Når en smartphone pludselig udviser usædvanlig aktivitet, afslører en anden persons private oplysninger eller går glip af vigtige beskeder, opstår spørgsmålet hurtigt, om der er sket uautoriseret adgang. En teknisk undersøgelse begynder dog ikke med antagelsen om, at der rent faktisk er spyware, et hackingangreb eller bevidst manipulation til stede. Det, der betyder noget, er de digitale spor, der rent faktisk er til stede på enheden og i dens tilhørende datakilder.

For privatpersoner i Bremen undersøger vi smartphones, computere og andre digitale beviser, især i tilfælde af mistanke om uautoriseret adgang, slettet kommunikation, mistænkelige brugerkonti eller digitale tvister efter en separation. Virksomheder har brug for IT-retsmedicinsk support i situationer som datalækager, interne mistanker, cyberhændelser eller potentiel videregivelse af fortrolige forretnings- og projektdata.

Bremen har sin egen unikke økonomiske kontekst. Havnedrift og logistik, luftfart, bilindustrien og internationalt netværkede industrivirksomheder præger placeringen. Digitale data her kan omfatte personlig kommunikation såvel som teknisk dokumentation, forsyningskædeinformation, udviklingsdata eller følsomme virksomhedsoplysninger.

IT-forensik i Bremen – hvilke digitale spor er virkelig meningsfulde?

Målet med en retsmedicinsk undersøgelse er ikke at finde så mange data som muligt, men at besvare et specifikt spørgsmål. Har nogen fået adgang til en smartphone? Kan der findes spor af slettet kommunikation? Blev bestemte filer behandlet på en virksomhedscomputer? Hvilke systemer blev påvirket af en cyberhændelse?

En enkelt artefakt er ofte ikke tilstrækkelig. Et USB-drev tilsluttet en computer beviser ikke datatyveri. Et ukendt login identificerer ikke automatisk gerningsmanden. Og øget batteriforbrug er ikke et teknisk bevis for smartphone-overvågning.

En undersøgelse bliver mere pålidelig, når flere tekniske oplysninger passer sammen og kan korreleres med hinanden over tid.

Mobiltelefonforensik for privatpersoner i Bremen

I dag indeholder smartphones en stor del af privatlivet: WhatsApp og andre messenger-tjenester, fotos, e-mails, kontakter, brugerkonti, placeringsoplysninger, cloud-forbindelser og adskillige app-data.

En eksamen kan for eksempel være nyttig, hvis du vil vide :

• om der er tegn på uautoriseret adgang,
• om usædvanlige apps eller konfigurationer kan detekteres,
• om ukendte enheder er forbundet til dine konti,
• om slettede WhatsApp-beskeder stadig kan være teknisk relevante,
• om digitale adgangsmetoder stadig vil eksistere efter en separation,
• om fotos, dokumenter eller andre data stadig kan gemmes,
• eller om digitale oplysninger skal dokumenteres af juridiske årsager.

Hvilke data der rent faktisk kan undersøges, afhænger blandt andet af enheden, operativsystemet, sikkerhedsstatus, kryptering og den teknisk tilgængelige udvindingsmetode.

Min telefon er muligvis blevet hacket – hvad kan undersøges?

I tilfælde af mistanke om uautoriseret adgang kan applikationer, tilladelser, systemartefakter, brugerkonti og andre teknisk relevante oplysninger undersøges, afhængigt af enheden.

Det er vigtigt ikke udelukkende at søge efter klassisk spyware. Kendte adgangskoder, enheder, der stadig er godkendte, delte Apple- eller Google-konti, cloud-synkroniseringer eller sammenkædede beskedenheder kan også føre til, at en anden person får adgang til oplysninger.

En grundig undersøgelse er derfor fortsat uafsluttet. Hvis der ikke findes pålidelige beviser for kompromittering inden for de tilgængelige data, er dette fund også en del af resultatet.

Ekstern adgang efter en separation

Især efter brud opstår der ofte digitale usikkerheder. Tidligere partnere kan have oprettet enheder sammen, kendt adgangskoder eller brugt cloud- og familiefunktioner.

