Das Vokabular, ohne die Annahme, dass Sie es schon kennen.

Eine Suche wird auf verwandtes Vokabular ausgeweitet, sodass eine Abfrage nach einem Begriff auch seine Synonyme, seine Slang-Formen und die Codesprache findet, die an seine Stelle tritt. Besonders relevant in der Arbeit zu Betäubungsmitteln und Menschenhandel, wo sich das Vokabular zwischen Gruppen und im Zeitverlauf ändert.

In der französischen Praxis ein Scellé: das versiegelte Stück, das mit eigenem Aktenzeichen in den Fall aufgenommen wird und um das sich eine Auswertung organisiert. Ein Fall kann viele Asservate enthalten, und ein Asservat kann mehr als ein Gerät oder einen Datenträger umfassen.

VERA organisiert die Arbeit ebenso, sodass die Struktur der Software dem Verfahren entspricht und nicht umgekehrt.

Ein schriftliches Protokoll von Aktionen und Ergebnissen, das so aufbewahrt wird, dass eine Entscheidung später nachvollzogen werden kann. Wo ein KI-Assistent beteiligt ist, ermöglicht das Protokoll einem Gericht, den Ablauf zu sehen, der zu einem Befund geführt hat, und nicht nur den Befund selbst.

Die Eigenschaft, dass eine Anwendung, für die niemand die Unterstützung umgesetzt hat, dennoch lesbar bleibt, weil die Software die Struktur selbst ermittelt und ein Analyst das Ergebnis validiert.

Die Alternative, die in der Branche üblich ist, lautet: Die Abdeckung kommt mit einer Herstellerversion, und eine nicht unterstützte Anwendung ist eine Sackgasse, bis es so weit ist.

Das Protokoll, das jede Person festhält, die ein Beweisstück bearbeitet hat, wann und was sie damit getan hat. Ein Bruch in dieser Kette ist eine der verlässlichsten Arten, wie ein Beweis ausgeschlossen werden kann, unabhängig davon, was er enthält.

Analysesoftware führt die physische Beweiskette nicht, kann sie aber entweder stützen oder still untergraben. Entscheidend sind der schreibgeschützte Zugriff auf Beweismittel und ein vollständiges Aktionsprotokoll.

Wiederherstellung von Daten aus nicht belegtem Speicher, aus Journalen und anderen Resten, wo ein Datensatz als gelöscht markiert ist, sein Inhalt aber erhalten bleibt.

Ein per Carving gewonnener Datensatz muss immer als wiederhergestellt und nicht als lebend dargestellt werden, weil beide einen unterschiedlichen Beweiswert haben. Aus genau diesem Grund kennzeichnet VERA den Wiederherstellungsstatus zusammen mit der Herkunft.

Der Grundsatz, dass Daten unter der Gerichtsbarkeit und Kontrolle der Organisation bleiben, die sie hält. Für europäische öffentliche Stellen umfasst das sowohl den physischen Standort der Daten als auch die Frage, ob ein ausländisches Rechtsinstrument ihre Herausgabe erzwingen könnte.

Eine Suche, die exakte Schlüsselwortsuche und bedeutungsbasierte Suche gemeinsam ausführt und die Ergebnisse kombiniert, statt eine davon zu wählen. Die Schlüsselwortsuche übersieht alles, was anders formuliert ist; die bedeutungsbasierte Suche findet solche Stellen, kann dabei aber abdriften.

Beides auszuführen, wobei der Analyst das Gewicht steuert, ist verlässlicher als jede der beiden Methoden allein, bei einer Arbeit, in der das Vokabular bewusst verschlüsselt ist.

Ein Editor, in dem eine Quelle auf der einen Seite steht, die Felder, die eine Ansicht erwartet, auf der anderen, und der Analyst beide verbindet und dort Transformationen einfügt, wo ein Wert umformatiert oder übersetzt werden muss.

