Spoorzoeken in de digitale wereld

Twee jaar na een verdwijning wordt bij graafwerkzaamheden bij een sloot iets gevonden wat lijkt op een telefoon. Het zou wel eens de telefoon kunnen zijn van het slachtoffer. Met misschien cruciale informatie over wat er gebeurd is. Maar is de doordrenkte en verweerde telefoon nog nuttig voor de opsporingsdienst?

In de verhoorkamer is het stil. De verdachte heeft zojuist ten stelligste ontkend dat de kinderporno die bij hem op de computer werd gevonden door hem is gedownload. Hij denkt dat het is ‘meegekomen’ met een andere download. Bevat zijn computer sporen die zijn onschuld kunnen bewijzen?

Dit zijn zomaar twee fictieve zaken die op het bordje van het Nederlands Forensisch Instituut (NFI) zouden kunnen belanden. Het is de taak van de 25 mensen van Forensische Digitale Technologie om op zoek te gaan naar digitale sporen. Sporen die bijvoorbeeld de verklaring van een verdachte ondersteunen of nieuwe aanwijzingen vormen.

Van insulinemeter tot windmolen

Lang niet elk apparaat gaat meteen met de speciale koeriersdienst naar het NFI in Den Haag. Zolang de politie in een onderzoek van een misdrijf zelf data van apparaten kan winnen zullen ze dat doen. Wat bij het NFI binnenkomt zijn de lastige gevallen, waarbij de ‘standaardaanpak’ niet meer werkt.

De bulk van de naar schatting 300 apparaten die jaarlijks binnen komen zijn telefoons, harde schijven en navigatiesystemen, zegt Marjolijn Brouwer, teamleider van de afdeling. Vaak in slechte staat, beschadigd of beveiligd.

Maar er zijn ook minder voor de hand liggende stukken. Denk bijvoorbeeld aan een apparaat waarmee een diabetespatiënt zichzelf insuline toedient. Stel dat iemand overlijdt aan een overdosis insuline, dan is de vraag, wat is er mis gegaan? “Kan die persoon dat zelf hebben gedaan,” zegt Brouwer, “of zou deze dan voortijdig bewusteloos zijn geraakt? Is er in het apparaat iets misgegaan, of is er wellicht opzet van een tweede persoon in het spel? Aangezien de insulinemeter informatie opslaat over de toegediende hoeveelheden en de tijdstippen kan dat waardevol zijn in een onderzoek.”

Steeds meer computersystemen regelen en controleren de wereld om ons heen. Een potentiële goudmijn voor forensische onderzoekers. Brouwer vertelt over een zaak waarbij twee monteurs kwamen te overlijden door brand in een windmolen. “Was dat kortsluiting door een natuurlijke oorzaak? Dat wil je weten. De controlecomputer die alle systemen in de windmolen controleert kan daar wellicht uitsluitsel over geven”, aldus Brouwer.

Kopieermachine voor chips

Om bijvoorbeeld foto’s, documenten, berichten of een lijst met laatst gebelde telefoonnummers uit het interne geheugen van een telefoon te kunnen halen heeft het NFI een rijk gevulde trukendoos. Zoals gezegd, de makkelijke gevallen komen er niet, juist de ernstig beschadigde of beveiligde apparaten belanden hier. Voor elk type beschadiging is er een draaiboek, maar elke klus is eigenlijk maatwerk, zegt Brouwer.

“Wat we in ieder geval nooit doen is zomaar iets proberen op een mogelijk bewijsstuk,” zegt ze, “we proberen altijd eerst een zogenoemd referentieapparaat te kopen. Bijvoorbeeld een telefoon of harde schijf die precies hetzelfde is, hetzelfde type, productiedatum, zelfs het serienummer moet zo dicht mogelijk bij het origineel komen.”

Op het referentieapparaat kan een methode eerst geprobeerd worden, zonder het echte ‘stuk van overtuiging’ op het spel te zetten. Dat gebeurt bijvoorbeeld wanneer de onderzoekers er niet in slagen om met speciale software de opgeslagen data in handen te krijgen. Er is dan grover geschut nodig: de telefoon wordt uit elkaar geschroefd, de chip wordt gelokaliseerd en uit het apparaat geslepen.

Normaal gesproken blijft de informatie dan gewoon in de chip staan en is zelfs te onttrekken met een speciaal apparaat. Daar kunnen vrijwel alle chips makkelijk op aangesloten worden. Het apparaat is vervolgens in staat de reeks van enen en nullen te kopiëren uit het geheugen, zonder dat bijvoorbeeld de beveiliging van de telefoon daar een stokje voor kan steken.

“Dan kan het echte werk beginnen”, zegt Brouwer, “want aan ruwe data heb je niets als je niet weet hoe je het moet interpreteren. Het probleem is echter dat veel chips informatie anders opslaan en dat veel telefoons geen gestructureerde opslag hebben, zoals een computer dat wel heeft. We moeten eigenlijk van elke soort chip weten hoe dat werkt.”

Dat vergt een hoop softwareontwikkeling, die gedeeltelijk bij het NFI wordt gedaan. Bij de veelvoorkomende chips is het vaak wat makkelijker, daar is door ervaring bekend hoe data wordt opgeslagen. Problemen kunnen juist ontstaan bij minder bekende merken, oude of juist nieuwe chips.