Digitale spor skabes næsten overalt i dag: på computere og smartphones, i filsystemer, brugerkonti, beskedapps, browsere, eksterne lagringsmedier og synkroniserede datalagre. Disse oplysninger bliver senest relevante, når det er nødvendigt at afklare, hvad der rent faktisk skete på et digitalt system.

Vores IT-forensiske tjenester i Kassel støtter enkeltpersoner, virksomheder, advokater og organisationer i professionel sikring, undersøgelse og evaluering af digitale data. Dette omfatter undersøgelse af Windows-systemer, Macs, bærbare computere, smartphones, harddiske, SSD'er, USB-drev, hukommelseskort og andre teknisk relevante datakilder.

Opgaverne spænder fra potentiel uautoriseret adgang til en privat smartphone, slettede filer og messengerkommunikation til rekonstruktion af komplekse forretningshændelser, potentielt datatyveri eller undersøgelse af en IT-sikkerhedshændelse.

Den vigtigste faktor er dog ikke den store datamængde. Det er snarere de rigtige datakilder, der skal identificeres, digitale spor skal sikres metodisk, forbindelser skal genkendes, og tekniske fund skal adskilles fra antagelser.

IT-forensik til Kassel – når digitale spor skal give svar

En professionel retsmedicinsk undersøgelse begynder ikke med et analyseprogram, men med et klart spørgsmål.

Er der blevet tilgået en computer uden tilladelse? Har en medarbejder muligvis kopieret fortrolige virksomhedsdata? Kan slettede filer stadig gendannes? Er der tekniske beviser for, at en smartphone blev overvåget? Eller kan det spores, hvornår en specifik fil blev redigeret, eller hvornår en ekstern lagringsenhed blev brugt?

Jo mere præcist forskningsspørgsmålet er formuleret, desto mere effektivt kan relevante enheder, tidsperioder og datasæt bestemmes. Dette reducerer også risikoen for unødvendig analyse af data uden en konkret forbindelse til forskningsspørgsmålet.

Det er netop her, at den afgørende forskel ligger mellem en ren teknisk gennemgang og digital retsmedicin. Et enkelt teknisk hit har ofte begrænset betydning, hvorimod dets kontekst kan forvandle en anomali til et pålideligt fund.

Hvilke digitale systemer kan undersøges?

Moderne problemer omfatter sjældent en enkelt enhedsklasse. Derfor omfatter vores IT-forensik en række digitale undersøgelsesobjekter.

Afhængigt af den specifikke opgave kan følgende blandt andet være relevante:

• Windows-pc'er og arbejdsstationer,
• Bærbare computere og mobile arbejdsstationer,
• Apple Mac-systemer,
• iPhones og Android-smartphones,
• Harddiske og SSD'er,
• USB-sticks og eksterne lagringsmedier,
• Hukommelseskort,
• eksisterende sikkerhedskopier og sikkerhedskopier,
• Messenger- og kommunikationsdata,
• samt andre tilgængelige digitale datasæt.

Hvilke af disse kilder der rent faktisk er nødvendige, afhænger af forskningsformålet. En professionel undersøgelse indsamler derfor ikke alle tilgængelige data vilkårligt, men prioriterer de datakilder, der kan bidrage til at besvare det specifikke forskningsspørgsmål.

Computerforensik for Kassel – rekonstruktion af aktiviteter på Windows-pc'er og Mac-computere

Computere genererer en lang række tekniske artefakter under deres brug. Filer oprettes, åbnes, ændres, flyttes eller slettes. Samtidig logger brugerne ind, programmer køres, websteder tilgås, og eksterne enheder tilsluttes.

Vores computerforensik undersøger sådanne spor på en struktureret måde og placerer dem, så vidt det er teknisk muligt, i en tidsmæssig og faktuel kontekst.

