Digitale spor dukker ofte op længe før det overhovedet er klart, at de senere vil være nødvendige til en undersøgelse. En iPhone lagrer kommunikations- og systemoplysninger, en Windows-computer dokumenterer bruger- og filaktivitet, og en cloudtjeneste kan indeholde yderligere data. LB Forensik undersøger digitale data på smartphones, computere, lagringsmedier, sikkerhedskopier og tilgængelige cloudsystemer for privatpersoner, virksomheder og advokater i Regensburg.

Fokus er på et specifikt teknisk spørgsmål. Blev beskeder slettet? Har en anden person muligvis tilgået en smartphone? Hvornår blev en fil brugt eller ændret? Blev virksomhedsdata kopieret til en ekstern lagringsenhed? Kan begivenheder fra flere enheder forbindes kronologisk? IT- forensik forsøger at rekonstruere sådanne processer baseret på eksisterende artefakter uden at drage konklusioner ud fra individuelle tekniske fund, der går ud over, hvad dataene i sig selv tillader.

Specialiserede retsmedicinske systemer er tilgængelige til sikring og analyse af bevismateriale. Afhængigt af enhed, operativsystem og efterforskningsmål bruger vi værktøjer som Cellebrite, X-Ways Forensics, Belkasoft og MOBILedit Forensic . Intet enkelt værktøj dækker alle datakilder lige godt. Derfor kan krydstjek med en anden metode være tilrådeligt, hvis der identificeres relevante fund.

IT-forensik for Regensburg: Overblik over efterforskningsområder

• Mobiltelefonforensik for Apple iPhones og Android smartphones
• Computerretsmedicin til Windows-pc'er, bærbare computere og Apple Macs
• Analyse af WhatsApp og anden digital kommunikation
• Undersøgelse af slettede og ikke umiddelbart synlige data
• Kontrollér for teknisk detekterbare beviser på uautoriseret adgang
• Analyse af harddiske, SSD'er, USB-sticks og andre lagringsmedier
• Evaluering af eksisterende sikkerhedskopier og tilgængelige cloud-data
• Rekonstruktion af relevante fil-, bruger- og systemaktiviteter
• Undersøgelse af potentielle datalækager og interne hændelser
• tidsmæssig korrelation af spor fra flere digitale datakilder
• Retsmedicinsk bevaring af definerede datasæt
• Forståelig dokumentation af beviser og efterforskningstrin

Vi forklarer også de tekniske grundprincipper og yderligere spørgsmål i vores vidensdatabase om digital retsmedicin . Der behandles individuelle metoder og datakilder separat, så den regionale serviceside ikke unødigt gentager det samme indhold.

Hvilke digitale spor kan undersøges?

Digital retsmedicin undersøger ikke kun synlige filer. Operativsystemer, apps og applikationer genererer yderligere oplysninger under deres brug, som senere kan være relevante for at rekonstruere en hændelse.

Afhængigt af systemet omfatter dette f.eks. appdatabaser, kommunikationsoplysninger, filmetadata, browserartefakter, brugerlogin, systemlogfiler, tilsluttede lagerenheder, cloud-synkroniseringer og tidsrelaterede systemoplysninger.

Hvilke af disse spor der rent faktisk er informative, afhænger af det spørgsmål, der undersøges. Der er andre relevante artefakter, når man undersøger mistanke om datalækage, end når man skal afgøre, om en specifik besked var til stede på en smartphone, eller hvornår en fil sidst blev brugt.

Mobiltelefonforensik i Regensburg til iPhone og Android

Mobiltelefonforensik i Regensburg omhandler digitale spor på smartphones og de tilhørende datakilder. Moderne mobile enheder indeholder ofte en betydelig del af en persons private eller forretningsmæssige kommunikation. Messengers, fotos, videoer, apps, browserdata og brugerkonti findes på en enkelt enhed og kan teknisk set være sammenkoblet.

En retsmedicinsk smartphone-undersøgelse går derfor ud over blot manuel gennemgang af det synlige indhold. Afhængigt af enheden og de tilgængelige data kan app-databaser, beskeder, medier, filer, opkaldsoplysninger, tidsstempler og visse system-, placerings- og forbindelsesartefakter undersøges.

