Digitale processer er ofte ikke så ligetil, som de først ser ud til. En manglende besked, et ukendt login, en ændret fil eller en mistænkelig computer kan have forskellige årsager. LB Forensics i Bochum analyserer digitale spor for privatpersoner, virksomheder og advokater for pålideligt at klassificere tekniske processer baseret på de tilgængelige data.

Afhængigt af omstændighederne kan smartphones, Windows- og macOS-systemer, harddiske, SSD'er, USB-lagerenheder, eksisterende sikkerhedskopier og tilgængelige cloud-data repræsentere relevante informationskilder. Hele datasættet undersøges ikke vilkårligt. Udgangspunktet er et specifikt spørgsmål, for eksempel om kommunikation er blevet slettet, om der kan være forekommet uautoriseret adgang, eller om bestemte brugeraktiviteter kan spores inden for en relevant tidsramme.

Til databevaring og -analyse bruger LB Forensics værktøjer som Cellebrite, X-Ways Forensics, Belkasoft og MOBILedit Forensic , afhængigt af enhed, operativsystem og undersøgelsesformål . Automatisk genererede softwareresultater accepteres ikke uden verifikation. De underliggende digitale artefakter og deres ekspertfortolkning er afgørende.

IT-forensik for Bochum – et overblik

• Smartphone-efterforskning af Apple iPhone- og Android-enheder
• Computerretsmedicin til Windows-pc'er, bærbare computere og Apple macOS
• Analyse af WhatsApp og anden digital kommunikation
• Undersøgelse af slettede og ikke længere umiddelbart synlige data
• Kontrollér for teknisk påviselige tegn på uautoriseret adgang
• Analyse af harddiske, SSD'er, USB-sticks og andre datalagringsenheder
• Undersøgelse af eksisterende sikkerhedskopier og tilgængelige cloud-data
• Rekonstruktion af relevante bruger-, fil- og systemaktiviteter
• tidsmæssig korrelation af digitale spor fra flere datakilder
• forståelig dokumentation af sikring, analyse og fund

Yderligere tekniske oplysninger kan findes i vores vidensbase om digital retsmedicin . Der diskuterer vi individuelle datakilder og metoder i langt større dybde, end det er praktisk muligt på en regional serviceside.

Hvad kan teknisk set bestemmes ved hjælp af IT-forensik?

En digital undersøgelse kan hjælpe med at verificere en mistænkt proces ved hjælp af eksisterende tekniske data. Det er vigtigt at skelne mellem en mistanke og en faktisk observeret artefakt.

Usædvanligt højt batteriforbrug beviser ikke tilstedeværelsen af ​​spyware. En tilsluttet USB-stick beviser ikke datatyveri. Ligeledes identificerer login med en bestemt brugerkonto ikke automatisk den person, der rent faktisk udførte handlingen på det tidspunkt.

Typiske forskningsspørgsmål omfatter for eksempel:

• Blev beskeder, filer eller andre data slettet?
• Er der tekniske indikationer på uautoriseret adgang?
• Hvornår blev en fil oprettet, åbnet, ændret eller slettet?
• Hvilke aktiviteter fandt sted inden for en specifik tidsperiode?
• Har en ekstern lagerenhed været tilsluttet en computer?
• Er der tegn på en mulig lækage af forretningsdata?
• Er det teknisk muligt at gennemgå en WhatsApp- eller Messenger-chathistorik?
• Er det muligt at sammenligne data fra smartphones, computere, sikkerhedskopier og skyen?
• Hvilke tekniske konklusioner kan man egentlig drage ud fra en bestemt artefakt?

Smartphone-forensik for Bochum til iPhone og Android

Smartphones er nu de primære lagringsenheder til kommunikation, fotos, videoer, apps, brugerkonti og et væld af personlige og forretningsmæssige oplysninger. Samtidig er mange retsmedicinsk relevante data ikke placeret i den umiddelbart synlige brugergrænseflade.

