En smartphone, bærbar computer eller computer kan indeholde afgørende oplysninger, selvom der ved første øjekast ikke er meget, der er genkendeligt. Slettede meddelelser, filadgange, brugeraktivitet, appdata, eksterne lagringsmedier og systemartefakter kan afsløre tekniske forbindelser. LB Forensik udfører professionelle IT-retsmedicinske undersøgelser af smartphones, computere og andre digitale datakilder for privatpersoner, virksomheder og advokater i Bielefeld.

Fokus er ikke på at udtrække den størst mulige mængde data, men på det specifikke bevisspørgsmål. Er målet at fastslå, om WhatsApp-beskeder stadig eksisterer? Er der mistanke om uautoriseret adgang? Er virksomhedens filer blevet slettet eller muligvis kopieret? Eller skal der rekonstrueres aktivitet på en computer inden for en bestemt tidsramme?

Til databevaring og -analyse bruger vi specialiserede retsmedicinske løsninger afhængigt af datakilden og undersøgelsens formål. Disse omfatter blandt andet Cellebrite, X-Ways Forensics, Belkasoft og MOBILedit Forensics. Relevante resultater evalueres ikke udelukkende baseret på softwarevisninger, men snarere på de underliggende digitale artefakter og deres tekniske kontekst.

IT-forensik til Bielefeld: Overblik over tjenester

• Mobiltelefonforensik og smartphoneforensik til iPhone og Android
• Computerretsmedicin til Windows-pc'er, bærbare computere og Apple Macs
• Analyse af WhatsApp og anden digital kommunikation
• Undersøgelse af slettede og ikke umiddelbart synlige data
• Kontrollér for teknisk påviselige tegn på uautoriseret adgang
• Analyse af harddiske, SSD'er, USB-sticks og hukommelseskort
• Undersøgelse af eksisterende sikkerhedskopier og tilgængelige cloud-data
• Rekonstruktion af relevante fil-, bruger- og systemaktiviteter
• Undersøgelse af mulige datalækager og medarbejdermisbrug
• tidsmæssig korrelation af forskellige digitale spor
• retsmedicinsk databackup og integritetstjek
• Forståelig dokumentation af eksamenstrinnene

Vi dækker også tekniske grundprincipper og yderligere spørgsmål i vores vidensdatabase om digital retsmedicin.

Hvilke digitale spor kan undersøges?

Digital retsmedicin undersøger data genereret ved brug af enheder, operativsystemer og applikationer. Nogle af disse oplysninger er direkte synlige for brugeren, mens andre oplysninger findes i databaser, filsystemer, systemlogfiler eller andre tekniske strukturer.

Afhængigt af tilfældet kan relevante data omfatte beskeder, filer, fotos, videoer, browserdata, appoplysninger, brugerlogin, filadgang, tilsluttede lagerenheder og systemhændelser.

Det afgørende spørgsmål er ikke blot, om en artefakt eksisterer. Lige så vigtige er dens oprindelseskontekst, den relevante tidsperiode, og hvilke tekniske konklusioner der rent faktisk kan drages af den.

Mobiltelefonforensik i Bielefeld for smartphones og mobildata

Mobiltelefonforensik på Bielefeld-anlægget omhandler sikring og analyse af digital information på smartphones. Moderne mobile enheder lagrer kommunikation, fotos, videoer, appdata, browseroplysninger, brugerkonti og adskillige systemartefakter.

En professionel smartphone-undersøgelse går derfor ud over blot at inspicere enheden manuelt. Afhængigt af de tekniske specifikationer kan app-databaser, messenger-indhold, medier, filer, opkaldsoplysninger, tidsstempler samt visse placerings-, forbindelses- og systemdata undersøges.

Hvilke data der rent faktisk er tilgængelige, afhænger af producent, model, operativsystem, sikkerhedsstatus, kryptering og tilgængelig udtrækningsmetode.

iPhone-efterforskning af Apple-enheder

Apple beskytter data på moderne iPhones gennem en kombination af hardware, iOS, kryptering og andre sikkerhedsmekanismer. Den opnåelige undersøgelsesdybde kan derfor variere betydeligt mellem forskellige iPhone-modeller og iOS-versioner.

