En smartphone opfører sig pludselig usædvanligt, private oplysninger bliver kendt af en anden person, eller vigtige beskeder slettes. I virksomheder kan iøjnefaldende filaktivitet, mistænkelige brugerkonti eller potentiel lækage af forsknings- og forretningsdata derimod være grundlag for en teknisk undersøgelse.

For klienter i Würzburg undersøger vi smartphones, computere, datalagringsenheder og andre digitale beviser med det formål at adskille tekniske fakta fra antagelser. Især i private sager er målet ofte ikke at udtrække så mange data som muligt, men at besvare et specifikt spørgsmål: Er der bevis for uautoriseret adgang? Er der stadig digitale forbindelser til en tidligere partner? Er slettede kommunikationsdata stadig teknisk relevante? Hvilke oplysninger kan sikres pålideligt?

Würzburg har en unik videnskabelig og økonomisk kontekst. Forskning og udvikling, biovidenskab, medicinsk teknologi, datalogi samt materiale- og overfladeteknologier er nøglesektorer i byen. Det betyder, at udover traditionelle virksomhedsdata kan forskningsresultater, teknisk dokumentation og digital knowhow også blive genstand for retsmedicinsk undersøgelse.

IT-forensik i Würzburg – hvad kan egentlig afklares teknisk?

Digital retsmedicin begynder med et verificerbart spørgsmål. Et ukendt login beviser ikke, hvem der rent faktisk tilgik en konto. En tilsluttet USB-stick er ikke automatisk bevis på datatyveri. Og usædvanlig batteridrænning på en smartphone er ikke bevis på spyware.

Derfor evalueres relevante artefakter i kontekst. Afhængigt af omstændighederne kan systemoplysninger, apps, brugerkonti, tidsstempler, filsystemdata, messenger-artefakter, tilsluttede lagerenheder eller andre tekniske oplysninger sammenlignes.

En pålidelig undersøgelse skal også åbent identificere, hvad der ikke kan fastslås pålideligt ud fra de tilgængelige data.

Mobiltelefonforensik for privatpersoner i Würzburg

Smartphones indeholder nu en betydelig del af personlig kommunikation og digital identitet. WhatsApp og andre beskedapps, fotos, e-mails, kontakter, brugerkonti, cloudtjenester og appdata kan indeholde relevant bevismateriale i tilfælde af private konflikter eller sikkerhedsbrud.

Typiske spørgsmål fra private kunder er:

• Har en anden person adgang til min smartphone?
• Er der tegn på teknisk manipulation eller spyware?
• Er ukendte enheder forbundet til mine konti?
• Kan min tidligere partner stadig få adgang til personoplysninger?
• Kan slettede WhatsApp-beskeder undersøges?
• Kan slettede billeder eller andre filer stadig gendannes?
• Hvordan kan digitalt bevismateriale sikres i en juridisk tvist?

Hvilke data der er teknisk tilgængelige, afhænger af faktorer som enhedsmodel, operativsystem, kryptering, sikkerhedsstatus og tilgængelige udtrækningsmetoder. Vores artikel " Hvad er Smartphone Forensics?" forklarer det grundlæggende.

Telefon hacket eller overvåget – ikke enhver mistanke betyder spyware

Mange ofre har i første omgang mistanke om en skjult overvågningsapp. Meget enklere adgangsmetoder kan dog også være relevante.

Kendte adgangskoder, stadig godkendte tablets eller computere, sammenkædede messenger-enheder, fælles oprettede Apple- eller Google-konti og cloud-synkroniseringer kan resultere i, at oplysninger forbliver tilgængelige.

Derfor bør en undersøgelse ikke begrænses til at søge efter specifik malware. Afhængigt af enheden kan applikationer, tilladelser, brugerkonti, systemartefakter og andre tekniske oplysninger undersøges.

Digital adgang efter separation eller konflikt i parforholdet

Især efter et brud kan tidligere delte digitale strukturer blive problematiske. En tidligere partner kender måske loginoplysninger, en gammel enhed er muligvis stadig godkendt, eller en delt konto synkroniserer muligvis data.

Derfor er det første skridt at afklare, hvilke digitale adgangsmetoder der er realistiske. Først derefter kan der træffes en beslutning om, hvorvidt kun smartphonen eller også konti og andre enheder skal medtages i undersøgelsen.