Afhængigt af enheden og de tilgængelige data er det muligt at undersøge f.eks. beskeder, appdatabaser, kontakter, opkaldsoplysninger, browserartefakter, fotos, videoer, filer, tidsstempler, systemoplysninger og visse placerings- og forbindelsesartefakter.

Hvilke data der rent faktisk er tilgængelige, afhænger blandt andet af enhedsmodellen, operativsystemversionen, sikkerhedsstatus, kryptering og den tilgængelige udtrækningsmetode.

iPhone-efterforskning for klienter fra Bochum

Med Apple iPhones er hardware, iOS og sikkerhedsarkitektur tæt integreret. Moderne enheder beskytter brugerdata gennem hardwarebaseret kryptering, forskellige beskyttelsesklasser og Secure Enclave. Derfor kan den potentielle undersøgelsesdybde ikke vurderes udelukkende baseret på modelnavnet.

Afhængigt af den tekniske opsætning kan beskeder, appdata, medier, browseroplysninger, filer, tidsstempler og andre systemfejl være tilgængelige. Eksisterende lokale sikkerhedskopier eller tilgængelige iCloud-data kan også repræsentere yderligere datakilder.

Professionel iPhone-efterforskning betyder derfor ikke at love en komplet datagendannelse på alle områder. Det afgørende er, hvilke data der rent faktisk indhentes teknisk, og hvilke konklusioner der kan drages ud fra disse oplysninger.

Vi forklarer yderligere baggrundsinformation under Hvad er iPhone-forensik?

Android-efterforskning for Samsung, Google, Honor og andre producenter

Android-enheder adskiller sig teknisk set betydeligt fra hinanden. Producent, chipset, Android-version, sikkerhedsrettelse og enhedskonfiguration påvirker alle, hvilke udtrækningsmuligheder der er tilgængelige.

Afhængigt af smartphonen kan messenger-data, app-databaser, filer, billeder, videoer, browseroplysninger, systemartefakter og andre brugsdata være relevante.

Især med Android kan brugen af ​​forskellige retsmedicinske værktøjer være gavnlig. Forskellige løsninger understøtter specifikke enhedskombinationer og datastrukturer, nogle gange på forskellige måder.

WhatsApp-efterforskning og slettet kommunikation

Messenger-data er regelmæssigt blandt de vigtigste digitale informationskilder i både private og erhvervsmæssige efterforskninger.

En retsmedicinsk analyse af WhatsApp-data er ikke begrænset til at aflæse den synlige chat på en smartphone. Afhængigt af de tilgængelige data kan beskeder, tidsstempler, deltagere, gruppestrukturer, billeder, videoer, dokumenter, talebeskeder og andre app-artefakter undersøges.

Kan slettede WhatsApp-beskeder gendannes?

Under visse betingelser kan en hel eller delvis rekonstruktion være mulig. En generel garanti for restaurering er dog ikke pålidelig.

Den afgørende faktor er, hvilke data der forbliver tilgængelige og teknisk tilgængelige efter sletning. Afhængigt af systemet kan databaseoplysninger, sikkerhedskopier, mediebeholdninger eller andre datakilder være relevante.

Hvis der ikke findes tilsvarende artefakter i de tilgængelige data, betyder det i første omgang kun, at der ikke kunne udledes nogen tilsvarende rekonstruktion fra dette datasæt.

Hvor informativt er et WhatsApp-skærmbillede?

Et skærmbillede dokumenterer i første omgang kun den synlige visning på en skærm. Det indeholder ikke automatisk den originale beskeddatabase eller andre tekniske oplysninger om enheden.

Hvis den originale enhed eller et passende retsmedicinsk udtræk er tilgængeligt, kan yderligere datastrukturer og tidsoplysninger bruges til en teknisk sammenligning.

Computerforensik i Bochum til Windows og macOS

Computere efterlader adskillige tekniske spor, når de bruges. Brugere logger ind, filer åbnes, programmer startes, websteder tilgås, lagringsenheder tilsluttes, og data behandles med lokale eller cloudbaserede applikationer.

