Möglichkeiten und Grenzen der Digitalen Forensik

Möglichkeiten und Grenzen der
digitalen Forensik
Kriminalistisches Institut, Wintersemester 2015
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Jörg Arnold dipl. phys. ETHZ
Fachbereichsleiter Unfälle/Technik
Andreas Leu, Automobil-Ing. FH
Experte Unfallanalytik
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
Möglichkeiten und Grenzen der
digitalen Forensik
Kriminalistisches Institut, Wintersemester 2015
Zeit/Ort:
Referent:
Dienstag, 20. Januar 2015, Freitag, 23. Januar 2015,
Theatersaal, Universität Irchel
Steffen Görlich, MSc Computer Forensics, DC TEU-ICT
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
Möglichkeiten und Grenzen der
digitalen Forensik
Kriminalistisches Institut, Wintersemester 2015
Zeit/Ort:
Referent:
Dienstag, 20. Januar 2015, Freitag, 23. Januar 2015,
Theatersaal, Universität Irchel
STA lic.iur. St. Walder, STA II, Abt. D
© SW2015
 NFC - Near Field Communication
Möglichkeiten und Grenzen der Digitalen Forensik
Steffen Görlich
 NFC - Near Field Communication
►
App Banking Card Reader
Möglichkeiten und Grenzen der Digitalen Forensik
Steffen Görlich
Digitale Spuren   Aufzeichnungen
• Digitale Spuren in Fahrzeugen
• Aufzeichnungsgeräte (DFS, RAG, UDS, TEL1000,
Jupiter, …… VTS Art. 100 und Art. 102)
• Videoaufzeichnungen
(SatSpeed, Semista, Tunnels, Gebäude, DashCams,
z. B. 2014 Corvette C7, ……)
• EDR (EventDataRecorders) und CDR-Kit
• Seitenblick in die StPO
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
Kollisionsdaten
EDR
UDS/RAG/TEL1000
Crashrecorder
Personenwagen
Lastwagen
Fahrzeuge
Motorräder
Fz-Identifikation
VIN elektronisch
Steuergeräte
Schliesssysteme
Schlüssel-Daten
Transponder…
Navigationsgeräte
externe
interne
Schliessysteme
Brandmeldesysteme
Gebäudetechnik
Digitale Spuren
Steuerungen
PC's/Internet
Mobile
Kommunikation
Maschinensteuerungen
Krananlagen
CNC-Maschinen
Anlagensteuerungen
Server
Laptops
Computer
HDD's
Smartphones
Apps
GPS-Daten
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
Datenspeicherung in Fahrzeugen
• Digitale Spuren in Steuergeräten
– Daten des Steuergerätes (VIN-Nummer,
Seriennummer, Produktion etc. )
– Fehlercodes mit Umgebungsdaten
– Schlüssel und Schliessdaten
– Servicedaten
• Navigationsdaten
• etc., etc.
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
Steuergeräte / Spuren sichern
OBD II Schnittstelle
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
EDR-Daten in Pw's (NHTSA 49 CFR part 563)
• Ab 01.01.2013 USA/Kanada:
Alle neuen und neu importierten Fahrzeuge
(inkl. aus Asien und Europa), die über EDR
verfügen, müssen diesem Gesetz
entsprechen
• EDR: Event Data Recorder
Baustein im ACM (Airbag Control Module)
vorhanden  Kostet ca. 2 $
Enthält vorkollisionäre Daten aus dem Airbag
Modul nach einem "Crash" oder
einem „Beinahe-Crash“
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
CDR-Kit (BOSCH Crash Data Retrival
Kit)
Auslesen über OBDII Schnittstelle (intakte Fahrzeugelektrik)
Bei stark beschädigten Fahrzeugen kann das Steuergerät
direkt ausgelesen werden
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
Dashcams in Fahrzeugen
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
Spurensicherung ab dem Fahrzeug
• Nur gemeinsam mit dem Hersteller:
• Zeitfaktor: Man sollte sofort …….!!!
• Digitale Spuren in Steuergeräten
– Daten des Steuergerätes (VIN-Nummer,
Seriennummer, Produktion etc. )
– Fehlercodes mit Umgebungsdaten?
– Schlüssel und Schliessdaten?
– Servicedaten
• Navigationsdaten ???
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
Interpretation der Spuren
• Basiert auf den mit dem Hersteller zusammen
gesicherten digitalen Spuren!
