Når private beskeder lækkes, selvom ingen burde have adgang til dem, en smartphone udviser usædvanlig aktivitet, eller vigtig kommunikation pludselig forsvinder, opstår der hurtigt mistanke om digital indtrængen. Der er dog en afgørende forskel mellem en mistænkelig observation og teknisk verificerbar uautoriseret adgang.

Vores IT-forensiktjenester i Bayreuth er derfor specifikt rettet mod privatpersoner, der har brug for klarhed over aktivitet på deres smartphones, computere eller i deres digitale konti. I stedet for at bekræfte antagelser undersøger vi de tilgængelige data objektivt: Hvilke digitale spor findes der rent faktisk? Hvad kan rekonstrueres kronologisk? Hvilke udsagn er teknisk pålidelige – og hvor ender bevisværdien af ​​de tilgængelige data?

Derudover støtter vi virksomheder, advokatfirmaer og andre klienter i at sikre og analysere digitalt bevismateriale. På et universitet, forsknings- og erhvervsområde som Bayreuth kan dette ikke kun omfatte personlige enheder, men også forskningsinformation, forretningskommunikation, virksomhedsdata og teknisk knowhow.

Har du mistanke om uautoriseret adgang til din smartphone?

Mange private efterforskninger starter ikke med en enkelt, klar teknisk hændelse, men snarere med en række uregelmæssigheder. En anden kender indholdet af private samtaler. Beskeder ser ud til at være blevet læst. En ukendt enhed dukker op i en brugerkonto. Efter et brud er der mistanke om, at den tidligere partner stadig modtager information.

Sådanne observationer bør tages alvorligt, men ikke fortolkes forhastet.

Uautoriseret adgang behøver ikke nødvendigvis at ske via en traditionel spyware-app. Mulige årsager omfatter kendte loginoplysninger, enheder, der forbliver logget ind, sammenkædede messenger-sessioner, cloud-synkroniseringer eller tidligere tildelte tilladelser.

En retsmedicinsk undersøgelse tager derfor ikke kun hensyn til spørgsmålet "Er der installeret spyware?", men også til det samlede tekniske billede.

Mobiltelefonforensik for privatpersoner fra Bayreuth

I dag er en smartphone ofte det vigtigste digitale bevis for en privatperson. Kommunikation, fotos, beskedapps, e-mails, kontakter, brugerkonti og mange andre personlige oplysninger samles alle på én enhed.

En undersøgelse kan være nyttig, hvis du for eksempel ønsker at få afklaret:

• om der er tegn på uautoriseret adgang,
• om usædvanlige apps eller konfigurationer kan detekteres,
• om andre enheder er forbundet til personlige konti,
• om WhatsApp- eller Messenger-data stadig er tilgængelige,
• om slettet kommunikation kunne rekonstrueres teknisk,
• om digitale adgangsveje vil fortsætte efter en separation,
• om relevante fotos, beskeder eller dokumenter kan gemmes,
• eller om digitale oplysninger skal dokumenteres af juridiske årsager.

Hvilke data der rent faktisk er tilgængelige, afhænger i høj grad af smartphone-modellen, operativsystemet, sikkerhedsstatus, kryptering og den teknisk mulige udtrækningsmetode. Vi forklarer det grundlæggende i artiklen " Hvad er Smartphone Forensics?".

Telefon hacket – hvilke spor er virkelig pålidelige?

Et hurtigt afladet batteri, en varm enhed, højt dataforbrug eller lejlighedsvise nedbrud kan have adskillige årsager. Ingen af ​​disse observationer, taget enkeltvis, beviser et kompromis.

Af større retsmedicinsk interesse er tekniske artefakter og deres indbyrdes sammenhænge. Afhængigt af enheden kan applikationer, tilladelser, kontooplysninger, systemdata og andre tilgængelige spor undersøges.

Et negativt resultat skal også fortolkes korrekt. Hvis der ikke findes pålidelige beviser i den undersøgte database, betyder det ikke automatisk, at adgangen ikke kunne have fundet sted på et tidligere tidspunkt.

Omfanget af et fund er altid begrænset af det faktisk tilgængelige datagrundlag.

Digital adgang efter en separation

Separation og konflikter i parforhold er blandt de mest følsomme områder inden for privat IT-efterforskning. Der er ofte mistanke om, at en tidligere partner stadig har adgang til personlig kommunikation, fotos eller andre oplysninger.