Er existiert, damit Analysten die Kontrolle über das Ergebnis behalten, nicht weil von ihnen erwartet wird, Mappings von Grund auf zu bauen.

Ein Verzeichnis von Slang, Codewörtern, verschleierten Schreibweisen und Emojis, die für Drogen, Waffen, Betrug, Geldwäsche und andere Straftaten verwendet werden, an Konzepte gebunden und nach Sprache gruppiert. VERA nutzt es bei der Suche, bei den Signalen und um dem Analysten oder dem Assistenten ein Wort zu erklären.

Es kennzeichnet Vokabular, nicht Personen. Ein Wort auf der Liste ist ein Grund hinzusehen, kein Befund.

Eine Sicherung, die die Daten sammelt, die die eigenen Schnittstellen des Geräts preisgeben, typischerweise Kontakte, Nachrichten, Anrufprotokolle und Medien. Sie ist schneller und weniger eingreifend als eine vollständige Dateisystem-Sicherung, und sie erfasst nicht, was eine Anwendung für sich behält.

Eine Umgebung, die physisch oder logisch vom Internet und von anderen Netzwerken getrennt ist. Forensische Labore arbeiten häufig so, was bedeutet, dass jede Software, die still eine Verbindung voraussetzt, auch für die Lizenzierung, dort unbrauchbar ist.

Eine Definition, die festlegt, wie der Inhalt einer bestimmten Quelle, zum Beispiel die Datenbank einer Anwendung, gelesen und in die Felder umgeordnet werden soll, die eine Ansicht erwartet: ein Zeitstempel, ein Absender, ein Nachrichtentext, eine Richtung.

In VERA wird ein Mapping automatisch erzeugt, wenn die Quelle zuvor nicht bekannt war, vom Analysten geprüft und bei Bedarf in einem visuellen Editor korrigiert. Es enthält keine Beweismittel, nur die Beschreibung, wie eine Struktur zu lesen ist.

Ein Schritt in der Verarbeitung, der sich nicht überspringen lässt: Ein erzeugtes Mapping wird dem Analysten als Vorschau über die echten Daten gezeigt, und es wird erst auf den Fall angewendet, wenn der Analyst es akzeptiert.

Es ist rechtlich ebenso wichtig wie technisch, denn es hält eine menschliche Entscheidung genau an der Stelle, an der ein automatisiertes System sonst zum Urheber eines Befunds werden könnte.

Medien so indexieren, dass sie nach Inhalt statt nur nach Dateiname, Zeitstempel oder Hashwert abgerufen werden können. Es ist dort am wichtigsten, wo das Medienvolumen das eigentliche Problem ist, und es ersetzt niemals das Urteil eines Analysten darüber, was ein Bild zeigt.

Software, die innerhalb der eigenen Infrastruktur des Kunden installiert und betrieben wird, statt als gehosteter Dienst genutzt zu werden. Bei Daten sichergestellter Geräte ist das oft keine Präferenz, sondern eine harte Anforderung, weil die Daten weder rechtlich noch politisch in die Umgebung eines Dritten gegeben werden können.

Eine Vereinbarung, bei der eine Kopie des Quellcodes der Software bei einem unabhängigen Dritten hinterlegt und dem Kunden herausgegeben wird, wenn festgelegte Bedingungen eintreten, etwa wenn der Anbieter den Geschäftsbetrieb einstellt.

Es ist die übliche vertragliche Antwort auf das Kontinuitätsrisiko beim Kauf bei einem kleinen Anbieter.

Die Eigenschaft, dass sich jede Aussage in einem Bericht auf einen bestimmten Datensatz zurückführen lässt: welche Datei, in welchem Pfad, welche Tabelle, welche Zeile. Ohne sie ist ein Befund eine bloße Behauptung.