• Digitale Spuren in Steuergeräten
– Daten des Steuergerätes: Verändert?
– Fehlercodes mit Umgebungsdaten: Kriterien?
– Schlüssel und Schliessdaten: Kriterien?
– Servicedaten: Verändert?
• Navigationsdaten ??? Zeitliche Zuordnung?
Nur geplant oder gefahren?
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
Aktuelle Situation / Fälle?
• Wie sehen die Bedürfnisse von Polizei und
Staatsanwaltschaft oder Gericht aus!
• Wer löst solche Fälle aktuell mit wem?
• Navigationsdaten ???
• Personelle Ressourcenplanung?
• Prozessuale Fragen: Sicherung
Durchsuchung
Auswertung …
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
Fallbeispiel: "Corvette Schwyz"
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
"Corvette Schwyz"
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
"Corvette Schwyz"
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
"Corvette Schwyz"
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
"Corvette Schwyz"
Verfügbare CDR Daten:
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
"Corvette Schwyz"
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
 JTAG - Navigationsgerät
►
Mobile Navigationsgeräte
►
Eingegebene Ziele
►
Gefahrene Routen | Triplogs
►
Datum und Uhrzeit
►
Keine Schnittstelle
Kein Massenspeicher
►
Möglichkeiten und Grenzen der Digitalen Forensik
Steffen Görlich
 JTAG - Navigationsgerät
Möglichkeiten und Grenzen der Digitalen Forensik
Steffen Görlich
 JTAG - Navigationsgerät
Möglichkeiten und Grenzen der Digitalen Forensik
Steffen Görlich
 JTAG - Navigationsgerät
Möglichkeiten und Grenzen der Digitalen Forensik
Steffen Görlich
 JTAG - Navigationsgerät
►
Daten nicht interpretierbar
►
proprietäres Datenformat
►
teilweise verschlüsselt
►
Unterstützung Hersteller
►
kostenlos
►
Rechtshilfeersuchen
Möglichkeiten und Grenzen der Digitalen Forensik
Steffen Görlich
 Digitale Spuren - Arten
Möglichkeiten und Grenzen der Digitalen Forensik
Steffen Görlich
 Digitale Spurenträger - Arten
Möglichkeiten und Grenzen der Digitalen Forensik
Steffen Görlich
 Digitale Datenträger - Arten
Möglichkeiten und Grenzen der Digitalen Forensik
Steffen Görlich
 Versteckte Datenträger
Möglichkeiten und Grenzen der Digitalen Forensik
Steffen Görlich
 Identifikation - Daten
Betreiber RZ
Kunde Housing
Kunde Colocation
RZ
Daten
Möglichkeiten und Grenzen der Digitalen Forensik
Steffen Görlich
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
DIGITALE SPUREN
Inhalt
Wer?
Wann?
Malware
• Speicherort beim Hersteller
• Verbreitung über Internet
• Einsatz mittels Botnet
• Command- und Control-Server
Wo?
Was?
Wie?
Warum?
Kommunikationsdaten (Mail/Messages/Voice)
• Inhaltsdaten und Randdaten
• Aufzeichnungen / Protokolle / Skripte
• Data in storage, Data in Traffic
• Datenspeicher / Cloud-Speicher
Geldfluss
• Währungsart (Konventionell oder Internetwährung)
• Kontodaten / Wallet-Data
• Kontoinhaber / Wallet-Owner
• Paper -Trail
© SW
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
DATA IN STORAGE / IN TRAFFIC?
Inhalt
Wer?
Wann?
Wo?
Computer /
Durchsuchung
im Sinne von Art. 246 StPO
Router (InternetSmartphone
Herausgabe
im Sinne von Art. 265 StPO Anschluss)
(Absender)
Zugangsprovider
Überwachung im Sinne von Art. 269 ff. StPO
(Absender)
Was?
Wie?
Warum?
Mailserver
(Absender / Empfänger)
Zugangsprovider
Überwachung im Sinne von Art. 269 ff. StPO
(Empfänger)
Router (Internet-
Computer /
Durchsuchung
im
Sinne
von
Art.
246
StPO
Anschluss)
Smartphone
Herausgabe im Sinne von Art. 265 StPO (Empfänger)
© SW
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
DATA IN STORAGE / IN TRAFFIC?
Inhalt
Wer?
