Hvad skete der egentlig på en smartphone, computer eller brugerkonto? Dette spørgsmål er ofte udgangspunktet for en digital efterforskning. LB Forensik undersøger digitale spor for klienter fra Rosenheim, når kommunikation er blevet slettet, der er mistanke om uautoriseret adgang, filer er forsvundet, eller tekniske processer skal rekonstrueres af hensyn til en privat, forretningsmæssig eller juridisk sag.

Smartphones, Windows- og macOS-systemer, harddiske, SSD'er, eksterne lagerenheder, eksisterende sikkerhedskopier og tilgængelige cloud-data kan alle udgøre relevante beviskilder. Målet er ikke at indsamle den størst mulige mængde data, men snarere at opnå et forståeligt svar på det specifikke undersøgelsesspørgsmål.

Til opbevaring og analyse af tekniske data har LB Forensics forskellige specialiserede værktøjer til rådighed. Afhængigt af enhed, operativsystem og undersøgelsesformål bruger vi blandt andet Cellebrite, X-Ways Forensics, Belkasoft og MOBILedit Forensic . Relevante fund evalueres ikke udelukkende baseret på softwarevisninger, men snarere på de underliggende digitale artefakter.

Digital retsmedicin i Rosenheim – et overblik

• Retsmedicinsk undersøgelse af Apple iPhones og Android smartphones
• Computerretsmedicin til Windows og Apple macOS
• Analyse af WhatsApp og anden digital kommunikation
• Undersøgelse af slettede eller ikke længere synlige data
• Undersøgelse for teknisk detekterbare indikationer på uautoriseret adgang og kompromitteringer
• Analyse af harddiske, SSD'er, USB-sticks og andre datalagringsenheder
• Undersøgelse af eksisterende sikkerhedskopier og tilgængelige cloud-data
• Rekonstruktion af bruger-, fil- og systemaktiviteter
• Temporal tildeling og korrelation af flere digitale spor
• Forståelig dokumentation af sikkerhed, analyser og tekniske fund

Vi tilbyder også grundlæggende og dybdegående specialiseret information i vores vidensdatabase om digital retsmedicin . Der forklares individuelle procedurer, tekniske termer og typiske bevismæssige problemstillinger separat og detaljeret.

Hvilke spørgsmål kan IT-forensik besvare?

Digital retsmedicin starter ideelt set ikke med instruktionen om at "søge i alt". Et klart formuleret spørgsmål hjælper med at indsnævre relevante enheder, tidsperioder og datakilder og med at evaluere tekniske fund korrekt.

I en privat sag kan det for eksempel være relevant, om slettede beskeder stadig findes. I en virksomhed kan det derimod være nødvendigt at undersøge, om en ekstern lagringsenhed var tilsluttet, eller om en fil blev delt via en bestemt overførselsmetode.

Mulige forskningsspørgsmål omfatter:

• Blev beskeder, filer eller andre data slettet?
• Er der tekniske indikationer på uautoriseret adgang?
• Hvornår blev en specifik fil oprettet, åbnet, ændret eller slettet?
• Hvilke aktiviteter fandt sted inden for en specifik tidsramme?
• Blev der brugt en USB-stick eller anden ekstern lagringsenhed?
• Kan messengerkommunikation analyseres ved hjælp af de originale data?
• Er der nogen indikationer på et muligt databrud?
• Kan information fra smartphones, computere og skyen synkroniseres?
• Hvilke konklusioner kan et eksisterende digitalt artefakt rent faktisk drage?

Smartphone efterforskning i Rosenheim

Smartphones lagrer kommunikationsdata, medier, appdata og adskillige tekniske detaljer på meget lidt plads. Samtidig er en betydelig del af retsmedicinsk relevante data ikke umiddelbart synlige i brugergrænsefladen.

Afhængigt af enheden kan beskeder, opkaldsoplysninger, kontakter, appdatabaser, browserartefakter, fotos, videoer, filer, tidsoplysninger, systemdata og visse placerings- og forbindelsesartefakter undersøges.

De oplysninger, der rent faktisk er tilgængelige, afhænger blandt andet af modellen, operativsystemversionen, sikkerhedsstatus, kryptering og den tilgængelige udtrækningsmetode.

iPhone-efterforskning for Rosenheim

Med en Apple iPhone påvirker hardware, iOS-version, enhedens tilstand og kryptografiske sikkerhedsmekanismer alle de mulige undersøgelsesmetoder. Derfor kan den opnåelige ekstraktionsdybde ikke vurderes pålideligt udelukkende ud fra modelnavnet.

