Hvis en smartphone potentielt er tilgængelig uden brugerens viden, beskeder forsvinder, eller en anden har adgang til oplysninger, der burde være fortrolige, opstår der hurtigt mistanke. I en virksomhedssammenhæng kan dette involvere usædvanlig filaktivitet, eksterne lagringsenheder, kompromitterede brugerkonti eller potentiel lækage af udviklingsdata. Om sådanne anomalier rent faktisk indikerer uautoriseret adgang, manipulation eller datatyveri, kan dog kun afgøres ved at undersøge de eksisterende digitale beviser.

Vores IT-forensiktjenester i Böblingen støtter privatpersoner, virksomheder, advokater og andre klienter i at sikre, undersøge og professionelt evaluere digitale beviser. Smartphones, computere, datalagringsenheder og andre relevante datakilder analyseres ikke vilkårligt. Udgangspunktet er et klart defineret undersøgelsesspørgsmål.

Dette arbejde har en særlig økonomisk kontekst for Böblingen. IT og software, forskning og udvikling inden for bilindustrien, medicinsk teknologi og højt specialiserede tekniske virksomheder karakteriserer stedet og dets umiddelbare omgivelser. Hvor kildekode, udviklingsdokumenter, teknisk dokumentation, projektinformation og anden knowhow behandles digitalt, kan selv en enkelt sikkerhedshændelse have betydelige økonomiske og juridiske konsekvenser.

IT-forensik i Böblingen – hvad kan egentlig bevises digitalt?

Digital retsmedicin har til formål at omdanne en mistanke til en teknisk verificerbar kendsgerning – i det omfang de tilgængelige data tillader dette. Det afgørende punkt her er grænsen mellem en konstateret begivenhed og dens fortolkning.

Det faktum, at en USB-stick er blevet tilsluttet en computer, beviser for eksempel ikke, at fortrolige filer er blevet kopieret over på den. En ukendt kontoadgang kan dokumentere et login, men identificerer ikke nødvendigvis personen bag det. Tilsvarende er et højt batteriforbrug på en smartphone ikke bevis for spyware.

Professionel retsmedicin ser derfor ikke kun på individuelle hits. Tidsstempler, systemartefakter, brugeraktivitet, kommunikationsdata, filsystemoplysninger og andre spor kan korreleres. Lige så vigtigt er det at afgøre, hvilke spørgsmål der ikke kan besvares med sikkerhed baseret på de tilgængelige data.

Det grundlæggende er forklaret i vores vidensartikel "Hvad er digital retsmedicin?".

Mobiltelefon efterforskning for private i Böblingen

I private projekter er smartphonen ofte det centrale værktøj. Personlig kommunikation, e-mail, fotos, beskedapps, brugerkonti, cloud-tjenester og et væld af andre oplysninger samles på en moderne mobilenhed.

En retsmedicinsk undersøgelse kan være særligt nyttig i følgende tilfælde:

• Mistanke om uautoriseret adgang til en smartphone,
• mulig spyware eller teknisk manipulation,
• ukendte enheder inden for personlige konti,
• slettede WhatsApp- eller Messenger-beskeder,
• slettede fotos, videoer eller andre relevante data,
• uforklarlig adgang efter en separation,
• digital stalking eller kontomisbrug,
• Sikring af digitale oplysninger i forbindelse med juridiske tvister.

Hvilke data der rent faktisk er tilgængelige, afhænger af faktorer som enhedsmodel, operativsystem, kryptering, sikkerhedskonfiguration og enhedens tilstand. Vores vidensartikel " Hvad er Smartphone Forensics?" giver et mere dybdegående overblik.

Har nogen adgang til min telefon?

Dette spørgsmål er en af ​​de mest almindelige årsager til private efterforskninger. Man bør dog ikke forhaste sig med udelukkende at søge efter en skjult overvågningsapp.

Især efter et brud eller under personlige konflikter kan andre adgangsmetoder være langt mere åbenlyse. Tidligere partnere kender måske adgangskoder, en tablet eller computer er måske stadig forbundet til den samme konto, cloud-data er måske synkroniseret, eller en gammel enhed har måske stadig gyldig autorisation.