De tilgængelige data afhænger af producent, model, operativsystemversion, sikkerhedsstatus, kryptering og teknisk mulig udtrækningsmetode.

iPhone-efterforskning på Apple-enheder

Med en Apple iPhone arbejder hardware, iOS og kryptografiske beskyttelsesmekanismer tæt sammen. Derfor kan det ikke før en teknisk undersøgelse garanteres pålideligt, at alle data fra en iPhone kan læses.

Afhængigt af enhedens tilstand kan data såsom beskeder, appdata, fotos, videoer, filer, browseroplysninger, tidsstempler og andre systemfejl være tilgængelige. Lokale sikkerhedskopier og autoriserede iCloud-data kan også repræsentere yderligere datakilder.

Enhedens aktuelle tilstand kan være af særlig betydning. En tændt iPhone, der allerede er blevet låst op siden sidste genstart, kan tilbyde andre retsmedicinske muligheder end den samme enhed umiddelbart efter en genstart.

Yderligere teknisk baggrundsinformation kan findes i den udgivne artikel "Hvad er iPhone-forensik?".

Android-efterforskning for Samsung, Google, Honor og andre producenter

Android-smartphones udgør ikke et teknisk ensartet system. Producent, model, chipset, Android-version og sikkerhedsopdatering påvirker i væsentlig grad mulighederne for retsmedicinsk datagendannelse.

Afhængigt af enheden kan messenger-data, appdatabaser, filer, billeder, videoer, browseroplysninger, systemartefakter og andre brugsoplysninger være relevante.

Især med Android-enheder er det afgørende at vælge det rigtige værktøj. Forskellige retsmedicinske løsninger kan understøtte forskellige udtrækningsmetoder eller dataområder, afhængigt af producent og enhed.

Teknisk analyse af WhatsApp-kommunikation

Messenger-data kan blive relevante i private konflikter, svindelsager, stalking, ansættelsesretlige anliggender eller interne virksomhedsundersøgelser. WhatsApp er regelmæssigt blandt de vigtigste mobile datakilder i disse sager.

En retsmedicinsk WhatsApp-analyse er ikke begrænset til at læse en synlig chat. Afhængigt af de tilgængelige data kan beskeder, deltageroplysninger, gruppestrukturer, tidsstempler, billeder, videoer, dokumenter, talebeskeder og andre app-artefakter analyseres.

Vi forklarer de tekniske muligheder mere detaljeret under "Retsmedicinsk analyse af WhatsApp-beskeder".

Slettede beskeder: Hvad kan stadig gendannes?

En slettet WhatsApp-besked kan ikke automatisk gendannes. Om der stadig er brugbare artefakter, afhænger af faktorer som operativsystem, appversion, databasestatus, eksisterende sikkerhedskopier og yderligere brug af smartphonen.

Under passende forhold kan databaseinformation, medier, sikkerhedskopier eller andre datakilder muliggøre en hel eller delvis rekonstruktion. En garanti for gendannelse ville dog ikke være teknisk forsvarlig.

Selv et negativt fund skal fortolkes korrekt. Hvis der ikke findes nogen relevant meddelelse i den undersøgte database, følger det ikke automatisk, at den aldrig har eksisteret. Den kunne for eksempel allerede være blevet fjernet helt eller kun have eksisteret i en utilgængelig datakilde.

Hvorfor et chat-skærmbillede ikke er det samme som en retsmedicinsk udtrækning

Et skærmbillede dokumenterer blot den synlige visning på en skærm. Det indeholder ikke automatisk den underliggende WhatsApp-database, interne identifikatorer eller andre app-artefakter.

Hvis den originale enhed eller en passende ekstraktionsmetode er tilgængelig, kan yderligere tekniske oplysninger bruges til sammenligning. Dette giver mulighed for en betydeligt mere dybdegående undersøgelse af databasen end det er muligt med et enkelt billede.