In VERA wird die Herkunft vom Datensatz selbst mitgeführt und nicht erst bei der Anzeige rekonstruiert. Dadurch lässt sich ein Beleg weiterhin auflösen, auch nachdem das Mapping, das ihn erzeugt hat, überarbeitet wurde.

Ein Ansatz, bei dem ein Modell aus Dokumenten antwortet, die zur Abfragezeit abgerufen werden, und nicht aus dem, was es im Training auswendig gelernt hat. Allgemein abgekürzt als RAG.

Im forensischen Kontext liegt der Wert nicht in der Generierung, sondern im Abruf: Die Antwort ist an bestimmte Datensätze gebunden, und genau das macht es überhaupt erst möglich, eine Quelle zu zitieren.

Die Warteschlange der Geräte, die sichergestellt, aber noch nicht ausgewertet wurden. Sie wächst, wenn das Datenvolumen je Gerät schneller steigt als die Zahl der Analysten, was die Lage ist, in der sich die meisten Labore seit einigen Jahren befinden.

Zugriff auf einen Beweismittelspeicher in einem Modus, der nicht schreiben kann. Er schützt die Integrität des Originals und beseitigt eine ganze Kategorie von Fragen in einer Sicherheitsprüfung und vor Gericht.

Der Auftragswert, bis zu dem eine öffentliche Stelle einkaufen darf, ohne ein förmliches Vergabeverfahren durchzuführen. Der Betrag variiert nach Land und nach Vergabestelle.

Er ist hier relevant, weil er üblicherweise der praktische Weg zu einem ersten Pilotprojekt mit einem kleinen Anbieter ist.

Die Markierung, die VERA an einer schriftlichen Spur anbringt, die nach auffälligem Verhalten aussieht: ein Bereich, etwa Drogen oder Betrug, und eine Stufe, schwach, mittel oder stark. Ein gewöhnliches Wort, ein Preis, eine Menge oder eine Zahlungsadresse kann genügen. Sie wird bei der Asservatverarbeitung berechnet, ohne KI.

Ein Signal ist ein Hinweis, nie ein Befund. Eine optionale KI-Prüfung sagt, ob die Stelle wirklich verdächtig wirkt, ob die Wörter alltäglich sind oder ob sie es nicht entscheiden kann, und der Analyst kann jedes Signal beiseitelegen.

Die automatische Meldung darüber, wie Software genutzt wird, an den Hersteller. In kommerzieller Software üblich und im forensischen Umfeld ein ernstes Problem, denn schon die Metadaten allein können Fallaktivität offenlegen.

VERA erhebt und überträgt keine davon, und deshalb kann der Anbieter auch nicht beobachten, wie eine Installation genutzt wird.

Die Frage, ob ein Beweismittel vom Gericht berücksichtigt werden kann. Sie hängt davon ab, wie es gewonnen, wie es behandelt wurde und ob es überprüfbar ist, und nicht davon, welches Produkt es zutage gefördert hat.

Kein forensisches Werkzeug macht ein Beweismittel verwertbar. Was ein Werkzeug leisten kann, ist, die Überprüfung so praktikabel zu machen, dass der Analyst sie tatsächlich durchführt.

Eine Sicherung, die das gesamte Dateisystem eines Geräts kopiert, nicht nur die Teilmenge, die eine Anwendung preisgeben will. Sie umfasst Anwendungsdatenbanken, Caches, Konfigurationsdateien und Systemspuren. Deshalb enthält sie weit mehr als eine logische Extraktion, und ihre Auswertung dauert deutlich länger.

Üblicherweise abgekürzt als FFS. Es ist die Eingabe, für die VERA entwickelt wurde.

Der Zeitraum zwischen dem Eingang eines Geräts und dem Moment, in dem ein Ermittler etwas hat, worauf er handeln kann. Es ist eine nützlichere Messgröße als der Verarbeitungsdurchsatz, denn ein vollständig verarbeitetes Gerät, das nie gelesen wurde, hat nichts ergeben.