Wann?
Wo?
Zugang vom Computer /
Smartphone mittels
Username/Password
• Briefkastenschlüssel?
Zugang über Mail-Server
beim Mail-Provider
• Überwachung
• WLAN-Ports 21d!
Was?
Wie?
Warum?
Mailserver
(Absender / Empfänger)
Rückwirkender Mailverkehr:
• Randdaten (RTI 6M)
• Inhaltsdaten?
© SW
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
DIGITALE SPUREN WORDLWIDE
Inhalt
Wer?
Wann?
Wo?
Was?
Art. 3 StGB: Territorialitätsprinzip
1 Diesem Gesetz ist unterworfen, wer in der Schweiz ein Verbrechen oder Vergehen
begeht.
Art. 299 StGB: Verletzung fremder Gebietshoheit
1. Wer die Gebietshoheit eines fremden Staates verletzt, insbesondere durch
unerlaubte Vornahme von Amtshandlungen auf dem fremden Staatsgebiete
Wie?
Warum?
© SW
36
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
„MLAT“ / NATIONAL
Inhalt
Wer?
Wann?
Wo?
Was?
Wie?
Warum?
Art. 3 StGB:
Territorialitätsprinzip
ISP:
Internet-ServiceBenutzer;
1 Diesem Gesetz ist unterworfen, wer in der Schweiz ein Verbrechen oder Vergehen
Provider CH
GES:
•begeht.
Sitz CH
• Anschluss CH
Art.
299 StGB:
Verletzung fremder Gebietshoheit
• Provider
gemäss
• Edition
• Auswertung
1.FMG/BÜPF
Wer die Gebietshoheit eines fremden Staates verletzt, insbesondere
durchHD
•unerlaubte
RTI, Echtzeit
etc.von Amtshandlungen auf dem fremden
• Profilübernahme
Vornahme
Staatsgebiete
• RTI ü 6 Monate:
• VF/VE
BGE 1B_481/2012 vs
• RTI/Echtzeit
BGE 1B_128/2013
© SW
37
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
MLAT / INT. / EU
Inhalt
Wer?
Wann?
Wo?
Was?
Wie?
Warum?
Cybercrime Convention ; Grundregel
Art.
3
StGB:
Territorialitätsprinzip
ISP: Internet-Service- Artikel 29 Umgehende Sicherung
Benutzer;
gespeicherter
1 Diesem Gesetz ist unterworfen, wer
Computerdaten
in der Schweiz ein VerbrechenCH;
oder Vergehen
Provider EU
1 Eine Vertragspartei kann GES
eine andere Vertragspartei
begeht.
• Preservation Requests um Anordnung oder anderweitige
• Art.Bewirkung
31 Abs.der1
umgehenden Sicherung von Daten ersuchen, die
Art.gemäss
299 StGB:
fremder
Gebietshoheit
Art.Verletzung
18 und 29,
Satz 2 StPO
mittels eines Computersystems gespeichert sind, das sich
Liegt nur der
Ort, an
direkt beimeines fremden
im Hoheitsgebiet
der anderen
Vertragspartei
befindet,
und
1. 32
WerCCC
die Gebietshoheit
Staates verletzt,
insbesondere
durch
dem der Erfolg
der
derentwegen die ersuchende Vertragspartei
beabsichtigt,
Provider,
unerlaubte
Vornahme von Amtshandlungen
auf
dem
fremden
Staatsgebiete
ein Rechtshilfeersuchen um Durchsuchung
oder
Straftat eingetreten
• Rechtshilfe (31 CCC)
ähnlichen Zugriff, Beschlagnahme
oder
ähnliche
in der
Schweiz,
Titel 2 – Rechtshilfe in Bezug aufist,
Ermittlungsbefugnisse
Sicherstellung oder Weiter-gabeso
dersind
Daten
zu stellen.
nach Staats-V/ IRSG
Art. 31 CCC Rechtshilfe beim Zugriff
aufdie
gespeicherte
(Bsp. D: Vertrag zwischen CH
und der D über die Ergänzung
des Europäischen
Übereinkommens über die
Rechtshilfe in Strafsachen vom
20. April 1959 und die
Erleichterung seiner
Anwendung: Direkter Verkehr)
Computerdaten
Behörden dieses
1 Eine Vertragspartei kann eineOrtes
andere
Vertragspartei
zuständig
um Durchsuchung oder ähnlichen Zugriff, um
Beschlagnahme oder ähnliche Sicherstellung und um
Weitergabe von Daten ersuchen, die mittels eines
Computersystems gespeichert sind, das sich im
Hoheitsgebiet der er-suchten Vertragspartei befindet,
einschließlich Daten, die nach Artikel 29 gesichert worden
sind.
