Chain of custody i civile sager

Chain of custody, på dansk kæde af ansvar eller beviskæde, er dokumentationen af, hvor et digitalt bevis kommer fra, hvem der har haft det, og hvad der er sket med det, fra det blev sikret, til det bliver fremlagt. I civile sager bliver det ofte først aktuelt, når modparten bestrider, at et dokument, en mail eller en besked er ægte eller uændret. Så er det for sent at rekonstruere kæden.

Siden her handler om, hvad advokaten skal kræve dokumenteret, når digitale beviser sikres og håndteres af en IT-sagkyndig, en klient eller en IT-leverandør. Hvordan advokatkontoret selv håndterer materialet, er beskrevet i Advokatkontorets håndtering af digitalt bevismateriale.

Hvorfor kæden betyder noget i en civil sag

Retten bedømmer beviserne frit. Der er ingen regel om, at et digitalt bevis uden dokumenteret kæde er uden værdi. Men når modparten rejser tvivl, er det dokumentationen, der gør forskellen. Kan det vises, at en fil er den samme som den, der blev sikret på klientens server på en bestemt dato, er der ikke meget at diskutere. Kan det ikke, bliver ægtheden et tema i sig selv, og den diskussion kan tage både tid og opmærksomhed fra sagens egentlige spørgsmål. → Indsigelse mod et digitalt bevis’ ægthed

Hvad advokaten skal kræve dokumenteret

En dækkende beviskæde for et digitalt bevis indeholder som minimum:

1. Kilden. Hvilken enhed eller konto stammer materialet fra? For en computer eller telefon: model, serienummer eller anden identifikation og ejerforhold. For en cloudkonto eller et mailsystem: kontonavn, tjeneste og hvem der administrerer den.

2. Sikringen. Hvem sikrede materialet, hvornår og hvor? Hvilken metode og hvilke værktøjer blev brugt, og i hvilke versioner? Var enheden tændt eller slukket, og blev der gjort noget, der kunne ændre data, fx en oplåsning eller et login?

3. Hashværdier. Hvilke hashværdier blev beregnet ved sikringen, med hvilken algoritme, og af hvad: hele kopien, enkeltfiler eller begge dele?

4. Opbevaringen. Hvor ligger originalen og kopien, hvordan er de beskyttet, og hvem har adgang?

5. Hver overdragelse. Hvem gav materialet til hvem, hvornår, på hvilket medie eller via hvilken tjeneste, og blev hashværdien kontrolleret ved modtagelsen?

6. Hver behandling. Hvilke analyser, udtræk og konverteringer er lavet, og på hvilken kopi? Analyse bør ske på en arbejdskopi, så den sikrede kopi forbliver uberørt.

7. Afslutningen. Hvad er der sket med materialet efter sagen: tilbagelevering, fortsat opbevaring eller sletning? → Sletning og tilbagelevering af data efter forlig eller dom

Dokumentationen bør laves løbende, mens tingene sker, ikke bagefter ud fra hukommelsen.

Hashværdier: hvad de viser, og hvad de ikke viser

En hashværdi er et digitalt fingeraftryk af data. Beregnes den samme algoritme på de samme data, giver det samme værdi. Ændres blot ét tegn, ændres værdien. Det gør hashværdier til det centrale værktøj i en digital beviskæde: Er værdien den samme ved sikringen og ved fremlæggelsen, er materialet ikke ændret undervejs.

Der er tre forhold, advokaten bør kende:

• Hashværdien viser uændrethed, ikke ægthed. Den viser, at materialet er det samme som ved sikringen. Den siger ikke noget om, hvorvidt indholdet var ægte, da det blev sikret.
• Hashværdien skal være beregnet tidligt. En værdi, der først beregnes, når materialet fremlægges, dokumenterer kun perioden fra da af.
• Algoritmen skal være angivet. Der findes flere algoritmer, fx MD5, SHA-1 og SHA-256. Ældre algoritmer betragtes i dag som svagere. I praksis beregner mange sagkyndige flere værdier samtidig. Erklæringen bør angive, hvilke der er brugt.

Hashværdier kan også bruges til at aftale præcist, hvilke filer der er tale om, fx når filer skal deles med modparten eller slettes efter et forlig. → Deling af store datamængder

Overdragelser er der, hvor kæden brister

Det enkelte led i kæden er sjældent problemet. Det er overgangene. Hver gang materialet skifter hænder, skal det kunne dokumenteres, at det er det samme, der modtages, som det, der blev afleveret. Typiske overdragelser i en civil sag er:

• fra klienten eller klientens IT-leverandør til advokaten
• fra advokaten til den IT-sagkyndige
• fra den IT-sagkyndige til skønsmanden eller modpartens sagkyndige
• fra en tredjemand, fx en platform eller en udbyder, efter en editionsbegæring

Ved hver overdragelse bør der foreligge en kvittering eller en note med dato, afsender, modtager, medie eller tjeneste og hashværdi. Ved fysiske medier også mediets serienummer.

Typiske huller

Det er de samme huller, der går igen:

• Klienten har selv sikret. Skærmbilleder, videresendte mails eller filer kopieret til en USB-nøgle uden dokumentation af, hvordan og hvornår. → Klientens egne beviser
• IT-leverandøren har eksporteret. Leverandøren har trukket et udtræk, men ikke noteret metode, tidspunkt eller hashværdi. → Kan klientens IT-afdeling sikre beviserne?
• Mail som transportmiddel. Materialet er sendt videre som vedhæftninger, hvor metadata kan gå tabt eller ændres undervejs.
• Ingen kontrol ved modtagelsen. Hashværdien er beregnet ved sikringen, men aldrig kontrolleret igen.
• Arbejde i originalen. Nogen har åbnet, sorteret eller omdøbt filer i den sikrede kopi.
• Ukendt opbevaring. Materialet har ligget på et fælles netværksdrev eller en privat computer i en periode, ingen kan redegøre for.
• Ingen kopi af det fremlagte. Bilaget er lavet ud fra materialet, men det kan ikke vises, præcis hvilken fil det stammer fra. → Bilagsekstrakt med digitale beviser

Et hul betyder ikke, at materialet er ændret. Men det betyder, at det ikke kan udelukkes, og det giver modparten et argument.

Når hullet allerede er der

Er materialet allerede håndteret uden dokumentation, kan noget ofte reddes. Findes originalen stadig, fx på klientens computer eller i en mailkonto, kan den sikres korrekt nu og sammenholdes med det, der allerede er i sagen. Det, der er sket i mellemtiden, beskrives åbent. En åben redegørelse for et hul står stærkere end en kæde, der ser fuldstændig ud, men ikke kan forklares. → Advokaten som vidne: sporbarhed i bevisarbejdet

Modpartens beviskæde

De samme krav kan stilles til modpartens materiale. Fremlægger modparten digitale beviser uden oplysning om kilde, sikring og hashværdier, er det relevant at spørge til det, og eventuelt at opfordre modparten til at fremlægge dokumentationen. → Når modparten fremlægger skærmbilleder

Bistand fra Nielco IT

Nielco IT er John Nielsen, IT-sagkyndig med retssagserfaring, der arbejder for parter, advokater og domstole. Nielco IT kan sikre computere, telefoner og cloudkonti med dokumenteret beviskæde, gennemgå en eksisterende kæde for huller og vurdere modpartens dokumentation. Opgaver tages i civile sager, voldgift og udenretlige tvister.

→ IT-sagkyndig for advokater · Send en sag