En telefon er den mest informative genstand på de fleste moderne gerningssteder og den letteste at ødelægge ved håndtering. Næsten enhver fejl, der begås med en sådan, begås af nogen, der forsøger at hjælpe.
Notér den tilstand, du fandt den i, før noget andet. Tændt eller slukket. Låst eller ulåst. Hvad der er på skærmen. Batteriniveau. Om den er tilsluttet. Om den er på et netværk. Disse forhold kan ikke længere fastslås, så snart nogen rører ved den.
Gennemse den ikke. Åbning af en besked markerer den som læst, flytter den og ændrer tidsstempler, som en undersøger ellers ville have brugt. Et fotografi af en skærm, som du har strøget igennem, er et fotografi af et bevismateriale, som du har ændret — og du vil blive spurgt under ed, hvad du ellers så på.
Tænd den ikke for at "tjekke noget". En enhed, der starter op, kan køre planlagte opgaver, synkronisere og udføre en fjerninstruks.
Isolér den fra netværket. En enhed, der forbliver tilsluttet, kan fjernslettes, mens den ligger i en bevispose. Flytilstand, hvor enheden allerede er låst op, og hvor reglerne tillader det, eller en afskærmet pose; notér, hvad der blev gjort, og hvornår.
Hold den tændt, hvis den var tændt. Flygtig hukommelse går tabt ved nedlukning, og en enhed, der løber tør for strøm, kan kryptere sig igen ved næste opstart. Batteri og kabel skal følge med.
Adgangskoder må ikke gættes. Forsøg tæller med i grænsen for sletning på mange enheder. Hvis nogen tilbyder en kode, skal du notere, hvem der gav den, og hvornår.
Kilde. UNODC, Crime scene and physical evidence awareness for non-forensic personnel, https://www.unodc.org/documents/scientific/Crime_scene_awareness__Ebook.pdf ; NIST Organization of Scientific Area Committees for Forensic Science, https://www.nist.gov/osac
Hvad dette ikke er. Retsmedicinsk undersøgelse, som udføres af kvalificerede undersøgere på afbildede kopier med værktøjer, der lader originalen være uændret. Denne side handler om de første 10 minutter, før noget af dette er muligt.