Afhængigt af operativsystemet og undersøgelsens formål kan følgende områder f.eks. være relevante:

• Filsystemer og filmetadata
• slettede filer og resterende datafragmenter,
• Bruger- og systemaktiviteter,
• Hændelses- og systemlogfiler,
• Browser- og downloadoplysninger,
• tilsluttede USB-enheder,
• eksterne harddiske og andre lagringsmedier,
• lokalt lagrede kommunikationsdata,
• Cloud- og synkroniseringsartefakter,
• Softwareinstallationer og programbrug,
• samt tidsmæssige sammenhænge mellem forskellige begivenheder.

Vi forklarer det grundlæggende inden for dette efterforskningsområde mere detaljeret under Hvad er computerforensik?

Hvad afslører en computer egentlig om tidligere aktiviteter?

Styrken ved computerforensik ligger ofte ikke i en enkelt artefakt, men i kombinationen af ​​forskellige tekniske spor.

Et typisk eksempel er en USB-lagerenhed. Hvis det kan fastslås, at et bestemt lagermedie var tilsluttet en computer, etableres der i første omgang kun denne tekniske forbindelse.

Dette beviser dog ikke, at fortrolige filer blev kopieret til databæreren.

For en mere detaljeret evaluering kan yderligere oplysninger være nødvendige. Dette omfatter f.eks. relevant filaktivitet, tidsoplysninger, filsystemartefakter eller andre tekniske hændelser.

Hvis flere af disse oplysninger passer sammen, kan konklusionens betydning øges betydeligt.

Slettede filer – datagendannelse er ikke automatisk retsmedicinsk

Gendannelse af slettede filer sidestilles ofte med computerforensik. I virkeligheden forfølger de to områder forskellige mål.

Traditionel datagendannelse fokuserer primært på, om tabt indhold kan gendannes. En retsmedicinsk undersøgelse går videre og undersøger desuden filens oprindelse, dens tekniske kontekst og eventuelle andre artefakter, der kan understøtte dens vurdering.

Gendannelsesmuligheden afhænger i høj grad af det specifikke lagringsmedie.

Med magnetiske harddiske kan slettede oplysninger stadig være til stede under visse betingelser. Moderne SSD'er bruger derimod TRIM og interne hukommelsesstyringsprocesser, hvilket er grunden til, at slettet indhold kan blive uopretteligt meget hurtigere.

Hvis en slettet fil måtte være relevant som bevis, bør den pågældende computer derfor ikke anvendes unødvendigt.

IT-forensik for privatpersoner i Kassel

Digital retsmedicin er ikke kun nødvendig i forbindelse med virksomhedshændelser. En betydelig del af efterforskningerne involverer private situationer, hvor smartphones, computere eller brugerkonti spiller en central rolle.

Typiske spørgsmål omfatter:

• Har nogen adgang til min smartphone eller min computer?
• Kan min tidligere partner stadig få adgang til personlige oplysninger?
• Er der tegn på spyware eller stalkerware?
• Er ukendte enheder eller kontoforbindelser relevante?
• Kan slettede WhatsApp-beskeder stadig undersøges?
• Kan ægtheden af ​​messengerkommunikation verificeres teknisk?
• Er der relevante digitale spor tilbage efter phishing eller onlinesvindel?
• Kan digitale oplysninger sikres pålideligt til brug i retssager?

Skønsret spiller en særlig vigtig rolle i private sager. Samtidig bør undersøgelsens omfang begrænses til det faktiske spørgsmål. Derfor behøver teknisk tilgængelige data ikke automatisk at blive analyseret fuldt ud.

Smartphone-forensik – mobiltelefonen som digital datakilde

En moderne smartphone kombinerer kommunikation, brugerkonti, fotos, videoer, messenger, e-mail, browser, apps og adskillige andre tjenester i én enhed.

Som følge heraf har smartphones en særlig høj informationstæthed i både private og forretningsmæssige anliggender.

Vores smartphone-forensik undersøger de teknisk tilgængelige data afhængigt af den specifikke enhed og det specifikke spørgsmål, der stilles.