Følgende datakilder kan blandt andet være relevante for en undersøgelse:

• Filsystemstrukturer og filer
• Filmetadata og tidsstempler
• slettede eller ændrede filer
• Brugerkonti og loginaktivitet
• Browserhistorik og downloads
• USB-enheder og eksterne lagringsmedier
• Program- og applikationsspor
• System- og hændelseslogfiler
• lokale cloud- og synkroniseringsdata
• yderligere artefakter fra operativsystemet

Den virkelige værdi af informationen fremgår ofte kun ved at kombinere forskellige spor. For eksempel siger det faktum, at en USB-stick blev sat i oprindeligt, intet om, hvilke filer der rent faktisk blev overført.

Yderligere tekniske oplysninger kan findes under Hvad er computerforensik ?.

Slettede filer: Hvilke data kan stadig være til stede?

En slettet fil håndteres ikke på samme måde på alle lagringsmedier. Magnetiske harddiske, moderne SSD'er og flashhukommelsen på mobile enheder fungerer alle forskelligt.

Om data kan rekonstrueres helt, delvist eller slet ikke, afhænger blandt andet af filsystemet, lagringsmediet, krypteringsstatus, tidspunktet for sletning og enhedens videre brug.

Med SSD'er kan tekniske procedurer for sletning af data hurtigt gøre slettet indhold utilgængeligt. Derfor bør et system, der kan være relevant som bevismateriale, ikke bruges unødvendigt eller udsættes for datagendannelsessoftware.

IT-forensik for privatpersoner i Bochum

Private digitale tvister er blandt de mest almindelige årsager til en retsmedicinsk undersøgelse. Smartphones og computere indeholder kommunikation, billeder, dokumenter, brugerkonti og personlige data, der kan blive relevante i tilfælde af svindel, stalking eller andre juridiske tvister.

Privatpersoner fra Bochum bestiller IT-retsmedicinske undersøgelser, for eksempel i følgende tilfælde:

• slettet eller omstridt kommunikation
• Mistanke om uautoriseret adgang til smartphone eller computer
• mulig spyware eller digital overvågning
• Svig og identitetstyveri
• Stalking og chikane
• Separation eller skilsmisse
• uforklarlige ændringer i brugerkonti eller enheder
• Sikring af relevante digitale data før en juridisk tvist

Er min smartphone blevet hacket?

Dette spørgsmål kan ikke besvares ud fra individuelle symptomer. Højt batteriforbrug, varmeudvikling, dårlig forbindelse eller ukendte fejlmeddelelser kan have adskillige årsager.

En professionel undersøgelse forsøger derfor ikke at bekræfte en eksisterende mistanke. I stedet undersøges de tilgængelige data objektivt for teknisk mistænkelige spor.

Afhængigt af enheden kan oplysninger såsom apps, systemoplysninger, konfigurationer, profiler, kommunikationsartefakter og andre tekniske data ses.

Selv et negativt testresultat skal fortolkes korrekt. Hvis der ikke findes beviser, betyder det ikke nødvendigvis, at et anfald ikke har fundet sted på et tidligere tidspunkt.

IT-forensisk analyse i sager om separation, skilsmisse og private konflikter

Især i den private sfære skal der skelnes klart mellem teknisk mulighed og juridisk berettigelse.

LB Forensics undersøger kun enheder, brugerkonti og datasæt, som de har den nødvendige autorisation til. Hemmelig adgang til andre personers smartphones, beskedapps eller cloud-konti er ikke en tilladt del af en retsmedicinsk undersøgelse.

Digital retsmedicin for virksomheder i Bochum

Bochum ligger i hjertet af en tæt netværksbaseret økonomisk region i Ruhr-området. Virksomheder, advokatfirmaer, forskningsinstitutioner, tjenesteudbydere og mellemstore virksomheder behandler følsomme digitale oplysninger dagligt. Derfor kan årsagerne til en intern eller ekstern sikkerhedshændelse variere meget.