Afhængigt af den specifikke smartphone kan applikationer, tilladelser, kontoforbindelser, systemartefakter og andre tekniske data undersøges. Afgørende er en åben tilgang: mistanke om uautoriseret adgang må ikke anses for bevist, før analysen begynder.

Retsmedicinsk analyse af WhatsApp og Messenger

Messenger-kommunikation kan være relevant i både private tvister og virksomhedsundersøgelser. En retsmedicinsk analyse af WhatsApp-beskeder er ikke nødvendigvis begrænset til de beskeder, der aktuelt er synlige på skærmen.

Afhængigt af den tilgængelige datakilde kan beskeder, tidsstempler, deltageroplysninger, medier, dokumenter, gruppeoplysninger og andre tekniske artefakter undersøges. Dataenes oprindelse er særligt vigtig: et skærmbillede har en anden teknisk betydning end oplysninger fra en verificerbart sikret original datakilde.

Vi forklarer mulighederne og begrænsningerne i detaljer i artiklen "Retsmedicinsk analyse af WhatsApp-beskeder".

Kan slettede beskeder, billeder eller filer gendannes?

Datagendannelse kan være muligt under visse tekniske forhold, men det kan ikke garanteres. Moderne smartphones bruger krypteret lagring og komplekse datastrukturer. Om brugbare oplysninger forbliver efter sletning afhænger af enheden, den specifikke applikation, eventuelle sikkerhedskopier og efterfølgende brug.

Derfor bør en smartphone med potentielt vigtige slettede data ikke nulstilles for tidligt. Geninstallationer, rengøringsprogrammer eller intensiv yderligere brug kan også ændre den oprindelige situation.

iPhone- og Android-retsmedicin

iPhones og Android-smartphones adskiller sig betydeligt i deres sikkerhedsarkitektur og mulige retsmedicinske adgangsmetoder.

For en iPhone påvirker faktorer som enhedsmodel, iOS-version, sikkerhedskonfiguration, kryptering og eksisterende sikkerhedskopier undersøgelsen. For Android-enheder er der også betydelige forskelle mellem producenter, chipsæt og operativsystemversioner.

Derfor bestemmes den passende metode individuelt for hver enhed. Yderligere information kan findes i vores vidensartikler om iPhone-forensik og Android-forensik.

Computerforensik i Böblingen – rekonstruktion af en række begivenheder ud fra individuelle spor

Computere og bærbare computere kan dokumentere meget mere end blot eksisterende filer. Afhængigt af operativsystemet kan oplysninger om brugeraktivitet, tilsluttede enheder, programmer, browserbrug og filsystemoperationer gemmes.

For eksempel kan en undersøgelse undersøge, hvornår en fil blev oprettet, åbnet, ændret eller slettet. Kombination af disse oplysninger med andre systemspor kan afsløre tidsmæssige korrelationer.

Denne sammenhæng er særligt vigtig i operationelle tilfælde. En enkelt teknisk medarbejder besvarer sjældent alle spørgsmål i en mere kompleks proces.

Vi forklarer mulighederne for pc'er og bærbare computere under Hvad er computerforensik?

Böblingen som teknologi- og IT-lokation – når udviklingsviden bliver til digital evidens

Böblingen i Stuttgart- regionen er særligt kendetegnet ved teknologiorienterede virksomheder. Udvikling af biler og køretøjer møder IT og software, måle- og styringsteknologi, medicinsk teknologi, ingeniørtjenester og adskillige specialiserede mellemstore virksomheder.

Denne struktur ændrer betydningen af ​​digital dokumentation. I en traditionel administrativ virksomhed kan kundedata eller forretningsdokumenter være i fokus. I en teknologiorienteret virksomhed kan kildekode, testdata, designdokumenter, tekniske specifikationer, udviklingsstatusser eller fortrolig projektdokumentation derimod være af særlig værdi.

Desuden gemmes sådanne oplysninger ofte ikke på en enkelt computer. Udviklingsdata kan distribueres mellem bærbare computere, stationære computere, smartphones, servere, cloudplatforme og andre virksomhedssystemer.

I et mistænkt tilfælde er det derfor nødvendigt først at afklare, hvilke oplysninger der rent faktisk kan være påvirket, og på hvilke systemer der kan forventes relevante spor.

