Når beskeder forsvinder, en smartphone udviser usædvanlig aktivitet, eller det er umuligt at forklare, hvornår filer blev åbnet, ændret eller overført på en computer, opstår der hurtigt mistanker. Dette er dog ikke tilstrækkeligt til en pålidelig teknisk vurdering. LB Forensics undersøger digitale spor på smartphones, computere, lagringsmedier, sikkerhedskopier og tilgængelige cloud-data for privatpersoner, virksomheder og advokater i Wuppertal.

Kernen i en IT-retsmedicinsk undersøgelse ligger et klart formuleret spørgsmål: Hvilke data findes der rent faktisk? Hvilke aktiviteter kan spores kronologisk? Er der tekniske indikationer på uautoriseret adgang, sletning, manipulation eller en mulig datalækage? Først når de relevante artefakter korreleres, kan der udledes et teknisk verificerbart fund ud fra individuelle digitale spor.

Afhængigt af enhed, operativsystem og undersøgelsesformål bruger vi specialiserede værktøjer som Cellebrite, X-Ways Forensics, Belkasoft og MOBILedit Forensic. Denne software bruges til databevaring, -behandling og -analyse. Den ekspertevaluering er baseret på de underliggende datastrukturer og ikke udelukkende på en automatisk genereret programvisning.

IT-forensik til Wuppertal: Tjenester og efterforskningsområder

• Smartphone-efterforskning af Apple iPhone- og Android-enheder
• Computerretsmedicin til Windows-systemer og Apple macOS
• Analyse af WhatsApp og anden digital kommunikation
• Undersøgelse af slettede eller ikke længere umiddelbart synlige data
• Undersøgelse af teknisk detekterbare indikationer på uautoriseret adgang og kompromitteringer
• Analyse af harddiske, SSD'er, USB-sticks og andre datalagringsenheder
• Undersøgelse af eksisterende sikkerhedskopier og tilgængelige cloud-data
• Rekonstruktion af relevante bruger-, fil- og systemaktiviteter
• Analyse af potentielle datalækager og interne hændelser
• tidsmæssig korrelation af digitale spor fra flere datakilder
• Retsmedicinsk bevaring og integritetstestning af digitale datasæt
• Forståelig dokumentation af undersøgelsestrinnene og resultaterne

Vi forklarer tekniske grundprincipper, individuelle efterforskningsprocedurer og typiske bevisspørgsmål i detaljer i vores vidensdatabase om digital retsmedicin.

Hvilke spørgsmål kan en digital eksamen besvare?

Digital retsmedicin handler ikke om at indsamle så mange data som muligt, men om at undersøge et specifikt teknisk spørgsmål baseret på eksisterende beviser. Dette gør det muligt at indsnævre de relevante data og forhindrer, at individuelle artefakter overfortolkes uden kontekst.

I en privat sag kan det for eksempel være nødvendigt at fastslå, om WhatsApp-kommunikation stadig eksisterer, eller om der er bevis for uautoriseret adgang til en smartphone. I en virksomhed kan fokus derimod være på, om data blev kopieret til en ekstern lagringsenhed eller overført via en cloudtjeneste.

Typiske spørgsmål omfatter: Blev beskeder eller filer slettet? Hvornår blev en specifik fil åbnet eller ændret? Hvilken brugeraktivitet kan spores inden for en specifik tidsramme? Var en USB-lagerenhed tilsluttet? Er der tegn på uautoriseret adgang? Kan smartphone-, computer- og cloud-artefakter korreleres kronologisk?

Et enkelt teknisk bevismateriale giver ofte ikke et endegyldigt svar. For eksempel viser tilstedeværelsen af ​​en tilsluttet USB-stick kun, at lagerenheden var tilsluttet et system. En specifik kopieringsproces skal undersøges ved hjælp af yderligere bevismateriale.

Smartphone efterforskning i Wuppertal

Smartphones er blandt de mest informationsrige digitale beviskilder i dag. Kommunikation, fotos, videoer, apps, brugerkonti, internetbrug og adskillige systemdetaljer kan alle samles på en enkelt enhed.