Afhængigt af den oprindelige situation kan beskeder, appdata, fotos, videoer, browseroplysninger, filer, tidsstempler, systemartefakter og andre oplysninger undersøges. Lokale sikkerhedskopier eller tilgængelige iCloud-data kan også repræsentere yderligere datakilder.

En central del af en professionel undersøgelse er at skelne mellem eksisterende data, rekonstrueret information og den fortolkning, der drages ud fra disse.

Teknisk baggrundsinformation om Apples sikkerhedsarkitektur, udtrækningsmetoder og undersøgelsesgrænser er forklaret i artiklen " Hvad er iPhone-forensik?".

Android-efterforskning for forskellige producenter

Android er ikke et samlet teknisk system. Samsung, Google, Honor, Xiaomi og andre producenter bruger forskellige hardware- og sikkerhedskonfigurationer. Android-versionen, sikkerhedsrettelsen og enhedens tilstand kan også påvirke de tilgængelige udtrækningsmetoder.

Afhængigt af enheden kan oplysninger såsom messenger-data, app-databaser, filer, medier, browseroplysninger, systemartefakter og andre brugsoplysninger undersøges.

Brug af flere retsmedicinske løsninger kan være nyttigt, hvis forskellige værktøjer tilgår forskellige datastrukturer, eller hvis resultaterne skal krydstjekkes professionelt.

Undersøg WhatsApp- og Messenger-kommunikation

I private konflikter, svindelsager, forretningstvister eller straffesager kan messengerkommunikation udgøre en central datakilde.

En retsmedicinsk analyse er ikke begrænset til den synlige chat. Afhængigt af de tilgængelige data kan beskeder, tidsstempler, kontakter, deltagere, gruppestrukturer, billeder, videoer, dokumenter, talebeskeder og andre app-artefakter være relevante.

Hvad skal du huske på, når du tager skærmbilleder på WhatsApp?

Et skærmbillede dokumenterer i første omgang kun en synlig repræsentation. Det indeholder ikke automatisk den underliggende beskeddatabase, interne tidsoplysninger eller andre artefakter fra den oprindelige enhed.

Hvis den originale enhed eller en passende ekstraktion er tilgængelig, kan yderligere tekniske oplysninger bruges til sammenligning.

Kan slettede WhatsApp-beskeder gendannes?

Dette kan være muligt under visse tekniske forhold. En fuldstændig restaurering kan dog ikke garanteres.

Relevante kilder kan omfatte eksisterende databaseoplysninger, sikkerhedskopier, mediebeholdninger eller andre tilknyttede datakilder. Om en fuldstændig, delvis eller ingen rekonstruktion er mulig, vil først blive klart efter en undersøgelse af det specifikke datasæt.

Computerforensik Rosenheim til Windows og macOS

Computere efterlader tekniske spor ved næsten enhver brug. Programmer startes, filer åbnes, brugere logges ind, lagringsenheder tilsluttes, data downloades, og applikationer synkroniseres med cloud-tjenester.

Disse aktiviteter kan efterlade forskellige artefakter. Afhængigt af forskningsspørgsmålet kan følgende datakilder for eksempel være egnede:

• Filsystemer og filstrukturer
• Filmetadata og tidsstempler
• Slettede filer og resterende filartefakter
• Brugerkonti og loginoplysninger
• Browserhistorik og downloads
• USB-enheder og eksterne lagringsmedier
• Program- og applikationsspor
• System- og hændelseslogfiler
• lokale cloud- og synkroniseringsartefakter
• yderligere oplysninger om operativsystemet

Ofte opstår den virkelige indsigt kun ved at kombinere flere artefakter. For eksempel betyder det faktum, at en USB-stick er blevet tilsluttet, ikke nødvendigvis, at specifikke filer er blevet overført til den pågældende lagringsenhed.

Yderligere grundlæggende oplysninger kan findes under Hvad er computerforensik ?.

Gendan slettede filer og data

Om slettede data stadig er tilgængelige, afhænger i høj grad af det specifikke lagringssystem. En traditionel harddisk, en moderne SSD og flashhukommelsen på en smartphone opfører sig forskelligt efter en sletningsproces.

