Uautoriseret adgang til en smartphone, manglende beskeder, mistænkelig kontoaktivitet eller potentielt kopierede virksomhedsdata kan ikke pålideligt afklares gennem ren spekulation. Det afgørende er at identificere de faktiske digitale spor, hvordan de kan være opstået, og hvilke tekniske konklusioner der kan drages ud fra dem.

For klienter i Erlangen undersøger vi smartphones, computere, datalagringsenheder og andre digitale beviser . Privatpersoner kontakter vores retsmedicinske team, især i tilfælde af mistanke om uautoriseret adgang, slettet kommunikation, kompromitterede konti eller digitale tvister efter en separation. For virksomheder er fokus på datalækager, interne mistanker, cyberhændelser og beskyttelse af følsomme forsknings-, udviklings- og forretningsdata.

Erlangen har en unik lokal kontekst for dette. Videnskab, forskning, medicinsk teknologi og teknologiorienterede virksomheder former placeringen og dens forbindelse til Nürnberg -storbyregionen . Hvor udviklingsviden, personlige oplysninger og fortrolige projektdata behandles digitalt, kan præcis bevisopbevaring være afgørende for den teknisk verificerbare rekonstruktion af en hændelse.

IT-forensik i Erlangen: Hvad kan egentlig bevises?

Professionel IT-forensik begynder med et specifikt spørgsmål. Blev en smartphone tilgået uden tilladelse? Er der stadig spor af slettet kommunikation? Blev specifikke virksomhedsfiler kopieret? Hvilke systemer blev påvirket af en cyberhændelse?

Kun ved at definere spørgsmålet kan det nødvendige udstyr og de nødvendige datakilder bestemmes. Der skelnes mellem observerede anomalier, tekniske fund og deres ekspertfortolkning. Denne adskillelse forhindrer, at individuelle artefakter for tidligt fortolkes som bevis for en bestemt proces.

Mobiltelefonforensik for privatpersoner i Erlangen

Smartphones er blandt de mest datarige personlige enheder. Messenger-kommunikation, fotos, kontakter, e-mails, appdata, brugerkonti, placeringsoplysninger og cloud-forbindelser kan alle være relevante for at rekonstruere en digital begivenhed.

En retsmedicinsk smartphone-undersøgelse kan være nyttig i forskellige situationer, herunder:

• Mistanke om uautoriseret adgang til en smartphone
• mulig spyware eller teknisk manipulation
• ukendte konto- eller enhedsforbindelser
• slettede WhatsApp- eller Messenger-beskeder
• slettede billeder, videoer eller andre data
• digitale konflikter efter separation eller skilsmisse
• Sikring af elektronisk bevismateriale til retssager

De oplysninger, der rent faktisk er tilgængelige, afhænger af den specifikke enhed, operativsystemet, sikkerhedsstatus, kryptering og de data, der stadig er tilgængelige.

Telefon hacket eller overvåget?

Usædvanligt højt batteriforbrug, overophedning af enheden eller øget datatrafik er ikke bevis for overvågning. Sådanne uregelmæssigheder kan have adskillige normale tekniske årsager.

I tilfælde af konkret mistanke undersøges objektivt verificerbare spor. Afhængigt af enheden kan applikationer, tilladelser, systemartefakter, brugerkonti og andre relevante oplysninger være inkluderet.

Især efter et brud behøver potentiel adgang ikke nødvendigvis at involvere spyware. Andre autoriserede enheder, kendte adgangskoder, Apple- eller Google-konti, e-mailadgang og synkroniserede cloudtjenester kan også være relevante.

En åben undersøgelse skal også kunne konkludere, at der ikke kan findes pålidelige tekniske beviser, der understøtter den formodede kompromittering.

Slettede WhatsApp-beskeder og digitale data

Slettede beskeder eller filer kan nogle gange gendannes under visse betingelser. Gendannelse kan dog ikke garanteres. Moderne smartphones bruger kryptering, flashhukommelse og komplekse lagringsmekanismer, der påvirker tilgængeligheden af ​​slettede data betydeligt.

Afhængigt af enheden kan messenger-databaser, medier, sikkerhedskopier eller andre artefakter undersøges. Hvis vigtige data er blevet slettet, bør enheden ideelt set ikke nulstilles eller bruges unødvendigt.

iPhone-, Android- og mobilforensik

iPhones og Android-enheder kræver forskellige undersøgelsesstrategier. For Apple-enheder påvirker faktorer som model, iOS-version, enhedens tilstand og sikkerhedskonfiguration de tilgængelige muligheder. For Android-enheder omfatter yderligere faktorer forskelle mellem producenter, chipsæt, operativsystemversioner og sikkerhedsopdateringer.

