Strafprozesse machen heute nur einen kleineren Teil unserer Tätigkeit aus. Die dort zu untersuchenden technischen Beweisfragen überschneiden sich jedoch häufig mit Fragestellungen aus Zivilverfahren.
Nicht selten betrifft ein Strafprozess einen Sachverhalt, der zuvor bereits Gegenstand eines Zivilprozesses war. Eine dort streitige E-Mail, Datei, Buchung, Systemhandlung oder sonstige digitale Information kann beispielsweise im Strafprozess unter der Fragestellung untersucht werden, ob sie authentisch ist, verändert wurde oder einem bestimmten technischen Vorgang zugeordnet werden kann.
IT-forensische Untersuchungen
In Strafprozessen führen wir IT-forensische Untersuchungen an vorhandenen Datenträgern, forensischen Images und gesicherten Datenbeständen durch. Je nach Beweisfrage können insbesondere
- Dateien und gelöschte Daten,
- Erstellungs-, Änderungs- und Zugriffszeitpunkte,
- System-, Anwendungs-, Browser- und sonstige Protokolldaten sowie
- technische Spuren von Benutzer- und Systemhandlungen
untersucht und zeitlich miteinander korreliert werden.
Je nach vorhandener Spurenlage kann damit rekonstruiert werden, welche Handlungen wann, mit welchem System und unter welchem Benutzerkontext vorgenommen wurden.
Authentizität und Manipulation digitaler Beweismittel
Ein weiterer Bereich betrifft die Frage, ob digitale Dokumente, E-Mails, Bilder oder andere Dateien authentisch sind oder nachträglich verändert wurden.
Hierbei können Dateistrukturen, Metadaten, unterschiedliche Dateifassungen, vorhandene Originaldaten und weitere technische Spuren miteinander verglichen werden. Bei E-Mails können zusätzlich Header-, Server-, Provider- und Postfachdaten in die Untersuchung einbezogen werden.
Gelöschte und verschlüsselte Daten
Soweit dies mit den vorhandenen Daten und technischen Mitteln möglich ist, können gelöschte Dateien und frühere Dateizustände rekonstruiert werden.
In eingeschränktem Umfang sind auch Untersuchungen verschlüsselter Datenträger möglich. Wegen der stark vom jeweiligen Verschlüsselungsverfahren und dem vorhandenen Ausgangsmaterial abhängigen Erfolgsaussichten sollte eine solche Aufgabenstellung vor einer Beauftragung abgestimmt werden.
Grenzen unserer technischen Ausstattung
Nicht mehr angeboten werden Untersuchungen, für die dauerhaft vorzuhaltende spezialisierte Systeme oder eine besondere Auswertungsinfrastruktur erforderlich sind. Hierzu gehören insbesondere
- die Bereitstellung eigener Hardware-, Cloud- oder eDiscovery-Infrastrukturen zur Auswertung sehr großer Datenbestände,
- die Bereitstellung eigener umfangreicher Auswertungsplattformen sowie
- die spezialisierte Extraktion von Smartphones, iPhones, Tablets und vergleichbaren Mobilgeräten mittels hierfür erforderlicher Spezialhardware.
Bereits gesicherte Daten, Datenträgerabbilder, Backups und aus Mobilgeräten extrahierte Datenbestände können dagegen Gegenstand einer sachverständigen Untersuchung sein.