Computerforensik i Regensburg til Windows og macOS

Computerforensik i Regensburg undersøger tekniske spor på stationære pc'er, bærbare computere, Apple Macs og deres tilhørende lagringsmedier. En computer dokumenterer adskillige processer under dens brug, selvom disse ikke nødvendigvis er umiddelbart synlige senere.

Afhængigt af spørgsmålet kan filer, filsystemstrukturer, metadata, slettede data, brugerkonti, browseroplysninger, programaktiviteter, systemlogfiler, eksterne lagringsmedier og lokale cloud-artefakter undersøges.

De vigtigste indsigter opstår ofte fra samspillet mellem flere spor. Et enkelt tidsstempel eller en USB-post bør derfor ikke fortolkes uden den tilsvarende tekniske kontekst.

Vi forklarer metoden mere detaljeret i artiklen "Hvad er computerforensik?".

Kan brugen af ​​en USB-stick spores?

Windows-systemer kan gemme forskellige oplysninger om tilsluttede USB-enheder. Afhængigt af dataene kan f.eks. enhedsidentifikatorer og tidsmæssige relationer bestemmes.

Det tekniske bevis for, at en USB-stick var tilsluttet en computer, beviser dog ikke, at der har fundet en kopieringsproces sted. Yderligere artefakter skal tages i betragtning for at afgøre, om der har fundet en konkret dataoverførsel sted.

Dette kan omfatte filadgange, senest brugte filer, filsystemoplysninger, tidsstempler og andre bruger- eller systemaktiviteter.

Hvornår blev en fil oprettet, åbnet eller ændret?

Filsystemer og programmer kan generere forskellige tidsstempler. Afhængigt af systemet kan disse bruges til at få spor om oprettelse, ændring, adgang eller andre behandlingsoperationer.

Sådanne tidsstempler bør dog ikke fortolkes isoleret. Kopieringsprocesser, cloud-synkroniseringer, software og operativsystemprocesser kan alle påvirke tidsinformation. En mere pålidelig vurdering tager derfor højde for flere matchende artefakter.

Slettede filer, SSD'er og datagendannelse

Om slettede filer kan gendannes, afhænger i høj grad af lagringsmediet. Magnetiske harddiske, SSD'er og flashhukommelse på mobile enheder opfører sig forskelligt fra et teknisk synspunkt.

Med moderne SSD'er kan datasletningsmetoder forårsage, at slettede data relativt hurtigt bliver utilgængelige. Andre faktorer omfatter det anvendte filsystem, kryptering, tidspunktet for sletningen og efterfølgende systembrug.

IT-forensik går ud over blot datagendannelse. Hvis en fil skal evalueres som digitalt bevismateriale, kan dens oprindelse, metadata, tidsreference og andre systemartefakter også være relevante.

IT-forensik for privatpersoner fra Regensburg

Digital retsmedicin er ikke begrænset til virksomheder eller straffesager. Private smartphones og computere kan indeholde betydelige mængder relevante oplysninger i personlige konflikter eller juridiske tvister.

Privatkunder kontakter LB Forensik, for eksempel når der er mistanke om uautoriseret adgang til en smartphone, beskeder er forsvundet, der forekommer digital stalking, eller kommunikationen skal sikres og teknisk undersøges sporbart i forbindelse med et juridisk spørgsmål.

Mistanke om hacket eller overvåget mobiltelefon

Højt batteriforbrug, varmeudvikling, ukendte beskeder eller usædvanlig datatrafik er ikke i sig selv bevis for, at en smartphone er blevet kompromitteret.

En retsmedicinsk undersøgelse undersøger derfor uden forbehold, om der rent faktisk er relevante tekniske uregelmæssigheder til stede. Afhængigt af enheden kan apps, konfigurationer, profiler, systemoplysninger, kommunikationsartefakter og andre data analyseres.

Lige så vigtigt er tærsklen for et negativt fund. Hvis der ikke findes bevis for uautoriseret adgang i de tilgængelige data, beviser det ikke nødvendigvis, at en kompromittering ikke fandt sted på et tidligere tidspunkt.