De oplysninger, der kan indhentes, afhænger blandt andet af producent, model, operativsystem, sikkerhedsniveau, kryptering og enhedens tilstand.

Moderne smartphones kan derfor ikke behandles på samme måde som traditionelle harddiske. Afhængigt af de tekniske specifikationer er der forskellige udtrækningsmetoder og datamængder tilgængelige.

Vi forklarer yderligere det grundlæggende under Hvad er smartphone-forensik ?.

Mobiltelefon hacket – hvornår er en retsmedicinsk undersøgelse tilrådelig?

Mange berørte personer oplever i starten usædvanlige symptomer. Batteriet aflades hurtigere, smartphonen bliver varm, dataforbruget stiger, eller der vises ukendte logins.

Sådanne observationer kan give grundlag for undersøgelse, men beviser ikke i sig selv et kompromis.

For eksempel kan øget batteriforbrug have adskillige harmløse årsager. Ligeledes skal et ukendt login først vurderes ud fra et teknisk perspektiv.

Afhængigt af enheden kan applikationer, tilladelser, brugerkonti, konfigurationer og andre teknisk tilgængelige artefakter undersøges.

En professionel vurdering skelner derfor mellem en simpel anomali, en teknisk forklarlig tilstand og et reelt relevant fund.

Overvågning af en tidligere partner – spyware er blot én mulighed

Efter et brud er der ofte en mistanke om, at en tidligere partner stadig kan se private beskeder, billeder eller andre oplysninger.

Skjult overvågningssoftware er blot ét af flere tænkelige scenarier.

Under et forhold deles digital adgang ofte bevidst. Adgangskoder er kendte, tablets bruges i fællesskab, familiefunktioner konfigureres, eller computere er forbundet med de samme brugerkonti.

Sådanne forbindelser kan fortsætte selv efter en separation.

En åben undersøgelse tager derfor ikke kun højde for mulig spyware, men også kendte adgangsdata, autoriserede enheder, kontoforbindelser og andre teknisk plausible adgangsmetoder.

Spyware og stalkerware – tekniske begrænsninger er en del af resultaterne.

Hvis der er en konkret mistanke om overvågning, bør en berørt smartphone ikke nulstilles eller renses separat. Sådanne ændringer kan påvirke relevante oplysninger.

Afhængigt af de tilgængelige data kan iøjnefaldende applikationer, tilladelser, konfigurationer og andre tekniske artefakter undersøges.

En seriøs undersøgelse lover dog ikke pålideligt at opdage alle tænkelige eller tidligere eksisterende kompromiser.

Hvis der ikke findes noget usædvanligt i de tilgængelige data, betyder det i første omgang kun, at der ikke blev fundet tilsvarende pålidelige beviser i denne database.

Dette betyder dog ikke automatisk, at adgangen ikke kunne have fundet sted på et tidligere tidspunkt.

WhatsApp og Messenger – synlig chat og tekniske data er ikke det samme

Messenger-kommunikation kan spille en vigtig rolle i forbindelse med brud, trusler, svindelsager, forretningskonflikter og juridiske tvister.

Et skærmbillede viser først en synlig repræsentation. Den originale datakilde indeholder dog ofte yderligere tekniske oplysninger.

Afhængigt af de tilgængelige udtrækningsmuligheder kan beskeder, tidsoplysninger, deltagere, medier, dokumenter og andre tekniske strukturer undersøges.

Dette kan være særligt relevant, når der sættes spørgsmålstegn ved konteksten, fuldstændigheden eller ægtheden af ​​en kommunikation.

Yderligere information kan findes under Retsmedicinsk analyse af WhatsApp-beskeder.

Slettede WhatsApp-beskeder – hvad kan der stadig være?

Hvorvidt slettet indhold fra Messenger kan gendannes eller på anden måde rekonstrueres, kan ikke gives et pålideligt svar uden kendskab til den specifikke enhed.

Afgørende faktorer omfatter operativsystem, appversion, databasestatus, kryptering, eksisterende sikkerhedskopier og fortsat brug efter sletning.

