Ukendt adgang til en smartphone, manglende beskeder, mistænkelig kontoaktivitet eller personlige oplysninger, der pludselig afsløres for tredjeparter: Digitale hændelser starter ofte med mistanke. Dette alene er dog ikke tilstrækkeligt til en pålidelig efterforskning. Det, der betyder noget, er at identificere de faktiske tekniske spor, der findes på smartphones, computere, lagerenheder eller tilknyttede konti.

Vores IT-forensiktjenester i Hannover støtter enkeltpersoner, virksomheder, advokater og andre klienter med professionel sikring, analyse og evaluering af digitale beviser. For private klienter involverer de mest almindelige problemer smartphone-forensik , slettet kommunikation, potentiel uautoriseret adgang, kompromitterede konti eller digitale tvister efter en separation. Virksomheder har brug for forensisk støtte i tilfælde som datalækager, medarbejderrelaterede hændelser, cyberangreb eller mistænkelig aktivitet i deres IT-systemer.

Fokus er ikke på at udtrække den størst mulige mængde data, men på et klart defineret forskningsspørgsmål. Digitale spor sikres, teknisk klassificeres og dokumenteres på en sådan måde, at det forbliver forståeligt, hvordan et resultat er opnået.

IT-forensik i Hannover: Systematisk undersøgelse af digitale spor

En iøjnefaldende smartphone beviser ikke i sig selv overvågning. En tilsluttet USB-lagerenhed beviser ikke i sig selv datatyveri. Og et ukendt login afslører ikke automatisk, hvilken person der rent faktisk har tilgået en brugerkonto.

Professionel IT-forensik skelner derfor mellem mistanke, tekniske fund og ekspertvurdering. Afhængigt af omstændighederne kan systemartefakter, apps, brugerkonti, filsystemoplysninger, kommunikationsdata, eksterne lagerenheder, e-mailsystemer eller cloudtjenester indeholde relevante spor.

Denne tilgang er især vigtig, hvis resultaterne senere skal præsenteres på en forståelig måde for advokater, virksomheder, forsikringsselskaber eller domstole.

Mobiltelefonforensik for privatpersoner i Hannover

I dag er smartphonen en af ​​de vigtigste lagringsenheder for personlige data. Beskeder, fotos, kontakter, e-mails, placeringsoplysninger, cloudforbindelser og adskillige brugerkonti samles alle på én enhed. Derfor kan det digitale fodaftryk være omfattende.

En retsmedicinsk undersøgelse kan for eksempel være nyttig i følgende tilfælde:

• Mistanke om uautoriseret adgang til smartphonen
• mulig spyware eller anden manipulation
• ukendte enheder eller kontoforbindelser
• slettede WhatsApp-beskeder eller andre Messenger-data
• slettede billeder, videoer eller kontakter
• digitale konflikter efter separation eller skilsmisse
• mistænkelig adgang til personlige konti
• Sikring af digitale oplysninger i forbindelse med juridiske tvister

De specifikke data, der rent faktisk kan indhentes, afhænger af enheden, operativsystemet, sikkerhedsstatus og tilgængelige udtrækningsmetoder. Yderligere information kan findes på vores side om mobil retsmedicin.

Er det muligt at afgøre, om en smartphone er blevet hacket?

En retsmedicinsk undersøgelse kan analysere eksisterende tekniske spor af mulig uautoriseret adgang. Afhængigt af enheden undersøges systemartefakter, apps, tilladelser, kontoforbindelser og andre relevante data.

Højt batteriforbrug, overophedning af enheden eller usædvanlig datatrafik beviser ikke i sig selv overvågning. Sådanne symptomer kan have adskillige normale tekniske årsager. Det afgørende er objektivt verificerbare spor og deres ekspertvurdering.

Et negativt resultat er også muligt: ​​Hvis der ikke kan findes pålidelige tekniske beviser til støtte for en mistanke om uautoriseret adgang, skal dette dokumenteres lige så tydeligt.

Digital adgang efter separation eller skilsmisse

Især efter et brud er spyware ofte det første, folk har mistanke om. Adgang kan dog faktisk ske på meget enklere måder. Tidligere delte Apple- eller Google-konti, kendte adgangskoder, familiedeling, synkroniserede enheder, e-mailkonti eller cloud-lagring kan stadig give adgangspunkter.

Derfor fokuserer vi ikke udelukkende på smartphonen. Først afgør vi, hvilke enheder, konti og tjenester der kan være relevante for den specifikke mistanke. Dette giver os mulighed for at indsnævre efterforskningen og undgå unødvendig analyse af personoplysninger.