En retsmedicinsk smartphoneundersøgelse er derfor ikke begrænset til de data, der er direkte synlige på skærmen. Afhængigt af enheden og udtrækningsmetoden kan appdatabaser, beskeder, medier, browseroplysninger, opkaldsdata, filer, tidsstempler, systemoplysninger og visse placerings- og forbindelsesartefakter være relevante.

De oplysninger, der rent faktisk er tilgængelige, afhænger i høj grad af enhedsmodellen, operativsystemversionen, sikkerhedsstatus, kryptering og den tilgængelige backupmetode.

iPhone-efterforskning af private og erhvervssager

Med en Apple iPhone er hardware, iOS og kryptografiske beskyttelsesmekanismer tæt forbundet. Moderne enheder bruger hardwarebaseret kryptering og andre sikkerhedsmekanismer, så den potentielle undersøgelsesdybde kan ikke pålideligt udledes udelukkende ud fra modelnavnet.

Afhængigt af den tekniske opsætning kan beskeder, appdata, fotos, videoer, filer, browseroplysninger, tidsstempler og andre systemfejl undersøges. Eksisterende lokale sikkerhedskopier eller tilgængelige iCloud-data kan give yderligere informationskilder.

En professionel undersøgelse garanterer derfor ikke en fuldstændig dataindhentning på tværs af feltet. Det afgørende er, hvilke data der rent faktisk kunne indhentes, og hvilke konklusioner disse oplysninger giver mulighed for i det specifikke tilfælde.

Vi forklarer de tekniske grundprincipper og begrænsninger i detaljer i den udgivne vidensartikel "Hvad er iPhone-forensik?".

Android-efterforskning hos Samsung, Google, Honor og andre producenter

Android-smartphones adskiller sig teknisk set betydeligt fra hinanden. Producent, chipset, Android-version, sikkerhedsopdatering og den individuelle enhedskonfiguration påvirker, hvilke backup- og udpakningsmetoder der er tilgængelige.

Afhængigt af enheden kan messenger-data, app-databaser, filer, fotos, videoer, browseroplysninger, systemartefakter og andre brugsoplysninger undersøges.

Især i Android-miljøet kan brugen af ​​flere retsmedicinske værktøjer være gavnlig. Forskellige systemer understøtter bestemte enheder og datastrukturer i varierende grad.

Retsmedicinsk analyse af WhatsApp-beskeder

WhatsApp er regelmæssigt blandt de relevante datakilder i private tvister, svindelsager, stalking, ansættelsesretlige spørgsmål og interne undersøgelser. En retsmedicinsk analyse adskiller sig væsentligt fra blot at gennemgå en synlig chathistorik.

Afhængigt af de tilgængelige data kan beskeder, tidsoplysninger, deltagerdata, gruppestrukturer, billeder, videoer, dokumenter, talebeskeder og andre app-artefakter undersøges.

For en mere detaljeret teknisk beskrivelse, se Retsmedicinsk analyse af WhatsApp-beskeder.

Hvilke muligheder er tilgængelige for slettede WhatsApp-beskeder?

Slettede beskeder kan under visse omstændigheder stadig være helt eller delvist til stede i en database, sikkerhedskopi, mediesamling eller anden tilgængelig datakilde. Gendannelse garanteres ikke.

Om indhold kan rekonstrueres, afhænger blandt andet af operativsystemet, WhatsApp-versionen, databasestatus, eksisterende sikkerhedskopier og videre brug af smartphonen.

Nye beskeder, appopdateringer, synkroniseringer og andre skrivehandlinger ændrer løbende dataene. Derfor bør en enhed, der kan være relevant som bevis, ikke bruges unødvendigt.

Hvorfor et skærmbillede kun har begrænset teknisk betydning

Et skærmbillede viser i første omgang kun det synlige billede på skærmen. Det inkluderer ikke automatisk den originale nyhedsdatabase, interne identifikatorer, yderligere tidsoplysninger eller andre app-artefakter.

Hvis den originale smartphone eller et passende retsmedicinsk udtræk er tilgængeligt, kan det kontrolleres, om der findes yderligere datastrukturer, der teknisk understøtter det synlige indhold eller placerer det i en anden kontekst.