Men især i langvarige forhold blev digitale tjenester ofte oprettet i fællesskab. Adgangskoder var kendte, tablets blev delt, familiefunktioner blev aktiveret, eller brugerkonti blev logget ind på flere enheder.

Dette giver adgang til information uden installation af traditionel spyware.

Afhængigt af omstændighederne bør smartphonen derfor ikke betragtes isoleret. Brugerkonti, tilknyttede enheder, messenger-forbindelser og andre teknisk plausible adgangsmetoder kan også være relevante.

WhatsApp som bevis: mere end blot et skærmbillede

WhatsApp-kommunikation spiller ofte en central rolle i private konflikter, trusler, svindelsager og juridiske tvister.

Et skærmbillede dokumenterer dog kun det billede, der vises på skærmen. For en mere detaljeret teknisk evaluering er den oprindelige datakilde langt mere relevant.

Afhængigt af de tilgængelige udtrækningsmuligheder kan beskeder, tidsoplysninger, deltagertildelinger, medier, dokumenter, gruppeoplysninger og andre WhatsApp-artefakter undersøges.

Vi forklarer de tekniske muligheder mere detaljeret under "Retsmedicinsk analyse af WhatsApp-beskeder".

Slettede WhatsApp-beskeder – hvad er ellers muligt?

Udsagnet "slettet betyder altid permanent tabt" er lige så uærligt som løftet om, at enhver slettet besked kan gendannes.

Den afgørende faktor er den specifikke datasituation.

Afhængigt af enheden og applikationen kan databaser, medier, sikkerhedskopier eller andre eksisterende artefakter være relevante. En ældre sikkerhedskopi kan også indeholde oplysninger, der ikke længere er synlige i de aktuelle data.

Moderne smartphones bruger dog kryptering og komplekse lagringsmekanismer. Derfor kan en fuldstændig datagendannelse aldrig garanteres.

Hvis slettede oplysninger er vigtige, bør enheden bruges så lidt som muligt, og WhatsApp bør ikke geninstalleres for tidligt.

Retsmedicinsk undersøgelse af fotos, videoer og dokumenter

Det handler ikke altid om beskedapps. Private tvister kan også dreje sig om billeder, videoer, dokumenter eller andre filer.

Det første skridt er at finde ud af, hvor de pågældende oplysninger oprindeligt blev gemt. Udover selve smartphonen kan sikkerhedskopier, synkroniserede data eller andre enheder være relevante.

Det samme gælder for slettede filer: gendannelsesmulighederne afhænger af lagringsteknologi, kryptering, sletningsprocessen og videre brug.

iPhones og Android-enheder kræver forskellige undersøgelsesmetoder.

En moderne iPhone kan ikke undersøges som en traditionel harddisk. Det samme gælder for moderne Android-smartphones.

På Apple-enheder påvirker faktorer som model, iOS-version, enhedens tilstand og sikkerhedskonfiguration de tilgængelige muligheder. Android-enheder varierer også betydeligt afhængigt af producent, chipset, Android-version og sikkerhedsopdatering.

Derfor bestemmes det for hver enhed først, hvilken type databackup eller -udtrækning der er teknisk tilgængelig og giver mening for det specifikke spørgsmål.

Yderligere information kan findes i vores specialartikler om iPhone-forensik og Android-forensik.

Computerforensik til private anliggender

Nogle digitale processer kan ikke forstås udelukkende via en smartphone. Windows-pc'er, Mac-computere og bærbare computere kan indeholde yderligere spor.

Afhængigt af systemet kan brugeraktivitet, filsystemoplysninger, browserdata, tilsluttede enheder og installerede programmer blandt andet undersøges.

Dette kan for eksempel være relevant, hvis der også blev brugt messengers på computeren, en brugerkonto var logget ind på flere enheder, eller filer blev overført mellem forskellige systemer.

Yderligere teknisk baggrundsinformation kan findes under Hvad er computerforensik ?.

Phishing, onlinesvindel og kompromitterede brugerkonti

Efter en phishing- eller svindelhændelse er der ofte bekymring for, at hele smartphonen er blevet kompromitteret. Teknisk set er dette ikke nødvendigvis tilfældet.

For en meningsfuld undersøgelse er det vigtigt først at rekonstruere, hvad der rent faktisk skete: Blev et link åbnet? Blev loginoplysninger indtastet? Blev en fil downloadet? Var der efterfølgende usædvanlig kontoaktivitet?