Yderligere enheder kan også være relevante. For eksempel kan kommunikation på en smartphone allerede være slettet, mens et andet datasæt stadig findes på et andet involveret system.

En generel garanti for restaurering ville derfor være uansvarlig.

Ser smartphone og computer sammen

Digitale processer foregår i dag ofte på tværs af flere enheder.

En messenger-app bruges på en smartphone og også på en computer. Fotos synkroniseres med andre enheder, mens e-mails tilgås på flere systemer. Dokumenter flyttes også mellem bærbare computere, smartphones og cloud-tjenester.

En undersøgelse, der udelukkende fokuserer på en enkelt enhed, kan derfor overse en relevant del af fakta.

Hvis forskningsspørgsmålet kræver det, kan flere datakilder sammenlignes kronologisk og tematisk. Dette kan afsløre korrelationer, der ikke ville være tydelige på en enkelt enhed.

Datalagringsmedicin – undersøgelse af harddiske, SSD'er og USB-lagerenheder

Harddiske, SSD'er, USB-sticks og hukommelseskort kan være uafhængige beviser eller blive en del af en større efterforskning.

Afhængigt af lagringsmediet kan eksisterende filer, filsystemstrukturer, partitioner, slettede oplysninger og andre tekniske egenskaber undersøges.

Derudover kan skrivebeskyttelsesmetoder anvendes på egnede databærere for at forhindre utilsigtet skriveadgang under backupprocessen.

Den efterfølgende validitet af resultaterne afhænger dog ikke udelukkende af den anvendte skriveblokering eller retsmedicinske software. Hele dokumentationsprocessen er afgørende, fra selve undersøgelsen over databevaring til analyse.

Digital bevisopbevaring – integritet er kun én del af bevisspørgsmålet

Digitale data kan nemt kopieres og ændres. Derfor er sporbar sikkerhedskopi af særlig betydning i juridisk relevante spørgsmål.

Kryptografiske hashværdier kan bruges med egnede datasæt. Dette muliggør matematisk verifikation af, om et defineret datasæt har ændret sig siden et dokumenteret tidspunkt.

En identisk hashværdi besvarer dog ikke alle bevisspørgsmål.

For eksempel beviser det ikke indholdets sandfærdighed, ej heller hvem der rent faktisk skrev en besked, eller hvilken fysisk person der brugte en brugerkonto på et bestemt tidspunkt.

Integritet, autenticitet, oprindelse og personlig tilskrivning er derfor forskellige spørgsmål, der skal vurderes separat.

Vores vidensartikel om integriteten af ​​digitale beviser forklarer dette mere detaljeret.

IT-forensics for virksomheder i Kassel og Nordhessen

Kassel kombinerer industriel produktion med teknologiorienteret udvikling, mobilitet, energi, logistik, IT og forskning. For virksomheder i disse sektorer har digitale data længe været en central del af deres værdiskabelse.

Udviklingsdokumenter, designdata, beregninger, projektdokumentation, tekniske tegninger, forretningshemmeligheder og intern kommunikation behandles derfor på en række forskellige digitale systemer.

Hvis der er mistanke om uautoriseret brug eller datalækage, kan dette have betydelige økonomiske og juridiske konsekvenser.

Typiske årsager til undersøgelse inkluderer:

• Mistanke om datatyveri eller lækage af knowhow,
• iøjnefaldende filaktivitet forud for en medarbejderskifte,
• Brug af eksterne lagringsmedier,
• Sletning eller ændring af forretningsdata,
• uautoriseret brug af cloud- eller overførselstjenester,
• kompromitterede brugerkonti,
• Cyberangreb og sikkerhedshændelser,
• interne undersøgelser,
• samt beskyttelse af digitale data i forbindelse med retssager eller retssager.