Computerforensik til Windows og macOS

Computere genererer adskillige tekniske spor under brug. Filer oprettes og åbnes, programmer startes, brugere logges ind, websteder tilgås, eksterne lagringsenheder tilsluttes, og data behandles med lokale eller cloudbaserede applikationer.

Afhængigt af forskningsspørgsmålet kan filsystemstrukturer, filmetadata, slettede filer, brugerkonti, loginaktiviteter, browserhistorik, downloads, USB-enheder, programspor, systemlogfiler og lokale cloud-synkroniseringsdata være relevante.

Især ved mere komplekse problemstillinger opstår den reelle værdi af indsigterne ofte kun fra kombinationen af ​​forskellige artefakter. For eksempel kan en fil undersøges ved hjælp af dens metadata, de sidst anvendte applikationer, eksisterende systemspor og andre tidsrelaterede oplysninger.

Yderligere grundlæggende elementer i metodologien forklares i vidensartiklen Hvad er computerforensik ?.

USB-lagerenheder og mulige kopieringsprocesser

Windows og andre operativsystemer kan indeholde oplysninger om, hvilke USB-enheder der er blevet tilsluttet en computer. Under visse omstændigheder kan disse oplysninger bruges til at identificere, hvilken specifik lagerenhed der blev brugt.

Det er dog ikke automatisk bevis for, at filer er blevet overført blot ved at tilslutte en lagerenhed. For en mere grundig evaluering kan relevante oplysninger omfatte filadgang, senest brugte filer, tidsstempler, filsystemoplysninger og andre systemartefakter.

Filbrug og tidsmæssig rekonstruktion

Afhængigt af filsystemet, programmet og operativsystemet kan der være forskellige tidsstempler. Disse kan give spor om, hvornår en fil blev oprettet, ændret, åbnet eller på anden måde behandlet.

Tidsstempler er dog ikke isolerede beviser. Kopieringsoperationer, synkroniseringstjenester, applikationer og systemprocesser kan ændre tidsoplysninger. Derfor bør deres betydning vurderes i den tekniske kontekst.

Slettede data: Gendannelse og retsmedicinsk værdi

Datagendannelse og digital retsmedicin forfølger forskellige mål. Traditionel datagendannelse fokuserer på at gøre mistede filer tilgængelige igen. En retsmedicinsk undersøgelse undersøger desuden dataenes oprindelse, integritet, tidsmæssige kontekst og tekniske betydning.

Om slettede data kan gendannes, afhænger i høj grad af det anvendte lagringsmedie. En magnetisk harddisk, en SSD og flashhukommelsen på en smartphone opfører sig forskelligt efter en sletningsproces.

Især med moderne SSD'er kan mekanismer til oprydning af lager føre til, at slettet indhold relativt hurtigt bliver utilgængeligt. Der gælder andre tekniske krav for krypterede mobile enheder.

Derudover udgør en gendannet fil ikke automatisk det komplette retsmedicinske bevismateriale. Metadata, filsystemoplysninger, tidsstempler og tilsvarende systemartefakter kan også være afgørende.

Digitale undersøgelser for privatpersoner fra Wuppertal

En betydelig del af digitale retsmedicinske problemer i dag opstår i den private sfære. Smartphones, beskedapps, computere og cloud-konti kan indeholde relevante oplysninger i personlige konflikter eller juridiske tvister.

Typiske årsager omfatter mulig uautoriseret adgang til en smartphone, slettet kommunikation, mistanke om bedrageri, stalking eller chikane, separation og skilsmisse, omstridte beskeder, mistænkelige ændringer af brugerkonti eller sikring af digitale data før retssager.

Mistænkt hacket smartphone

Usædvanligt højt batteriforbrug, varmeudvikling, ukendte beskeder eller iøjnefaldende datatrafik er ikke i sig selv bevis for et angreb. Sådanne symptomer kan have adskillige tekniske årsager.

En professionel undersøgelse bør derfor udføres uden forbehold. Afhængigt af enheden kan apps, systemoplysninger, profiler, konfigurationer, kommunikationsartefakter og andre tekniske data undersøges for uregelmæssigheder.