En retsmedicinsk undersøgelse kan være nødvendig, for eksempel hvis virksomhedsdata er forsvundet, en medarbejder kan have lavet uautoriserede kopier, brugerkonti er blevet kompromitteret, eller en cyberhændelse skal rekonstrueres teknisk.

Mistanke om datalækage fra medarbejdere

I tilfælde af et potentielt databrud er en enkelt teknisk konstatering normalt ikke tilstrækkelig til en pålidelig vurdering.

Et tilsluttet USB-drev indikerer i første omgang kun, at der var en forbindelse til computeren. Yderligere spørgsmål kan omfatte: Hvilke filer blev brugt i den relevante periode? Var der nogen betydelig cloud-aktivitet? Blev data sendt via e-mail? Hvilke andre brugeraktiviteter er dokumenteret?

Dette gør det muligt at sammenligne filsystemoplysninger, eksterne lagringsmedier, browserdata, cloud-applikationer, e-mail-artefakter og andre systemspor.

IT-retsmedicinsk undersøgelse efter en cyberhændelse

Efter et cyberangreb eller mistanke om uautoriseret adgang kan systemlogfiler, brugeraktivitet, mistænkelige filer, persistensmekanismer, netværksspor og andre tekniske artefakter være relevante.

I igangværende hændelser skal det tages i betragtning, at inddæmning og bevisopbevaring kan have andre krav. En tændt krypteret computer kan præsentere en anden retsmedicinsk situation end det samme system efter en genstart.

Derfor findes der ingen teknisk korrekt standardinstruktion til øjeblikkeligt at slukke alle mistænkelige enheder.

Cellebrite til mobile og digitale undersøgelser

Vi bruger Cellebrite især til at udtrække og analysere mobile og andre digitale datakilder. De tilgængelige backup- og analysemetoder afhænger af enheden, operativsystemet, sikkerhedsstatus og undersøgelsesformålet.

Teknisk udtrækning danner kun grundlag. Kun ekspertanalyse afgør betydningen af ​​individuelle artefakter for den specifikke sag.

X-Ways Forensics for databærere og computersystemer

X-Ways Forensics muliggør detaljerede undersøgelser af computere, harddiske, SSD'er og andre lagringsmedier.

Filsystemer, filer, metadata, slettede data og andre tekniske strukturer kan undersøges specifikt. Især i mere komplekse computertilfælde muliggør den direkte analyse af filsystem- og lagringsmedieinformation en meget detaljeret undersøgelse.

Belkasoft til omfattende digitale artefakter

Belkasoft understøtter analysen af ​​forskellige digitale datakilder og kan hjælpe med at samle relevante oplysninger på en struktureret måde under omfattende undersøgelser.

Dette er især interessant, når kommunikation, computerartefakter og anden digital information skal korreleres med hinanden over tid.

MOBILedit Forensic til smartphone-analyse

MOBILedit Forensic udvider mulighederne for at udtrække og undersøge data fra mobile enheder. Især i betragtning af den store variation i tekniske variationer i Android-miljøet kan en yderligere retsmedicinsk metode være nyttig.

Hvorfor flere retsmedicinske løsninger kan være bedre end blot én

Intet enkelt analyseprogram understøtter alle enheder og datastrukturer lige meget. Derudover kan forskellige retsmedicinske løsninger genkende og vise det samme datasæt forskelligt.

I tilfælde af vigtige fund kan en anden teknisk metode til at verificere et resultats sandsynlighed derfor være nyttig.

Et retsmedicinsk program er dog ikke ekspert. Et automatisk detekteret match skal teknisk klassificeres og evalueres i sammenhæng med den respektive datakilde.

Sikkerhedskopiering og integritet af retsmedicinske data

Før dataanalyse er det vigtigt at bestemme den passende sikkerhedskopieringsmetode for hver enhed. En slukket lagerenhed, en kørende krypteret computer og en tændt smartphone kan kræve forskellige procedurer.