Afhængigt af omstændighederne kan beskeder, e-mails, browseroplysninger, downloads og andre tekniske spor være relevante.

En retsmedicinsk undersøgelse kan hjælpe med at dokumentere den digitale proces. Den kan dog ikke automatisk identificere den fysiske person bag en svigagtig server, et svigagtigt telefonnummer eller en svigagtig brugerkonto.

Digitalt bevismateriale for advokater og juridiske tvister

I private tvister er det ofte ikke nok blot at finde en information. Kilden og hvordan den blev sikret, kan være afgørende senere.

Derfor skelner vi mellem en simpel visuel inspektion og en verificerbar retsmedicinsk undersøgelse.

For data, der er relevante for bevismateriale, dokumenteres det, hvilket undersøgelsesobjekt der var til stede, hvilken sikringsmetode der blev anvendt, og på hvilket datagrundlag den efterfølgende analyse blev udført.

For egnede datasæt kan hashværdier bruges til at verificere deres fortsatte integritet. Vores artikel om integriteten af ​​digitale beviser forklarer, hvad hashværdier kan – og ikke kan – gøre.

Hvilken retsmedicinsk software bruger vi?

Smartphones, computere og datalagringsenheder adskiller sig betydeligt i deres tekniske specifikationer. Derfor arbejder vi ikke med én universel løsning, men snarere med adskillige specialiserede retsmedicinske systemer.

Cellebrite-indsatser

Cellebrite Inseyets bruges især inden for mobil retsmedicin. Afhængigt af enheden og tilgængelige udvindingsteknikker kan smartphone-data analyseres på en struktureret måde, og relevante artefakter kan evalueres for det respektive forskningsspørgsmål.

Cellebrite digital samler og inspektør

Til undersøgelser af computere og databærere findes der specialiserede værktøjer som Cellebrite Digital Collector og Inspector til dataindsamling og efterfølgende undersøgelse af digitale datasæt.

X-Ways Forensics

X-Ways Forensics muliggør dybdegående undersøgelser af filsystemer, lagringsmedier, partitioner og andre computerforensiske strukturer. Dette kan være særligt vigtigt for detaljerede filsystemanalyser.

MOBILedit Forensic og MEFF 3 Pro

MOBILedit Forensic og MEFF 3 Pro supplerer mulighederne for mobile undersøgelser og kan åbne op for yderligere analysemuligheder afhængigt af enhed og opgave.

Den anvendte software bestemmer dog ikke udelukkende resultatets kvalitet. Automatisk genererede hits skal gennemgås og evalueres professionelt i deres tekniske kontekst. Derfor er en softwarerapport ikke automatisk en ekspertvurdering.

Bayreuth: Universitetsby, forskningssted og økonomisk centrum i Oberfranken

Bayreuth har sin egen dedikerede struktur for digitale retsmedicinske undersøgelser. Udover sin rolle som regionalt center er byen kendetegnet ved sit universitet, forskningsinstitutioner, offentlige faciliteter, sundhedssektoren, servicesektoren samt produktions- og teknologiorienterede virksomheder.

Især forbindelsen mellem videnskab og forretning betyder, at digital information kan have meget forskellige betydninger. Udover traditionelle virksomhedsdata kan forskningsdokumenter, projektinformation, teknisk dokumentation, udviklingsstatus og anden knowhow være beskyttelsesværdige.

For en retsmedicinsk undersøgelse betyder det: målet er ikke at indsamle den størst mulige mængde data. Den afgørende faktor er at identificere de enheder og datakilder, der rent faktisk er relevante for et specifikt spørgsmål.

IT-forensik for virksomheder og institutioner i Bayreuth

Forretningsopgaver fokuserer på andre problemstillinger end en privat smartphone-gennemgang.

Typiske lejligheder kan omfatte:

• Mistanke om lækage af fortrolige oplysninger,
• usædvanlig filaktivitet før en medarbejders afgang,
• Brug af eksterne USB-lagerenheder,
• slettede eller ændrede forretningsdata,
• kompromitterede brugerkonti eller computere,
• interne sikkerhedshændelser,
• Cyberangreb
• eller sikring af elektronisk bevismateriale.