Selv et negativt fund har sine begrænsninger. Hvis der ikke findes bevis for en kompromittering inden for de tilgængelige data, kan det ikke automatisk konkluderes, at et angreb ikke fandt sted på et tidligere tidspunkt.

Separation, skilsmisse og private tvister

I private tvister skal der skelnes mellem teknisk adgang og juridisk autorisation. Ikke alt, der er teknisk tilgængeligt, kan automatisk undersøges.

LB Forensics undersøger kun enheder, konti og datasæt, som de har den nødvendige autorisation til. Hemmelig adgang til andre personers smartphones eller brugerkonti er ikke en tilladt retsmedicinsk undersøgelse.

Digital retsmedicin for virksomheder i Bergisches Land-regionen

Wuppertal er et vigtigt økonomisk centrum i regionen Bergisches Land. Industri, sundhedsvæsen, handel, service, forskning og mellemstore virksomheder behandler store mængder forretnings- og persondata. Derfor kan flere digitale datakilder være relevante samtidigt i tilfælde af en intern hændelse eller et cyberangreb.

Arbejdsstationer, bærbare computere, smartphones, eksterne lagerenheder, brugerkonti, e-mailsystemer og cloud-applikationer kan alle forbindes. Derfor bør undersøgelsen ikke automatisk begrænses til en enkelt enhed.

Mistanke om datalækage eller uautoriseret datakopiering

I tilfælde af et potentielt databrud er det nødvendigt at undersøge, hvilke tekniske transmissionsveje der overhovedet er mulige. Eksterne lagringsenheder er blot én mulighed. Afhængigt af omstændighederne kan cloudtjenester, e-mail, browseraktivitet eller andre applikationer også være relevante.

En pålidelig undersøgelse forsøger at forbinde flere uafhængige beviser. Målet er ikke at drage de bredest mulige konklusioner ud fra et enkelt fund, men snarere at teknisk indsnævre en mulig rækkefølge af begivenheder.

Undersøgelse efter en cyberhændelse

Efter et mistænkt cyberangreb kan systemlogfiler, brugeraktivitet, mistænkelige filer, persistensmekanismer, netværksspor og andre systemartefakter undersøges.

I en igangværende hændelse skal der dog være en balance mellem to mål: at inddæmme angrebet og at bevare relevante digitale beviser. En tændt og allerede dekrypteret computer kan efter en genstart have et andet retsmedicinsk udgangspunkt end den samme enhed.

Derfor er den generelle instruktion om øjeblikkeligt at slukke alle mistænkelige enheder ikke teknisk korrekt i alle tilfælde.

Cellebrite på mobile datakilder

Vi bruger primært Cellebrite til at sikre og analysere mobile og andre digitale datakilder. De tilgængelige udtrækningsmuligheder afhænger af den specifikke enhed, operativsystem og sikkerhedsstatus.

Den tekniske udtrækning er kun ét trin i processen. Det afgørende næste trin er den ekspertfortolkning af de indhentede data i forhold til det specifikke forskningsspørgsmål.

X-Ways Forensics til computere og lagringsmedier

X-Ways Forensics bruges især til detaljerede undersøgelser af computere, harddiske, SSD'er og andre datalagringsenheder.

Filsystemstrukturer, filer, metadata, slettede data og andre tekniske oplysninger kan analyseres specifikt. Dette er især relevant for spørgsmål vedrørende filbrug, lagringsmedier og rekonstrueret filsystemaktivitet.

Belkasoft til komplekse artefaktanalyser

Belkasoft understøtter evaluering af forskellige digitale datakilder og struktureret korrelation af relevante artefakter.

I mere komplekse tilfælde gør dette det muligt at korrelere f.eks. kommunikationsdata, systeminformation og andre digitale spor kronologisk.

MOBILedit Forensic til smartphones

MOBILedit Forensic udvider de tekniske muligheder for at udtrække og analysere data fra mobile enheder. Især i betragtning af det store udvalg af Android-enheder kan en yderligere undersøgelsesmetode være gavnlig.

