Digital retsvidenskab er den metodiske sikring, undersøgelse, analyse og evaluering af digitale data og spor. Målet er at rekonstruere tekniske fakta så transparent som muligt og at indfange relevant digital information på en sådan måde, at dens oprindelse, integritet og undersøgelsesproces kan dokumenteres. Digital retsvidenskab anvendes blandt andet med smartphones, computere, servere, harddiske, SSD'er, USB-drev, hukommelseskort, e-mails, messenger-data, cloud-tjenester og IT-systemer.

Det handler ikke blot om at åbne eksisterende filer eller gendanne slettede data. En professionel retsmedicinsk undersøgelse overvejer, selv i sikringsfasen, hvordan det digitale bevismateriale håndteres, hvilke ændringer der er teknisk uundgåelige eller kan undgås, og hvordan hvert trin dokumenteres. De efterfølgende resultater skal være baseret på faktiske digitale spor og klart adskilles fra antagelser eller fortolkninger.

Hvad betyder digital retsmedicin præcist?

Begrebet "digital retsmedicin" refererer til systematisk undersøgelse af digitale data ved hjælp af retsmedicinske metoder. Det centrale spørgsmål er, hvilke teknisk pålidelige fund der kan opnås fra et digitalt system eller datalagringsmedium. Afhængigt af undersøgelsen kan det f.eks. bestemmes, hvilke filer der var til stede, hvornår bestemte aktiviteter fandt sted, hvilke enheder der var tilsluttet, om data blev kopieret eller slettet, eller hvilke kommunikations- og brugsdata der er gemt på en enhed.

Digital retsmedicin omfatter derfor langt mere end blot at søge efter individuelle dokumenter. En computer eller smartphone indeholder en lang række forskellige datakilder. Ud over de oplysninger, der er direkte synlige for brugeren, kan operativsystemer, applikationer og filsystemer generere metadata, logfiler, databaser, konfigurationsoplysninger, tidsstempler og andre tekniske artefakter.

Kun analyse og korrelation af sådanne spor kan gøre det muligt at rekonstruere begivenheder. Afgørende er det nødvendigt at skelne mellem en teknisk fastslået kendsgerning, en konklusion udledt heraf og en ren mulighed.

Hvad er opgaverne inden for digital retsmedicin?

En central indledende opgave er at identificere potentielt relevante digitale data og sikre dem professionelt. De sikrede data undersøges derefter ved hjælp af passende retsmedicinske metoder. De nødvendige metoder afhænger af den specifikke enhed, operativsystem, filsystem, sikkerhedsstatus og formålet med undersøgelsen.

Typiske opgaver kan omfatte rekonstruktion af brugeraktivitet, undersøgelse af filer og filsystemer, evaluering af kommunikationsdata, analyse af tidsstempler, identifikation af tilsluttede lagringsmedier, undersøgelse af browser- og applikationsdata eller søgning efter spor af en mulig datalækage.

Datagendannelse kan også være en del af en undersøgelse. Om dette er teknisk muligt, kan dog ikke besvares endegyldigt. Moderne kryptering, flashhukommelse, SSD TRIM, diskoprydning, overskrivning og sikkerhedsmekanismerne i nuværende operativsystemer kan begrænse eller helt forhindre gendannelse.

Hvilke enheder og datakilder kan undersøges?

Digital retsmedicin er ikke begrænset til traditionelle stationære computere. Stort set ethvert elektronisk system, der lagrer eller behandler data, kan potentielt indeholde retsmedicinsk relevante oplysninger.

• Windows-pc'er og bærbare computere
• Apple Mac og MacBook
• iPhones og iPads
• Android-smartphones og -tablets
• interne og eksterne harddiske
• SSD'er og NVMe-lagring
• USB-sticks og hukommelseskort
• Servere og virtuelle systemer
• NAS- og RAID-systemer
• E-mail-postkasser og e-mail-filer
• Messenger- og appdata
• Cloud-lagring og cloud-konti
• Browser- og internetdata
• System-, sikkerheds- og applikationsprotokoller

Hvilke af disse kilder der rent faktisk kan undersøges og er teknisk tilgængelige, skal verificeres i hvert enkelt tilfælde. Den blotte kendsgerning, at data ville være teknisk tilgængelige, betyder ikke automatisk, at indsamling eller analyse af disse er juridisk tilladt.