Det betyder, at digitale forbindelser muligvis er forblevet på plads uden installation af skjult overvågningssoftware.

Afhængigt af tilfældet kan det derfor være nyttigt at overveje ikke kun selve smartphonen, men også relevante konti, tilsluttede enheder og teknisk plausible adgangsmetoder.

WhatsApp som digitalt bevismateriale

WhatsApp-kommunikation kan være af betydelig betydning i private konflikter, svindelsager, trusler eller juridiske tvister.

En retsmedicinsk analyse er ikke begrænset til den synlige tekst i en chat. Afhængigt af de tilgængelige data kan beskeder, tidsstempler, deltageroplysninger, medier, dokumenter, gruppeoplysninger og andre tekniske artefakter være relevante.

Et skærmbillede har en anden teknisk betydning end data fra en verificerbart sikret originalkilde.

Vi forklarer de tekniske muligheder mere detaljeret i vidensartiklen "Retsmedicinsk evaluering af WhatsApp-beskeder".

Slettede beskeder – hvad kan der stadig være?

Slettede WhatsApp-beskeder eller andre kommunikationsdata kan ikke automatisk gendannes. Det ville dog være lige så forkert at fremsætte den generelle påstand, at ingen tekniske oplysninger nogensinde kan bevares efter sletning.

Enheden, operativsystemet, appversionen, databasestatus, eksisterende sikkerhedskopier og videre brug efter sletning påvirker mulighederne betydeligt.

Hvis en senere undersøgelse er sandsynlig, bør WhatsApp ikke geninstalleres for tidligt, og smartphonen bør ikke nulstilles, hvis det er muligt.

Slettede fotos, videoer og dokumenter

Selv slettede billeder, videoer eller dokumenter kan blive undersøgt. Moderne smartphones bruger dog krypteret flashhukommelse og kompleks lagringsstyring.

Dette adskiller mulighederne markant fra mulighederne med traditionelle harddiske. Derfor kan eksisterende sikkerhedskopier, cloud-synkroniseringer eller andre forbundne systemer, udover selve enheden, også være relevante.

iPhone og Android – forskellige tekniske krav

En retsmedicinsk undersøgelse skal skræddersys til den specifikke smartphone. For en iPhone kan model, iOS-version, enhedens tilstand og sikkerhedskonfiguration være afgørende. Med Android-enheder varierer yderligere faktorer såsom producent, chipset, operativsystemversion og sikkerhedsrettelser også.

Det er derfor ikke muligt at forudsige generelt, hvilke data der vil være tilgængelige på hver enhed. Den tekniske situation vurderes individuelt, før en passende backup- og analysemetode bestemmes.

Computerforensik i private anliggender

Ikke alle digitale processer kan løses udelukkende via smartphone. Windows-pc'er, Mac-computere eller bærbare computere kan indeholde yderligere spor.

Afhængigt af systemet kan brugeraktivitet, filsystemoplysninger, browserdata, tilsluttede enheder eller lokalt lagrede oplysninger fra cloud- og messenger-tjenester være relevante.

Yderligere grundlæggende information kan findes i vidensartiklen "Hvad er computerforensik?".

Phishing, smishing og onlinesvindel

Efter at have klikket på et falsk link eller modtaget en phishing-besked, er der ofte en bekymring for, at hele smartphonen er blevet overtaget. Teknisk set er dette ikke nødvendigvis tilfældet.

Derfor er rækkefølgen af ​​begivenheder afgørende for undersøgelsen: Hvilken besked blev modtaget? Hvilket link blev åbnet? Blev loginoplysninger indtastet? Blev en fil downloadet? Hvilke usædvanlige hændelser opstod bagefter?

Afhængigt af omstændighederne kan SMS-beskeder, e-mails, browserdata, downloads og andre tekniske oplysninger bidrage til at dokumentere processen på en forståelig måde.

Digitalt bevismateriale for advokater og juridiske tvister

Hvis digitale data skal spille en rolle i en senere juridisk tvist, er indholdet alene ofte utilstrækkeligt. Det kan være lige så vigtigt at kunne spore dataenes oprindelse og det tekniske grundlag, som en konstatering er baseret på.