Afhængigt af enheden og datakilden kan beskeder, appdata, fotos, videoer, filer, browseroplysninger, tidsstempler og andre systemfejl undersøges. Eksisterende lokale sikkerhedskopier eller tilgængelige iCloud-data kan indeholde yderligere oplysninger.

Velrenommeret iPhone-efterforskning lover ikke en komplet datagendannelse på alle områder. Den afgørende faktor er, hvilke data der rent faktisk blev sikret ved hjælp af den tilgængelige metode, og hvilke tekniske konklusioner der kan drages ud fra det.

Vi forklarer yderligere tekniske grundprincipper i artiklen "Hvad er iPhone-forensik?".

Android-efterforskning af Samsung, Google, Honor og andre enheder

Android er ikke et teknisk set samlet økosystem. Samsung, Google, Honor, Xiaomi og andre producenter bruger forskellige hardware- og sikkerhedskonfigurationer. Derudover påvirker Android-versionen og sikkerhedsrettelsen de tilgængelige udtrækningsmetoder.

Afhængigt af enheden kan messenger-data, appdatabaser, filer, medier, browseroplysninger og forskellige systemartefakter være relevante.

Det store udvalg af enheder er også en af ​​grundene til, at vi ikke udelukkende arbejder med én mobil retsmedicinsk løsning.

WhatsApp-efterforskning af slettede eller omstridte beskeder

WhatsApp-data kan blive relevante i private tvister, svindel, stalking, ansættelsesretssager og forretningskonflikter. De underliggende data er langt vigtigere end blot en skærmvisning.

Afhængigt af de tilgængelige udtrækningsfunktioner kan beskeder, deltagere, gruppeoplysninger, tidsstempler, billeder, videoer, dokumenter, talebeskeder og andre app-artefakter undersøges.

Vi forklarer yderligere baggrundsinformation under "Retsmedicinsk analyse af WhatsApp-beskeder".

Er det muligt at gendanne slettede WhatsApp-beskeder?

Under visse omstændigheder kan slettet indhold eller tilbageværende artefakter stadig være til stede. Om rekonstruktion er mulig afhænger blandt andet af operativsystemet, databasens tilstand, eksisterende sikkerhedskopier og den fortsatte brug af smartphonen.

En fuldstændig gendannelse kan ikke garanteres. Nye beskeder, synkroniseringer, appopdateringer og andre skrivehandlinger kan ændre eksisterende data.

Hvad er den tekniske bevisværdi af et WhatsApp-skærmbillede?

Et skærmbillede dokumenterer først en synlig skærmvisning. Det inkluderer ikke automatisk den underliggende nyhedsdatabase og andre interne appoplysninger.

Hvis den originale smartphone eller et passende retsmedicinsk udtræk er tilgængeligt, kan yderligere artefakter bruges til teknisk sammenligning.

Computerforensik i Bielefeld til Windows og macOS

Computerforensik i Bielefeld undersøger digitale spor på pc'er, bærbare computere, Apple Macs og deres tilhørende lagringsmedier. Operativsystemer genererer adskillige artefakter under brug, der kan være relevante for senere rekonstruktion.

Dette kan blandt andet omfatte:

• Filer og filsystemstrukturer
• Filmetadata og tidsstempler
• Slettede filer og resterende filartefakter
• Brugerkonti og loginaktivitet
• Browserhistorik og downloads
• tilsluttede USB-enheder
• eksterne harddiske og andre lagringsmedier
• Program- og applikationsspor
• Windows-hændelseslogfiler
• yderligere oplysninger om operativsystemet
• lokale spor af cloud- og synkroniseringstjenester

Hvilke af disse data der rent faktisk er relevante, afhænger af forskningsspørgsmålet. En analyse på grund af mistanke om datatyveri kræver andre prioriteter end rekonstruktionen af ​​specifik brugeraktivitet.

Du kan finde det grundlæggende i metoden under Hvad er computerforensik ?.

Kan brugen af ​​en USB-stick spores?

Computersystemer kan indeholde tekniske oplysninger om tilsluttede USB-enheder. Afhængigt af de tilgængelige data kan f.eks. enhedsdata og tidsmæssige relationer analyseres.

Det er dog ikke sikkert, at en USB-stick blot tilsluttes, at der er tale om en filoverførsel. For at afgøre, om specifikke virksomhedsdata er blevet kopieret, skal der tages hensyn til yderligere artefakter.

Hvordan kan filaktivitet kategoriseres kronologisk?