Filsystemet, krypteringen, hukommelsesoprydningen, tidspunktet for sletningen og den efterfølgende brug af enheden påvirker alle, hvilke oplysninger der stadig kan rekonstrueres.

Derfor bør en enhed, der kan være relevant som bevismateriale, ikke anvendes unødvendigt eller behandles med nogen form for software til datagendannelse eller -oprydning.

IT-forensik for privatpersoner i Rosenheim

Private klienter har ofte brug for digital retsmedicin i situationer, hvor personlige og juridiske problemstillinger mødes. En smartphone eller computer kan så indeholde relevante oplysninger, der ikke pålideligt kan vurderes ved en normal gennemgang.

Typiske lejligheder omfatter:

• slettet eller omstridt kommunikation
• Mistanke om uautoriseret adgang til smartphone eller computer
• svindelsager
• Stalking og chikane
• Separation eller skilsmisse
• Tvist om digitale beskeder eller filer
• Sikring af relevante data før retssager
• Uforklarlige ændringer af enheder eller brugerkonti

Er min smartphone blevet hacket eller overvåget?

Usædvanlig opførsel af en smartphone er ikke bevis på en kompromitteret enhed. Højt batteriforbrug, varmegenerering, ukendte notifikationer eller øget datatrafik kan have forskellige årsager.

En retsmedicinsk undersøgelse bør derfor udføres uden forbehold. Afhængigt af enheden kan systemoplysninger, apps, konfigurationer, profiler, kommunikationsdata og andre tekniske artefakter undersøges.

Selv et negativt fund har sine begrænsninger. Hvis der ikke findes tegn på en kompromittering inden for de tilgængelige data, betyder det ikke nødvendigvis, at et angreb ikke har fundet sted på et tidligere tidspunkt.

Digitalt bevismateriale i sager om separation og skilsmisse

I private tvister er det særligt vigtigt at skelne mellem teknisk adgang og juridisk autorisation.

LB Forensics undersøger kun enheder, brugerkonti og datasæt, som de har den nødvendige autorisation til. Hemmeligt at få adgang til andres smartphones eller konti er ikke en tilladt retsmedicinsk tjeneste.

IT-forensik for virksomheder i Rosenheim

Rosenheim og den omkringliggende region er kendetegnet ved mellemstore virksomheder, servicevirksomheder, handel, håndværk og overregionale økonomiske forbindelser. Digitale hændelser kan derfor påvirke individuelle stationære computere såvel som mobile enheder, brugerkonti, ekstern lagring og cloud-applikationer.

Virksomheder bestiller digitale undersøgelser, for eksempel i tilfælde af mistanke om datalækager, interne medarbejdersager, slettede virksomhedsoplysninger, uautoriseret kopiering eller efter en IT-sikkerhedshændelse.

Mistanke om datatyveri eller datalækage

Til den tekniske vurdering af et potentielt databrud er en enkelt artefakt ofte utilstrækkelig. Et tilsluttet USB-drev beviser ikke en kopieringsoperation, og en eksisterende fil indikerer ikke nødvendigvis, at den er blevet delt.

Afhængigt af omstændighederne kan filadgang, eksterne lagringsenheder, cloud-applikationer, browseraktiviteter, e-maildata og andre systemoplysninger derfor sammenlignes.

IT-retsmedicinsk undersøgelse efter en cyberhændelse

Efter et mistænkt angreb kan systemlogfiler, brugeraktivitet, mistænkelige filer, persistensmekanismer, netværksspor og andre tekniske artefakter undersøges.

I en igangværende hændelse skal det tages i betragtning, at inddæmning og bevisopbevaring kan have andre krav. En kørende, krypteret computer kan præsentere en anden retsmedicinsk situation end et slukket system.

Retsmedicinsk analyse med Cellebrite

Cellebrite tilbyder specialiserede metoder til udtrækning og analyse af mobile og andre digitale datakilder. Hvilken metode der kan bruges i et specifikt tilfælde afhænger blandt andet af enheden, operativsystemet og sikkerhedsstatus.

Den tekniske udtrækning er kun én del af undersøgelsen. Den afgørende faktor er den korrekte fortolkning af de indhentede data.

X-Ways Forensics til computere og datalagringsenheder

Vi bruger X-Ways Forensics især til detaljerede undersøgelser af computere, harddiske, SSD'er og andre datalagringsenheder.