Hvor det er teknisk muligt, vil der blive oprettet en passende retsmedicinsk backup. Dette gør det muligt at udføre den efterfølgende undersøgelse på et defineret datasæt og undgår unødvendigt arbejde med det originale bevismateriale.

Hvilken information giver en hashværdi?

Hashværdier kan bruges til at verificere integriteten af ​​et specifikt datasæt. En efterfølgende sammenligning kan afsløre, om netop dette datasæt har ændret sig siden sikkerhedskopieringen.

En matchende hashværdi betyder dog ikke automatisk, at en udtrækning var fuldført, eller at den efterfølgende fortolkning er korrekt. Integritet, fuldstændighed og ekspertvurdering er forskellige begreber.

Hvorfor dokumenteres håndteringen af ​​et bevismateriale?

I efterforskninger, der er relevante for bevismateriale, bør det fortsat være muligt at spore, hvilken enhed der blev overtaget, hvilken stand den var i, hvilken sikkerhedskopi der blev udført, og på hvilket datagrundlag analysen blev udført.

En sådan dokumentation letter den efterfølgende tildeling af tekniske fund til den oprindelige datakilde og det respektive undersøgelsestrin.

Hvordan bliver en digital mistanke til et teknisk fund?

Angiv spørgsmålet

Først formuleres et teknisk verificerbart spørgsmål baseret på en generel mistanke. Dette inkluderer ofte definitionen af ​​en relevant tidsperiode.

Bestem relevante datakilder

Ikke alle eksisterende enheder behøver at blive undersøgt automatisk. Smartphones, computere, lagringsmedier, sikkerhedskopier eller cloud-data prioriteres baseret på deres relevans for sagen.

Dokumentér den oprindelige tilstand og sikkerhedskopier data

Enhedens tilstand, operativsystem, sikkerhedsmekanismer og tilgængelige adgangsmuligheder påvirker den passende sikkerhedskopieringsmetode.

Målrettet evaluering af artefakter

Analysen fokuserer på de data, der rent faktisk er relevante for det specifikke forskningsspørgsmål.

Sammenligning af uafhængige spor

Hvis flere tekniske artefakter relaterer sig til den samme proces, kan de korreleres med hinanden med hensyn til tid og indhold.

Adskil tekniske resultater fra konklusioner.

Et forståeligt fund beskriver, hvilke oplysninger der blev fundet, hvilke faglige konklusioner der kan drages ud fra dem, og hvor de tekniske begrænsninger for de tilgængelige data ligger.

IT-forensik i Bochum og det centrale Ruhr-område

Bochum er centralt placeret i Ruhr-regionen. Digitale og forretningsmæssige anliggender rækker derfor ofte ud over en enkelt bygrænse. Det umiddelbare regionale område omfatter blandt andet Herne, Essen , Gelsenkirchen, Witten, Hattingen, Dortmund og Recklinghausen.

De her nævnte byer tjener til geografisk klassificering og er ikke automatisk repræsenteret som filialer eller LB-retsmedicinske steder.

For andre områder i Nordrhein-Westfalen findes der allerede verificerede regionale LB-forensiksider, herunder dem for IT-forensik i Duisburg og IT-forensik i Düsseldorf.

For en digital undersøgelse er den by, hvor en enhed blev brugt, i sidste ende irrelevant. Det, der betyder noget, er de tilgængelige datakilder, deres tekniske tilstand, den relevante tidsperiode og det specifikke forskningsspørgsmål.

Hvad skal man undgå, når man håndterer potentielt digitalt bevismateriale?

En potentielt følsom smartphone bør ikke nulstilles for tidligt. Ligeledes bør mistænkelige applikationer, brugerkonti eller filer ikke slettes separat, hvis de skal undersøges senere.

Datagendannelses-, oprydnings- eller antispywareprogrammer kan oprette nye filer og logfiler og derved ændre de oprindelige data.