Afhængigt af enheden kan værktøjer som Cellebrite UFED, MOBILedit Forensic, MEFF 3 PRO og andre specialiserede systemer anvendes. Yderligere information kan findes i vores afsnit om mobil retsmedicin.

Computerforensik: Ikke bare at finde filer, men at rekonstruere processer.

Når man undersøger en computer, er den tidsmæssige kontekst ofte afgørende. Hvornår blev en fil oprettet, åbnet, ændret eller slettet? Hvilken brugeraktivitet kan stadig spores? Hvilke eksterne lagringsenheder var tilsluttet? Hvilke andre systemspor svarer til den undersøgte tidsperiode?

Windows-pc'er, Mac-diske, SSD'er og andre lagringsmedier har forskellige retsmedicinske egenskaber. Til tilsvarende undersøgelser kan værktøjer som Cellebrite Collector, Cellebrite Inspector og X-Ways Forensics samt andre specialiserede værktøjer anvendes.

Erlangen: Digital retsmedicin i krydsfeltet mellem forskning, medicinsk teknologi og teknologi

Erlangens profil rejser spørgsmål, der adskiller sig fra spørgsmålene fra traditionelle kommercielle eller administrative centre. Forskningsinstitutioner, medicinske og medicinskteknologiske faciliteter og teknologiorienterede virksomheder arbejder med data, hvis værdi kan række langt ud over individuelle filer.

Forskningsresultater, teknisk dokumentation, udviklingsdokumenter, projektkommunikation, personlige oplysninger og intern knowhow kan distribueres på tværs af forskellige slutenheder, brugerkonti og lagringssystemer.

I tilfælde af konkret mistanke er den bredest mulige analyse derfor ikke nødvendigvis den mest fornuftige tilgang. Først skal det fastslås, hvilke data der kan være berørt, hvor tilsvarende spor kan forventes, og hvilken tidsperiode der rent faktisk er relevant for undersøgelsen.

Forsknings- og udviklingsdata som digitalt bevismateriale

Forsknings- og udviklingsprojekter genererer ofte komplekse digitale oprindelseshistorikker. Filer redigeres, kopieres, versioneres, udveksles og synkroniseres på tværs af forskellige systemer over længere perioder.

I tilfælde af et potentielt databrud er den blotte tilstedeværelse af en specifik fil på et system derfor ikke den eneste afgørende faktor. Afhængigt af det specifikke spørgsmål kan filsystemoplysninger, tidsstempler, brugeraktivitet, eksterne lagerenheder og andre artefakter sammenlignes.

Der skal skelnes mellem en teknisk detekteret aktivitet og dens betydning. For eksempel beviser det faktum, at en fil blev åbnet, ikke automatisk, at den efterfølgende blev delt med en tredjepart.

IT-forensik for virksomheder i Erlangen

Virksomhedsefterforskning bliver særligt relevant, når en konkret mistanke skal verificeres teknisk. Dette kan omfatte lækage af fortrolige oplysninger, usædvanlig filaktivitet, kompromitterede brugerkonti eller en cyberhændelse.

Typiske forskningsspørgsmål omfatter:

• Blev der kopieret eller slettet nogen fortrolige filer?
• Hvilke eksterne lagringsenheder blev brugt?
• Var der nogen usædvanlige aktiviteter før du skiftede arbejdsgiver?
• Er en brugerkonto blevet brugt uden tilladelse?
• Hvilke digitale spor findes der relateret til en specifik begivenhed?
• Hvilke systemer blev påvirket af en sikkerhedshændelse?

Datalækage ved ophør af ansættelse eller skift af arbejdsgiver

Sager om mistanke om misbrug af virksomhedsoplysninger, såsom afskedigelse, suspension eller skift af arbejdsgiver, kan være særligt tidsfølsomme. Hvis der er konkrete indikationer på potentielt tyveri af virksomhedsoplysninger, er det afgørende at afklare tidligt, hvilke digitale beviser der skal opbevares.

Afhængigt af tilfældet kan arbejdscomputere, bærbare computere, firmamobiltelefoner, eksterne datalagringsenheder, brugerkonti eller andre systemer indeholde relevante spor.

En enkeltstående konklusion er ofte ikke tilstrækkelig. For eksempel beviser tilslutningen af ​​en USB-lagerenhed i første omgang kun dens forbindelse til computeren. Om specifikke filer blev overført til den, er et separat spørgsmål, der kræver undersøgelse.