Med passende sikkerhedsforanstaltninger kan kryptografiske hashværdier bruges til at verificere den efterfølgende integritet af et defineret datasæt. En hashværdi beviser dog hverken indholdets sandhed eller den person, der udførte en specifik handling.

Denne sondring forklarer vores bidrag til integriteten af ​​digital bevismateriale.

Bremen som maritim, logistisk og teknologisk forretningslokation

Bremens økonomiske struktur adskiller sig markant fra mange andre tyske byers. Havnedrift og international logistik møder luftfart, bilindustri, industriel produktion og andre teknologiintensive sektorer.

I sådanne virksomheder har digital information ofte umiddelbar økonomisk værdi. Information fra forsyningskæden, teknisk dokumentation, projektdokumenter, designdata, kundeinformation og intern kommunikation kan distribueres på tværs af forskellige enheder og systemer.

I tilfælde af en konkret sikkerhedsmistanke er det derfor nødvendigt først at afklare, hvilke data der rent faktisk kan være berørt, og på hvilke systemer der kan forventes relevante spor.

Digital retsmedicin til maritim forretning og logistik

I dag er logistikprocesser i høj grad digitaliserede. Kommunikation med kunder og forretningspartnere, vare- og leveringsinformation, adgangsrettigheder, dokumenter og driftsprocesser behandles via sammenkoblede systemer.

I tilfælde af et databrud eller intern mistanke kan det være utilstrækkeligt udelukkende at fokusere på en enkelt computer. Afhængigt af omstændighederne kan arbejdsstationssystemer, mobile enheder, brugerkonti og andre datakilder være sammenkoblet.

Formålet med en undersøgelse er dog ikke at undersøge alle virksomhedens systemer fuldstændigt, men selektivt at sikre de spor, der er relevante for det specifikke spørgsmål.

Luftfart – retsmedicinsk undersøgelse af følsomme udviklingsdata

Bremen har en stærk luftfartsindustri. Inden for forsknings- og udviklingsintensive områder kan teknisk dokumentation, projektdata, udviklingsstatus og intern knowhow være særligt værdige til beskyttelse.

Hvis der er en konkret mistanke om uautoriseret datalækage, kan filaktiviteter, eksterne lagringsmedier, brugerkonti og andre tekniske artefakter undersøges under passende forhold.

Heller ikke her beviser det faktum, at en fil er blevet åbnet, automatisk, at den er blevet delt. Retsmedicinsk evaluering betyder, at man ikke overfortolker tekniske begivenheder ud over, hvad de tilgængelige data tillader.

Virksomhedsretsmedicin i Bremen

Typiske spørgsmål til en operationel undersøgelse kan omfatte:

• Blev der kopieret eller slettet nogen fortrolige filer?
• Hvilke eksterne lagringsmedier blev brugt?
• Var der nogen usædvanlige aktiviteter før medarbejderens afgang?
• Er en virksomhedskonto blevet brugt uden tilladelse?
• Blev følsomme projekt- eller udviklingsdata potentielt overført?
• Hvilke systemer blev faktisk påvirket efter en cyberhændelse?

Omfanget af den tekniske undersøgelse bør tilpasses så tæt som muligt til det specifikke spørgsmål, der stilles.

Datalækage via USB, cloud eller messenger

Virksomhedsdata kan behandles eller deles på forskellige måder. USB-drev er blot én mulig datakilde. E-mail, cloud-tjenester eller beskedapps kan også spille en rolle, afhængigt af omstændighederne.

En enkelt artefakt er sjældent tilstrækkelig til at bevise en fuldstændig datalækage. En rekonstruktion bliver mere afgørende, når flere tekniske spor falder sammen med hensyn til tid og indhold.

Cyberhændelse – reager og bevar bevismateriale

I tilfælde af en aktiv sikkerhedshændelse er den første prioritet at forhindre yderligere skade. Samtidig kan ukoordineret brandbekæmpelse eller geninstallationsindsats ændre vigtige tekniske beviser.

Derfor bør trusselsforebyggelse og retsmedicinske undersøgelser koordineres så meget som muligt. De nødvendige systemer og data afhænger af det specifikke angreb og de spørgsmål, der undersøges.