En computer, der allerede har været slukket, bør ikke genstartes normalt blot for at foretage en første inspektion. Selv en almindelig opstart af operativsystemet genererer ny systemaktivitet og kan ændre tidsoplysninger.

Omvendt er det ikke altid den rigtige fremgangsmåde at lukke enheden ned med det samme. Med krypterede systemer stadig aktive eller under igangværende cyberhændelser kan enhedens aktuelle tilstand være retsmedicinsk relevant. Derfor afhænger den passende handling af de specifikke omstændigheder.

Ofte stillede spørgsmål om IT-forensik i Bochum

Kan privatpersoner fra Bochum få deres smartphones og computere undersøgt?

Ja. LB Forensics arbejder også for privatpersoner. Afhængigt af det specifikke spørgsmål kan smartphones, computere, datalagringsenheder, eksisterende sikkerhedskopier og tilgængelige cloud-data undersøges.

Kan det undersøges, om min smartphone er blevet hacket?

En retsmedicinsk undersøgelse kan lede efter teknisk detekterbare beviser for en mulig kompromittering eller uautoriseret adgang. Hvilke konklusioner der kan drages afhænger af enheden, dens sikkerhedsstatus og de tilgængelige data.

Kan slettede WhatsApp-beskeder gendannes?

Under visse omstændigheder kan resterende databaseoplysninger, sikkerhedskopier, medier eller andre artefakter muliggøre rekonstruktion. En fuldstændig gendannelse kan dog ikke garanteres.

Er det muligt at afgøre, om et USB-stik var tilsluttet en computer?

Ja, computersystemer kan indeholde tekniske spor af tilsluttede USB-enheder. Bevis for en forbindelse betyder dog ikke automatisk, at filerne rent faktisk er blevet kopieret.

Kan et potentielt datatyveri begået af en medarbejder undersøges?

Ja. Afhængigt af omstændighederne kan filadgang, USB-lagerenheder, cloudtjenester, browseraktiviteter, e-maildata og andre systemartefakter undersøges og sammenlignes.

Kan computerbrug rekonstrueres inden for en bestemt tidsperiode?

Systemhændelser, logins, filadgang, programbrug og andre artefakter kan give spor om bestemte aktiviteter. En komplet oversigt over hver brugerhandling er dog ikke automatisk tilgængelig.

Kan et WhatsApp-skærmbillede undersøges for manipulation?

Et skærmbillede kan analyseres teknisk, men i sig selv har det begrænset betydning. Hvis den originale smartphone eller en anden passende datakilde er tilgængelig, kan yderligere artefakter bruges til sammenligning.

Kan flere enheder evalueres sammen i én sag?

Ja. Smartphones, computere, lagringsmedier, sikkerhedskopier og tilgængelige cloud-data kan betragtes sammen, hvis de vedrører det samme problem. Dette gør det muligt at korrelere forskellige spor kronologisk.

Kan IT-retsmedicin endeligt afgøre, hvilken person der handlede?

Ikke automatisk. Digitale data kan ofte være knyttet til en enhed, brugerkonto eller teknisk proces. Dette betyder ikke nødvendigvis, hvilken fysisk person der rent faktisk betjente enheden på det relevante tidspunkt.

Hvilken retsmedicinsk software bruger LB Forensik?

Afhængigt af enhed, datakilde og undersøgelsesmål anvendes værktøjer som Cellebrite, X-Ways Forensics, Belkasoft og MOBILedit Forensic.

Skal en mistænkelig smartphone nulstilles inden undersøgelse?

Nej. En nulstilling kan ændre eller helt fjerne relevante digitale spor. Hvis smartphonen indeholder potentielt vigtige beviser, bør de næste trin vurderes teknisk, før en nulstilling.

Hvilke oplysninger hjælper med at forberede sig til en eksamen?

Særligt nyttige oplysninger omfatter producenten og modellen af ​​enheden, operativsystemet, den relevante tidsperiode, specifikke afvigelser, allerede trufne foranstaltninger og det spørgsmål, som undersøgelsen har til formål at besvare.