Yderligere information om sådanne forhold kan findes i vores afsnit om datatyveri.

Cyberhændelser og kompromitterede systemer

I en cyberhændelse støder to krav sammen: et igangværende angreb skal inddæmmes, mens eksisterende digitale spor kan være relevante til senere rekonstruktion.

En hurtig geninstallation eller oprydning kan ændre information. Omvendt bør et kompromitteret system ikke unødvendigt anvendes udelukkende med det formål at bevare bevismateriale.

De nødvendige datakilder afhænger af den specifikke hændelse. Slutenheder, brugerkonti, systemoplysninger, e-maildata eller andre digitale kilder kan hver især dokumentere forskellige dele af hændelsen.

Digital bevisbevaring begynder før analyse.

Kvaliteten af ​​en undersøgelse afhænger ikke udelukkende af den analysesoftware, der anvendes senere. Selv erhvervelse og opbevaring af digitalt bevismateriale kan påvirke, hvilke konklusioner der kan drages senere.

Den passende metode afhænger af det objekt, der undersøges, og den tekniske opsætning. En traditionel datalagringsenhed kan håndteres anderledes end en krypteret smartphone, en SSD eller en moderne Mac.

Med passende sikkerhedsforanstaltninger kan kryptografiske hashværdier bruges til at verificere integriteten af ​​et datasæt. En dokumenteret sporbarhedskæde kan desuden registrere, hvornår og hvordan et undersøgelsesobjekt blev modtaget, sikret og behandlet.

Cellebrite, X-Ways og specialiserede retsmedicinske værktøjer

Til forskellige typer af undersøgelser findes værktøjer som Cellebrite UFED, Cellebrite Collector, Cellebrite Inspector, X-Ways Forensics, MOBILedit Forensic og MEFF 3 PRO, samt andre specialiserede værktøjer.

Software alene udgør ikke pålidelig retsmedicinsk analyse. Et værktøj kan udtrække, strukturere og præsentere data. Afgørende er det, at det kræver en ekspertvurdering: Hvordan opstod en artefakt? Hvilke konklusioner kan drages af den? Hvilke alternative forklaringer findes der? Og hvor slutter den tekniske betydning?

Certificeret kvalitet og ekspertkompetence

LB Detektive GmbH har et kvalitetsstyringssystem, der er certificeret af TÜV NORD i henhold til DIN EN ISO 9001, hvilket omfatter IT-forensik. Derudover er eksperten certificeret i henhold til DIN EN ISO/IEC 17024.

Dette kombinerer organisatorisk definerede kvalitetsprocesser med påviseligt kvalificeret ekspertkompetence. For klienter er transparente undersøgelsesprocedurer, kontrolleret håndtering af bevismateriale og klar teknisk dokumentation særligt relevante.

Typiske tilfælde undersøgt i Erlangen

Privatperson: Samvær efter separation

En anden person ser stadig ud til at være i besiddelse af fortrolige oplysninger. Mulige tekniske adgangsruter via smartphone, konti, synkroniserede enheder og kendte loginoplysninger undersøges, før en årsag vurderes.

Teknologivirksomhed: Mistanke om lækage af projektinformation

Fortrolige udviklingsdokumenter ser ud til at være lækket til personer uden for den tilsigtede kreds. I stedet for at evaluere alle virksomhedsdata, vil den relevante tidsperiode, berørte systemer og teknisk egnede datakilder først blive indsnævret.

Medarbejdersag: Mistænkelige aktiviteter før fratrædelse af virksomheden

Kort før et arbejdsgiverskifte registreres usædvanlig filaktivitet. Relevante filsystemspor, brugeraktivitet og eksterne lagringsenheder kan korreleres kronologisk for teknisk at indsnævre processen.

Hvordan forløber en IT-retsmedicinsk undersøgelse?

1. Definer forskningsformålet

Den indledende mistanke forvandles til et konkret teknisk spørgsmål.

2. Fastlæg relevant bevismateriale

Der foretages en vurdering for at fastslå, hvilke smartphones, computere, datalagringsenheder eller andre datakilder, der rent faktisk kan bidrage til at afklare situationen.

3. Sikr data korrekt

Backupproceduren er tilpasset enheden, operativsystemet og undersøgelsesformålet.

4. Analysér digitale spor

Relevante artefakter undersøges og sammenlignes om nødvendigt med andre datakilder med hensyn til timing og indhold.

