Передают как есть. Убирать пароли из файлов настроек и из программы нельзя: это изменит исследуемый объект, и другая сторона справедливо на это укажет. Идёт передача по защищённому каналу и ограниченному кругу лиц — архив шифруют, пароль сообщают отдельно, состав и контрольные суммы фиксируют актом приёмки.
А вот привычный совет «после передачи смените пароль к базе» для систем такого возраста разрушителен: пароль зашит в программу, и менять его пришлось бы вместе с новой сборкой, которую при утраченных исходниках делать некому. Наутро в базу не войдёт ни одно рабочее место. Поэтому доступ закрывают снаружи: ограничивают подключение к сетевому порту базы рабочими местами предприятия, убирают её из общедоступного сегмента, отключают удалённый доступ посторонних к серверу.
Меняют только то, что меняется без переделки программы: пароли администраторов сервера, учётные записи Windows, доступ к резервным копиям. И отдельно о том, кому передавать. Всё сказанное относится к внесудебному исследованию по договору. Если экспертиза уже назначена, материалы эксперту напрямую не передают вовсе — они идут через назначивший орган, иначе заключение обесценится целиком. Срок хранения и возврат переданного фиксируют договором.