Især når det drejer sig om følsomme virksomheds- eller forskningsdata, bør undersøgelsens omfang defineres præcist. En målrettet analyse kan være mere informativ end den udifferentierede evaluering af store datasæt.

USB-stick fundet – beviser det datatyveri?

Nej. Dette er et godt eksempel på, hvorfor tekniske fund skal formuleres omhyggeligt.

Under visse omstændigheder kan et computersystem dokumentere, at en specifik USB-enhed blev tilsluttet. Dette betyder dog ikke automatisk, at fortrolige filer blev kopieret til den pågældende enhed.

For en mere grundig evaluering skal yderligere bevismateriale tages i betragtning. Kun samspillet mellem flere artefakter kan potentielt understøtte et mere konkret hændelsesforløb.

Cyberhændelse: Reager først eller sikring af bevismateriale først?

Begge skal koordineres.

I tilfælde af en igangværende sikkerhedshændelse prioriteres skadeskontrol. Samtidig kan ukoordinerede nye installationer eller sletningsforanstaltninger eliminere digitale spor, der senere er nødvendige til rodårsagsanalyse.

Derfor bør der træffes beslutninger så tidligt som muligt om, hvilke systemer der skal isoleres, hvilke data der skal sikkerhedskopieres, og hvilke foranstaltninger der skal dokumenteres.

Verificerbar kvalitet i stedet for automatiserede softwarerapporter

LB Detektive GmbH har et kvalitetsstyringssystem, der er certificeret af TÜV NORD i henhold til DIN EN ISO 9001, hvilket omfatter IT-forensik. Derudover er eksperten certificeret i henhold til DIN EN ISO/IEC 17024.

Der er tale om to forskellige niveauer: Kvalitetsstyring vedrører definerede organisatoriske processer; personalecertificering vedrører den certificerede persons dokumenterede kompetence.

For klienten er de vigtigste faktorer transparente undersøgelsesprocedurer, kontrolleret håndtering af dataene og en klar adskillelse mellem tekniske fund og professionel fortolkning.

Tre typiske situationer fra vores eksamenspraksis

Privat kommunikation synes ikke længere at være privat.

Efter et brud har en anden person adgang til indhold, der kun burde være på brugerens smartphone. I stedet for straks at antage spyware, indsnævres mulige tekniske adgangspunkter, og de tilgængelige data undersøges derefter systematisk.

Slettede beskeder bliver vigtige i en juridisk tvist.

En bestemt kommunikationshistorik er ikke længere fuldt synlig. Først undersøges det, hvilke datakilder der stadig er tilgængelige. Først derefter kan det vurderes, om en rekonstruktion har nogen teknisk udsigt til succes.

Virksomhedsdata kan være lækket, før en medarbejder forlod virksomheden.

Usædvanlig filaktivitet forekommer inden for en snævert defineret periode. I stedet for straks at konkludere, at der er tale om datatyveri, sammenlignes relevante computersystemer, eksterne lagringsenheder og andre tekniske spor.

Sådan begynder en retsmedicinsk undersøgelse.

1. Hvad skal præciseres?

Det starter ikke med software, men med et specifikt spørgsmål. Dette giver os mulighed for at bestemme, hvilke digitale spor der kan være relevante.

2. Hvilke datakilder er egnede?

Afhængigt af tilfældet kan smartphones, computere, datalagringsenheder, sikkerhedskopier eller andre tilgængelige datalagre være vigtige.

3. Hvilken sikkerhedsmetode er egnet?

Proceduren afhænger af enheden, operativsystemet, krypteringen og undersøgelsens formål. Identisk bit-for-bit-backup er ikke mulig i alle tekniske konfigurationer af moderne smartphones.

4. Hvilke beviser understøtter eller afkræfter den oprindelige antagelse?

Dataene søges ikke kun efter individuelle nøgleord. Relevante artefakter klassificeres teknisk og kronologisk og, hvor det er relevant, korreleres med hinanden.

5. Hvilke konklusioner kan man egentlig drage af dette?

Resultaterne dokumenteres på en sådan måde, at der kan skelnes mellem etablerede tekniske fakta, ekspertfortolkninger og ubesvarede spørgsmål.