Vores værktøjer til mobile og computerbaserede undersøgelser

Forskellige enheder kræver forskellige retsmedicinske værktøjer. Derfor bruger vi, afhængigt af undersøgelsesobjektet, adskillige specialiserede løsninger.

Cellebrite-indsatser

Cellebrite Inseyets understøtter især struktureret analyse af mobildata. Afhængigt af enheden og tilgængelige udtrækningsmuligheder kan relevante smartphone-artefakter undersøges specifikt og korreleres.

Cellebrite Digital Collector

Digital Collector understøtter passende indsamlingsmetoder til computere og digitale lagringsmedier. Den valgte metode afhænger af operativsystem, hardware, kryptering og undersøgelsesformål.

Cellebrite-inspektør

Inspector muliggør yderligere undersøgelse af omfattende computerforensiske datasæt og understøtter struktureret analyse af relevante artefakter.

X-Ways Forensics

X-Ways Forensics bruges til dybdegående undersøgelser af databærere, filsystemer, partitioner og andre computerforensiske strukturer.

MOBILedit Forensic og MEFF 3 Pro

MOBILedit Forensic og MEFF 3 Pro supplerer mobil retsvidenskab. Flere værktøjstilgange kan være særligt nyttige, når forskellige datatyper eller enhedsspecifikke strukturer skal undersøges.

Software alene giver dog ikke et pålideligt fund. Ekspertfortolkning af de resulterende artefakter er fortsat afgørende.

Certificerede processer og ekspertvurdering

LB Detektive GmbH har et kvalitetsstyringssystem, der er certificeret af TÜV NORD i henhold til DIN EN ISO 9001, hvilket omfatter IT-forensik . Derudover er eksperten certificeret i henhold til DIN EN ISO/IEC 17024.

Begge niveauer opfylder forskellige funktioner: DIN EN ISO 9001 omhandler definerede organisatoriske kvalitetsprocesser. Certificering i henhold til DIN EN ISO/IEC 17024 omhandler den certificerede persons dokumenterede kompetence.

For klienter er gennemsigtige efterforskningsprocedurer, kontrolleret håndtering af bevismateriale og en teknisk forståelig vurdering særligt vigtige.

Tre typiske eksamenssituationer i Bremen

Privat kommunikation synes ikke længere at være fortrolig.

Efter et brud har en anden person adgang til information, der kun burde være tilgængelig via personens smartphone eller personlige konti. I stedet for straks at antage spyware, indsnævres mulige tekniske adgangsmuligheder.

Slettede beskeder bliver relevante for en tvist.

En vigtig kommunikationshistorik er ikke længere fuldt synlig. Først vil de tilgængelige datakilder og backupversioner blive undersøgt. Først derefter kan det vurderes, om yderligere rekonstruktion er teknisk mulig.

Virksomhedsdata kan være lækket, før en medarbejder forlod virksomheden.

Usædvanlig filaktivitet forekommer inden for en begrænset tidsramme. Relevante systemer, eksterne lagerenheder og andre artefakter undersøges i kontekst i stedet for at drage for tidlige konklusioner ud fra en enkelt hændelse.

Sådan fungerer en IT-retsmedicinsk undersøgelse

1. Definer forskningsspørgsmålet

Først præciseres det, hvilken specifik teknisk proces der skal undersøges.

2. Bestem relevante datakilder

Kun enheder, lagringsmedier eller konti med en direkte forbindelse til det pågældende spørgsmål vil blive inkluderet.

3. Sikr data korrekt

Sikkerhedskopimetoden afhænger af enheden, operativsystemet, krypteringen og den tekniske tilstand.

4. Evaluer digitale spor

Relevante artefakter analyseres og korreleres om nødvendigt med hinanden med hensyn til tid eller indhold.

5. Dokumentér resultater på en forståelig måde

Afhængigt af opgaven kan resultaterne samles i en undersøgelsesrapport eller i mere detaljeret ekspertdokumentation.

Hvad skal man undgå før en eksamen?