Mobilitet og industriel produktion – af særlig relevans for Kassel

Mobilitet og industriel produktion er blandt de karakteristiske ekspertiseområder i den økonomiske region Kassel. Inden for sådanne strukturer genereres højt specialiseret digital information, hvis økonomiske værdi kan være betydelig.

I tilfælde af mistanke om datalækage kan arbejdsstationer, bærbare computere, eksterne lagringsenheder og, hvis relevant, mobile enheder dokumentere forskellige dele af den samme proces.

Den retsmedicinske udfordring ligger derfor i at udvikle et teknisk forståeligt hændelsesforløb ud fra mange individuelle hændelser.

Hvornår blev en relevant fil sidst ændret? Hvilke systemer var involveret? Blev der brugt et eksternt lagringsmedie i den relevante periode? Og er der andre spor, der svarer til denne proces?

Først når sådanne oplysninger betragtes samlet, kan deres reelle betydning vurderes.

Energi, IT og forskning – når knowhow i sig selv bliver et digitalt aktiv

Forsknings- og udviklingsinformation adskiller sig fra almindelige forretningsdokumenter. Dens værdi stammer ofte netop fra det faktum, at den endnu ikke er blevet offentliggjort eller kun er tilgængelig for en begrænset gruppe mennesker.

Projektstatus, tekniske koncepter, beregninger, forskningsresultater, udviklingsdokumenter eller kilde- og konfigurationsdata kan derfor blive genstand for en retsmedicinsk undersøgelse.

Præcis afgrænsning er afgørende her. En professionel undersøgelse bør ikke analysere alle tilgængelige virksomhedsdata, men snarere identificere de systemer og tidsperioder, der rent faktisk er relevante for den specifikke mistanke.

Datatyveri begået af medarbejdere – USB-stikket alene beviser ikke meget

Et klassisk tilfælde af mistanke om datatyveri opstår kort før en medarbejder forlader virksomheden. En ekstern lagringsenhed er blevet tilsluttet, store mængder data er blevet behandlet, eller fortrolige filer synes pludselig at være tilgængelige uden for virksomheden.

Sådanne omstændigheder kan berettige en undersøgelse, men udgør ikke automatisk bevis for datatyveri.

Afhængigt af systemet kan en retsmedicinsk analyse kombinere forskellige beviser. Disse omfatter filsystemoplysninger, USB-artefakter, brugeraktivitet, browserdata, cloud-spor og andre relevante hændelser.

Undersøgelsens kvalitet demonstreres netop ved ikke at drage en forhastet konklusion ud fra en mistanke.

Cyberforensik – hvad skete der før, under og efter en sikkerhedshændelse?

Efter en IT-sikkerhedshændelse er det ofte nødvendigt at rekonstruere, hvilke systemer der blev påvirket, hvilke aktiviteter der fandt sted, og hvilke digitale spor der stadig er til stede.

Samtidig må indsamling af retsmedicinsk bevismateriale ikke blokere nødvendige foranstaltninger til at begrænse skaden.

Den korrekte fremgangsmåde afhænger derfor af det enkelte tilfælde. Et kørende system kan indeholde flygtige oplysninger, der går tabt, når det lukkes ned. Omvendt kan en kompromitteret computer, der forbliver aktiv, udgøre yderligere risici.

I krypterede systemer kan en allerede ulåst tilstand også være relevant af sikkerhedsmæssige årsager.

Derfor er der ingen pålidelig universel regel om øjeblikkeligt at slukke alle berørte enheder eller altid at lade dem køre. Systemstatus, risiko og undersøgelsesformål skal overvejes i fællesskab.

Forensisk databackup – beskyttelse af originalen så meget som muligt

Sikkerhedsstrategien afhænger af det specifikke objekt, der undersøges.

Retsmedicinske billeder kan oprettes, og skrivebeskyttelsesmetoder kan anvendes på egnede traditionelle lagringsmedier. Imidlertid kan kørende eller krypterede systemer kræve andre tilgange.

Smartphones har derimod deres egne tekniske krav. Moderne iPhones og Android-enheder kan ofte ikke kopieres fuldstændigt sektor for sektor, som traditionelle harddiske gør.