Filsystemer og applikationer kan gemme forskellige tidsstempler. Disse kan give spor om oprettelse, ændring, åbning eller videre behandling af en fil.

Kopieringsprocesser, synkroniseringer, programmer og systemprocesser kan dog påvirke tidsstempler. Derfor bør en pålidelig vurdering tage højde for så mange tilsvarende spor som muligt.

Slettede filer og datagendannelse

Slettede data kan ikke gendannes lige godt på alle lagringsmedier. Magnetiske harddiske, SSD'er og flashhukommelse i mobile enheder adskiller sig markant i deres tekniske design.

Om en fil kan gendannes helt, delvist eller slet ikke, afhænger blandt andet af filsystemet, lagringstypen, krypteringen, sletningstiden og den videre brug af enheden.

Især med SSD'er kan hukommelsesoprydningsmekanismer gøre det betydeligt vanskeligere eller endda umuligt at gendanne slettet indhold.

IT-forensik går ud over blot datagendannelse. Udover datagendannelse kan oprindelsen, metadataene, tidsmæssige relationer og andre tilsvarende systemartefakter være afgørende for at fastslå bevismateriale.

Digitale undersøgelser for privatpersoner fra Bielefeld

Digitale beviser er ikke længere kun relevante for virksomheder. Især private smartphones indeholder omfattende information om kommunikation, brugerkonti og personlige aktiviteter.

Privatpersoner fra Bielefeld kan for eksempel kontakte LB Forensik for:

• Mistanke om uautoriseret adgang til smartphone eller computer
• mulig spyware eller digital overvågning
• slettede WhatsApp-beskeder
• slettede billeder, filer eller andre data
• Svig og identitetstyveri
• Stalking og digital chikane
• Separation eller skilsmisse
• omstridt digital kommunikation
• Sikring af eksisterende digitale beviser

Er min telefon blevet hacket eller overvåget?

Usædvanlig opførsel af en smartphone er ikke alene bevis på et kompromis. Højt batteriforbrug, varmeudvikling, ukendte notifikationer eller øget datatrafik kan have forskellige tekniske årsager.

En retsmedicinsk undersøgelse bør derfor være åben og søge efter eventuelle eksisterende beviser. Afhængigt af enheden kan apps, systemoplysninger, konfigurationer, profiler, kommunikationsdata og andre artefakter være relevante.

Selv et negativt resultat skal fortolkes omhyggeligt. Hvis der ikke findes tilsvarende spor i de tilgængelige data, beviser det ikke automatisk, at et angreb ikke fandt sted på et tidligere tidspunkt.

Digitalt bevismateriale i sager om separation, skilsmisse og personlige konflikter

Private konflikter kan gøre beskeder, fotos, filer eller andre digitale oplysninger relevante. Samtidig er der en vigtig forskel mellem teknisk adgang og juridisk autorisation.

LB Forensics undersøger kun enheder, brugerkonti og datasæt, som de har den nødvendige autorisation til. Hemmelig adgang til andre personers smartphones, beskedapps eller cloud-konti er ikke en tilladt retsmedicinsk undersøgelse.

Retsmedicinske undersøgelser for virksomheder i Bielefeld

Bielefeld er et vigtigt økonomisk centrum i Østwestfalen-Lippe. Industri, handel, service, sundhedssektoren og mellemstore virksomheder behandler omfattende digitale datasæt. Derfor kan flere systemer og datakilder blive relevante samtidigt i tilfælde af intern mistanke eller cyberhændelser.

Typiske årsager omfatter en potentiel datalækage, slettede virksomhedsoplysninger, uautoriserede datakopier, kompromitterede brugerkonti, medarbejdermisbrug eller teknisk undersøgelse af en IT-sikkerhedshændelse.

Datalækager og uautoriserede datakopier

I tilfælde af mistanke om datatyveri bør det første skridt være at fastslå, hvilke transmissionsmetoder der var teknisk mulige. USB-drev er blot én mulighed. Afhængigt af systemet kan cloud-tjenester, e-mail, browserapplikationer eller andre transmissionsmetoder være relevante.

En retsmedicinsk analyse kan derfor sammenligne filadgang, eksterne lagringsenheder, cloud-applikationer, browseraktiviteter, e-mail-artefakter og andre systemspor.