Værktøjet muliggør blandt andet undersøgelse af filsystemstrukturer, filer, metadata, slettede data og andre tekniske oplysninger. Ved komplekse problemer kan der udføres en meget målrettet analyse af individuelle lagerområder og artefakter.

Belkasoft til korrelation af digitale artefakter

Belkasoft understøtter struktureret analyse af forskellige digitale datakilder. Især med større datasæt kan kombination af relevante artefakter hjælpe med at afdække relationer og tidsmæssige forbindelser.

MOBILedit Forensic til mobile enheder

MOBILedit Forensic udvider vores muligheder for at udtrække og analysere data fra mobile enheder. Dette er især relevant i betragtning af den tekniske diversitet hos forskellige Android-producenter og enhedsmodeller.

Hvorfor bruger vi ikke bare et retsmedicinsk program?

Retsmedicinsk software fortolker data. Derfor kan forskellige værktøjer genkende eller vise det samme datasæt forskelligt.

Et program kan være særligt godt til at behandle bestemte app-artefakter, mens et andet kan stille yderligere filsystemoplysninger eller metadata til rådighed. Derfor kan en yderligere metode i relevante tilfælde tjene som et teknisk krydstjek.

Den originale datakilde er altid afgørende. En automatisk genereret softwarevisning erstatter ikke en professionel evaluering.

Hvordan sikres digitale beviser?

Den passende procedure afhænger af enhedens tilstand. En slukket lagerenhed, en tændt smartphone og en kørende krypteret computer kræver ikke automatisk den samme sikkerhedskopieringsmetode.

Hvor det er teknisk muligt, oprettes der først en passende sikkerhedskopi af de relevante data. Yderligere analyse kan derefter baseres på denne sikkerhedskopi, hvorved unødvendige ændringer af originalen undgås.

Hvad fortæller en hashværdi os?

En hashværdi kan bruges til at verificere integriteten af ​​et specifikt digitalt datasæt. Hvis tilsvarende hashværdier stemmer overens, er det muligt at kontrollere, om disse data er blevet ændret siden et defineret tidspunkt.

En hashværdi indikerer dog ikke automatisk, at en udtrækning var fuldført, eller at en professionel fortolkning er korrekt. Integritet, fuldstændighed og validitet skal vurderes separat.

Hvorfor dokumenteres håndteringen af ​​bevismateriale?

I bevisrelevante undersøgelser bør det fortsat være muligt at spore, hvilken enhed eller databærer der blev overtaget, hvilken tilstand den var i, hvilken sikkerhedskopiering der blev udført, og på hvilket datagrundlag analysen blev udført.

Dette gør det muligt tydeligt at tildele tekniske fund til en datakilde og et senere dokumenteret undersøgelsestrin.

Fra undersøgelsesordre til teknisk rapport

Definer spørgsmålet og tidsperioden

Først defineres den proces, der skal undersøges, og den tidsperiode, der skal tages i betragtning. Dette bestemmer de relevante enheder og datakilder.

Registrer den tekniske starttilstand

Enheden, operativsystemet, sikkerhedsstatus, kryptering og tilgængelige adgangsmuligheder tages i betragtning.

Prioriter og sørg for at sikre datakilder

Når man har med flere enheder at gøre, kan rækkefølgen af ​​sikkerhedskopier være relevant. Metoden afhænger af den specifikke situation og formålet med undersøgelsen.

Målrettet analyse af artefakter

Analysen er styret af forskningsspørgsmålet. Filer, databaser, kommunikationsinformation og systemspor undersøges ikke vilkårligt, men snarere på en faktuel måde.

Genopbygning af tekniske relationer

Hvis der er flere uafhængige datakilder tilgængelige, kan de sammenlignes med hinanden med hensyn til tid og indhold.

Forskellen mellem at finde og fortolke

En teknisk forsvarlig dokumentation adskiller den direkte fastlagte tekniske konklusion fra de konklusioner, der drages heraf, og identificerer begrænsningerne i de tilgængelige data.

IT-forensik i Rosenheim-området og det sydøstlige Oberbayern

Rosenheim danner et centralt knudepunkt mellem München , Chiemgau-regionen, Inn-dalen og det sydøstlige Oberbayern. Dens umiddelbare regionale omgivelser omfatter Kolbermoor, Bad Aibling, Raubling, Stephanskirchen, Prien am Chiemsee, Wasserburg am Inn og Traunstein.

Nærheden til München er også relevant for regional support. LB Forensik har en filial i München, som fungerer som et vigtigt regionalt kontaktpunkt for klienter fra Rosenheim.