© SW
38
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
MLAT / INT. / USA
Inhalt
Wer?
Wann?
Wo?
Was?
Wie?
Warum?
Art. 3 StGB: Territorialitätsprinzip
ISP, Enduser USA:
1 Diesem Gesetz ist unterworfen, wer in der Schweiz ein Verbrechen oder Vergehen
• Staatsvertrag mit den
begeht.
Vereinigten Staaten von
Art. 299 StGB: Verletzung fremder Gebietshoheit
Amerika über gegenseitige
Rechtshilfe
in Strafsachen
1. Wer die Gebietshoheit eines fremden Staates
verletzt, insbesondere
durch(BGSR 351.93
unerlaubte Vornahme von Amtshandlungen RVUS,
auf dem fremden
Staatsgebiete
• Bundesgesetz
zum Staatsvertrag mit den
Vereinigten Staaten von
ISP USA:
Amerika über gegenseitige
• Preservation Requests
Rechtshilfe in Strafsachen (SR
nach Art. 18 und 32 CCC
351.93)
Anfragen über Mail,
• Beweiserhebungen: Dauer 3LERS-Portale
18M
• Über Zentralstelle USA des BJ
© SW
39
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
PR / INT. / NON GOV. FRIENDLY
Inhalt
Wer?
Wann?
Wo?
Was?
Art. 3 StGB:
Territorialitätsprinzip
ISP:
Internet-Service1 Diesem Gesetz ist unterworfen, wer in der Schweiz ein Verbrechen oder Vergehen
Provider Non-EU,
begeht.
Non-US, non-CCC:
Art.
299 StGB: Verletzung fremder Gebietshoheit
• Rechtshilfeführer
1. Wer
die Gebietshoheit eines fremden Staates verletzt, insbesondere durch
admin.ch
unerlaubte Vornahme von Amtshandlungen auf dem fremden Staatsgebiete
Wie?
Warum?
© SW
40
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
PR / OFF-SHORE / CLOUD
Inhalt
Wer?
Wann?
Wo?
Was?
Wie?
Warum?
Art. 3 StGB: Territorialitätsprinzip
Dynamic
Off-Shore
Cloud-Speicher
1 Diesem Gesetz ist unterworfen, wer in der Schweiz ein Verbrechen oder Vergehen
Serverfarmen
• Kein „Serverstandort“
begeht.
• Keine Staatsverträge • Keine physisch isolierbaren
Art. 299 StGB: Verletzung fremder Gebietshoheit
• Keine
Rechner
1. Datenspeicherfristen
Wer die Gebietshoheit eines fremden
insbesondere
durch
• Staates
Keineverletzt,
Server
am allfälligen
unerlaubte Vornahme von Amtshandlungen auf dem fremden Staatsgebiete
• Keine
Firmensitz
Gegenseitigkeit nach • Keine Lokalisation der
IRSG
Daten(-Fragmente) möglich
© SW
41
 Apple iOS-Geräte - Fernlöschung
►
Spurenschutz!
►
Flug- | Offlinemodus aktivieren
►
Stromversorgung sicherstellen
Möglichkeiten und Grenzen der Digitalen Forensik
Steffen Görlich
 Apple iOS-Geräte
►
Brute-Force Attacke
►
Einfacher Gerätesperrcode
►
Version iOS 7 | (iOS 8)
►
Löschung nach 10 Falscheingaben
Möglichkeiten und Grenzen der Digitalen Forensik
Steffen Görlich
 Apple iOS-Geräte - Gerätesperrcode
►
►
►
►
►
Kooperation
Ermittlung
►
►
Einfacher Code
<= iOS 7 | (iOS 8)
10 Falscheingaben
►
►
<= iOS 7
>= iOS 8
Apple ID
Passwort
Möglichkeiten und Grenzen der Digitalen Forensik
Steffen Görlich
Lösungsansatz für digitale Spuren?