Hvorfor flere retsmedicinske værktøjer anvendes

Intet enkelt analyseprogram understøtter alle enheder, operativsystemer og datastrukturer lige meget. Desuden kan forskellige løsninger genkende og vise det samme datasæt på forskellige måder.

I tilfælde af relevante fund kan en yderligere metode til teknisk verifikation derfor være nyttig. Den underliggende artefakt er fortsat afgørende. Et automatisk genereret softwarehit er endnu ikke en endelig retsmedicinsk vurdering.

Integritet af digitalt bevismateriale

I en evidensbaseret undersøgelse skal det være transparent, hvilket datagrundlag analysen udføres på. Afhængigt af bevistypen omfatter dette passende sikring og dokumentation af de relevante data.

Hashværdier kan bruges til at kontrollere integriteten af ​​et defineret datasæt. De muliggør en teknisk sammenligning for at afgøre, om disse specifikke data har ændret sig i forhold til en dokumenteret referencetilstand.

En hashværdi beviser dog ikke sandfærdigheden af ​​et indhold, og den beviser heller ikke automatisk forfatterskab eller fuldstændigheden af ​​et uddrag. De forskellige aspekter skal vurderes separat.

En detaljeret forklaring kan findes under Integritet af digitalt bevismateriale.

Sporbarhedskæde og sporbar beviskæde

Forvaringskæden dokumenterer håndteringen af ​​digitalt bevismateriale. Den kan især registrere, hvornår en enhed blev taget i forvaring, hvordan den blev identificeret og sikret, og hvilke relevante behandlingstrin eller overførsler der fandt sted.

Sporbarhedskæden (chain of custody) opfylder således en anden funktion end en hashværdi. Mens en hashværdi teknisk set kan sammenligne et defineret datasæt, dokumenterer sporbarhedskæden den organisatoriske håndtering af undersøgelsesobjektet.

Vi forklarer yderligere baggrundsinformation i artiklen " Sporbarhedskæden i digital retsmedicin".

Hvordan forløber en retsmedicinsk undersøgelse?

Definer spørgsmålet og tidsperioden

Processen begynder med formuleringen af ​​et specifikt teknisk spørgsmål. Samtidig fastlægges den relevante tidsramme for undersøgelsen.

Prioriter datakilder

Ikke alle eksisterende enheder behøver at blive undersøgt automatisk. Smartphones, computere, lagringsmedier, sikkerhedskopier eller cloud-data vurderes ud fra deres relevans for sagen.

Dokumentér den indledende tekniske tilstand

Enhedsmodel, operativsystem, sikkerhedsstatus, kryptering og tilgængelige adgangsmuligheder kan påvirke den passende sikkerhedskopieringsmetode.

Sikkerhedskopier relevante data

De tekniske sikkerhedsforanstaltninger er tilpasset det specifikke bevismateriale. Hvor det er relevant, er den efterfølgende analyse baseret på et defineret, sikret datasæt.

Målrettet analyse af artefakter

Filer, databaser, kommunikationsdata og systeminformation evalueres ud fra det tidligere definerede forskningsspørgsmål.

Sporene korrelerer med hinanden

Når flere uafhængige artefakter relaterer sig til den samme proces, kan de sammenlignes kronologisk og indholdsmæssigt. Dette giver ofte mulighed for en mere præcis klassificering af en teknisk proces.

Separate fund og fortolkning

En forståelig dokumentation skelner mellem direkte observerede data og de professionelle konklusioner, der drages heraf. Ligeledes identificeres tekniske begrænsninger, når de tilgængelige data ikke giver mulighed for en klar udtalelse.

Wuppertal og den omkringliggende region

Wuppertal er det største bycentrum i Bergisches Land-regionen og tæt forbundet med de økonomiske og storbymæssige områder langs Rhinen og Ruhr-floderne. Digitale undersøgelser kan derfor involvere både private enheder og forretningsrelaterede systemer samt datakilder, der spænder over flere lokationer.

Det umiddelbare regionale område omfatter Remscheid, Solingen, Velbert, Mettmann, Schwelm, Ennepetal, Hattingen og Sprockhövel . Essen , Düsseldorf og andre byer i Rhin-Ruhr-regionen kan også være relevante i sager af overregional betydning.