5. Dokumentér resultater

Afhængigt af kommissionens omfang kan resultaterne samles i en struktureret undersøgelsesrapport eller ekspertudtalelse.

Hvad skal man undgå før en eksamen?

• Nulstil ikke en potentielt kompromitteret smartphone forhastet.
• Fjern ikke selv mistænkelige apps.
• Installer ikke ukendt spyware eller rengøringsprogrammer.
• Undgå unødvendige ændringer af computere og datalagringsenheder.
• Brug enheder med slettede data så lidt som muligt.
• Dokumentér ukendte logins og sikkerhedsadvarsler.

IT-forensik i Erlangen og storbyregionen

Vores serviceområde omfatter Erlangen, Herzogenaurach, Forchheim, Höchstadt an der Aisch, Fürth og andre steder i Nürnberg-regionen. Takket være tætte økonomiske og infrastrukturelle bånd kan vi håndtere både private og erhvervsmæssige undersøgelser i hele regionen.

Der er også en dedikeret hjemmeside for Nürnberg . Klienter kan få undersøgt individuelle smartphones eller computere, såvel som mere komplekse sager, der involverer flere digitale beviser.

Ofte stillede spørgsmål om IT-forensik i Erlangen

Kan jeg som privatperson bestille en mobiltelefonforensisk analyse?

Ja. Private efterforskninger omhandler ofte potentiel uautoriseret adgang, slettet kommunikation, brugerkonti, smartphones eller digitalt bevismateriale i forbindelse med personlige og juridiske tvister.

Er det muligt at finde ud af, om min smartphone er blevet hacket?

Eksisterende tekniske spor af mulig uautoriseret adgang kan undersøges. Om en kompromittering rent faktisk kan bevises, afhænger af enheden, operativsystemet, den mulige adgangsmetode og de data, der stadig er tilgængelige.

Kan slettede WhatsApp-beskeder gendannes?

En fuldstændig eller delvis rekonstruktion kan være mulig under visse tekniske forhold. En vellykket restaurering kan dog ikke garanteres.

Er det muligt at tjekke, om en tidligere partner stadig har adgang til mine data?

Afhængigt af omstændighederne kan smartphones, bankkontooplysninger og andre potentielle adgangspunkter blive undersøgt. Ud over malware kan f.eks. autoriserede enheder eller kendte loginoplysninger også være relevante.

Kan forsknings- eller udviklingsdata undersøges retsmedicinsk?

Ja. Afhængigt af systemet og det stillede spørgsmål kan f.eks. filaktiviteter, brugeraktiviteter, eksterne lagringsmedier og andre digitale artefakter undersøges og sammenlignes over tid.

Er det muligt at se, om filer er blevet kopieret til en USB-stick?

Tilslutning af en USB-lagerenhed og efterfølgende filaktivitet kan efterlade spor under visse omstændigheder. Om overførslen af ​​specifikke filer kan bevises, afhænger af den overordnede datasituation.

Kan cyberangreb undersøges retrospektivt?

Dette kan være muligt, hvis der stadig er egnede datakilder tilgængelige. Hvilke systemer og informationer der er nødvendige, afhænger af det specifikke angrebsscenarie.

Hvad er forskellen på en retsmedicinsk rapport og en ekspertudtalelse?

En undersøgelsesrapport dokumenterer de tekniske undersøgelser og fund, der er udført. En ekspertudtalelse besvarer derimod et defineret bevismæssigt eller teknisk spørgsmål baseret på klart præsenterede undersøgelses- og evalueringstrin.

Hvor meget koster en IT-retsmedicinsk undersøgelse i Erlangen?

Den nødvendige indsats afhænger af forskningsspørgsmålet, antallet af enheder, datamængden, den tekniske tilgængelighed og den ønskede dokumentation. For mere komplekse problemstillinger defineres det nødvendige omfang derfor i første omgang baseret på teknisk ekspertise.

Anmod om IT-forensisk analyse i Erlangen

Til en indledende vurdering er fire oplysninger særligt nyttige: Hvilken enhed eller hvilket system er berørt? Hvilke specifikke fund blev observeret? Hvornår indtraf den relevante hændelse omtrent? Og er enheden blevet brugt, ændret eller nulstillet siden da?

Baseret på dette kan det afgøres, hvilket digitalt bevismateriale der rent faktisk er nødvendigt, og hvilken bevarings- og analysemetode der er egnet til det specifikke spørgsmål. Yderligere dybdegående teknisk information kan findes i vores vidensdatabase om digital retsmedicin.