I en sag om foreløbigt forbud eller påbud er tiden den største begrænsning. Der er sjældent tid til en fuld forensisk undersøgelse. Men der er næsten altid tid til at sikre de vigtigste data korrekt og lave en kort, faktuel redegørelse for de første fund. Det er ofte nok til at sandsynliggøre krænkelsen, og det lægger grunden for den senere hovedsag.
De juridiske betingelser for forbud og påbud, herunder krav om sandsynliggørelse og sikkerhedsstillelse, er advokatens felt.
Hvad skal beviserne vise?
I en hastesag skal de digitale beviser typisk understøtte tre ting:
- At der er en krænkelse: fx kopiering af filer, kontakt til kunder eller salg af kopivarer.
- At den sker nu eller er nært forestående: aktiv konkurrerende virksomhed, igangværende markedsføring.
- At ventetid skader: data kan forsvinde, kunder kan gå tabt.
Vælg derfor de få datakilder, der bedst viser netop det. Skriv de tre punkter ned i én sætning hver, før den IT-sagkyndige går i gang. Så er det tydeligt, hvad der skal ledes efter, og hvad der kan vente til hovedsagen.
Gode og dårlige spørgsmål til den sagkyndige
En præcis opgave giver et brugbart svar på få dage. En bred opgave giver et foreløbigt svar på det hele og et klart svar på intet.
- Dårligt: “Undersøg, om medarbejderen har gjort noget forkert.”
- Bedre: “Er der i perioden 1.-15. marts kopieret filer fra mappen Kunder til eksterne medier eller cloudtjenester?”
- Dårligt: “Find beviser for, at modparten sælger kopier.”
- Bedre: “Sikr de annoncer på markedspladsen, der viser produkt X, med sælgeroplysninger, pris og tidspunkt for sikringen.”
Hvad kan nås på få dage?
- Arbejdscomputer · Realistisk på 1-3 dage: Forensisk kopi og første søgning efter USB og cloud-upload · Kræver typisk mere tid: Fuld tidslinje og gendannelse af slettede filer
- Mail i Microsoft 365 eller Google · Realistisk på 1-3 dage: Eksport af relevante postkasser og revisionslog · Kræver typisk mere tid: Gennemgang af store mængder
- Telefon · Realistisk på 1-3 dage: Logisk udtræk · Kræver typisk mere tid: Dybere udtræk og analyse
- Hjemmesider og sociale medier · Realistisk på 1-3 dage: Dokumenteret sikring af sider og opslag · Kræver typisk mere tid: Overvågning over tid
- Webshops og markedspladser · Realistisk på 1-3 dage: Sikring af annoncer, priser og sælgeroplysninger · Kræver typisk mere tid: Testkøb og sporing
→ Hvad koster det at vente? Data, der forsvinder dag for dag → Tidsfrister og hastesager: 24 timer, en uge, en måned
Rækkefølgen de første dage
Når tiden er knap, er rækkefølgen vigtigere end omfanget:
- Det, der kan forsvinde, først. Opslag, annoncer og hjemmesider kan ændres på minutter. Revisionslog i cloud har en udløbsdato. → Bevissikring af webshops og markedspladser
- Derefter udstyr og konti hos klienten. Computeren og postkassen forsvinder ikke af sig selv, hvis de er taget ud af brug og bevaret.
- Så en målrettet søgning. Kun i de data, der kan besvare de tre spørgsmål ovenfor.
- Til sidst redegørelsen. Den skrives ud fra fundene, ikke omvendt.
Sikr korrekt, selv når det går stærkt
Det er fristende at tage skærmbilleder og komme videre. Men skærmbilleder er lette at anfægte, og de viser ikke metadata. → Hvorfor skærmbilleder sjældent er nok
Selv i en hastesag bør sikringen have:
- forensisk kopi eller dokumenteret eksport,
- hashværdier, → Hashværdier forklaret
- notat om hvem, hvornår og hvordan,
- uberørte originaler.
