Forensische Informatik

Transkript

1 Forensische Informatik Vorlesung im Frühjahrssemester 2010 Universität Mannheim Teil 8: Rechtliche Rahmenbedingungen Prof. Dr. Felix Freiling Universität Mannheim Lehrstuhl für Praktische Informatik 1 Name und Datumwww.uni-mannheim.de Seite 1

2 Motivation In welchen rechtlichen Kontext wird digitale Forensik betrieben? Quellen: Geschonneck, Kapitel 10 Schumann, Dornseif, Schulungsunterlagen Bundespolizei 2006 Bär: Handbuch zur EDV-Beweissicherung im Strafverfahren, Boorberg, 2007 Vorlesung Forensische Informatik, Frühjahrssemester 2010, Universität Mannheim, Seite 2

3 Übersicht: Themen der Vorlesung 1. Motivation und Überblick 2. Forensik und digitale Spuren 3. Forensische Prinzipien und Beweise 4. Vorgehensmodelle: Incident Response vs. Computerforensik 5. Dateisystemanalyse 6. Internet-Forensik und Live Response 7. Computerforensische Werkzeuge 8. Rechtliche Rahmenbedingungen 9. Zusammenfassung Vorlesung Forensische Informatik, Frühjahrssemester 2010, Universität Mannheim, Seite 3

4 Übersicht Einbeziehung der Behörden bei privaten Ermittlungen Rechtliche Grundlagen von Durchsuchung und Beschlagnahme Vorlesung Forensische Informatik, Frühjahrssemester 2010, Universität Mannheim, Seite 4

5 Incident Response Was machen, wenn der Ernstfall eintritt? Wichtige Fragen vorab klären: Pre-Incident Preparation Phase (siehe Vorgehensmodelle) Wer darf/muss im Schadensfall welche Aktionen durchführen? Netzanbindung trennen? Strafanzeige stellen? Entscheidungsträger informieren? Wer koordiniert die zu treffenden Maßnahmen? Wie weiter vorgehen? Täter zur Rechenschaft ziehen Ggf. auch Schadenersatz verlangen Vorlesung Forensische Informatik, Frühjahrssemester 2010, Universität Mannheim, Seite 5

6 Wann beginnt ein Ermittlungsverfahren? Typischerweise durch eine Strafanzeige Formlos bei der Polizei stellen Nur in Ausnahmefällen von Amts wegen Beispiel: Sehr viele unabhängige Rechner sind betroffen Zivilrechtliches Verfahren zielt auf Schadenersatz Strafrechliches Verfahren zielt auf Bestrafung des Täters Beides kann parallel betrieben werden Polizei hat mittlerweile in jedem Bundesland Fachkommissariate für Computerkriminalität eingerichtet Vorlesung Forensische Informatik, Frühjahrssemester 2010, Universität Mannheim, Seite 6

7 Tatortprinzip Es sind jeweils die am Tatort ansässigen örtlichen Behörden zuständig Tatort ist wo der Täter handelt Wo ist der Tatort beim Web-Defacement? Zunächst wird ein Hilfstatort festgelegt Hilfstatort ist dort, wo der Schaden eintritt Man kann hier in Zuständigkeitsfallen tappen Vorlesung Forensische Informatik, Frühjahrssemester 2010, Universität Mannheim, Seite 7

8 Strafrechtliches oder Zivilrechtliches Vorgehen? Für zivilrechtliches Verfahren muss der Verursacher bekannt sein Zunächst müssen die Strafverfolgungsbehörden also die Identität des Täters ermitteln Im Strafrecht gibt es höhere Anforderungen an Beweise Tat muss sicher nachgewiesen werden Im Strafrecht gibt es aber auch bessere Ermittlungsmöglichkeiten Gerichtsbeschlüsse nach der Strafprozessordnung Wenn die Entscheidung für eine Verfolgung des Täters gefallen ist... so schnell wie möglich ein Ermittlungsverfahren einleiten später entscheiden über zivilrechtliches Vorgehen Vorlesung Forensische Informatik, Frühjahrssemester 2010, Universität Mannheim, Seite 8

9 Häufig im Firmenumfeld: Private Ermittlungen Zunächst private Ermittlungen, ggf. durch Firmenpolizei Spätere Entscheidung, ob die Behörden hinzugezogen werden Motivation: Angst vor schlechter Öffentlichkeit Bei privaten Ermittlungen: Unbürokratischeres Vorgehen (z.b. kein Rechtshilfeersuchen) Aber auch keine Zwangsmaßnahmen möglich Prinzipiell kann alles, was während einer privaten Ermittlung gesammelt wurde, später vor Gericht wertvoll sein Vorlesung Forensische Informatik, Frühjahrssemester 2010, Universität Mannheim, Seite 9

10 Übersicht Einbeziehung der Behörden bei privaten Ermittlungen Rechtliche Grundlagen von Durchsuchung und Beschlagnahme Vorlesung Forensische Informatik, Frühjahrssemester 2010, Universität Mannheim, Seite 10

11 Strafprozessordnung (StPO) Vorschriften für die Durchführung eines Strafverfahrens Online: Vorlesung Forensische Informatik, Frühjahrssemester 2010, Universität Mannheim, Seite 11

