Digital forensics i civile sager

Digital forensics, også kaldet IT forensic eller computer forensics, er en metode til at sikre og undersøge digitale data, så resultatet kan bruges som bevis. Metoden bruges i mange typer civile sager: når en fratrådt medarbejder formodes at have taget data, når der er tvivl om en mails ægthed, når et dokument påstås at være lavet på et andet tidspunkt, eller når en IT-leverance er i strid.

Denne side forklarer, hvad advokaten bestiller, og hvad der kommer ud af det. Den tekniske fremgangsmåde er ikke beskrevet her. De grundlæggende principper står på Metode.

Hvad en forensic undersøgelse er

En forensic undersøgelse består af to dele, der holdes adskilt:

1. Sikring. Data kopieres fra en computer, telefon, server eller cloudkonto på en måde, der ikke ændrer originalen, og som kan dokumenteres.
2. Analyse. Den sikrede kopi undersøges for at besvare konkrete spørgsmål: Hvad findes der, hvornår skete det, og hvad tyder på hvad?

Det særlige ved forensic arbejde er ikke værktøjerne, men dokumentationen. Hver handling skal kunne forklares og gentages af en anden sagkyndig. Det er det, der gør resultatet brugbart, også når modparten læser det.

Forensisk kopi og hashværdier

En forensisk kopi er en kopi af et helt lagermedie eller af udvalgte data, hvor også slettede, men ikke overskrevne data og systemets egne spor kommer med. En almindelig kopi af filer tager kun det synlige og ændrer ofte tidsstempler undervejs.

En hashværdi er en lang tegnstreng, der beregnes ud fra indholdet. Ændres blot ét tegn, ændres hashværdien. Ved at beregne hashværdien ved sikringen og igen senere kan det dokumenteres, at kopien ikke er ændret. Det er grundlaget for beviskæden: en sammenhængende beskrivelse af, hvem der har haft materialet, og hvad der er sket med det.

Flere begreber er forklaret i IT-ordbog for jurister.

Sikring og analyse er to bestillinger

Det er ofte en fordel at bestille sikringen, før det står klart, hvad der skal analyseres.

Sikring haster typisk. En medarbejder fratræder, en telefon skal returneres, en konto lukkes, eller logs slettes automatisk efter en fast periode. Sikringen bevarer muligheden for en senere analyse, men siger i sig selv ikke noget om sagen.

Analyse kan vente, til sagen er afklaret. Mange sager forliges, eller viser sig ikke at kræve en analyse. Andre gange bliver analysen en del af et syn og skøn. Det sikrede materiale ligger klar, uanset hvem der skal undersøge det.

Hvad der skal sikres først, er beskrevet i Beslutningstræ: hvad skal sikres?. Hvis det haster, se Når beviserne skal sikres nu.

Hvad advokaten bestiller

En god bestilling beskriver:

• Spørgsmålene. Hvad skal undersøgelsen kunne svare på? Fx: Er filer fra klientens server kopieret til et USB-drev i perioden op til fratrædelsen?
• Kilderne. Hvilke enheder og konti, og hvem ejer dem?
• Perioden og personerne. Afgrænsningen styrer både tidsforbrug og hensynet til privatliv.
• Retsgrundlaget for adgang. Har klienten ret til at lade enheden undersøge, er der samtykke, eller sker det efter en afgørelse? Det er advokatens vurdering.
• Formen på resultatet. Teknisk notat til advokaten, erklæring til fremlæggelse eller materiale til et senere skøn.