I stedet for blot at henvise til en "1:1-kopi", bør det derfor dokumenteres, hvilken udtræksmetode der blev anvendt, og hvilken datamængde den rent faktisk leverede.

Retsmedicinsk software – effektive værktøjer erstatter ikke ekspertvurdering

Digital retsmedicin kræver specialiseret software. Forskellige enheder, operativsystemer og datastrukturer nødvendiggør dog forskellige værktøjer.

Cellebrite-indsatser

Cellebrite Inseyets bruges primært til indsamling og analyse af mobile digitale data. Den faktiske mængde data, der er tilgængelig, afhænger af den specifikke smartphone, operativsystemet, sikkerhedsstatus og de teknisk mulige udtrækningsmuligheder.

Cellebrite Digital Collector

Cellebrite Digital Collector understøtter passende indsamlingsmetoder til computere og digitale lagringsmedier. Operativsystemet, hardwaren, krypteringen og systemets tilstand bestemmer den specifikke procedure.

Cellebrite-inspektør

Cellebrite Inspector understøtter struktureret undersøgelse af computerforensiske datasæt og muliggør analyse af relevante fil-, bruger- og systemartefakter.

X-Ways Forensics

X-Ways Forensics muliggør dybdegående undersøgelser af databærere, partitioner, filsystemer og andre computerforensiske strukturer.

MOBILedit Forensic og MEFF 3 Pro

MOBILedit Forensic og MEFF 3 Pro supplerer værktøjsbasen til mobile undersøgelser og kan åbne op for yderligere analysemuligheder afhængigt af enheden og opgaven.

Antallet af anvendte programmer er dog ikke den afgørende faktor.

Retsmedicinsk software udtrækker, strukturerer, korrelerer og visualiserer data. Betydningen af ​​en artefakt i en specifik sag kræver dog stadig en ekspertvurdering. Derfor er en automatiseret softwarerapport ikke ensbetydende med en ekspertvurdering eller -rapport.

Kvalitet starter med forskningsmetoden.

LB Detektive GmbH har et kvalitetsstyringssystem, der er certificeret af TÜV NORD CERT i henhold til DIN EN ISO 9001:2015. Certificeringen omfatter blandt andet IT-forensik.

Et struktureret kvalitetsstyringssystem sikrer, at væsentlige processer, ansvarsområder og kvalitetsrelevante arbejdstrin er defineret organisatorisk.

Derudover er ekspertkompetence tilgængelig med personlig certificering i henhold til DIN EN ISO/IEC 17024.

Kvalitetsstyring og personlige ekspertkvalifikationer opfylder forskellige funktioner. Ligeledes garanterer certificering ikke automatisk resultatet af en enkelt opgave.

Afgørende faktorer er fortsat en passende undersøgelsesmetode, professionel teknisk udførelse, forståelig dokumentation og kritisk evaluering af de indhentede oplysninger.

Tre typiske situationer fra IT-forensik

Private oplysninger er kendt af en anden person

Efter et brud opdager en person, at en tidligere partner har adgang til indhold, der ikke længere burde være tilgængeligt. I stedet for straks at antage, at en spionapp er årsagen, overvejes mulige tekniske adgangsmuligheder. Smartphones, brugerkonti og potentielt andre delte enheder kan forklare forskellige aspekter af situationen.

Vigtige filer blev slettet fra en computer

Dokumenter, der er nødvendige til retssager, er ikke længere tilgængelige. Før der påbegyndes datagendannelse, vurderes lagringsmedietypen, filsystemet, sletningsprocessen og den efterfølgende brug. Først derefter kan det afgøres, hvilke retsmedicinske muligheder der realistisk set er tilbage.

Fortrolige virksomhedsdata kan være blevet lækket.