Denne tilgang hjælper også med at undgå unødvendige evalueringer af personoplysninger.

Teknisk analyse af WhatsApp-beskeder

WhatsApp-kommunikation kan være relevant i tilfælde af brud, trusler, bedrageri, private tvister eller juridiske kampe.

En retsmedicinsk analyse er ikke begrænset til den synlige chattekst. Afhængigt af de tilgængelige data kan beskeder, tidsstempler, deltageroplysninger, medier, dokumenter, gruppeoplysninger og andre tekniske artefakter undersøges.

Et skærmbillede har en anden teknisk betydning end en verificerbart sikret original datakilde. For en mere dybdegående evaluering er den originale smartphone eller en passende backup derfor normalt mere informativ.

Yderligere detaljer kan findes i vores vidensartikel "Retsmedicinsk analyse af WhatsApp-beskeder".

Slettede WhatsApp-beskeder – hvad kan der stadig være?

Slettet kommunikation går ikke automatisk helt tabt. Det kan dog heller ikke garanteres pålideligt, at alle slettede beskeder kan gendannes.

Afgørende faktorer inkluderer enhed, operativsystem, WhatsApp-version, databasestatus, eksisterende sikkerhedskopier og fortsat brug efter sletning. En ældre sikkerhedskopi kan også være relevant, hvis den indeholdt beskeder, der manglede i de aktuelle data.

Hvis vigtige oplysninger er blevet slettet, bør WhatsApp derfor ikke geninstalleres for tidligt, og smartphonen bør ikke nulstilles, hvis det er muligt.

Slettede fotos, videoer og dokumenter

Andre personoplysninger kan også være genstand for undersøgelse. Moderne smartphones bruger dog krypteret flashhukommelse og komplekse lagringsmekanismer.

Dette adskiller mulighederne betydeligt fra mulighederne med traditionelle harddiske. Derfor kan eksisterende sikkerhedskopier, cloud-synkroniseringer eller andre forbundne systemer, udover selve enheden, også være vigtige.

iPhone- og Android-retsmedicin

iPhones og Android-smartphones kræver en anden teknisk tilgang. For Apple-enheder påvirker især model, iOS-version, enhedens tilstand og sikkerhedskonfiguration undersøgelsesmulighederne.

Med Android er der betydelige forskelle mellem producenter, chipsæt, operativsystemversioner og patchniveauer. Derfor bestemmes backup- og udpakningsmetoden individuelt for hver enhed.

For mere dybdegående information, se iPhone-forensik og Android-forensik.

Computerforensik – kronologisk rekonstruktion af digitale aktiviteter

En computer kan indeholde adskillige spor, der ikke umiddelbart er synlige under normal brug. Afhængigt af operativsystemet kan filsystemoplysninger, brugeraktivitet, browserdata, tilsluttede enheder og andre systemartefakter være relevante.

Timingen er ofte særlig vigtig. Hvornår blev en fil åbnet eller ændret? Hvilke andre hændelser fandt sted i samme periode? Var en ekstern lagerenhed tilsluttet? Hvilke andre spor er relateret til denne proces?

Vores vidensartikel "Hvad er computerforensik?" forklarer dette mere detaljeret.

Phishing, smishing og digitalt bedrageri

Efter at have modtaget en falsk sms, e-mail eller besøgt en hjemmeside, er der ofte bekymring for, at hele smartphonen eller computeren er blevet kompromitteret.

For en teknisk vurdering skal den faktiske rækkefølge af begivenheder først rekonstrueres: Hvilken besked blev modtaget? Hvilket link blev åbnet? Blev loginoplysninger indtastet? Blev en fil downloadet? Hvilke usædvanlige hændelser opstod bagefter?

Afhængigt af omstændighederne kan SMS-beskeder, e-mails, browserdata, downloads og andre tekniske spor være relevante for at dokumentere hændelsen.

Digitalt bevismateriale til advokater og retssager

Enhver, der har til hensigt at bruge digital information senere i en juridisk tvist, bør ikke kun være opmærksom på dens synlige indhold. Oprindelsen, lagringsmetoden og den tekniske klassificering kan være lige så relevante.

