mails?

Ja. I sager, der involverer e-mails, der bruges som bevis, bør det være muligt at spore kilden til de beskeder, der undersøges, og hvordan de blev sikret.

Er et skærmbillede tilstrækkeligt som digitalt bevis?

Et skærmbillede kan dokumentere synlig information, men har ikke automatisk den samme tekniske betydning som de underliggende originale data eller en retsmedicinsk backup.

Hvem skal lede ansvarskæden?

Ansvarsområder bør være klart defineret inden for hver undersøgelsesproces. Det er afgørende, at relevante overdragelser og behandlingstrin dokumenteres på en sporbar måde.

Hvor længe skal dokumentation for sporbarhedskæden opbevares?

Dette kan ikke besvares generelt for alle tilfælde. Opbevaringsperioder kan afhænge af ordren, kontraktforholdet, procestypen, databeskyttelseskravene og andre lovbestemmelser.

Forvaringskæden forbinder beviserne med efterforskningsresultatet.

En retsmedicinsk analyse er kun så reproducerbar som dens datagrundlag. Derfor er det ikke nok blot at dokumentere, hvad der blev fundet på en enhed. Lige så vigtig er den sporbare forbindelse mellem undersøgelsesobjektet, dets sikring og analysen.

En professionel sporbarhedskæde dokumenterer denne proces. Den viser, hvilke beviser der blev overtaget, hvordan de blev markeret, hvilke relevante overførsler der fandt sted, og hvilke bevisbeholdninger der blev oprettet som følge heraf.

Hashværdier kan teknisk set supplere denne dokumentation ved at gøre integriteten af ​​definerede datasæt verificerbar. De erstatter dog ikke beviskæden.

Især i komplekse undersøgelser, der involverer flere computere, smartphones, datalagringsenheder eller cloud-data, forhindrer en struktureret beviskæde tekniske resultater i at miste deres utvetydige forbindelse til den oprindelige datakilde.

Dette omdanner et digitalt fund til et verificerbart dokumenteret retsmedicinsk fund, hvis oprindelse også kan verificeres på et senere tidspunkt.

Tilbage til vidensoversigten