De nævnte byer er udelukkende til geografisk reference. De præsenteres ikke her som filialer af LB Forensik.

Tidligere offentliggjort regional information kan f.eks. findes om IT-forensik i Düsseldorf og IT-forensik i Duisburg.

Hvad skal man undgå før en eksamen?

En smartphone, der kan indeholde beviser, bør ikke nulstilles for tidligt. Ligeledes bør mistænkelige apps, filer eller brugerkonti ikke slettes uden en forudgående teknisk vurdering.

Datagendannelse, oprydning og såkaldte antispywareprogrammer kan oprette nye filer og systemartefakter og derved ændre den oprindelige tilstand.

En computer, der allerede er blevet slukket, bør ikke startes normalt blot for at få en første inspektion. Selv en almindelig opstart af operativsystemet kan ændre logfiler, filer og tidsoplysninger.

Omvendt er det ikke altid den rigtige fremgangsmåde at slukke en tændt enhed med det samme. Især med krypterede systemer kan enhedens aktuelle tilstand påvirke efterfølgende backupmuligheder.

Ofte stillede spørgsmål om digital retsmedicin i Wuppertal

Undersøger LB Forensics også apparater, der tilhører privatpersoner?

Ja. Privatpersoner er eksplicit blandt vores klienter. Afhængigt af problemet kan vi undersøge smartphones, computere, datalagringsenheder, eksisterende sikkerhedskopier og tilgængelige cloud-data.

Kan en iPhone kontrolleres for potentiel spyware eller uautoriseret adgang?

En retsmedicinsk undersøgelse kan lede efter teknisk sporbare indikationer på en mulig kompromittering. Hvilke konklusioner der kan drages afhænger af enheden, iOS-versionen og de faktisk tilgængelige data.

Kan slettet WhatsApp-kommunikation stadig gendannes?

Under visse omstændigheder kan databaseoplysninger, sikkerhedskopier, medier eller andre artefakter muliggøre delvis eller fuldstændig rekonstruktion. En fuld gendannelse kan ikke garanteres.

Er det muligt at afgøre, om en medarbejder har kopieret virksomhedsdata?

Afhængigt af de tilgængelige data kan USB-enheder, filadgang, cloud-applikationer, browseraktivitet, e-maildata og andre systemartefakter undersøges. Et enkelt teknisk fund er ofte utilstrækkeligt til at drage en pålidelig konklusion.

Er det muligt at verificere, om digitale data er blevet ændret?

Afhængigt af filtype og datakilde kan metadata, filsystemoplysninger, interne filstrukturer, sikkerhedskopier og tilsvarende artefakter give spor til ændringer. Ikke alle manipulationer kan rekonstrueres tydeligt bagefter.

Kan et WhatsApp-skærmbillede verificeres for ægthed?

Et skærmbillede kan analyseres teknisk, men dets informationsværdi i sig selv er begrænset. Hvis den originale enhed eller et passende udtræk er tilgængeligt, kan yderligere app- og kommunikationsartefakter bruges til sammenligning.

Kan smartphone-, computer- og cloud-data analyseres sammen?

Ja. Hvis flere datakilder vedrører det samme problem, kan relevante oplysninger sammenlignes og korreleres over tid.

Kan det tydeligt fastslås, hvilken person der har brugt en enhed?

Ikke automatisk. Digitale spor kan ofte knyttes til en enhed, brugerkonto eller teknisk proces. Dette betyder ikke nødvendigvis, hvilken fysisk person der rent faktisk betjente den pågældende enhed på det tidspunkt.

Hvilken retsmedicinsk software bruger LB Forensics?

Afhængigt af enheden, datakilden og det stillede spørgsmål anvendes værktøjer som Cellebrite, X-Ways Forensics, Belkasoft og MOBILedit Forensic.

Hvad skal man overveje først, når man har med potentiel digital bevismateriale at gøre?

Enheden bør ændres så lidt som muligt. Før du nulstiller, geninstallerer, sletter mistænkelige programmer eller genstarter, skal du kontrollere, om relevante spor kan gå tabt.