Hvordan fungerer en digital retsmedicinsk undersøgelse?

Den specifikke procedure afhænger af undersøgelsens emne. Ikke desto mindre kan en professionel undersøgelse generelt opdeles i flere på hinanden følgende faser.

1. Undersøgelsesmandat og forskningsspørgsmål

Det første skridt er at formulere et spørgsmål så præcist som muligt. Er målet for eksempel at afgøre, om virksomhedsdata blev kopieret, om et specifikt USB-drev blev tilsluttet, om der var meddelelser til stede, eller om der er tegn på uautoriseret adgang? Et klart defineret spørgsmål forhindrer en unødvendigt bred undersøgelse og letter den efterfølgende evaluering af resultaterne.

2. Identifikation og sikring af digitalt bevismateriale

Relevante enheder og datakilder identificeres, og deres oprindelige tilstand dokumenteres. Afhængigt af systemet kan der derefter oprettes en retsmedicinsk kopi eller et billede . For at opnå passende lagringsmedier kan hardware- eller softwaremekanismer anvendes til at forhindre eller minimere skriveadgang til originalen.

Med moderne smartphones, krypterede systemer og kørende IT-systemer er en fuldstændig skrivefri backup ikke teknisk mulig i alle situationer. Derfor betyder professionel retsmedicin ikke at hævde total frihed for ændringer. Det afgørende punkt er at identificere uundgåelige ændringer, begrænse dem i nødvendigt omfang og dokumentere dem på en sporbar måde.

3. Integritetstjek

Kryptografiske hashværdier bruges ofte i retsmedicinsk billeddannelse. En hashværdi er en verifikationsværdi beregnet ud fra dataene. Hvis hashværdierne for et sikret datasæt stemmer overens under efterfølgende kontroller, kan det teknisk verificeres, at dette datasæt ikke er blevet ændret siden dets beregning.

En hashværdi besvarer dog ikke automatisk alle spørgsmål om indholdets oprindelse eller ægthed. Den beviser primært konsistensen af ​​de hashede datasæt. Denne sondring er afgørende for korrekt evaluering af digitalt bevismateriale.

4. Retsmedicinsk analyse

Selve efterforskningen udføres altid på et forsvarligt grundlag, i det omfang den tekniske procedure tillader det. Retsmedicinsk software kan strukturere store mængder data, fortolke filsystemer, analysere databaser, behandle tidsstempler og genkende kendte artefakter fra forskellige operativsystemer og applikationer.

Software erstatter ikke ekspertvurdering. Et datasæt, der vises af analyseprogrammet, skal fortolkes i sammenhæng med dets kilde, dets dataformat og det respektive tekniske miljø. Fejlfortolkninger, især med tidsstempler, slettede datasæt og automatisk genererede systemoplysninger, kan føre til forkerte konklusioner.

5. Korrelation og rekonstruktion

Individuelle digitale spor har ofte begrænset betydning. En kombination af flere uafhængige datakilder kan være mere informativ. For eksempel kan filsystemoplysninger, USB-artefakter, brugeraktivitet og programdata tilsammen give spor om en specifik hændelsessekvens.

En pålidelig rekonstruktion bør derfor ikke forhastet udledes af et enkelt artefakt. Modstridende beviser skal tages i betragtning, såvel som information, der ikke bekræfter en oprindeligt plausibel hypotese.

6. Dokumentation og evaluering

Resultaterne dokumenteres på en transparent og forståelig måde. Afhængigt af opgaven omfatter dette de undersøgte beviser, de anvendte metoder til sikring af beviser, de anvendte procedurer, de relevante fund og den tekniske evaluering af disse. Det er lige så vigtigt at oplyse om eventuelle eksisterende begrænsninger og usikkerheder.

Professionel retsmedicinsk dokumentation bør tydeligt angive de data, som en udtalelse er baseret på. Resultater og fortolkninger må ikke sammenblandes.