Slettede WhatsApp-beskeder, fotos og andre data

Slettede data kan ikke gendannes automatisk. Moderne smartphones bruger kryptering, flashhukommelse og automatiserede lagringsprocesser, der kan have betydelig indflydelse på gendannelsen.

For messenger-data kan eksisterende app-databaser, medier eller sikkerhedskopier være relevante, afhængigt af enheden. Om en fuldstændig eller delvis rekonstruktion er mulig, kan kun vurderes ud fra den specifikke enhed.

Hvis vigtige data er blevet slettet, og en senere undersøgelse er planlagt, bør enheden ikke bruges unødvendigt eller nulstilles til fabriksindstillingerne.

iPhone-, Android- og tablet-retsmedicin

De tekniske muligheder varierer betydeligt mellem individuelle mobile enheder. For en iPhone er faktorer som model, iOS-version, kryptering og enhedens tilstand relevante. For Android-enheder omfatter yderligere faktorer forskellige producenter, chipsæt, Android-versioner og sikkerhedskonfigurationer.

Derfor vurderes de tekniske specifikationer for den respektive enhed først, inden en omfattende analyse foretages. Afhængigt af systemet kan værktøjer som Cellebrite UFED, MOBILedit Forensic, MEFF 3 PRO og andre specialiserede værktøjer bruges til at udtrække og undersøge mobildata.

Udover smartphones kan tablets også indeholde relevant digitalt bevismateriale . Du kan finde mere information i afsnittet om tablet-retsmedicin.

Computerforensik for enkeltpersoner og virksomheder

Windows-pc'er, bærbare computere og Mac-computere kan indeholde langt flere oplysninger end de filer, der er umiddelbart synlige. Afhængigt af operativsystemet og det specifikke spørgsmål, der undersøges, kan filsystemoplysninger, brugeraktivitet, browserdata, tilsluttede lagerenheder og andre systemartefakter være relevante.

For privatpersoner kan dette involvere mistanke om uautoriseret adgang, slettede filer eller sikring af relevante oplysninger. Virksomheder kræver ofte computerforensik i tilfælde af intern mistanke, datalækager eller cyberhændelser.

Til sådanne undersøgelser findes værktøjer som Cellebrite Collector, Cellebrite Inspector og X-Ways Forensics, samt andre specialiserede værktøjer.

Hannover som forretningssted: Beskyttelse af digitale oplysninger og undersøgelse af hændelser

Hannover forbinder industri, service, handel, forsikringssektoren, teknologi og en bred vifte af mellemstore virksomheder. Virksomheder i alle størrelser opererer i dag med netværksforbundne IT-systemer, mobile arbejdspladser og cloud-tjenester. Som følge heraf er relevante digitale spor i tilfælde af en sikkerhedshændelse ofte fordelt på tværs af flere systemer.

Kunde- og kontraktdata, personaleoplysninger, tekniske dokumenter, intern kommunikation, beregninger og forretningsknowhow kan blive påvirket, såvel som adgangsdata eller brugerkonti.

En retsmedicinsk undersøgelse skal derfor først afklare, hvilke oplysninger der er relevante for den specifikke hændelse, og på hvilke enheder eller systemer der kan være tilsvarende spor til stede.

IT-forensik for virksomheder i Hannover

En intern sikkerhedshændelse er ikke blot et teknisk problem. Den kan rejse spørgsmål vedrørende arbejdsret, databeskyttelse, økonomi og ansvar. Derfor bør en verificerbar og pålidelig metode til dokumentation af beviser overvejes så tidligt som muligt.

Typiske forskningsspørgsmål omfatter:

• Blev fortrolige virksomhedsdata kopieret?
• Hvilke eksterne lagringsenheder blev brugt med en computer?
• Var der nogen usædvanlige arkivaktiviteter før du skiftede arbejdsgiver?
• Er der blevet tilgået en brugerkonto uden tilladelse?
• Blev der slettet eller ændret nogen filer?
• Hvilke systemer blev påvirket af en cyberhændelse?

Hvis du har en konkret mistanke om lækage af fortrolige oplysninger, kan du finde yderligere information i vores afsnit om datatyveri.

Medarbejderhændelser og potentielle datalækager

Sager kan være særligt tidskritiske umiddelbart før eller efter en medarbejders afgang. Hvis der er konkret mistanke om, at fortrolige filer er blevet kopieret, slettet eller overført til eksterne systemer, er det afgørende at undersøge tidligt, hvilke enheder og datakilder der skal bevares.