Polizei
Justiz
Informatiker
Forensik
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
Polizeiliches Ermittlungsverfahren
Art. 306 StPO: Aufgaben der Polizei
•
1
Die Polizei stellt im Ermittlungsverfahren auf der
Grundlage von Anzeigen, Anweisungen der Staatsanwaltschaft oder eigenen Feststellungen den für
eine Straftat relevanten Sachverhalt fest.
• 2 Sie hat namentlich:
a. Spuren und Beweise sicherzustellen und
auszuwerten;
b. geschädigte und tatverdächtige Personen zu
ermitteln und zu befragen;
c. tatverdächtige Personen nötigenfalls anzuhalten
und festzunehmen oder nach ihnen zu fahnden.
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
Art. 139 ff in der StPO: Beweismittel
Art. 139: Grundsätze
1 Die Strafbehörden setzen zur Wahrheitsfindung
alle nach dem Stand von Wissenschaft und
Erfahrung geeigneten Beweismittel ein, die
rechtlich zulässig sind.
• Was heisst alle geeigneten Beweismittel?
• Diverse weiteren Artikel regeln, was rechtlich nicht
zulässig ist oder wann Beweismittel nicht verwertet
werden können!
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
Weisse Flecken in der StPO
• Art. 306 Abs. 2 lit. a
… Die Polizei hat namentlich …
• Art. 139
… zur Wahrheitsfindung alle …
•
•
•
•
Umfang?
Qualität?
Methoden?
Beizug von Spezialisten?
Polizei  Staatsanwalt
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
Beschlagnahme
Art. 263 StPO: Grundsatz
1
Gegenstände und Vermögenswerte einer
beschuldigten Person oder einer Drittperson
können beschlagnahmt werden, wenn die
Gegenstände und Vermögenswerte
voraussichtlich:
a. als Beweismittel gebraucht werden; …
3
Ist Gefahr im Verzug, so können die Polizei oder
Private … … vorläufig sicherstellen.
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
Ra Mai 10
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
PR / OFF-SHORE / CLOUD
Inhalt
Wer?
Wann?
Wo?
Was?
Art. 3 StGB: Territorialitätsprinzip
Off-Shore
Serverfarmen/Cloud-Speicher
Diesem Gesetz ist unterworfen, wer in der Schweiz ein Verbrechen oder Vergehen
begeht.
1
Problem:
Art. 299 StGB: Verletzung fremder Gebietshoheit
Anknüpfungspunkt am „Serverstandort“
1. Wer die Gebietshoheit eines fremden Staates verletzt, insbesondere durch
unerlaubte Vornahme von Amtshandlungen auf dem fremden Staatsgebiete
Wie?
Warum?
© SW
50
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
PR / OFF-SHORE / CLOUD
Inhalt
Wer?
Wann?
Wo?
Was?
Wie?
Warum?
Art. 3 StGB: Territorialitätsprinzip
Off-Shore
Serverfarmen/Cloud-Speicher
Diesem Gesetz ist unterworfen, wer in der Schweiz ein Verbrechen oder Vergehen
begeht.
1
Lösung:
Art. 299 StGB: Verletzung fremder Gebietshoheit
Anknüpfungspunkt am Ort der Verfügbarkeit der
1.
Wer die nämlich
Gebietshoheit eines fremden Staates verletzt, insbesondere durch
Daten,
unerlaubte Vornahme von Amtshandlungen auf dem fremden Staatsgebiete
• auf durchsuchtem Rechner mittels Zugangsdaten
• am Sitz der Unternehmung in der Schweiz
• am Sitz der Niederlassung in der Schweiz
© SW
51
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
INTERNATIONALER ENTSCHEID
Inhalt
•
Urteil des District Court Southern New York vom 25. April 2014
Wer?
Wann?
Wo?
Was?
Wie?
Warum?
© SW
52
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
NATIONALE PRAXIS?
Inhalt
Wer?
 Problem: Erhebung am Speicherort
Wann?
 Lösung: Erhebung am CH-Sitz oder -Niederlassung
Wo?
Was?
Wie?
Warum?