Teknisk analyse efter et cyberangreb

Efter et mistænkt cyberangreb kan systemlogfiler, brugeraktivitet, mistænkelige filer, persistensmekanismer, netværksspor og andre digitale artefakter undersøges.

I en igangværende hændelse skal inddæmning og bevisopbevaring betragtes som en del af processen. En tændt og allerede dekrypteret computer har et andet retsmedicinsk udgangspunkt end den samme enhed, efter den er blevet slukket eller genstartet.

Cellebrite til mobil dataanalyse

Vi bruger primært Cellebrite til at sikre og analysere mobile og andre digitale datakilder. Den specifikke metode, der er tilgængelig, afhænger af enheden, operativsystemet og sikkerhedsstatus.

En vellykket ekstraktion udgør dog endnu ikke et endeligt fund. Kun analysen af ​​de fundne artefakter afslører, hvilke oplysninger der rent faktisk er relevante for det respektive forskningsspørgsmål.

X-Ways Forensics til computere og lagringsmedier

X-Ways Forensics muliggør detaljerede undersøgelser af filsystemer, computere, harddiske, SSD'er og andre datalagringsenheder.

Dette muliggør målrettet analyse af filer, metadata, filsystemstrukturer, slettede data og andre tekniske oplysninger.

Belkasoft til korrelation af digitale artefakter

Belkasoft understøtter struktureret analyse af forskellige digitale datakilder. I mere komplekse tilfælde kan relevante oplysninger fra forskellige områder kombineres og sammenlignes over tid.

MOBILedit Forensic som en ekstra smartphone-metode

MOBILedit Forensic udvider mulighederne for at udtrække og undersøge data fra mobile enheder. En yderligere metode kan være særligt relevant i betragtning af den tekniske mangfoldighed af forskellige Android-enheder.

Hvorfor flere retsmedicinske programmer anvendes

Intet enkelt værktøj understøtter alle enheder, operativsystemer og datastrukturer med samme detaljeringsniveau. Derudover kan forskellige retsmedicinske programmer genkende og vise det samme datasæt forskelligt.

Derfor kan en anden teknisk metode til plausibilitetskontrol være nyttig i tilfælde af vigtige fund. Den underliggende digitale artefakt er dog fortsat afgørende. Et automatiseret softwarehit erstatter ikke en ekspertvurdering.

Sikkerhedskopiering og integritet af retsmedicinske data

Digital bevisbevaring handler ikke blot om at kopiere individuelle filer til et andet lagringsmedium. I undersøgelser, der er relevante for bevismateriale, bør det være muligt at spore, hvilket undersøgelsesobjekt der var til stede, hvordan de relevante data blev sikret, og på hvilket grundlag den efterfølgende analyse blev udført.

Kryptografiske hashværdier kan hjælpe med at verificere integriteten af ​​et defineret datasæt. En matchende hashværdi kan bekræfte, at dette specifikke datasæt ikke har ændret sig i forhold til den dokumenterede referencetilstand.

Det beviser dog ikke automatisk fuldstændigheden, ægtheden, forfatterskabet eller rigtigheden af ​​en senere fortolkning.

Yderligere teknisk baggrundsinformation er forklaret under Integritet af digitalt bevismateriale.

Beviskæde og dokumenteret efterforskningsproces

I en evidensorienteret undersøgelse bør det dokumenteres tydeligt, hvilken enhed der blev overtaget, dens tilstand, hvilke sikkerhedsforanstaltninger der blev truffet, og på hvilket datagrundlag analysen blev udført.

Denne kæde af varighed (chain of custody) tjener en anden funktion end en hashværdi. En hashværdi bruges til teknisk integritetskontrol af et defineret datasæt; varigheden (chain of custody) dokumenterer derimod, hvordan undersøgelsesobjektet blev håndteret.

Yderligere information kan findes under Sporbarhedskæden i digital retsmedicin.

Fra undersøgelsesordre til teknisk rapport

Definer forskningsspørgsmålet

Først bestemmes det, hvilket teknisk problem der skal afklares, og hvilken tidsperiode der er relevant for dette.

Vælg datakilder

Smartphone, computer, datalagringsenhed, backup eller cloud-data prioriteres baseret på deres relevans i forhold til det pågældende spørgsmål.

Optag den oprindelige tilstand

Enhedsmodellen, operativsystemet, krypteringen, sikkerhedsstatus og tilgængelige adgangsmuligheder påvirker den videre handling.