Det koster få timer ekstra, og det betyder, at de samme data kan bruges i hovedsagen. En hurtig sikring, der ikke holder, skal ofte laves om senere. Det er ikke altid muligt, fordi data i mellemtiden er ændret eller væk.
Præsentér beviserne kort
Retten har ikke tid til en lang teknisk rapport i en hastesag. En kort redegørelse fungerer bedre:
- Hvad er sikret: enheder, konti og perioder
- Hvordan: metode og værktøj i én eller to sætninger
- Fund: konkrete hændelser med dato og tid
- Forbehold: hvad der endnu ikke er undersøgt
Hold fund og vurderinger adskilt. “Den 3. marts kl. 14.12 blev mappen Kunder kopieret til et USB-drev” er et fund. Hvad det betyder for sagen, er advokatens argument.
Hvad data kan og ikke kan vise
Det er vigtigt, at redegørelsen ikke lover mere, end data kan bære. Det gør den sårbar, hvis modparten får en sagkyndig til at gennemgå den.
- Data kan typisk vise, at en handling er sket på en enhed eller konto, og hvornår.
- Data viser sjældent alene, hvem der sad ved tastaturet. Det skal ofte understøttes af andre forhold, fx at medarbejderen var logget ind, og at ingen andre havde adgang.
- Data viser ikke, hvorfor noget skete. Hensigt er et spørgsmål for advokaten og retten.
- At en fil er kopieret, viser ikke i sig selv, at den er brugt. Brug skal typisk dokumenteres hos modparten eller i markedet.
Et eksempel: En USB-log viser, at et drev har været tilsluttet, og en anden artefakt viser, at en fil er åbnet fra drevet. Det er to fund. At filen er “taget med”, er en sammenfatning, som redegørelsen bør formulere forsigtigt. → Windows-artefakter: LNK, jump lists, shellbags og USB
Når beviserne ligger hos modparten
Ligger de afgørende data hos modparten, kan det være relevant at kombinere forbudssagen med fogedretlig bevissikring, hvis betingelserne er opfyldt. → Fogedretlig bevissikring: IT-sagkyndiges rolle
Set fra IT-siden er det en god idé at forberede begge spor på samme tid. Den sagkyndige kan på forhånd beskrive, hvilke enheder og konti der realistisk findes hos modparten, og hvordan de kan sikres, hvis retten giver adgang.
Fra hastesag til hovedsag
Den foreløbige sag er sjældent sidste stop. Planlæg derfor sikringen, så den kan genbruges:
- Bevar alle sikrede kopier og hashværdier, også dem, der ikke blev brugt i hastesagen.
- Notér de spørgsmål, der blev udskudt, og hvorfor.
- Lad den samme sagkyndige eller en senere skønsmand arbejde videre på de samme kopier. → Syn og skøn i IT-sager
Typiske faldgruber
- Klientens IT-leverandør har allerede geninstalleret computeren.
- Medarbejderens konto er slettet efter fratrædelse.
- Der er kun skærmbilleder, og ingen ved, hvornår de er taget.
- Redegørelsen blander fund og konklusioner.
- Sikringen dækker ikke de data, der skal bruges i hovedsagen.
- Klienten har selv gennemgået computeren, før den blev sikret, uden at notere det. → Kæde af ansvar
- Opgaven til den sagkyndige er så bred, at intet bliver færdigt i tide.
Tjekliste til de første dage
- ☐ De tre ting, beviserne skal vise, er formuleret
- ☐ De vigtigste datakilder er udvalgt
- ☐ Det, der kan forsvinde, er sikret først
- ☐ Udstyr er taget ud af brug, og konti er bevaret
- ☐ Sikring er dokumenteret med hashværdier
- ☐ Kort redegørelse for fund og forbehold er udarbejdet
- ☐ Redegørelsen holder fund og vurderinger adskilt
- ☐ Plan for den videre analyse til hovedsagen er lagt
→ Haster det? Sådan sikres beviserne nu · Tlf. 70 13 63 23 · Digital bevissikring for advokater hos Nielco IT