Digitale beviser i sager om stalking, separation og personlige konflikter

Messenger-beskeder, filer, fotos, brugerkonti eller andre digitale oplysninger kan blive relevante i private tvister. Teknisk tilgængelighed og juridisk berettigelse er dog to forskellige problemstillinger.

LB Forensics undersøger kun enheder, konti og datasæt, som de har den nødvendige autorisation til. Hemmelig adgang til andre personers smartphones eller brugerkonti er ikke en tilladt retsmedicinsk undersøgelse.

Digitale undersøgelser for virksomheder i Regensburg

Regensburg kombinerer en stærk industriel og teknologisk base med universiteter, forskningsinstitutioner og adskillige mellemstore virksomheder. Især inden for sektorer som bilindustrien, elektroteknik, halvlederteknologi, IT, sensorteknologi og andre teknologiorienterede industrier genereres omfattende forretningsdatasæt.

I tilfælde af intern mistanke eller IT-sikkerhedshændelser kan flere datakilder derfor blive relevante samtidig: arbejdsstationer, bærbare computere, smartphones, eksterne databærere, e-mailsystemer, brugerkonti eller cloud-applikationer.

Mistanke om datalækage fra medarbejdere

I tilfælde af mistanke om databrud bør det første skridt være at undersøge, hvilke transmissionsmetoder der er teknisk mulige. USB-lagerenheder er blot én mulighed. Cloudlagring, e-mail, webapplikationer eller beskedapps kan også være relevante, afhængigt af omstændighederne.

En retsmedicinsk undersøgelse kan derfor sammenligne filadgang, eksterne lagerenheder, browseraktiviteter, cloud-artefakter og andre systemoplysninger.

En enkelt artefakt bør ikke overfortolkes. Først når flere uafhængige spor passer sammen indholdsmæssigt og tidsmæssigt, kan der opstå et mere pålideligt samlet teknisk billede.

Analyse efter en cyberhændelse

Efter et mistænkt angreb kan f.eks. brugeraktivitet, systemlogfiler, mistænkelige filer, persistensmekanismer, netværksspor og andre artefakter undersøges.

I en igangværende hændelse skal inddæmning og bevisopbevaring betragtes som en del af processen. En tændt og allerede dekrypteret computer kan efter en genstart have et andet retsmedicinsk udgangspunkt end det samme system.

Derfor er den generelle anbefaling om øjeblikkeligt at slukke alle berørte enheder ikke teknisk korrekt i alle tilfælde.

Cellebrite til mobildata og smartphoneanalyse

Vi bruger primært Cellebrite til at sikre og analysere mobile og andre digitale datakilder. Afhængigt af enheden og sikkerhedsstatus kan forskellige udtrækningsmetoder være tilgængelige.

Den tekniske udtrækning er dog kun grundlaget for undersøgelsen. Det afgørende er, hvilke artefakter der rent faktisk er til stede, og hvordan de evalueres i forhold til det specifikke forskningsspørgsmål.

X-Ways Forensics til computere og datalagringsenheder

X-Ways Forensics muliggør detaljerede undersøgelser af filsystemer, harddiske, SSD'er og andre lagringsmedier.

Dette muliggør undersøgelse af eksisterende og slettede filer, metadata, filsystemoplysninger og andre tekniske strukturer. Detaljeret filsystemanalyse kan være særligt relevant, når der er spørgsmål om filbrug, lagringsmedier eller slettede oplysninger.

Belkasoft til korrelation af forskellige datakilder

Belkasoft understøtter struktureret analyse af digitale artefakter fra forskellige kilder. I mere komplekse tilfælde kan dette hjælpe med at relatere kommunikation, brugeraktiviteter og andre data til hinanden med hensyn til tid og indhold.

MOBILedit Forensic som en yderligere metode til mobiltelefonforensik

MOBILedit Forensic supplerer vores muligheder for at udtrække og analysere data fra mobile enheder. Især i betragtning af den brede vifte af tekniske specifikationer fra forskellige Android-producenter kan en yderligere udtræknings- eller analysemetode være gavnlig.

Hvorfor bruges der ikke kun ét retsmedicinsk program

Retsmedicinske værktøjer har forskellige styrker. Ét program kan være særligt godt til at genkende bestemte appstrukturer, mens et andet kan behandle yderligere filsystemoplysninger eller andre artefakter.