Opdraget bør være skriftligt. → Opdrag til en IT-sagkyndig og Skabelon: opdrag til IT-erklæring

Hvad advokaten får udleveret

Efter en sikring får advokaten typisk:

• en sikringsrapport med enhed, tidspunkt, metode og hashværdier
• en oversigt over beviskæden og opbevaringen
• en beskrivelse af det, der ikke kunne sikres, og hvorfor

Efter en analyse får advokaten typisk:

• en rapport eller IT-erklæring, der besvarer de stillede spørgsmål
• relevante fund som bilag, fx filer, logudtræk eller tidslinjer
• en tydelig adskillelse af konstaterede fakta og vurderinger

Selve kopien udleveres normalt ikke til advokaten, men opbevares hos den sagkyndige under kontrol. Den kan indeholde store mængder uvedkommende og fortrolige data. → Advokatkontorets håndtering af bevismateriale

Hvad man kan og ikke kan konkludere

En forensic undersøgelse kan ofte vise:

• at en fil har eksisteret på en enhed, og hvornår den blev oprettet, ændret eller åbnet
• at et USB-drev har været tilsluttet, eller at data er synkroniseret til en cloudtjeneste
• at beskeder eller mails er slettet, og nogle gange gendanne dem
• om tidsstempler og metadata hænger sammen eller er i modstrid

Den kan sjældent alene vise:

• hvem der sad ved tastaturet. Data viser en brugerkonto, ikke en person.
• hvorfor noget skete
• at noget ikke er sket. Fravær af spor kan skyldes sletning, overskrivning eller at sporet aldrig blev gemt.

En god rapport angiver, hvor sikker hver konklusion er, og hvilke alternative forklaringer der er overvejet. → Sådan læser du en IT-sagkyndig rapport

Privatliv og afgrænsning

Computere og telefoner indeholder næsten altid private oplysninger, også når enheden tilhører arbejdsgiveren. En forensic undersøgelse i en civil sag bør derfor afgrænses til det, sagen handler om, og den sagkyndige bør ikke gennemgå mere end nødvendigt. Ofte filtreres der på perioder, mapper, filtyper eller søgeord, før nogen ser indholdet.

Hvor grænsen går retligt, er advokatens vurdering. Fra IT-siden er det vigtigt, at afgrænsningen er besluttet før analysen og fremgår af rapporten. → Private data på arbejdsudstyr og GDPR og bevisførelse

Typiske fejl før den sagkyndige kommer ind

Mange sager svækkes, før en forensic undersøgelse overhovedet er bestilt. De hyppigste fejl er:

• Klientens egen IT-afdeling eller en kollega “kigger lige” på computeren og ændrer dermed tidsstempler og logs. → Kan klientens IT-afdeling sikre beviserne?
• En fratrådt medarbejders computer bliver nulstillet og givet videre til en ny medarbejder.
• En telefon bliver opdateret, nulstillet eller fjernslettet via virksomhedens mobiladministration.
• Der tages skærmbilleder i stedet for en egentlig sikring, så metadata og sammenhæng går tabt.
• Klienten videresender mails til advokaten som dokumentation, hvorved de oprindelige headeroplysninger ikke følger med.

Det første råd er derfor ofte det enkleste: Lad enheden være, som den er, og sluk den ikke, før det er afklaret, hvordan den skal sikres. → Sikring af en mobiltelefon i en civil sag

Når modparten har lavet en undersøgelse

Fremlægger modparten en forensic rapport, gælder de samme krav: Er metoden beskrevet, kan beviskæden følges, og er fakta adskilt fra vurdering? En uafhængig gennemgang kan vise, om konklusionerne holder. → Second opinion på en IT-erklæring

Store datamængder

Handler sagen om tusindvis af mails og dokumenter frem for spor på en enkelt enhed, er der tale om en anden type opgave. → eDiscovery i danske sager

Sådan kan Nielco IT bistå

Nielco IT kan sikre computere, telefoner og cloudkonti i civile sager og analysere materialet ud fra advokatens spørgsmål. John Nielsen er IT-sagkyndig med retssagserfaring, har mere end 30 års erfaring med IT-sikkerhed og arbejder for advokatkontorer i hele landet. Opgaver tages kun i civile sager, voldgift og udenretlige tvister.

→ IT-sagkyndig for advokater · Send en sag