• Nulstil ikke en mistænkelig smartphone for hurtigt.
• Slet ikke selv mistænkelige apps.
• Geninstaller ikke WhatsApp, hvis relevante beskeder er blevet slettet.
• Installer ikke ukendt spyware eller oprydningsprogrammer.
• Overskriv ikke eksisterende sikkerhedskopier unødigt.
• Undgå unødvendige ændringer af computere eller datalagringsenheder, hvis der er mistanke om et databrud.

IT-forensik i Bremen og vores driftsområder i nord

Vores serviceområde omfatter Bremen, Bremerhaven, Delmenhorst, Oldenburg, Verden, Achim, Osterholz-Scharmbeck og andre byer i det nordvestlige Tyskland. Vi har også tætte bånd til Hannover og Hamborg.

Privatpersoner, virksomheder og advokater fra regionen kan få både individuelle smartphones eller computere og mere komplekse sager med flere digitale beviser undersøgt.

Ofte stillede spørgsmål om IT-forensik i Bremen

Kan jeg som privatperson få min mobiltelefon undersøgt?

Ja. Typiske private efterforskningssager involverer mulig uautoriseret adgang, slettet kommunikation, mistanke om spyware, brugerkonti eller digitalt bevismateriale i forbindelse med personlige og juridiske tvister.

Er det muligt at afgøre, om nogen har adgang til min smartphone?

Eksisterende tekniske spor af mulige adgangsruter kan undersøges. Om en specifik adgang kan bevises afhænger dog af enheden, den mulige adgangsrute og de resterende data.

Kan min tidligere partner få adgang til data uden spyware?

Ja. Kendte loginoplysninger, stadig autoriserede enheder, cloud-konti eller eksisterende synkroniseringsforbindelser kan give alternative adgangsmetoder.

Kan slettede WhatsApp-beskeder stadig gemmes?

Under visse tekniske forhold kan data eller andre relevante artefakter stadig være til stede. En fuldstændig gendannelse kan dog ikke garanteres.

Kan et skærmbillede være tilstrækkeligt som digitalt bevis?

Et skærmbillede kan være relevant, men det indeholder færre tekniske oplysninger end den originale datakilde. For en mere dybdegående vurdering er den originale smartphone eller en passende backup ofte mere informativ.

Kan virksomheder få det kontrolleret, om data er blevet kopieret?

Afhængigt af systemet kan filaktivitet, eksterne lagringsenheder og andre tekniske spor undersøges. Om overførslen af ​​specifikke filer kan bevises, afhænger af de samlede tilgængelige data.

Kan et cyberangreb efterforskes bagefter?

Dette kan være muligt, hvis der stadig er egnede slutenheder, kontodata, protokoller eller andre relevante datakilder tilgængelige.

Hvilken rolle spiller hashværdier?

Hashværdier kan bruges til at verificere integriteten af ​​et defineret datasæt sammenlignet med en dokumenteret referencetilstand. De beviser dog ikke indholdet eller forfatterskabet af en fil.

Kan der udarbejdes en ekspertrapport?

Afhængigt af opgaven kan der ud over en teknisk undersøgelsesrapport udarbejdes en mere detaljeret ekspertvurdering og dokumentation.

Hvordan fastsættes omkostningerne ved en eksamen?

Den nødvendige indsats afhænger af forskningsspørgsmålet, antallet af enheder, datamængden, den tekniske tilgængelighed og det ønskede dokumentationsomfang. Derfor defineres undersøgelsens faktiske omfang først i mere komplekse tilfælde.

Anmod om en fortrolig IT-retsmedicinsk konsultation i Bremen

Til en indledende vurdering er fire oplysninger særligt nyttige: Hvilken enhed eller hvilket system er berørt? Hvad blev præcist bemærket? Hvornår indtraf den relevante hændelse cirka? Og er enheden blevet brugt, nulstillet eller på anden måde ændret siden da?

Baseret på dette kan det afgøres, hvilket digitalt bevismateriale der rent faktisk er nødvendigt, og hvilken bevarings- og analysemetode der er passende i den specifikke sag. Yderligere tekniske forklaringer kan findes i vores vidensbase.