Afhængigt af omstændighederne kan arbejdspladscomputere, bærbare computere, firmamobiltelefoner, USB-lagerenheder, brugerkonti, e-mailsystemer eller cloud-tjenester være relevante.

En enkelt artefakt bør ikke overfortolkes. For eksempel beviser tilslutning af en USB-lagerenhed ikke, at specifikke filer blev kopieret. En rekonstruktion bliver mere afgørende, når flere tekniske spor passer sammen kronologisk og tematisk.

Cyberangreb og kompromitterede IT-systemer

Efter et cyberangreb skal skadeskontrol og bevisbevaring koordineres. En for tidlig geninstallation kan ændre relevant bevismateriale. Samtidig bør et kompromitteret system ikke unødvendigt fortsættes med at fungere udelukkende med det formål at bevare bevismateriale.

Afhængigt af hændelsen kan slutenheder, brugerkonti, systemlogfiler, e-maildata eller cloud-information blive undersøgt. Målet er at rekonstruere det tekniske hændelsesforløb så vidt muligt baseret på de tilgængelige data.

Bevaring af retsmedicinsk bevismateriale: Integritet før analyse

Kvaliteten af ​​en digital undersøgelse begynder med databackup. Metoden skal være passende for det specifikke objekt, der undersøges. Traditionelle lagringsmedier kræver andre procedurer end smartphones, SSD'er, krypterede Macs eller cloud-systemer.

Med passende sikkerhedsforanstaltninger kan kryptografiske hashværdier bruges til at verificere integriteten af ​​et datasæt. Tilsvarende kan en dokumenteret sporbarhedskæde være relevant for at sikre sporbarhed af, hvornår et undersøgelsesobjekt blev modtaget, sikret og behandlet.

Vi diskuterer disse principper mere detaljeret i vores artikel "Digital retsmedicin og verificerbar kvalitet".

Specialiserede værktøjer til forskellige typer beviser

Intet enkelt retsmedicinsk program dækker smartphones, computere, lagringsmedier og forskellige operativsystemer lige godt. Derfor anvendes der, afhængigt af det objekt, der undersøges, værktøjer som Cellebrite UFED, Cellebrite Collector, Cellebrite Inspector, X-Ways Forensics, MOBILedit Forensic og MEFF 3 PRO, samt andre specialiserede værktøjer.

Software alene bestemmer dog ikke kvaliteten af ​​en undersøgelse. Et værktøj kan udtrække og strukturere data. Den professionelle opgave ligger i at identificere relevante artefakter, undersøge korrelationer og korrekt vurdere begrænsningerne af et fund.

Certificeret kvalitet og ekspertkompetence

LB Detektive GmbH har et kvalitetsstyringssystem, der er certificeret af TÜV NORD i henhold til DIN EN ISO 9001, hvilket omfatter IT-forensik. Derudover er eksperten certificeret i henhold til DIN EN ISO/IEC 17024.

Dette kombinerer to forskellige kvalitetsniveauer: definerede organisatoriske processer og påviseligt kvalificeret ekspertkompetence. Især når det gælder følsomme digitale beviser, er transparente procedurer, kontrolleret håndtering af beviser og ekspertvurdering væsentlige komponenter i efterforskningen.

Typiske tilfælde undersøgt i Hannover

Privat: Mistanke om samvær fra en tidligere partner

Efter et brud ser det ud til, at den tidligere partner stadig besidder personlige oplysninger. I stedet for automatisk at antage spyware undersøges først potentielle adgangspunkter via smartphones, brugerkonti, synkroniserede enheder og kendte loginoplysninger. Den tekniske undersøgelse indsnævres derefter til de relevante systemer.

Privat: Slettet kommunikation er påkrævet

I forbindelse med retssager skal beskeder, der ikke længere er synlige, undersøges. Afgørende faktorer er den anvendte enhed, beskedappen, tidspunktet for sletningen og tilgængelige datakilder. Kun med disse oplysninger kan det vurderes, om rekonstruktion er teknisk mulig.

Virksomhed: Mistanke om datatyveri

Kort før et arbejdsgiverskifte blev der registreret usædvanlig filaktivitet. Afhængigt af det specifikke system kan filsystemoplysninger, brugeraktivitet og eksterne lagerenheder undersøges og sammenlignes over tid.

Hvordan forløber en IT-retsmedicinsk undersøgelse?

1. Definer forskningsspørgsmålet

Først præciseres det, hvilke tekniske data der skal bestemmes, og hvilken tidsperiode der er relevant.

2. Bestem enheder og datakilder

Kun smartphones, computere, datalagringsenheder eller konti, der er relevante for det pågældende spørgsmål, vil blive inkluderet i undersøgelsen.