Sikr data korrekt

Metoden til databackup tilpasses det specifikke objekt, der undersøges. Hvor det er teknisk muligt, udføres analysen derefter baseret på et defineret, sikkerhedskopieret datasæt.

Evaluer relevante artefakter

Filer, databaser, kommunikationsinformation og systemspor undersøges ud fra det tidligere definerede spørgsmål.

Sammenlign flere spor med hinanden

Tilsvarende artefakter kan forbindes kronologisk og tematisk. Dette gør det ofte muligt at klassificere en proces mere pålideligt end gennem et enkelt teknisk fund.

Separat fund og fortolkning

Dokumentationen skal tydeligt skelne mellem hvilke data der er direkte registreret, hvilke faglige konklusioner der drages ud fra dem, og hvilke tekniske begrænsninger der findes.

IT-forensik i Bielefeld og Østwestfalen-Lippe-området

Bielefeld danner sammen med den omkringliggende region et vigtigt økonomisk og levemæssigt område i Østwestfalen-Lippe. Digitale problemer kan derfor hurtigt påvirke flere bolig-, arbejds- eller forretningssteder.

Det regionale område omfatter blandt andet Gütersloh, Herford, Bad Salzuflen, Detmold, Halle (Westfalen), Rheda-Wiedenbrück, Minden og Paderborn . Disse lokationer er nævnt her for geografisk sammenhæng og præsenteres ikke automatisk som filialer af LB Forensik.

Bygrænserne er ikke afgørende for selve den tekniske undersøgelse. Det, der er afgørende, er det tilgængelige udstyr og datakilder, deres tilstand, den relevante tidsperiode og det specifikke bevisspørgsmål.

Hvad skal man undgå før en retsmedicinsk undersøgelse?

En smartphone, der kan være relevant som bevismateriale, bør ikke nulstilles for tidligt. Mistænkelige apps, beskeder, filer eller brugerkonti bør heller ikke slettes uden en forudgående teknisk vurdering.

Datagendannelses-, oprydnings- eller antispywareprogrammer kan også oprette nye filer og systemoplysninger og derved ændre eksisterende digitale spor.

En computer, der allerede har været slukket, bør ikke genstartes normalt blot med henblik på inspektion. Selv opstart af operativsystemet genererer ny aktivitet og kan ændre eksisterende information.

Omvendt er det ikke altid den rigtige fremgangsmåde at lukke et kørende system ned med det samme. Med krypterede enheder, der er tændt, kan den aktuelle tilstand være relevant for backupmuligheder.

Ofte stillede spørgsmål til kunder fra Bielefeld

Undersøger LB Forensics smartphones, der tilhører privatpersoner?

Ja. Afhængigt af spørgsmålet kan iPhones, Android-smartphones, eksisterende sikkerhedskopier og andre autoriserede datakilder undersøges.

Er det muligt at finde ud af, om min telefon er blevet hacket?

En retsmedicinsk undersøgelse kan lede efter teknisk detekterbare beviser for uautoriseret adgang eller potentiel kompromittering. Resultaterne afhænger af enheden og de tilgængelige data.

Kan slettede filer gendannes fra en computer?

Dette kan være muligt afhængigt af lagringsmediet, filsystemet, krypteringen og anden brug. En fuldstændig gendannelse kan ikke garanteres.

Kan smartphonen og computeren fra den samme sag undersøges sammen?

Ja. Hvis begge enheder er relevante for det samme emne, kan tilsvarende data sammenlignes med hensyn til tid og indhold.

Er det muligt at fastslå, hvem der har brugt computeren?

Digitale artefakter kan ofte være knyttet til en enhed, brugerkonto eller teknisk proces. Dette betyder dog ikke automatisk, hvilken fysisk person der rent faktisk betjente systemet på det tidspunkt.

Hvilken software bruger LB Forensics?

Afhængigt af datakilden og undersøgelsens formål bruger vi værktøjer som Cellebrite, X-Ways Forensics, Belkasoft og MOBILedit Forensic.

Skal jeg selv undersøge en mistænkelig enhed?

Unødvendig brug af en enhed, der kan være relevant som bevismateriale, bør undgås. Forsøg på at slette, rense eller gendanne data uafhængigt kan ændre de eksisterende data.