Artikel 18 – Anordnung der Herausgabe
1 Jede Vertragspartei trifft die erforderlichen
gesetzgeberischen und anderen Maßnahmen, um ihre
zuständigen Behörden zu ermächtigen anzuordnen,
a dass eine Person in ihrem Hoheitsgebiet bestimmte
Computerdaten, die sich in ih-rem Besitz oder unter ihrer
Kontrolle befinden und die in einem Computersys-tem
oder auf einem Computerdatenträger gespeichert sind,
vorzulegen hat und
b dass ein Diensteanbieter, der seine Dienste im
Hoheitsgebiet der Vertragspartei anbietet,
Bestandsdaten in Zusammenhang mit diesen
Diensten, die sich in seinem Besitz oder unter seiner
Kontrolle befinden, vorzulegen hat.
© SW
53
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
ANSATZ SCHWEINGRUBER*
Inhalt
Wer?
•
Artikel 18 CCC (Cybercrime Convention)
Anordnung der Herausgabe
•
1 Jede Vertragspartei trifft die erforderlichen gesetzgeberischen und
anderen Maßnahmen, um ihre zuständigen Behörden zu ermächtigen
anzuordnen,
•
a dass eine Person in ihrem Hoheitsgebiet bestimmte Computerdaten,
die sich in ihrem Besitz oder unter ihrer Kontrolle befinden und die in
einem Computersys-tem oder auf einem Computerdatenträger
gespeichert sind, vorzulegen hat und
•
b dass ein Diensteanbieter, der seine Dienste im Hoheitsgebiet der
Vertragspartei anbietet, Bestandsdaten in Zusammenhang mit diesen
Diensten, die sich in sei-nem Besitz oder unter seiner Kontrolle befinden,
vorzulegen hat.
Wann?
Wo?
Was?
Wie?
Warum?
*STA lic.iur. Sandra Schweingruber, Jusletter vom 10. November 2014
© SW
54
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
ANSATZ SCHWEINGRUBER*
Inhalt
Wer?
Wann?
Wo?
Was?
Wie?
Warum?
© SW
55
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
DIREKTE „EDITION“?
Inhalt
Wer?
Wann?
Wo?
Was?
Wie?
Warum?
Artikel 32 CCC (Cybercrime Convention)
Grenzüberschreitender Zugriff auf gespeicherte Computerdaten mit
Zustimmung oder wenn diese öffentlich zugänglich sind
•
Eine Vertragspartei darf ohne die Genehmigung einer anderen
Vertragspartei
a auf öffentlich zugängliche gespeicherte Computerdaten (offene
Quellen) zugreifen, gleichviel, wo sich die Daten geographisch
befinden, oder
b auf gespeicherte Computerdaten, die sich im Hoheitsgebiet einer
anderen Vertragspartei befinden, mittels eines Computersystems in
ihrem Hoheitsgebiet zugreifen oder diese Daten empfangen, wenn sie
die rechtmäßige und freiwillige Zustimmung der Person einholt, die
rechtmäßig befugt ist, die Daten mittels dieses Computersystems
an sie weiterzugeben.
© SW
56
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
FALLSTUDIE
Inhalt
Wer?
Wann?
Wo?
Was?
Wie?
Warum?
1.
2.
3.
4.
5.
Rassendiskriminierungen via Facebook Accounts
Preservation Request bei Facebook
Facebook verlangt „richterlichen Entscheid“ für die freiwillige
Herausgabe im Sinne von Art. 32 CCC
Nicht-Genehmigung bzw. -Eintreten durch ZMG, da kein Art. 32 CCC
Anwendungsfall (Datenherrin, Freiwilligkeit)
Beschwerde ans BGER
• Anwendungsfall von Art. 32 CCC, weil Daten gemäss AGB bei
Upload Facebook in den Besitz von Facebook übergehen.
• Art. 273 StPO anwendbar, da RTI-Daten (IP-History und
Zeitstempel Eruierung Anschlussinhaber ermöglicht)
• Keine rückwirkende Rekonstruktion von Inhaltsdaten mittels URL
© SW
57
 Zwei-Faktor Authentifizierung (2FA)
►
Zusätzliche Sicherheit
Wissen
Identitätsnachweis
Besitz
►
Geldautomat
PIN
Bankkarte
►
Arbeitsplatz
Passwort
Smartcard
►
e-Banking
Vertragsnummer
Kartenleser
 Zwei-Faktor Authentifizierung (2FA)
►
The Fappening | #Celebgate
 Zwei-Faktor Authentifizierung (2FA)
►
Google Konto | Google Mail
►
Passwort
►
SMS
►
Anruf
►
Google Authenticator
►
Sicherheitsschlüssel
 Zwei-Faktor Authentifizierung (2FA)
 Zwei-Faktor Authentifizierung (2FA)
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
PHISHING „CLASSIC“
Inhalt
Wer?