3. Sikr data retsmedicinsk

Sikkerhedskopimetoden afhænger af det objekt, der undersøges, operativsystemet og den tekniske tilstand.

4. Analysér digitale spor

Relevante artefakter evalueres og sammenlignes om nødvendigt med andre datakilder med hensyn til timing og indhold.

5. Dokumentér resultater

Afhængigt af opgaven samles resultaterne i en struktureret undersøgelsesrapport eller ekspertudtalelse.

Hvad skal man undgå før en eksamen

• Nulstil ikke en mistænkelig smartphone for hurtigt.
• Slet ikke selv mistænkelige apps.
• Installer ikke ukendte spyware-scannere.
• Undgå unødvendige ændringer af computere og datalagringsenheder.
• Hvis data er blevet slettet, skal enheden bruges så lidt som muligt.
• Dokumentér ukendte logins og sikkerhedsadvarsler.

IT-forensik i Hannover og vores driftsområder

Vores serviceområde omfatter Hannover, den omkringliggende region og andre dele af Niedersachsen. Dette omfatter blandt andre Garbsen, Langenhagen, Laatzen, Lehrte, Burgdorf, Neustadt am Rübenberge, Wunstorf, Celle, Hildesheim, Peine, Braunschweig og Wolfsburg.

Privatpersoner, virksomheder og advokater fra disse anvendelsesområder kan få både individuelle smartphones, computere eller databærere samt mere komplekse digitale problemstillinger undersøgt.

Ofte stillede spørgsmål om IT-forensik i Hannover

Kan jeg som privatperson bestille en mobiltelefonforensisk analyse?

Ja. Private efterforskninger kan omfatte smartphones, slettet kommunikation, potentiel uautoriseret adgang, brugerkonti og digitale beviser i personlige tvister.

Er det muligt at finde ud af, om min smartphone er blevet hacket?

En smartphone kan undersøges for eksisterende tekniske spor af mulig uautoriseret adgang. Om en sådan adgang rent faktisk kan bevises, afhænger af enheden, operativsystemet, angrebsscenariet og de data, der stadig er til stede.

Er det muligt at tjekke, om min ekspartner stadig har adgang til mine data?

Afhængigt af omstændighederne kan relevante enheder og kontoforbindelser blive undersøgt. Ud over potentiel malware bør autoriserede enheder, kendte loginoplysninger og synkroniserede konti også tages i betragtning.

Kan slettede WhatsApp-beskeder gendannes?

Under visse tekniske forhold kan en fuldstændig eller delvis rekonstruktion være mulig. En vellykket restaurering kan dog ikke garanteres.

Kan en iPhone eller Android-smartphone scannes for spyware?

Ja. De specifikke undersøgelsesmuligheder afhænger dog af model, operativsystem, sikkerhedsstatus og eventuelle eksisterende tekniske spor.

Er det muligt at afgøre, om virksomhedsdata er blevet kopieret til en USB-stick?

Der kan være spor af tilsluttede USB-enheder og relevant filaktivitet til stede. Hvorvidt en specifik kopiering af bestemte filer kan bevises, skal vurderes ud fra den samlede dokumentation.

Kan cyberangreb undersøges retrospektivt?

Dette kan være muligt, hvis der stadig er egnede datakilder tilgængelige. Afhængigt af hændelsen kan slutenheder, brugerkonti, logfiler, e-mailsystemer eller cloud-data være relevante.

Udarbejdes der også ekspertrapporter?

Ja. Afhængigt af den aktuelle opgave kan en IT-retsmedicinsk ekspertrapport udarbejdes ud over en undersøgelsesrapport.

Hvad koster en IT-retsmedicinsk undersøgelse?

Omkostningerne afhænger primært af antallet og typen af ​​udstyr, datamængden, den tekniske tilgængelighed, de specifikke spørgsmål, der undersøges, og den nødvendige dokumentation. Derfor defineres det nødvendige omfang i komplekse sager først.

Anmod om IT-forensisk analyse i Hannover

Uanset om det drejer sig om en mistænkelig smartphone, mulig uautoriseret adgang, slettet kommunikation, datalækage eller cyberangreb: For en indledende vurdering er den berørte enhed, den specifikke afvigelse, den relevante tidsperiode og mulige ændringer siden hændelsen særligt vigtige.

Baseret på dette kan det afgøres, hvilke datakilder der rent faktisk er nødvendige, og hvilken backup- og analysemetode der er egnet til den specifikke sag. Yderligere dybdegående information kan findes i vores vidensbase om digital retsmedicin.