Russiske ejere, amerikanske kunder og europæiske politiprojekter

Oxygen Forensics’ amerikanske base og salg til offentlige kunder hjalp virksomheden med at få digitale efterforskningsværktøjer ud til myndigheder i USA. Produkterne blev også solgt til europæiske politimyndigheder. Nu hævder amerikanske anklagere, at virksomheden skjulte forbindelser til russisk ejerskab og softwareudvikling. Samtidig viser offentlig omtale, at Oxygen optrådte i EU-finansierede projekter om digitale beviser – men deltagelse i et projekt er ikke det samme som at have modtaget EU-støtte. 178

Hvad de amerikanske anklagere hævder

Det amerikanske justitsministerium siger, at Oxygen over for amerikanske myndigheder fremstillede sig som en virksomhed uden udenlandsk ejerskab eller kontrol, og at softwaren blev udviklet i USA. Ifølge anklagerne var virksomheden i stedet ejet og kontrolleret af fem russiske statsborgere, herunder medstifter Oleg Davydov, og softwaren blev udviklet i Rusland.

Oxygen-direktør Lee Reiber og Davydov er tiltalt for sammensværgelse med henblik på elektronisk bedrageri. Der er tale om anklager – ikke en dom eller en konstatering af skyld. 17

Ifølge omtale af sagen var Secret Service blandt Oxygen Forensics’ amerikanske offentlige kunder. De påståede urigtige oplysninger er relevante, fordi myndigheder, der vurderer en leverandør, kan have brug for at vide, hvem der kontrollerer virksomheden, og hvor teknologien udvikles. 1217

Forbindelsen til et russisk søsterselskab

Anklagemyndighedens beskrivelse knytter også de påståede ejere til det Moskva-baserede Oxygen Software LLC, som senere skiftede navn til MKO Systems LLC. Davydov var ifølge klagen involveret i selskabets softwareudvikling, sådan som den er beskrevet af Organized Crime and Corruption Reporting Project. Mediet skriver også, at det russiske selskab solgte beslægtet software til russiske sikkerheds- og retshåndhævende myndigheder. 11

Forbindelsen rejser spørgsmål om ejerskab, udvikling og gennemsigtighed i leverandørkæden. Den dokumenterer ikke i sig selv, at russiske myndigheder kunne få adgang til oplysninger, som en anden kunde undersøgte med Oxygen-værktøjer.

Oxygen i europæisk politiarbejde og EU-projekter

Oxygen kom ind på det europæiske marked ad flere veje: Virksomheden solgte værktøjer til politimyndigheder, og offentlige dokumenter gennemgået af Politico placerede den i mindst to EU-finansierede initiativer om digitale beviser. 81

I EVIDENCE-projektet, der modtog over 1,9 millioner euro i EU-støtte fra 2014 til 2016, var Oxygen opført blandt de virksomheder, der blev konsulteret om håndtering og udveksling af digitale beviser. Den rolle viser ikke, at Oxygen selv modtog EU-midler. Omtalen forbinder også virksomheden med INSPECTr, et projekt under EU’s forsknings- og innovationsprogram Horizon 2020. De tilgængelige beskrivelser giver dog ikke samme detaljer om Oxygen-virksomhedens rolle eller om eventuelle betalinger. 81

Oxygen-produkter er også omtalt som værktøjer, der kunne bruges af politiet i Italien. Et teknisk dokument, som italienske medier henviser til, nævner Oxygen blandt systemer, politiet kunne anvende. Det er ikke det samme som, at alle politimyndigheder brugte værktøjerne ens eller i samme omfang. 413

Hvad sagen kan betyde for digitale beviser

Sagen gør det relevant for myndigheder og forsvarere at spørge, hvordan digitale efterforskningsværktøjer er blevet vurderet og brugt. I en konkret undersøgelse kan det blandt andet være vigtigt at vide, hvilken version af værktøjet der blev anvendt, hvordan enheden blev behandlet, om resultaterne blev kontrolleret uafhængigt, og hvilke oplysninger om ejerskab og udvikling der blev oplyst.

Men anklagerne om ejerskab gør ikke automatisk beviser upålidelige eller uantagelige i retten. Ifølge omtale af sagen har anklagerne ikke hævdet, at Oxygen-softwaren indeholdt en bagdør eller skadelig kode. Om et konkret resultat bliver anfægtet, afhænger derfor af omstændighederne ved undersøgelsen og den relevante juridiske proces. 18

Den afgørende skelnen er mellem påstanden om, at virksomheden undlod at oplyse, hvem der ejede og udviklede værktøjet, og dokumentation for, at værktøjet manipulerede eller eksponerede data. Det første står centralt i de amerikanske anklager. Det andet er ikke fastslået i de kilder, der er omtalt her.