Wann?
Wo?
Was?
Wie?
Warum?
username
password
© SW
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
PHISHING „TODAY“
Inhalt
Wer?
Wann?
Wo?
Was?
Wie?
Warum?
© SW
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
PHISHING „TODAY“
Inhalt
Wer?
Wann?
Wo?
Was?
Wie?
Warum?
„Hintermann“
• Sender der E-Mails,
• Koordinator ; Empfänger des Geldes
• Zuständigkeit BA bei Hintermännern im Ausland
„Malware-Distributor“
• Versendet Malware
• Kann Tor-Exit-Node oder Botnet sein
• Zuständigkeit am Tatort/Wohnort
„Money Mule“
• Stellt eigenes Konto zur Verf.
• Leitet Gelder auf Anweisung weiter
• Ist von „Firma“ angestellt
• Zuständigkeit am Tatort/Wohnort
© SW
 Verschlüsselung
WHO WATCHES THE WATCHMEN?
 Verschlüsselung
►
BitLocker
►
File Vault 2
►
dm-crypt/LUKS
►
Apple iOS 8
►
Android 5
 Verschlüsselung - Kommunikation
►
Skype
►
WhatsApp
►
Threema
 Verschlüsselung
►
►
Kooperation
Ermittlung
►
►
Verschlüsselung
Schwachstellen
Dictionary Attack
Brute-Force Attack
GovWare
(Government Software)
►
►
►
►
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
ÜBERWACHUNG?
Inhalt
Wer?
Wann?
Wo?
Was?
Wie?
Warum?




Mil. Nachrichtendienst
Lagebild
Bedrohungen
gesetzliche Grundlage











Strafverfolgung
Beweiserhebung
Katalogtaten
Verhältnismässigkeit (Tatschwere)
Dringender Tatverdacht
Proportionalität
Susidiarität
Genehmigung Zwangsmassnahmengericht
Mitteilungspflicht
Zufallsfunde
Verwertbarkeit
© SW
70
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
ÜBERWACHUNG „CLASSIC“
Inhalt
Wer?
Internetzugangsanbieterin
ISP
Wann?
Wo?
Was?
 Packet-Loss
 LIS/ISS, ISC ÜPF
 Unverschlüsselt
Wie?
Warum?
Ausleitung einer Kopie
des Ein- und Ausgehenden
Datenverkehrs
Untersuchungsbehörde
© SW
71
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
ÜBERWACHUNG SERVER
Inhalt
Wer?
Wann?
Wo?
Was?
Wie?
Art. 3 StGB: Territorialitätsprinzip
 Echtzeitüberwachung
im Sinne
von
1 Diesem Gesetz ist unterworfen, wer in der Schweiz
ein Verbrechen oder
Vergehen
Art. 269ff StPO
begeht.
 Genehmigungsfähig (ZMG OG ZH)
Art. 299 StGB: Verletzung fremder Gebietshoheit
 Nicht über ISC-EJPD, Dienst ÜPF
1. Wer die Gebietshoheit eines fremden Staates
verletzt,
insbesondere
 Direkt
beim
Provider durch
unerlaubte Vornahme von Amtshandlungen auf
fremden
 dem
Ausleitung
aufStaatsgebiete
Server
 Man in the middle
 kostenschonend
Warum?
 Nur bei intakter PPP
 keine Verschlüsselung
Untersuchungsbehörde
© SW
72
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
ÜBERWACHUNG GOVWARE
Inhalt
IP Ausleitung
Wer?
Wann?
Wo?
Was?
Wie?
Warum?
GovWare
Untersuchungsbehörde
© SW
73
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
ÜBERWACHUNG NOGOVWARE
Inhalt
Wer?
Wann?
Wo?
Was?
Wie?
Warum?
Untersuchungsbehörde
© SW
74
Kanton Zürich
Direktion der Justiz und des Innern
Strafverfolgung Erwachsene
FRAGEN?
Vielen Dank für
Fragen?
Ihre Aufmerksamkeit
Fragen?
und Ihr Interesse!
Sicherheitstacho
Forensisches Institut Zürich
Eine Organisation der Kantonspolizei und Stadtpolizei Zürich
© SW