For egnede datasæt kan kryptografiske hashværdier bruges til at verificere deres fortsatte integritet. En hashværdi beviser dog hverken indholdets sandhed eller hvilken person der udførte en specifik handling.

Vores vidensartikel om integriteten af ​​digitalt bevismateriale forklarer begrænsningerne og mulighederne.

Würzburg som forsknings-, medicinsk- og teknologisk placering

Würzburg kan prale af en unik kombination af universitet, forskning, medicin, biovidenskab og teknologiorienteret industri. Forskningsprioriteter omfatter eksperimentel biomedicin, medicinsk teknologi, materialevidenskab, struktur- og overfladeteknologier samt datalogi og erhvervsinformatik.

Dette rejser specifikke spørgsmål for digital retsmedicin. Forskningsdata, testopsætninger, teknisk dokumentation, projektinformation, personoplysninger og intellektuel ejendomsret kan have betydelig videnskabelig og økonomisk værdi.

Sådanne data gemmes ofte ikke kun på én computer. Arbejdsstationer, bærbare computere, mobile enheder, lagringsmedier og andre datakilder kan dokumentere forskellige dele af en proces.

Retsmedicinsk undersøgelse af forsknings- og udviklingsdata

Inden for forskning og udvikling genereres data ofte over længere perioder. Filer versioneres, ændres, udveksles mellem arbejdsstationer og behandles på forskellige systemer.

I tilfælde af mistanke om databrud er den blotte tilstedeværelse af en specifik fil derfor ikke den eneste relevante faktor. Filsystemoplysninger, tidsstempler, brugeraktivitet og eksterne lagringsmedier kan også være vigtige for rekonstruktionen.

En teknisk konklusion bør dog ikke automatisk fortolkes strengere, end dataene tillader. For eksempel beviser det faktum, at en fil er blevet åbnet, ikke, at den er blevet delt med en tredjepart.

IT-efterforskning for virksomheder og institutioner i Würzburg

Typiske forretningsrelaterede spørgsmål kan omfatte:

• Blev fortrolige forretnings- eller projektdata kopieret?
• Hvilke eksterne lagringsmedier blev brugt?
• Var der usædvanlige arkivaktiviteter før et arbejdsgiverskifte.
• Er en brugerkonto blevet brugt uden tilladelse?
• Er der muligvis lækket forsknings- eller udviklingsoplysninger?
• Hvilke systemer blev påvirket af en cyberhændelse?

Undersøgelsens omfang bør skræddersys så tæt som muligt til det specifikke forskningsspørgsmål. Især med forsknings-, sundheds- eller personaledata er en målrettet undersøgelse ofte mere nyttig end en udifferentieret analyse af store datasæt.

Datatyveri under opsigelse eller medarbejderskifte

Processer omkring opsigelse af ansættelse, suspension eller skifte til en konkurrent kan være særligt følsomme. Hvis der er konkrete indikationer på usædvanlig filaktivitet, bør det tidligt afklares, hvilke systemer der skal bevares som potentielt bevismateriale.

Arbejdspladscomputere, firmamobiltelefoner, bærbare computere, eksterne datalagringsenheder og andre datakilder kan indeholde forskellige tekniske spor.

Beviserne for, at en USB-stick var tilsluttet, er kun én del af fundet. Om specifikke filer rent faktisk blev overført, skal vurderes ud fra yderligere artefakter.

Cyberhændelser – undersøg tekniske årsager i stedet for blot synlige konsekvenser

En cyberhændelse kræver ofte en hurtig reaktion. Samtidig kan eksisterende systemtilstande og logfiler give afgørende spor om, hvad der skete.

En hurtig geninstallation kan ændre beviserne. Omvendt bør et kompromitteret system ikke unødvendigt fortsættes med at fungere udelukkende af retsmedicinske årsager.

Derfor skal forebyggelse af farer og bevisopbevaring koordineres afhængigt af situationen.

Retsmedicinsk databackup – kvaliteten bestemmes før analyse.

Kraftfuld analysesoftware kan ikke fuldt ud kompensere for utilstrækkelig databackup senere hen. Derfor er det første skridt at bestemme, hvordan det respektive undersøgelsesobjekt effektivt kan sikkerhedskopieres.