Yderligere information om lokationen kan findes hos IT Forensics Munich . Der er en anden filial i Augsburg.

De andre nævnte steder er udelukkende til regional klassificering. Der hævdes ikke at være nogen filial der.

Hvad skal man undgå før en retsmedicinsk undersøgelse?

En potentielt problematisk smartphone bør ikke nulstilles for tidligt. Mistanke om malware eller ukendte apps bør heller ikke slettes separat, hvis deres oprindelse eller aktivitet skal undersøges senere.

Datagendannelse, oprydning og såkaldte anti-spy-programmer kan også oprette nye filer og logfiler eller ændre eksisterende data.

En computer, der allerede er slukket, bør ikke startes normalt udelukkende med henblik på den indledende inspektion. Selve opstarten af ​​operativsystemet forårsager tekniske ændringer.

Omvendt er det ikke altid den rigtige fremgangsmåde at slukke enheden med det samme. Med et kørende krypteret system kan enhedens aktuelle tilstand være relevant for senere adgang til bestemte data.

Ofte stillede spørgsmål om IT-forensik i Rosenheim

Må LB Forensics undersøge smartphones, der tilhører privatpersoner fra Rosenheim?

Ja. Privatpersoner er eksplicit blandt vores klienter. Afhængigt af problemet kan vi undersøge smartphones, computere, datalagringsenheder, eksisterende sikkerhedskopier og tilgængelige cloud-data.

Er det muligt at tjekke om min iPhone er blevet hacket?

En undersøgelse kan lede efter teknisk detekterbare indikationer på mulig uautoriseret adgang eller kompromittering. De konklusioner, der kan drages, afhænger af enheden, de tilgængelige data og den opnåelige undersøgelsesdybde.

Kan slettede WhatsApp-beskeder gendannes?

Dette er muligt under visse betingelser. En fuldstændig gendannelse kan ikke garanteres, da det afhænger af enheden og de data, der rent faktisk stadig er til stede.

Er det muligt at fastslå, hvornår en fil blev slettet?

Afhængigt af filsystemet og de eksisterende data kan tidsstempler, filsystemoplysninger og andre artefakter give spor til en sletnings- eller ændringsproces. Det er dog ikke alle processer, der kan rekonstrueres ned til sekundet.

Kan en USB-stick spores til en virksomheds computer?

Windows og andre systemer kan indeholde spor af tilsluttede lagringsmedier. Tilstedeværelsen af ​​en forbindelse alene beviser dog ikke en faktisk dataoverførsel.

Kan et WhatsApp-skærmbillede kontrolleres for manipulation?

Et skærmbillede kan analyseres teknisk, men har i sig selv begrænset betydning. Hvis den originale enhed eller en passende yderligere datakilde er tilgængelig, kan yderligere artefakter bruges til sammenligning.

Kan smartphones og computere bruges til at analysere data sammen?

Ja. Hvis flere datakilder vedrører det samme problem, kan relevante artefakter betragtes sammen og korreleres med hinanden over tid.

Kan IT-retsmedicin endeligt afgøre, hvem der har brugt en computer?

Ikke i alle tilfælde. Digitale spor kan knyttes til en enhed, brugerkonto eller teknisk proces. Dette betyder ikke automatisk, hvilken fysisk person der rent faktisk betjente enheden.

Hvilken software bruger LB Forensics?

Afhængigt af datakilden og det stillede spørgsmål bruger vi værktøjer som Cellebrite, X-Ways Forensics, Belkasoft og MOBILedit Forensic.

Har LB Forensik en filial i Rosenheim?

Der er ikke angivet nogen filial i Rosenheim. Den regionalt relevante LB-retsmedicinske filial ligger i München. Der er også en filial i Augsburg.

Skal en mistænkelig smartphone slukkes?

Der er ikke et enkelt svar på det. Med moderne krypterede smartphones kan enhedens aktuelle tilstand påvirke de retsmedicinske muligheder. Før enheden genstartes eller slukkes, bør den specifikke situation vurderes ved hjælp af tekniske metoder.

Hvilke oplysninger hjælper med den indledende vurdering?

Særligt vigtigt er enhedstype, model, operativsystem, relevant tidsperiode, kendte afvigelser, allerede trufne foranstaltninger og det specifikke spørgsmål, som undersøgelsen har til hensigt at besvare.