Kort før en medarbejder forlader virksomheden, observeres usædvanlig filaktivitet og brug af en ekstern lagringsenhed. I stedet for straks at konkludere, at der er tale om datatyveri, korreleres relevante artefakter inden for den definerede tidsramme, og deres faktiske betydning vurderes.

Hvordan forløber en IT-retsmedicinsk undersøgelse af Kassel?

1. Definer fakta og formålet med undersøgelsen

Hvilken observation er der blevet gjort? Hvilket teknisk spørgsmål skal besvares? Hvilken tidsperiode er relevant?

2. Identificér relevante datakilder

Det vil blive afgjort, om computere, smartphones, datalagringsenheder, sikkerhedskopier eller andre systemer er nødvendige for at besvare spørgsmålet.

3. Vurder den tekniske tilstand

Operativsystem, kryptering, enhedens tilstand, lagringsteknologi og potentielt datatab påvirker det videre forløb.

4. Sikr data metodisk

Sikkerhedsmetoden er tilpasset det respektive undersøgelsesobjekt og dokumenteret på en sporbar måde.

5. Analysér relevante artefakter

Evalueringen fokuserer på de data, der kan bidrage til det definerede forskningsspørgsmål.

6. Genopbyg forbindelserne

Tidsoplysninger og tekniske hændelser kan sammenlignes, hvis flere datakilder er tilgængelige.

7. Evaluer resultaterne professionelt

Individuelle hits betragtes ikke isoleret. I stedet tages der hensyn til alternative tekniske forklaringer og begrænsninger af resultaterne.

8. Dokumentér resultater på en forståelig måde

Afhængigt af opgaven registreres de relevante resultater i et teknisk dokument, en undersøgelsesrapport eller en mere detaljeret ekspertrapport.

Hvad skal man undgå før en retsmedicinsk undersøgelse?

• Nulstil ikke berørte smartphones til fabriksindstillingerne forhastet.
• Forsøg ikke selv at fjerne mistænkt spyware.
• Installer ikke ukendte oprydnings- eller analyseprogrammer.
• WhatsApp Geninstaller ikke unødvendigt relevante slettede beskeder.
• Overskriv ikke eksisterende sikkerhedskopier.
• Minimér den fortsatte brug af computere med vigtige slettede data.
• Undgå unødvendige ændringer af den originale databærer.
• Genstart ikke en slukket eksamenscomputer udelukkende med det formål at gennemgå den.
• Sluk ikke refleksivt en kørende krypteret computer ned i tilfælde af en relevant hændelse.
• Dokumentér fejlmeddelelser, anomalier og relevante tidsstempler.

IT-forensik for Kassel og Nordhessen-regionen

Vores IT-forensiske tjenester er tilgængelige for kunder i Kassel og i hele den nordhessiske økonomiske region. Dette omfatter blandt andet Baunatal, Vellmar, Lohfelden, Niestetal, Kaufungen, Fuldatal, Hofgeismar, Wolfhagen, Melsungen, Fritzlar og andre steder i regionen.

Klienter fra Göttingen, Korbach, Bad Wildungen og omkringliggende områder kan også bestille sådanne undersøgelser. Derudover kan komplekse virksomheds- og ekspertsager koordineres landsdækkende.

Dette muliggør behandling af både følsomme private efterforskninger og komplekse sager, der involverer flere enheder, databærere eller virksomhedssystemer.

Ofte stillede spørgsmål om IT-forensik i Kassel

Hvad undersøger IT-forensik?

IT-forensik undersøger digitale data og tekniske spor på computere, smartphones, lagringsmedier og andre relevante systemer. Målet er at rekonstruere digitale processer så vidt det er teknisk muligt, sikre relevante oplysninger og professionelt vurdere deres betydning.

Hvilke apparater kan undersøges?

Afhængigt af opgaven kan enheder som Windows-pc'er, bærbare computere, Mac-computere, smartphones, harddiske, SSD'er, USB-lagerenheder og hukommelseskort undersøges.

Er det muligt at finde ud af, om min computer er blevet hacket?