12 102 StPO Durchsuchung Bei dem, welcher als Täter oder Teilnehmer einer Straftat oder der Begünstigung, Strafvereitelung oder Hehlerei verdächtig ist, kann eine Durchsuchung der Wohnung und anderer Räume sowie seiner Person und der ihm gehörenden Sachen sowohl zum Zweck seiner Ergreifung als auch dann vorgenommen werden, wenn zu vermuten ist, daß die Durchsuchung zur Auffindung von Beweismitteln führen werde. Grundsätzlich offenes Vorgehen der Behörden: 105ff enthalten Schutzbestimmungen Z.B. hat der Beschuldigte das Recht, der Durchsuchung beizuwohnen Vorlesung Forensische Informatik, Frühjahrssemester 2010, Universität Mannheim, Seite 12

13 105 StPO Anordnung der Durchsuchung (1) Durchsuchungen dürfen nur durch den Richter, bei Gefahr im Verzug auch durch die Staatsanwaltschaft und ihre Ermittlungspersonen [...] angeordnet werden. [...] Durchsuchungsbeschluss muss enthalten Bezeichnung der Straftat Zweck, Ziel, Ausmaß der Durchsuchung Zumindest beispielhafte Angaben über die Form der gesuchten Beweismittel Kontrollierter Eingriff in Artikel 13 GG (Unverletzlichkeit der Wohnung) Vorlesung Forensische Informatik, Frühjahrssemester 2010, Universität Mannheim, Seite 13

14 Beschlagnahme 94 StPO: (1) Gegenstände, die als Beweismittel für die Untersuchung von Bedeutung sein können, sind in Verwahrung zu nehmen oder in anderer Weise sicherzustellen. (2) Befinden sich die Gegenstände in dem Gewahrsam einer Person und werden sie nicht freiwillig herausgegeben, so bedarf es der Beschlagnahme. Beschlagnahme erfordert eine richterliche Anordnung Bei Gefahr im Verzug kann das aber auch ein Staatsanwalt oder eine andere Ermittlungsperson ( 98 StPO) In Redaktionsräumen, Rundfunkanstalten, Druckereien darf es nur der Richter Gegenstand muss beweisgeeignet sein ( 94 StPO) Vorlesung Forensische Informatik, Frühjahrssemester 2010, Universität Mannheim, Seite 14

15 Verhältnismäßigkeit Sowohl Durchsuchung als auch Beschlagnahme müssen verhältnismäßig sein Ist die Maßnahme geeignet, den Zweck zu erfüllen? Ist sie notwendig, also das mildeste Mittel? Steht die Maßnahme in einem angemessenen Verhältnis zum Zweck? Frage bei der Durchsuchung etwa: Kann nicht eine Anfrage beim ISP das gleiche Ergebnis bringen? Frage bei der Beschlagnahme: Soll die gesamte Computeranlage mitgenommen werden? Oder nur die Datenträger (Festplatten etc.)? Oder sollen nur Kopien aller Datenträger angefertigt werden? Oder sollen nur Kopien bestimmter Daten angefertigt werden? Vorlesung Forensische Informatik, Frühjahrssemester 2010, Universität Mannheim, Seite 15

16 Weitere Probleme Wie tief darf ein Ermittler in die Materie eindringen? Durchsicht von Akten? Klar. Benutzung von EDV-Anlagen? Teilweise erlaubt. Die Gewinnung der Beweise muss Vorrang haben Nicht als reines technisches Hilfsmittel (z.b. zur Datenübertragung) verwenden Wo hören die Räumlichkeiten auf? Vernetzung mit zentralem Server an anderem Ort WLAN Muss im Durchsuchungsbeschluss fixiert sein Unterbinden der Arbeit am Computer Gerade einem EDV-Freak sollte es nicht gestattet sein, schnell noch Daten abzusichern. Vorlesung Forensische Informatik, Frühjahrssemester 2010, Universität Mannheim, Seite 16

17 WLAN-Scanner Passive WLAN-Scanner zur Aufklärung der Art und Anzahl von Computeranlagen sind (der aktuellen Rechtsprechung nach) kein Eingriff in Art 13 GG Durch Betreiben des WLAN hat der Besitzer sich selbst dafür entschieden, die Daten preiszugeben Auch bei verschlüsseltem WLAN? Mitschneiden von Kommunikation ist aber verboten Vorlesung Forensische Informatik, Frühjahrssemester 2010, Universität Mannheim, Seite 17

18 Zusammenfassung Einbeziehung der Behörden bei privaten Ermittlungen Rechtliche Grundlagen von Durchsuchung und Beschlagnahme Weiterführende Fragen: Organisation von großen Durchsuchungen im IT-Umfeld (Netzwerkerkundung, Triage-Software) Umgang mit Massendaten Umsetzung des Verhältnismäßigkeitsgrundsatzes bei Durchsuchungen Hier gibt es noch viele interessante Fragen... Vorlesung Forensische Informatik, Frühjahrssemester 2010, Universität Mannheim, Seite 18

19 Communications of the ACM, 48(8), 2006 Ausblick Zusammenfassung und Ausblick Fragen? Name und Datumwww.uni-mannheim.de Seite 19