IT-forensik for virksomheder i Böblingen

Virksomheder har ofte brug for digital retsmedicin, når en intern anomali skal omdannes til en pålidelig teknisk vurdering. Typiske spørgsmål omfatter:

• Blev der kopieret eller slettet nogen fortrolige filer?
• Hvilke eksterne lagringsenheder blev brugt på en arbejdsstation?
• Var der nogen usædvanlige aktiviteter før opsigelsen?
• Blev der muligvis overført udviklings- eller projektdata?
• Hvilke brugerkonti var involveret i processen?
• Er en virksomheds smartphone blevet kompromitteret?
• Hvilke systemer blev påvirket af en cyberhændelse?

Undersøgelsens omfang bør skræddersys til det specifikke spørgsmål. Målrettet backup af relevante systemer er ofte mere effektivt end generel indsamling af store mængder virksomhedsdata.

Beskyt udviklingsdata og intellektuel ejendom

I teknologiintensive virksomheder kan et databrud have en langt større effekt end tabet af individuelle dokumenter. Udviklingsstatusser, software, tekniske specifikationer, beregninger eller projektoplysninger kan repræsentere års udviklingsarbejde.

Situationen kan blive særligt kritisk omkring tidspunktet for opsigelse, suspension eller skift af arbejdsgiver. Hvis der er konkrete indikationer på usædvanlig filaktivitet, bør det tidligt afklares, hvilke systemer og datalagringsenheder der skal bevares som potentielt bevismateriale.

Målet er ikke at holde en specifik person ansvarlig udelukkende baseret på mistanke. Målet er snarere at sikre eksisterende tekniske beviser og derefter undersøge, hvilke processer der rent faktisk kan spores.

USB-sticks, eksterne harddiske og mulige kopieringsfunktioner

Eksterne lagringsmedier spiller ofte en rolle i mistanke om databrud. Under visse omstændigheder kan computere indeholde oplysninger om, hvilke USB-enheder der var tilsluttet, og hvornår disse forbindelser eksisterede.

Bevis for en enhedsforbindelse er dog ikke det samme som bevis for en specifik kopieringshandling. En mere omfattende vurdering kræver overvejelse af yderligere filsystem- og brugeraktivitet.

Denne sondring er særligt vigtig i sager, der er relevante for arbejdsret eller økonomi: En teknisk konstatering bør kun understøtte en påstand, der rent faktisk kan begrundes ud fra de tilgængelige data.

Cyberhændelser i teknologiorienterede virksomheder

Sammenkoblede udviklings- og virksomhedsmiljøer kan generere forskellige beviskilder i tilfælde af en cyberhændelse. Slutenheder, brugerkonti, e-mailsystemer og andre IT-komponenter kan hver især kun dokumentere en del af hændelsen.

Derfor skal to mål koordineres efter en sikkerhedshændelse: Truslen skal begrænses, samtidig med at relevante digitale spor ikke unødigt må ødelægges.

En generel geninstallation af alle berørte systemer kan komplicere en senere genopbygning. På den anden side bør et kompromitteret system ikke holdes kørende udelukkende af retsmedicinske årsager, hvis det risikerer at forårsage yderligere skade.

Sikkerhedskopiering af retsmedicinske data – før den egentlige analyse begynder

En grundig undersøgelse begynder med spørgsmålet om, hvordan det respektive bevismateriale er sikret. Smartphones, SSD'er, traditionelle harddiske og moderne Macs har hver især forskellige tekniske krav.

Det almindeligt anvendte billede af en identisk 1:1-kopi kan derfor ikke anvendes på alle moderne enheder. For eksempel kan smartphones kræve logiske udtræk, filsystemudtræk eller andre teknisk tilgængelige datalagre.

Den passende sikkerhedskopieringsmetode afhænger af undersøgelsesobjektet og de specifikke spørgsmål, der stilles. Vores vidensbaseartikel "Hvad er sikkerhedskopiering af retsmedicinske data ?" forklarer disse grundlæggende principper mere detaljeret.

Integritet og sporbarhedskæde

I bevisrelevante undersøgelser skal ikke blot resultatet være forståeligt. Oprindelsen og håndteringen af ​​de undersøgte data kan også være af betydning.

