Rafael Pfister

Consulting

E-postforensikk for straffeforfølgende myndigheter

I saker om bedrageri, utpressing, identitetsmisbruk eller datalekkasje er en e-post ofte det sentrale bevismiddelet. Om den er ekte, hvor den ble levert inn og hvilken vei den har tatt, kan dokumenteres ut fra headere, signaturer og serverlogger. Jeg bistår påtalemyndighet, politi og andre myndigheter med tekniske analyser og skriftlige rapporter som også er forståelige for personer uten teknisk bakgrunn.

Rådgivningen foregår på tysk eller engelsk.

  • E-postforensikk
  • Headeranalyse
  • DKIM-verifisering
  • Exchange og Microsoft 365
  • Straffesaker
  • Sakkyndige uttalelser

Tjenester

  • OpprinnelsesanalyseVurdere Received chain, innleverende IP-adresser, e-postservere og tidsstempler; skille tydelig mellom pålitelige og forfalskbare headerfelt.
  • EkthetskontrollVerifisere DKIM-signaturer i etterkant, sette SPF- og DMARC-resultater i sammenheng, avdekke manipulering av innhold eller headere.
  • Logg- og plattformanalyseMeldingssporing i Exchange, Message Trace og revisjonslogger fra Microsoft 365, gatewaylogger: rekonstruere levering, videresendinger og tilganger.
  • Kompromitterte kontoerFastslå om og siden når en postboks er overtatt, og hvilke meldinger angriperen har sendt, lest eller slettet.
  • Rapport og forklaringSkriftlig rapport med metode, funn og begrensninger i konklusjonene; forklaring overfor etterforskere og retten.

Metode og bevisverdi

Analysen gjøres på kopier av de sikrede dataene, aldri på originalene; hashverdier dokumenterer at kopiene er uendret. Til headeranalysen brukes verktøy som arbeider lokalt, slik at bevismaterialet ikke forlater det kontrollerte miljøet. Hvert steg dokumenteres slik at en annen sakkyndig kan gjenta det. Rapporten skiller mellom funn, tolkning og åpne spørsmål; det som ikke kan dokumenteres ut fra dataene, angis som det. Det er mulig med oppdrag som sakkyndig etter art. 182 flg. i den sveitsiske straffeprosessloven (StPO) og med teknisk bistand i pågående etterforskninger.

Slik foregår et oppdrag

  1. Oppdrag og problemstillingMyndigheten formulerer spørsmålene; omfang, frister og form for overlevering av data fastsettes.
  2. Overtakelse av dataKopier med hashverdier, dokumentert overlevering og sikker oppbevaring.
  3. AnalyseVurdere headere, signaturer og logger, dokumentere funnene med rådataene.
  4. RapportSvar på de stilte spørsmålene, metode og begrensninger i konklusjonene, ved behov muntlig forklaring.

Eksempler fra praksis