Smartphones, SSD'er, traditionelle lagringsmedier og moderne computere har forskellige tekniske krav. Ikke alle typer sikkerhedskopiering er mulige eller tilrådelige for alle enheder.

Yderligere grundlæggende informationer er forklaret i vores vidensartikel "Forensisk databackup".

Vores retsmedicinske software – forskellige værktøjer til forskellige datakilder

Vi bruger adskillige specialiserede systemer til at undersøge smartphones, computere og datalagringsenheder. Valget af værktøjer afhænger af enheden, operativsystemet og det specifikke spørgsmål, der undersøges.

Cellebrite-indsatser

Cellebrite Inseyets understøtter især struktureret analyse af mobildata. Afhængigt af smartphonen og de tilgængelige udtrækningsmuligheder kan relevante artefakter undersøges specifikt og korreleres.

Cellebrite Digital Collector

Digital Collector bruges til egnede indsamlinger af computere og databærere. Fremgangsmåden afhænger blandt andet af hardware, operativsystem, kryptering og undersøgelsens formål.

Cellebrite-inspektør

Inspector muliggør yderligere analyse af computerforensiske datasæt og understøtter struktureret evaluering af relevante artefakter i store datasæt.

X-Ways Forensics

X-Ways Forensics bruges til detaljerede undersøgelser af filsystemer, databærere, partitioner og andre computerforensiske strukturer.

MOBILedit Forensic og MEFF 3 Pro

MOBILedit Forensic og MEFF 3 Pro supplerer mobil retsmedicin og muliggør, afhængigt af enheden, yderligere tekniske analysemetoder.

Antallet af programmer er ikke den afgørende faktor. Software udtrækker og strukturerer data. Kun ekspertvurdering afgør den faktiske relevans af et artefakt i forhold til det specifikke forskningsspørgsmål.

Certificerede processer og ekspertvurdering

LB Detektive GmbH har et kvalitetsstyringssystem, der er certificeret af TÜV NORD i henhold til DIN EN ISO 9001, hvilket omfatter IT-forensik . Derudover er eksperten certificeret i henhold til DIN EN ISO/IEC 17024.

De to niveauer skal skelnes. DIN EN ISO 9001 omhandler definerede organisatoriske kvalitetsprocesser; certificering i henhold til DIN EN ISO/IEC 17024 omhandler den certificerede persons dokumenterede kompetence.

For klienter er transparente processer, kontrolleret håndtering af bevismateriale og teknisk forståelig dokumentation særligt relevante.

Tre typiske eksamenssituationer i Würzburg

Privat: Har du stadig adgang efter et brud?

En anden person ser ud til stadig at have adgang til private oplysninger. I stedet for straks at antage spyware, indsnævres mulige adgangspunkter til smartphones, brugerkonti, cloud-forbindelser og tilsluttede enheder.

Privat: Slettet kommunikation bliver juridisk relevant

En vigtig budbringerhistorik er ikke længere fuldt synlig. Først vil vi undersøge, hvilke datakilder der stadig er tilgængelige, og hvilke tekniske udtrækningsmetoder der er mulige. Først derefter kan vi pålideligt vurdere udsigterne for rekonstruktion.

Forsknings- eller forretningsmiljø: Fortrolige data kan være lækket.

Inden for en defineret tidsramme registreres usædvanlig filaktivitet. I stedet for straks at konkludere, at dette indikerer et databrud, undersøges relevante systemer, brugeraktivitet og eksterne lagringsenheder i kontekst.

Hvordan forløber en IT-retsmedicinsk undersøgelse?

1. Definer forskningsspørgsmålet

I starten defineres det, hvilken digital proces der rent faktisk skal afklares.

2. Vælg datakilder

Kun enheder, lagringsmedier eller konti med en direkte forbindelse til det pågældende spørgsmål vil blive inkluderet.

3. Sikr data korrekt

Backupmetoden er tilpasset enheden, operativsystemet, krypteringen og den tekniske tilstand.

4. Analysér digitale spor

Relevante artefakter klassificeres teknisk og kronologisk og sammenlignes om nødvendigt med andre datakilder.

5. Dokumentér resultater

Afhængigt af opgaven kan resultaterne samles i en undersøgelsesrapport eller en ekspertdokumentation.