Med passende sikkerhedsforanstaltninger kan kryptografiske hashværdier bruges til at verificere integriteten af ​​et datasæt. En dokumenteret sporbarhedskæde beskriver yderligere håndteringen af ​​bevismaterialet – for eksempel erhvervelse, identifikation, sikring og videre behandling.

For mere dybdegående information, se venligst vores artikel Chain of Custody i digital retsmedicin.

Retsmedicinske værktøjer – hvorfor software alene ikke leverer bevis

Til forskellige enheder og operativsystemer kan værktøjer som Cellebrite UFED, Cellebrite Collector, Cellebrite Inspector, X-Ways Forensics, MOBILedit Forensic og MEFF 3 PRO, samt andre specialiserede værktøjer, anvendes.

Det tekniske udstyr alene bestemmer dog ikke kvaliteten af ​​en undersøgelse. Et retsmedicinsk program kan udtrække, sortere og vise data. Det afgørende professionelle arbejde begynder med fortolkningen.

Et tidsstempel skal klassificeres teknisk, en systemaktivitet skal forstås i sin kontekst, og et automatiseret softwarehit skal muligvis verificeres af yderligere artefakter. Derfor er en automatisk genereret rapport ikke ensbetydende med en ekspertudtalelse.

Certificerede processer og ekspertkompetence

LB Detektive GmbH har et kvalitetsstyringssystem, der er certificeret af TÜV NORD i henhold til DIN EN ISO 9001, hvilket omfatter IT-forensik. Derudover er eksperten certificeret i henhold til DIN EN ISO/IEC 17024.

De to certificeringer dækker forskellige niveauer. DIN EN ISO 9001 vedrører kvalitetsstyring og definerede organisatoriske processer. Personalecertificering i henhold til DIN EN ISO/IEC 17024 vedrører den dokumenterede kompetence hos en certificeret person.

For klienter betyder det frem for alt: Undersøgelser bør udføres på en struktureret måde, arbejdstrin bør dokumenteres på en forståelig måde, og tekniske fund bør klassificeres professionelt.

Tre typiske undersøgelsessituationer i Böblingen

Privat: Ukendt adgang til personlige oplysninger

Efter et brud ser det ud til, at en anden person stadig har adgang til information fra den private sfære. I stedet for udelukkende at søge efter spyware, indsnævres potentielle adgangspunkter til smartphones, konti, cloud-forbindelser og enheder, der forbliver autoriserede.

Teknologivirksomheder: Udviklingsoplysninger kan være lækket

Før en medarbejder forlader virksomheden, registreres der usædvanlig filaktivitet. Den relevante tidsperiode indsnævres, og derefter undersøges det, hvilke computere, brugeraktiviteter og eksterne lagerenheder der kan være relevante for det specifikke problem.

Virksomhed: En cyberhændelse påvirker flere systemer

I stedet for at betragte hver enhed isoleret, er det første skridt at bestemme, hvilke systemer og brugerkonti der er relevante for at rekonstruere hændelsen. Derefter kan eksisterende tekniske spor korreleres kronologisk.

Hvordan forløber en IT-retsmedicinsk undersøgelse?

1. Afgræns spørgsmålet

Først defineres det, hvilken digital proces der skal undersøges, og hvilken tidsperiode der er relevant.

2. Fastlæg beviser

Smartphones, computere, datalagringsenheder og andre datakilder er kun inkluderet, hvis de rent faktisk er relevante for forskningsspørgsmålet.

3. Sikkerhedskopier data professionelt

Sikkerhedskopimetoden er tilpasset enheden, operativsystemet, sikkerhedsstatus og undersøgelsesformålet.

4. Analysér digitale spor

Relevante artefakter evalueres og sammenlignes om nødvendigt med andre datakilder med hensyn til timing og indhold.

5. Dokumentér resultater

Afhængigt af opgaven kan resultaterne samles i en struktureret undersøgelsesrapport eller en udtalelse fra en IT-retsmedicinsk ekspert.

Hvad skal man undgå før en eksamen?

• Nulstil ikke en mistænkelig smartphone for hurtigt.
• Slet ikke selv mistænkelige apps.
• Installer ikke ukendt spyware eller oprydningsprogrammer.
• Hvis data er blevet slettet, skal enheden bruges så lidt som muligt.
• Undgå unødvendige ændringer af virksomhedens computere, hvis der er mistanke om et databrud.
• Dokumentér relevante sikkerhedsadvarsler og anomalier.

