Een telefoon is op de meeste hedendaagse plaatsen delict het meest informatieve voorwerp en het gemakkelijkst te vernietigen door het vast te pakken. Bijna elke fout die ermee wordt gemaakt, wordt gemaakt door iemand die behulpzaam probeert te zijn.
Leg vast in welke staat u het aantrof, voordat u iets anders doet. Aan of uit. Vergrendeld of ontgrendeld. Wat er op het scherm staat. Batterijniveau. Of het is aangesloten. Of het met een netwerk verbonden is. Deze feiten zijn niet meer vast te stellen zodra iemand het aanraakt.
Doorzoek het niet. Een bericht openen markeert het als gelezen, verplaatst het en wijzigt tijdstempels die een onderzoeker anders zou hebben gebruikt. Een foto van een scherm waar u doorheen hebt geveegd, is een foto van een stuk bewijsmateriaal dat u hebt gewijzigd — en u zal onder ede worden gevraagd wat u nog meer hebt bekeken.
Zet het niet aan om "iets te controleren". Een apparaat dat wordt opgestart, kan geplande taken uitvoeren, synchroniseren en een opdracht op afstand toepassen.
Isoleer het van het netwerk. Een apparaat dat verbonden blijft, kan op afstand worden gewist terwijl het in een bewijszak ligt. Vliegtuigmodus wanneer het apparaat al ontgrendeld is en het beleid dit toestaat, of een afgeschermde tas; noteer welke methode is toegepast en wanneer.
Houd het ingeschakeld als het ingeschakeld was. Vluchtig geheugen gaat verloren bij uitschakeling, en een apparaat dat leeg raakt, kan zich bij de volgende keer opstarten opnieuw versleutelen. De batterij en kabel gaan mee.
Toegangscodes worden niet geraden. Pogingen tellen bij veel apparaten mee voor het wissen van gegevens. Als iemand een code aanbiedt, leg dan vast wie die heeft gegeven en wanneer.
Bron. UNODC, Crime scene and physical evidence awareness for non-forensic personnel, https://www.unodc.org/documents/scientific/Crime_scene_awareness__Ebook.pdf ; NIST Organization of Scientific Area Committees for Forensic Science, https://www.nist.gov/osac
Wat dit niet is. Forensisch onderzoek, dat door gekwalificeerde onderzoekers wordt uitgevoerd op forensische kopieën met hulpmiddelen die het origineel ongewijzigd laten. Deze pagina gaat over de eerste tien minuten, voordat dat allemaal mogelijk is.