Hoe bewaart u digitaal bewijs?
De technische goede praktijken om digitale gegevens te bewaren zonder ze te wijzigen — smartphone, computer, cloud, e-mails, berichtendiensten — en wat ze wel of niet kunnen aantonen.
De kern. Digitaal bewijs bewaren betekent: de originele drager intact houden, elke handeling vermijden die de gegevens of hun metadata wijzigt, de omstandigheden van de ontdekking noteren, en daarna een forensische kopie laten maken die met een cryptografische hash gecontroleerd wordt. Die technische voorzorgen lopen niet vooruit op de juridische beoordeling van de elementen, die de rechter toekomt.
Deze gids is technisch. Hij beschrijft goede praktijken voor bewaring en is geen juridisch advies. De regels over toelaatbaarheid en beoordeling van bewijs hangen af van het toepasselijke recht en van de rechtbank; raadpleeg uw advocaat.
1. De originele drager bewaren
De oorspronkelijke drager — telefoon, computer, schijf, USB-stick — is de referentie. Zolang hij intact is, blijft een getrouwe kopie mogelijk. Elk gewoon gebruik wijzigt gegevens: een bestand openen verandert de toegangsdatum, een update herschrijft delen van het systeem, een reset wist het grootste deel.
2. Voorzorgen vóór elke handeling
- Het toestel niet resetten, herstellen of bijwerken.
- De verdachte app, het bericht of het bestand niet verwijderen.
- Het toestel niet « opkuisen » met een antivirus of een detectie-app voor het grote publiek.
- Een computer of server isoleren van het netwerk in plaats van uitschakelen: het werkgeheugen verdwijnt bij het uitschakelen.
- Datum en uur van de ontdekking noteren, en elke handeling sindsdien.
3. Schermafbeeldingen: nuttig, maar beperkt
Een schermafbeelding legt vast wat er getoond werd, en is vaak het eerste wat u moet doen wanneer inhoud dreigt te verdwijnen. Maar ze heeft grenzen: ze bevat de metadata van het oorspronkelijke element niet, bewijst op zich de echtheid ervan niet en is makkelijk te wijzigen. Ze vult de bewaring van het origineel aan; ze vervangt ze niet.
Voor online inhoud is een technische vaststelling met tijdstempel — URL, datum, uur, hash van de vastgelegde inhoud, methode — steviger. Zie de pagina identiteitsmisbruik en valse profielen.
4. Metadata en tijdstempels
Metadata begeleiden een bestand of bericht: aanmaak- en wijzigingsdatum, auteur, toestel, locatie, headers van een e-mail. Ze laten vaak toe een element te dateren en te situeren, maar ze zijn kwetsbaar: kopiëren, doorsturen of bewerken kan ze wijzigen. Vandaar het belang van werken op een correct gemaakte kopie, en van aandacht voor tijdzones en de klokinstelling van elk toestel.
5. Forensische acquisitie en hash
Een forensische acquisitie is een kopie die gemaakt wordt met een methode die de drager niet wijzigt, en waarvan elke stap gedocumenteerd is. Op het moment van de kopie berekent men een cryptografische hash — bijvoorbeeld SHA-256 — die de inhoud kenmerkt. Levert een latere herberekening dezelfde hash op, dan is de kopie niet gewijzigd. Zo kan een derde het werk controleren.
Internationale richtlijnen zoals ISO/IEC 27037 en NIST SP 800-86 beschrijven die stappen van identificatie, verzameling, acquisitie en bewaring.
6. De bewaarketen
De bewaarketen (chain of custody) volgt het traject van elk element: wie het overhandigde, aan wie, wanneer, in welke staat, en welke handelingen werden verricht. Een proces-verbaal van overhandiging, een verzegeling en een logboek van de handelingen zijn de gebruikelijke stukken. Zonder bewaarketen wordt de integriteit van een element moeilijk aan te tonen.
7. Per drager
Smartphone
Niet resetten of bijwerken; het toestel zo mogelijk ingeschakeld laten; de betrokken app niet verwijderen. Zie forensisch onderzoek van smartphones.
Computer
Isoleren van het netwerk zonder uit te schakelen; geen opkuistool starten; de geopende programma's noteren. Het werkgeheugen bevat sporen die bij het uitschakelen verdwijnen.
Cloud en online accounts
Activiteitslogs hebben een beperkte bewaartermijn: vraag snel een export of bevriezing. Beveilig het account vanaf een ander vertrouwd toestel. Zie cyberonderzoek.
E-mails
Het bericht in de oorspronkelijke mailbox bewaren, met de volledige headers; het niet doorsturen, wat een deel ervan herschrijft.
Berichtendiensten
Het gesprek niet verwijderen; de gesprekspartner niet blokkeren vóór de berichten vastgelegd zijn; gebruikersnamen, nummers en pseudoniemen noteren. Bij afpersing, zie sextortion en afpersing.
8. Wat techniek aantoont, en wat aan de rechter toekomt
De technische aanpak stelt feiten vast: een bestand bestond op een bepaalde datum, een bericht komt van een bepaald account, een kopie is identiek aan het origineel. Hij documenteert zijn methode en zijn grenzen. De juridische kwalificatie van die feiten, de toelaatbaarheid van de elementen en hun bewijskracht hangen daarentegen af van het toepasselijke recht en van de beoordeling door de rechter. Een ernstig rapport overschrijdt die grens niet.
Veelgestelde vragen
Volstaat een schermafbeelding?
Ze kan nuttig zijn, zeker voor inhoud die kan verdwijnen. Maar ze bevat de oorspronkelijke metadata niet en is makkelijk te wijzigen: bewaar ook het origineel en laat voor online inhoud een technische vaststelling met tijdstempel maken.
Wat is een hash?
Een vingerafdruk die uit digitale inhoud berekend wordt. De kleinste wijziging van de inhoud verandert de hash. Door de hash van een kopie te herberekenen en te vergelijken met die bij de acquisitie, controleert men dat ze niet gewijzigd is.
Moet ik eerst klacht indienen?
Nee. Het is vaak nuttig de elementen vóór of tijdens de klacht te laten bewaren. De beslissing om klacht in te dienen en de manier waarop komen u en uw advocaat toe.
Digitale gegevens die bewaard moeten worden?
Eerste gesprek gratis en vertrouwelijk. Wij zeggen u wat eerst vastgelegd moet worden, en hoe.