Hvad er retsmedicinsk databackup?

En sikkerhedskopi af retsmedicinske data adskiller sig fra en almindelig filkopi. En normal kopi overfører typisk kun udvalgte filer. Afhængigt af sikkerhedskopieringsmetoden kan et retsmedicinsk billede derimod indeholde en langt mere omfattende repræsentation af en databærer.

Med traditionelle lagringsmedier kan dette betyde at registrere den adresserbare databærer sektor for sektor eller bit for bit. Under visse betingelser kan ikke kun almindelige filer, men også filsystemstrukturer og andre lagringsområder bevares til senere analyse.

Smartphones og moderne lukkede systemer har forskellige tekniske krav. Afhængigt af enheden og adgangsmulighederne anvendes forskellige udtrækningsmetoder. Udtrykkene logisk, filsystem- eller fysisk udtrækning beskriver forskellige adgangsniveauer og bør ikke bruges i flæng.

Hvad er digitale spor?

Digitale spor er informationsstykker, der oprettes eller ændres ved hjælp af en enhed, applikation eller et IT-system. Mange af disse spor oprettes ikke bevidst af brugeren. Operativsystemer og applikationer genererer løbende tekniske oplysninger i baggrunden.

Dette kan omfatte filtidsstempler, logfiler, databaseposter, browseroplysninger, forbindelsesdata, app-artefakter, enhedsoplysninger, logindata, Wi-Fi-oplysninger eller indikationer af tilsluttede USB-enheder. Hvilke spor der rent faktisk er til stede, afhænger i høj grad af det specifikke system og dets konfiguration.

Derfor er et vigtigt princip: Fraværet af en bestemt artefakt beviser ikke automatisk, at en handling ikke har fundet sted. Ligeledes beviser tilstedeværelsen af ​​en artefakt ikke, uden yderligere undersøgelse, alle tænkelige ledsagende omstændigheder ved en handling.

Hvad er betydningen af ​​tidsstempler?

Tidsstempler er blandt de vigtigste, men også mest fejlbehæftede, informationskilder inden for digital retsmedicin. Filer, operativsystemer, databaser og applikationer kan gemme forskellige tidsstempler. Disse omfatter f.eks. oprettelses-, ændrings-, adgangs- eller interne begivenhedstidspunkter.

Disse værdier skal fortolkes inden for rammerne af det respektive system. Tidszoner, sommertid, synkroniseringsmekanismer, kopieringsprocesser, softwareadfærd eller bevidst manipulation kan alle påvirke tidsaflæsninger. Derfor bør en isoleret tidsaflæsning ikke betragtes som et uigendriveligt bevis på en specifik brugerhandling uden yderligere verifikation.

Når man opretter en tidslinje for en begivenhed, bør flere datakilder sammenlignes, når det er muligt. Jo bedre de forskellige uafhængige artefakter er justeret kronologisk, desto mere pålidelig kan rekonstruktionen være.

Kan slettede data gendannes?

Teknisk set betyder "slettet" ikke altid, at de originale data øjeblikkeligt og fuldstændigt fjernes fra lagringsmediet. Med nogle filsystemer fjernes kun filtilknytningen i første omgang, og det tilsvarende lagringsområde frigøres til genbrug.

Om data stadig kan gendannes bagefter, afhænger af adskillige faktorer. Afgørende blandt disse er lagringstype, filsystem, kryptering, tidspunkt for sletning, efterfølgende brug af enheden og mulige overskrivningsprocesser.

Med moderne SSD'er og flash-lagringsenheder kan mekanismer som TRIM og garbage collection ændre situationen betydeligt. Nuværende smartphones anvender også omfattende hardware- og softwarebaseret kryptering. Derfor ville den generelle påstand om, at slettede data altid kan gendannes, være teknisk set forkert.

Hvilken rolle spiller kryptering?

Kryptering er en af ​​de centrale udfordringer inden for moderne digital retsmedicin. Nuværende smartphones, computere og cloudtjenester anvender ofte stærke kryptografiske beskyttelsesmekanismer. Uden de nødvendige adgangsoplysninger eller teknisk egnet adgang kan data være utilgængelige eller kun delvist tilgængelige til undersøgelse.