I tilfælde, hvor relevante fund er til stede, kan en anden metode derfor tjene til at verificere deres sandsynlighed. Den oprindelige datakilde er dog altid afgørende. Et automatisk genereret softwarehit er endnu ikke et afgørende retsmedicinsk fund.

Bevaring af digital bevismateriale og dataintegritet

I en evidensbaseret undersøgelse bør det være muligt at spore, hvilken datakilde der blev undersøgt, og hvilket datasæt analysen er baseret på. Den passende backupmetode afhænger af den specifikke enhed.

For eksempel kan en traditionel databærer under passende forhold sikres anderledes end en tændt smartphone eller et kørende krypteret computersystem.

Hashværdier kan bruges til at kontrollere integriteten af ​​et defineret datasæt. En hashværdi beviser dog ikke automatisk, at sikkerhedskopieringen var fuldført, eller at den efterfølgende fortolkning af et fund er korrekt.

Detaljerede tekniske oplysninger kan findes under Integritet af digitalt bevismateriale.

Sporbarhedskæde: fra enhed til dokumenterede fund

Forvaringskæden dokumenterer håndteringen af ​​et bevismateriale. Dette kan omfatte erhvervelse af en smartphone eller computer, dens utvetydige identifikation, de trufne sikkerhedsforanstaltninger og andre relevante overførsler.

Det bør ikke forveksles med tekniske integritetstjek. En hashværdi verificerer et defineret datasæt. Beviskæden dokumenterer derimod, hvordan undersøgelsesobjektet og de resulterende sikkerhedskopier blev håndteret.

Vi forklarer forskellen i detaljer i den udgivne artikel " Chain of Custody in Digital Forensics".

Hvordan forløber en IT-retsmedicinsk undersøgelse?

Afklar spørgsmålet

Først bestemmes det, hvilken teknisk proces der skal undersøges, og hvilken tidsperiode der er relevant.

Bestem relevante enheder og datakilder

Ikke alle tilgængelige enheder behøver at blive undersøgt automatisk. Smartphones, computere, lagringsmedier, sikkerhedskopier og cloud-data prioriteres efter deres relevans i forhold til det aktuelle spørgsmål.

Optag den oprindelige tilstand

Enhedsmodel, operativsystem, sikkerhedsstatus, kryptering og tilgængelige adgangsmuligheder kan påvirke den passende backupstrategi.

Sikre data på en teknisk egnet måde

Databevaringsmetoden tilpasses det specifikke objekt, der undersøges. Hvor det er relevant, er den efterfølgende analyse baseret på et defineret datasæt.

Analyser relevante artefakter

Filer, databaser, kommunikationsinformation og systemspor evalueres specifikt baseret på det tidligere definerede forskningsspørgsmål.

Uafhængige spor korrelerer

Når flere datakilder vedrører den samme begivenhed, kan de sammenlignes kronologisk og faktuelt. Dette giver ofte mulighed for en mere præcis klassificering af en begivenhed, end det ville være muligt baseret på et enkelt datasæt.

Separate fund fra professionel fortolkning

Dokumentationen skal tydeligt vise, hvilke tekniske resultater der blev opnået, hvilke konklusioner der kan drages ud fra dem, og hvor de tilgængelige data ikke giver mulighed for en klar erklæring.

IT-forensik i Regensburg og det østlige Bayern

Regensburg er et betydeligt økonomisk, videnskabeligt og teknologisk knudepunkt i det østlige Bayern. Digitale undersøgelser påvirker derfor både private enheder og it-systemer inden for industri, teknologi, forskning, service og mellemstore virksomheder.

Den omkringliggende region omfatter blandt andet Neutraubling, Bad Abbach, Kelheim, Burglengenfeld, Schwandorf, Straubing, Cham og Abensberg . Disse steder er udelukkende nævnt her af geografiske årsager og præsenteres ikke som afdelinger af LB Forensik.

For andre områder i Bayern findes der allerede uafhængige og verificerede sider for IT-forensik i München , Ingolstadt og Augsburg.