Afhængigt af systemets tilstand og tilgængelige data kan indikationer på usædvanlig aktivitet, programmer, brugeraktivitet og andre relevante artefakter undersøges. Det er dog ikke sikkert, at alle tidligere angreb kan detekteres fuldt ud i eftertid.

Kan en smartphone undersøges for overvågning?

Ja. Afhængigt af enheden og den tilgængelige database kan applikationer, tilladelser, kontoforbindelser og andre tekniske uregelmæssigheder undersøges.

Kan al spyware detekteres?

Nej. En garanti for at detektere alle tænkelige eller tidligere eksisterende kompromitteringer ville være teknisk uansvarlig. Pålidelighed og begrænsninger afhænger af den specifikke enhed og tilgængelige data.

Kan slettede filer gendannes?

Dette kan være muligt under visse betingelser. Databærertype, filsystem, sletningsproces, overskrivning og efterfølgende brug har betydelig indflydelse på gendannelsesmulighederne.

Kan slettede WhatsApp-beskeder undersøges?

Afhængigt af smartphonen, databasestatus, sikkerhedskopier og yderligere brug kan relevante oplysninger eller artefakter stadig være til stede. Der gives ikke en generel garanti for gendannelse.

Er det muligt at afgøre, om der er tilsluttet et USB-stik?

På egnede systemer kan tekniske oplysninger om tilsluttede USB-enheder være tilgængelige. Forbindelsen alene beviser dog ikke, at specifikke filer overføres.

Kan datatyveri begået af medarbejdere bevises?

Afhængigt af de tilgængelige data kan filaktivitet, eksterne lagringsenheder, brugeraktivitet og andre spor korreleres. Om dette resulterer i afgørende beviser afhænger af den specifikke sag.

Kan computere og smartphones undersøges sammen?

Ja. Til kommunikation på tværs af enheder, cloud-synkronisering, kontoadgang eller andre relaterede processer kan det være nyttigt at overveje flere datakilder samlet.

Er hashværdier bevis på en fils ægthed?

En hashværdi kan bruges til at kontrollere integriteten af ​​et defineret datasæt. Det beviser dog ikke automatisk sandheden af ​​indholdet, oprindelsen eller forfatterskabet af en fil.

Betragtes en rapport fra retsmedicinsk software allerede som en ekspertvurdering?

Nej. Software leverer og strukturerer tekniske data. En ekspertvurdering kræver desuden et defineret spørgsmål, en teknisk gennemgang, en forståelig metode og en begrundet fortolkning.

Hvor meget koster en IT-retsmedicinsk undersøgelse i Kassel?

Den nødvendige indsats afhænger af forskningsspørgsmålet, typen af ​​udstyr, antallet af datakilder, teknisk tilgængelighed, datamængden og den ønskede dokumentation. I mere komplekse tilfælde bestemmes det derfor først, hvilke undersøgelser der rent faktisk er nødvendige for at besvare forskningsspørgsmålet.

Sikre digitale spor, før de ændres

I digitale hændelser er det ikke kun afgørende, hvilke data der er tilgængelige, men også i hvilken tilstand de sikkerhedskopieres.

Yderligere brug, geninstallation, nulstilling eller uafhængige oprydningsforanstaltninger kan ændre data og komplicere senere rekonstruktion. Samtidig kan igangværende cyberhændelser kræve øjeblikkelige skadeskontrolforanstaltninger.

Derfor bør proceduren ikke baseres på en generel tjekliste, men snarere besluttes på baggrund af den specifikke enhed og omstændighederne.

For en indledende vurdering er de berørte enheder, de observerede anomalier, den relevante tidsperiode og eventuelle allerede foretagne ændringer særligt vigtige. Ud fra dette kan det afgøres, hvilken sikkerheds- og undersøgelsesmetode der er fagligt passende i den specifikke sag.

Yderligere dybdegående information om computerforensik, smartphoneforensik, digital bevismateriale og efterforskningsmetoder kan findes i vores vidensdatabase.