Vurderingen kræver også, at man skelner mellem forskellige systemtilstande. En kørende og allerede ulåst enhed kan under visse omstændigheder tilbyde andre adgangsmuligheder end en slukket eller låst enhed. De specifikke tilgængelige muligheder afhænger af hardware, operativsystemversion, sikkerhedsstatus og andre tekniske faktorer.

Digital retsmedicin på smartphones

Mobil retsmedicin er et særskilt underfelt inden for digital retsmedicin. Smartphones indeholder en særlig høj tæthed af personlige og kommunikationsrelaterede data. Afhængigt af enheden og udtrækningsmetoden kan kontakter, opkaldsdata, beskeder, fotos, videoer, appdata, browseroplysninger og andre systemartefakter være tilgængelige for undersøgelse.

Den teknologiske udvikling på dette område går meget hurtigt. Producenter ændrer konstant sikkerhedsarkitekturer, krypteringsmetoder og operativsystemer. Derfor skal det undersøges, hvilke data der kan hentes fra en specifik smartphone, baseret på den konkrete model, operativsystemversionen og enhedens tilstand.

Digital retsmedicin til computere og bærbare computere

For Windows-pc'er og Mac-computere er fokus ofte på filsystemer, brugeraktivitet, eksterne lagringsmedier, browserdata, e-mails, programmer og systemlogfiler. I virksomhedssammenhænge kan det for eksempel undersøges, om specifikke filer er blevet åbnet, ændret, slettet eller overført til eksterne lagringsenheder.

Også her er det vigtigt at overveje individuelle artefakter i deres tekniske kontekst. For eksempel beviser eksistensen af ​​en fil på et system ikke automatisk, hvilken bruger der bevidst har placeret den der. En grundig evaluering overvejer derfor så mange spor og alternative forklaringer som muligt.

Digital retsmedicin i tilfælde af mistanke om datatyveri

En typisk årsag til en undersøgelse i virksomheder er mistanke om, at nuværende eller tidligere medarbejdere har kopieret eller videregivet fortrolige data. Sådanne spørgsmål kan især opstå i forbindelse med afskedigelser, jobskifter eller virksomhedstvister.

Afhængigt af systemet kan beviser for tilsluttede USB-lagerenheder, eksterne harddiske, cloudtjenester, e-mailaktivitet, filadgang eller kopieringshandlinger undersøges. Om dette rent faktisk beviser et databrud afhænger af de tilgængelige beviser.

Især i sådanne tilfælde er det tilrådeligt at sikre bevismateriale tidligt. Fortsat brug af en computer kan ændre eller overskrive relevante systemoplysninger.

Digital retsmedicin efter et cyberangreb

Efter en IT-sikkerhedshændelse kan digital retsmedicin bruges til at undersøge forløbet af et angreb. Mulige spørgsmål omfatter den oprindelige adgangssti, kompromitterede brugerkonti, malware, systemændringer eller potentielle datalækager.

Dette kan involvere analyse af hændelseslogfiler, netværks- og firewalldata, e-mailoplysninger, filsystemartefakter og andre tekniske kilder. I komplekse hændelser overlapper digital retsmedicin og hændelsesrespons hinanden. Mens den umiddelbare reaktion på en igangværende sikkerhedshændelse primært fokuserer på inddæmning og genoprettelse af operationer, koncentrerer retsmedicinske undersøgelser sig mere om at sikre, rekonstruere og teknisk evaluere beviserne.

Hvad er betydningen af ​​retsmedicinske værktøjer?

Professionel digital retsmedicin bruger specialiseret hardware og software til databackup, udtrækning, behandling og analyse. Forskellige værktøjer kan være nødvendige afhængigt af opgaven. Intet enkelt program dækker alle enheder, operativsystemer, filsystemer og retsmedicinske problemstillinger lige godt.

Værktøjer kan udtrække data og automatisk fortolke artefakter. Det professionelle ansvar for evalueringen forbliver dog hos undersøgeren. Særligt relevante fund bør valideres, om nødvendigt, ved hjælp af deres oprindelige datakilde eller en uafhængig metode.