Hvad skal man undgå før en eksamen?

• Nulstil ikke en potentielt kompromitteret smartphone forhastet.
• Fjern ikke selv mistænkelige apps.
• Geninstaller ikke WhatsApp, hvis relevante data er blevet slettet.
• Installer ikke ukendt spyware eller oprydningsprogrammer.
• Overskriv ikke eksisterende sikkerhedskopier uden nøje overvejelse.
• Undgå unødvendige ændringer af computere eller datalagringsenheder, hvis der er en konkret mistanke om datalækage.

IT-forensik i Würzburg og vores driftsområder i Mainfranken

Vores operationsområde omfatter Würzburg, Schweinfurt, Kitzingen, Ochsenfurt, Karlstadt, Marktheidenfeld, Bad Kissingen, Lohr am Main, Wertheim, Tauberbischofsheim, Bamberg og andre byer og kommuner i Mainfranken og Unterfranken.

På grund af Würzburgs beliggenhed mellem Main-Franconia og de frankiske økonomiske regioner er der også tætte forbindelser til Nürnberg . Klienter fra regionen kan få undersøgt individuelle smartphones og computere, såvel som mere komplekse sager, der involverer flere digitale beviser.

Ofte stillede spørgsmål om IT-forensik i Würzburg

Kan jeg som privatperson få min smartphone undersøgt?

Ja. Almindelige private forespørgsler vedrører uautoriseret adgang, mistanke om spyware, slettede beskeder, brugerkonti eller digitalt bevismateriale i forbindelse med personlige og juridiske tvister.

Er det muligt at finde ud af, om nogen har adgang til min telefon?

Eksisterende tekniske spor af mulige adgangsruter kan undersøges. Om en specifik adgang kan bevises afhænger af enheden, den mulige adgangsrute og de data, der stadig er tilgængelige.

Kan min tidligere partner få adgang til mine data uden spyware?

Ja. Kendte loginoplysninger, stadig autoriserede enheder, cloud-konti eller eksisterende synkroniseringsforbindelser kan give alternative adgangsmetoder.

Kan slettede WhatsApp-beskeder undersøges?

Under visse omstændigheder kan der stadig være data eller tekniske artefakter til stede. En fuldstændig gendannelse kan dog ikke garanteres.

Kan forsknings- eller udviklingsdata undersøges retsmedicinsk?

Ja. Et præcist spørgsmål er afgørende, så relevante systemer og datakilder kan undersøges specifikt.

Kan det bevises, om der er brugt en USB-stick?

Under visse omstændigheder kan computersystemer indeholde spor af tilsluttede USB-enheder. Bevis for forbindelsen beviser dog ikke automatisk overførslen af ​​specifikke filer.

Kan cyberangreb analyseres retrospektivt?

Dette kan være muligt, hvis der stadig er egnede slutenheder, kontooplysninger, logfiler eller andre relevante datakilder tilgængelige.

Betragtes en softwarerapport allerede som en ekspertvurdering?

Nej. En softwarerapport præsenterer udtrukne eller strukturerede data. En ekspertvurdering kræver desuden et defineret spørgsmål, en teknisk fortolkning og en forståelig udledning af resultaterne.

Hvilke apparater kan undersøges?

Afhængigt af spørgsmålet kan smartphones, Windows-pc'er, Mac-computere, bærbare computere, harddiske, SSD'er, USB-lagerenheder og andre digitale systemer være relevante.

Hvor meget koster en IT-retsmedicinsk undersøgelse i Würzburg?

Den nødvendige indsats afhænger af forskningsspørgsmålet, antallet af enheder, datamængden, den tekniske tilgængelighed og den ønskede dokumentation. I mere komplekse tilfælde defineres derfor først det faktiske omfang af undersøgelsen.

IT-forensik Würzburg - fortrolig undersøgelse

For en indledende vurdering er den berørte enhed eller det berørte system, den specifikke abnormalitet, den relevante tidsperiode og eventuelle allerede foretagne ændringer særligt vigtige. Disse oplysninger hjælper med at bestemme det passende omfang af undersøgelsen.

Yderligere forståelige forklaringer på smartphone-, messenger- og computerforensik samt opbevaring af digitale beviser kan findes i vores vidensdatabase.