I den specifikke sag, der undersøges, er bygrænserne alligevel af sekundær betydning. Det, der betyder noget, er det tilgængelige digitale bevismateriale, dets tilstand, den relevante tidsperiode og det aktuelle tekniske spørgsmål.

Hvad skal man undgå før en retsmedicinsk undersøgelse?

En smartphone, der kan være relevant som bevismateriale, bør ikke hurtigt nulstilles til fabriksindstillingerne. Mistænkelige apps, beskeder eller filer bør heller ikke slettes separat, hvis deres oprindelse eller brug skal undersøges senere.

Datagendannelses-, oprydnings- og antispywareprogrammer kan oprette nye filer og logfiler. Dette kan ændre de oprindelige data.

En computer, der allerede har været slukket, bør ikke genstartes normalt, selv ikke for en indledende inspektion. Selve opstarten af ​​operativsystemet genererer ny aktivitet og kan ændre eksisterende artefakter.

Omvendt er det ikke altid den rigtige fremgangsmåde at lukke et tændt system ned med det samme. Især med krypterede enheder kan den aktuelle tilstand påvirke fremtidige backupmuligheder.

Ofte stillede spørgsmål om digital retsmedicin i Regensburg

Arbejder LB Forensik også for privatpersoner fra Regensburg?

Ja. Afhængigt af det specifikke spørgsmål kan privatpersoner få undersøgt smartphones, computere, datalagringsenheder, eksisterende sikkerhedskopier og autoriserede clouddata.

Kan det undersøges, om min telefon er blevet hacket?

En retsmedicinsk undersøgelse kan lede efter teknisk detekterbare beviser for mulig uautoriseret adgang eller kompromittering. Hvilke konklusioner der kan drages afhænger af den specifikke enhed og de tilgængelige data.

Kan slettede WhatsApp-beskeder gendannes?

Under visse omstændigheder kan resterende databaseoplysninger, sikkerhedskopier, medier eller andre artefakter muliggøre rekonstruktion. En fuldstændig gendannelse kan ikke garanteres.

Er det muligt at se, om filer er blevet kopieret til en USB-stick?

Tilslutning af en USB-lagerenhed kan efterlade teknisk synlige spor. Om en specifik filoverførsel kan spores ud over dette, afhænger af andre eksisterende artefakter.

Kan en smartphone og en computer undersøges sammen?

Ja. Hvis flere enheder relaterer sig til det samme problem, kan relevante oplysninger analyseres i fællesskab og korreleres med hinanden over tid.

Er det muligt at fastslå, hvornår en fil blev brugt?

Afhængigt af operativsystemet og datatypen kan filmetadata, programspor og andre systemartefakter give spor om en fils brug. Et enkelt tidsstempel bør dog ikke fortolkes uden teknisk kontekst.

Kan digital retsmedicin endeligt afgøre, hvilken person der handlede?

Ikke automatisk. Digitale artefakter kan ofte tilskrives en enhed, brugerkonto eller teknisk proces. Dette betyder ikke nødvendigvis, hvilken fysisk person der rent faktisk betjente enheden på det relevante tidspunkt.

Kan et WhatsApp-skærmbillede verificeres teknisk?

Et skærmbillede kan analyseres, men indeholder i sig selv kun begrænsede tekniske oplysninger. Hvis den originale smartphone eller en passende udtrækningsmetode er tilgængelig, kan yderligere app- og kommunikationsartefakter bruges til sammenligning.

Hvilken retsmedicinsk software bruger LB Forensics?

Afhængigt af enhed, datakilde og undersøgelsesformål bruger vi blandt andet Cellebrite, X-Ways Forensics, Belkasoft og MOBILedit Forensic.

Skal en mistænkelig smartphone nulstilles eller genstartes?

Dette bør ikke gøres med en enhed, der kan være relevant som bevismateriale, uden en forudgående teknisk vurdering. En nulstilling eller genstart kan ændre de tilgængelige data og, i tilfælde af moderne smartphones, også enhedens retsmedicinsk relevante tilstand.