Hvad adskiller digital retsmedicin fra en normal IT-analyse?

I en typisk IT-analyse er fokus ofte på fejlfinding. Målet er at få et system op at køre igen så hurtigt som muligt. Dette kan involvere ændring af konfigurationer, installation af programmer, flytning af filer eller genstart af systemer.

I en retsmedicinsk undersøgelse kan netop sådanne ændringer være problematiske, fordi de påvirker eksisterende beviser. Derfor er det primære fokus på kontrolleret bevaring og dokumentation af den oprindelige tilstand. Analysen bør udføres på en passende sikkerhedskopi eller arbejdskopi, hvor det er teknisk muligt.

Det betyder ikke, at der slet ikke må ske ændringer under en retsmedicinsk undersøgelse. Især med mobile enheder eller live-systemer kan adgang forårsage teknisk inducerede ændringer. Den afgørende faktor er en metodisk kontrolleret og dokumenteret tilgang til håndtering af sådanne ændringer.

Hvornår kan digital retsmedicin være nyttig?

En retsmedicinsk undersøgelse kan overvejes, når en sag skal objektivt verificeres eller rekonstrueres ved hjælp af digitale data. Dette gælder for virksomheder og advokater såvel som privatpersoner og andre klienter.

• Mistanke om datatyveri eller datalækage
• Uautoriseret kopiering eller sletning af virksomhedsdata
• Mistanke om uautoriseret adgang til brugerkonti eller enheder
• Undersøgelse af smartphones og computere
• Rekonstruktion af digital kommunikation
• Undersøgelse af e-mails og messenger-data
• Analyse af IT-sikkerhedshændelser
• Søg efter teknisk tilgængelige slettede data
• Rekonstruktion af brugeraktiviteter
• Sikring af digitale data i forbindelse med juridiske tvister

Hvad er grænserne for digital retsmedicin?

Digital retsmedicin kan kun arbejde med spor, der eksisterer, er tilgængelige og kan fortolkes teknisk. Den kan ikke rekonstruere data, der ikke længere er til stede. Ligeledes kan en teknisk undersøgelse ikke automatisk bevise menneskelig hensigt.

For eksempel kan en fil påviseligt være blevet overført til et lagringsmedium. Dette betyder ikke automatisk, hvem der bevidst har startet processen, eller hvad deres motivation var. Sådanne yderligere konklusioner kræver yderligere beviser eller en vurdering ud over rent tekniske fund.

Moderne kryptering, beskadigede lagringsmedier, manglende adgangsdata, overskrevne data og begrænset logføring kan også begrænse efterforskningen. Velrenommeret digital retsmedicin angiver eksplicit disse begrænsninger i stedet for at foregive manglende bevissikkerhed.

Hvorfor er beviskæden vigtig?

Den såkaldte chain of custody dokumenterer håndteringen af ​​digitalt bevismateriale. Dette kan omfatte hvornår og af hvem en enhed blev overtaget, hvordan den blev mærket og opbevaret, hvornår der blev foretaget en sikkerhedskopi, og på hvilket grundlag det efterfølgende arbejde blev udført.

En sporbar beviskæde gør det lettere senere at verificere, om de undersøgte data kan henføres til det oprindeligt erhvervede bevismateriale, og hvordan det blev håndteret under efterforskningen.

Hvad er betydningen af ​​en retsmedicinsk rapport?

En teknisk undersøgelse og en retsmedicinsk rapport er ikke det samme. En undersøgelse genererer først fund og analytiske data. En rapport evaluerer disse resultater i forhold til et specifikt spørgsmål og forklarer på en forståelig måde, hvilke konklusioner der kan drages ud fra de undersøgte data.

En god ekspertrapport bør ikke kun angive resultatet. Den bør tydeligt vise, hvilke data der blev undersøgt, hvilke metoder der blev anvendt, hvilke tekniske spor resultaterne er baseret på, og hvilke begrænsninger der findes. Især i komplekse sager er det vigtigt at skelne mellem resultater og evaluering.