IT-forensik i Böblingen og Stuttgart-regionen

Vores serviceområde omfatter Böblingen, Sindelfingen, Leonberg, Herrenberg, Holzgerlingen, Schönaich, Ehningen og andre steder i Böblingen-distriktet. På grund af vores direkte forbindelse til Stuttgart-regionen udfører vi også relevante undersøgelser i Stuttgart og andre dele af Baden-Württemberg.

Spektret spænder fra en enkelt smartphone, der tilhører en privat kunde, til mere komplekse forretningssager, der involverer flere computere, mobile enheder eller datalagringsmedier.

Ofte stillede spørgsmål om IT-forensik i Böblingen

Kan jeg som privatperson bestille en mobiltelefonforensisk analyse?

Ja. Privatpersoner kan få smartphones undersøgt, for eksempel i tilfælde af mulig uautoriseret adgang, slettet kommunikation, kompromitterede konti eller for at sikre digitalt bevismateriale.

Er det muligt at finde ud af, om min telefon er blevet hacket?

Eksisterende tekniske indikationer på en mulig kompromittering kan undersøges. Om uautoriseret adgang rent faktisk kan bevises, afhænger af enheden, den mulige adgangsmetode og de data, der stadig er tilgængelige.

Er det muligt at tjekke om min tidligere partner stadig har adgang?

Afhængigt af omstændighederne kan smartphones, brugerkonti, autoriserede enheder og andre potentielle adgangspunkter undersøges. Fortsat adgang behøver ikke nødvendigvis at ske via spyware.

Kan slettede WhatsApp-beskeder gendannes?

Dette kan være muligt under visse tekniske forhold. Om der stadig findes brugbare data afhænger blandt andet af enheden, applikationen, eksisterende sikkerhedskopier og videre brug efter sletning.

Er det muligt at afgøre, om udviklingsdata er blevet kopieret?

Afhængigt af systemet kan filaktivitet, eksterne lagringsenheder og andre tekniske artefakter undersøges. Hvorvidt overførslen af ​​specifikke filer kan bevises, skal vurderes ud fra alle tilgængelige beviser.

Kan en tilsluttet USB-stick registreres?

Under visse omstændigheder kan computersystemer indeholde spor af tilsluttede USB-enheder. Bevis for en forbindelse beviser dog ikke automatisk, at specifikke filer er blevet kopieret.

Kan Mac-computere og krypterede systemer også undersøges?

I princippet ja. Den specifikke backup- og analysemetode afhænger dog af hardware, operativsystem, kryptering, sikkerhedsstatus og tilgængelige adgangsmuligheder.

Kan der stadig foretages en efterforskning efter et cyberangreb?

Ja, forudsat at der er egnede datakilder tilgængelige. Hvilke systemer og informationer der er nødvendige, afhænger af det specifikke angreb og de ændringer, der allerede er foretaget.

Er der udarbejdet ekspertrapporter?

Ja. Afhængigt af den aktuelle opgave kan en IT-retsmedicinsk ekspertrapport udarbejdes ud over en teknisk undersøgelsesrapport.

Hvor meget koster IT-forensisk analyse i Böblingen?

Den nødvendige indsats afhænger af det specifikke spørgsmål, antallet og typen af ​​enheder, datamængden, den tekniske tilgængelighed og den ønskede dokumentation. I mere komplekse tilfælde defineres derfor først det faktiske omfang af undersøgelsen.

Anmod om IT-forensisk analyse i Böblingen

Uanset om det drejer sig om en kompromitteret smartphone, slettet kommunikation, mulig uautoriseret adgang, datalækage eller en cyberhændelse: For en indledende vurdering er den berørte enhed eller det berørte system, den specifikke anomali, den relevante tidsperiode og mulige ændringer siden hændelsen særligt vigtige.

Baseret på dette kan det afgøres, hvilket digitalt bevismateriale der rent faktisk er nødvendigt, og hvilken bevarings- og analysemetode der er passende til det specifikke spørgsmål. Yderligere dybdegående information kan findes i vores vidensdatabase om digital retsmedicin.