Før undersøgelsen: Disse fejl kan ændre digitale spor

• Nulstil ikke en mistænkelig smartphone for tidligt.
• Slet ikke selv mistænkt spyware.
• Installer ikke ukendte analyse- eller oprydningsprogrammer.
• Geninstaller ikke WhatsApp, hvis du har slettet vigtige beskeder.
• Overskriv ikke eksisterende sikkerhedskopier unødigt.
• Brug en enhed med relevante slettede data så lidt som muligt.
• Dokumenter eventuelle usædvanlige rapporter, tidspunkter og observationer.

IT-forensik for Bayreuth og Oberfranken

Vores tjenester er tilgængelige for privatpersoner, virksomheder og advokatfirmaer i Bayreuth og den omkringliggende Oberfranken. Dette omfatter blandt andet Kulmbach, Hof, Coburg, Forchheim, Bamberg og andre steder i området.

For sager vedrørende storbyregionen Nürnberg er vores regionale IT-forensisk side for Nürnberg også tilgængelig.

Ofte stillede spørgsmål om IT-forensik i Bayreuth

Jeg tror, ​​at nogen overvåger min telefon. Hvad skal jeg gøre først?

Undgå at foretage forhastede ændringer på enheden. Notér eller dokumenter eventuelle specifikke afvigelser, og få den først kontrolleret for at afgøre, hvilken undersøgelse der er passende baseret på din enhed og det aktuelle spørgsmål.

Er det muligt for privatpersoner at få deres mobiltelefoner undersøgt?

Ja. Uautoriseret adgang, mistanke om spyware, slettet kommunikation, kontoproblemer og digitale konflikter efter en separation er typiske årsager til private efterforskninger.

Er det muligt at finde ud af, om min ekspartner har adgang til mine data?

Afhængigt af omstændighederne kan tekniske adgangsruter undersøges. Disse kan omfatte ikke kun smartphonen, men også tilknyttede konti og enheder. Om specifik adgang kan bevises afhænger af de tilgængelige beviser.

Kan al spyware detekteres?

Nej. En sådan garanti ville ikke være teknisk forsvarlig. Mulighederne for bevis afhænger blandt andet af enheden, operativsystemet, det potentielle angreb, tidspunktet for angrebet og tilgængelige data.

Er slettede WhatsApp-beskeder permanent tabt?

Ikke nødvendigvis. Under visse omstændigheder kan data eller andre relevante artefakter stadig være til stede. En fuldstændig gendannelse kan dog ikke garanteres.

Er det muligt at verificere, om et WhatsApp-skærmbillede er ægte?

Selve skærmbilledet har begrænset værdi. Hvis den originale smartphone eller et passende datauddrag er tilgængeligt, kan de underliggende kommunikationsdata være betydeligt mere informative.

Kan en Mac- eller Windows-computer også undersøges?

Ja. Den specifikke procedure afhænger af hardwaren, operativsystemet, krypteringen, enhedens tilstand og det spørgsmål, der skal besvares.

Kan en virksomhed afgøre, om data er blevet kopieret?

Under passende forhold kan filaktivitet, eksterne lagerenheder og andre systemartefakter undersøges. Om en specifik kopieringsoperation kan verificeres, skal vurderes ud fra det samlede antal tilgængelige spor.

Er et retsmedicinsk program tilstrækkeligt til en efterforskning?

Software kan udtrække data og vise artefakter. Den ekspertfortolkning, verifikation af korrelationer og evaluering af resultaternes betydning forbliver forskerens ansvar.

Hvordan bestemmes undersøgelsens omfang?

Udgangspunktet er enheden, den specifikke anomali, den relevante tidsperiode og det ønskede undersøgelsesmål. Herfra kan det udledes, hvilke sikkerhedsforanstaltninger og analyser der faktisk er nødvendige.

Fortrolig indledende vurdering af en sag fra Bayreuth

Hvis du har mistanke om uautoriseret adgang til din smartphone, har brug for slettet kommunikation eller ønsker at sikre digitale oplysninger i forbindelse med en tvist, er et par detaljer afgørende i starten: Hvilken enhed er berørt? Hvad har du præcist bemærket? Siden hvornår har du haft mistanke om det? Er enheden blevet nulstillet, opdateret eller på anden måde ændret siden da?

I virksomhedssager er den relevante tidsperiode, de berørte systemer og den specifikke mistanke også vigtig. Først derefter afgøres det, hvilken sikkerheds- og efterforskningsmetode der er teknisk passende.

Yderligere forståelige forklaringer på smartphone-, computer- og messenger-forensik samt opbevaring af digitale beviser kan findes i vores vidensdatabase.