Hvad skal man overveje i forbindelse med potentiel digital bevisførelse?

Hvis der er mistanke om, at en smartphone, computer eller lagringsenhed senere skal undersøges retsmedicinsk, bør enheden ikke anvendes unødvendigt. Yderligere brug kan generere nye data, ændre logfiler og overskrive frigivne lagringsområder.

Forsøg på at slette data uafhængigt, installation af påståede analyse- eller gendannelsesprogrammer og ukontrollerede ændringer af systemet kan yderligere komplicere efterfølgende undersøgelser. Derfor er det afgørende tidligt at fastslå, hvordan det pågældende system kan sikres korrekt, når man har med vigtige beviser at gøre.

Ofte stillede spørgsmål om digital retsmedicin

Kan digital retsmedicin synliggøre slettede data?

Ja, under visse tekniske forhold. Om gendannelse er mulig afhænger af faktorer som lagringsmedie, filsystem, kryptering, overskrivning og yderligere brug af enheden. Derfor kan gendannelse aldrig garanteres generelt.

Er det muligt at afgøre, om filer er blevet kopieret?

I visse situationer kan tekniske spor give spor til kopieringsoperationer eller brugen af ​​eksterne lagringsmedier. Om en specifik kopieringsoperation kan bevises endeligt, afhænger af de eksisterende artefakter og de involverede systemer.

Kan en slettet WhatsApp-chat gendannes?

Dette afhænger af faktorer som smartphone, operativsystem, sletningstid, eksisterende sikkerhedskopier, fortsat brug og tilgængelige udtrækningsmetoder. Moderne krypterede smartphones har betydelige tekniske begrænsninger. Derfor ville en generel garanti være uansvarlig.

Kan en smartphone aflæses fuldstændigt?

Ikke nødvendigvis. Mængden af ​​tilgængelige data afhænger af model, operativsystemversion, sikkerhedsstatus, kryptering, adgangsmuligheder og den anvendte udtrækningsmetode. Forskellige udtrækningsmetoder kan give betydeligt forskellige mængder data.

Ændrer en retsmedicinsk undersøgelse enheden?

Med traditionelle lagringsmedier kan sikkerhedskopier skrivebeskyttes under passende forhold. Med smartphones og kørende systemer kan teknisk forårsagede ændringer dog ikke altid helt udelukkes. Disse bør minimeres og dokumenteres.

Betragtes et skærmbillede som digitalt bevis?

Et skærmbillede kan være relevant for en situation, men i sig selv har det begrænset teknisk betydning. Det viser primært en visuel repræsentation. Ved spørgsmål om oprindelse, fuldstændighed, ægthed eller kontekst kan de originale data og yderligere tekniske oplysninger være betydeligt mere informative.

Hvor lang tid tager en digital retsmedicinsk undersøgelse?

Dette kan ikke fastslås generelt. Datamængde, antal enheder, kryptering, databærernes tilstand, spørgsmålets kompleksitet og omfanget af den nødvendige analyse påvirker den nødvendige tid betydeligt.

Kan digital retsmedicin bevise, hvem der udførte en handling?

Digitale spor kan under visse betingelser knyttes til et bruger-ID, en enhed, en konto eller en specifik transaktion. Det er dog ikke altid muligt endeligt at afgøre, hvilken fysisk person der rent faktisk har udført en handling, udelukkende baseret på tekniske data.

Digital retsmedicin som en verificerbar teknisk undersøgelse

Værdien af ​​digital retsmedicin ligger ikke i de størst mulige datasæt eller i den blotte brug af kraftfuld software. Det afgørende er, om metodisk verificerbare fund kan udledes af digitale spor.

En professionel undersøgelse begynder derfor med indsamling og sikring af bevismaterialet. Den tager højde for de tekniske karakteristika ved det system, der undersøges, dokumenterer undersøgelsesprocessen og skelner mellem fund og fortolkninger. Hvor dataene ikke giver mulighed for en klar konklusion, skal denne begrænsning også angives.

Forstået på denne måde er digital retsmedicin den strukturerede tekniske rekonstruktion af digitale fakta baseret på faktisk eksisterende og verificerbare data.