En digital begivenhed efterlader ofte flere spor, end der umiddelbart er synlige på en smartphone eller computer. Beskeder gemmes i databaser, filer genererer metadata, operativsystemer logger aktiviteter, og applikationer efterlader deres egne tekniske artefakter. LB Forensics undersøger digitale data på smartphones, computere, lagringsmedier, sikkerhedskopier og andre autoriserede datakilder for privatpersoner, virksomheder og advokater i Gelsenkirchen.

En retsmedicinsk undersøgelse begynder ikke blot med at indsamle så mange oplysninger som muligt. Det afgørende spørgsmål er det tekniske: Blev en besked slettet? Er der bevis for uautoriseret adgang? Hvornår blev en fil åbnet eller ændret? Blev en ekstern lagringsenhed brugt? Kan aktiviteten på forskellige enheder knyttes til en fælles tidsperiode?

Afhængigt af undersøgelsesobjektet bruger vi specialiserede løsninger som Cellebrite, X-Ways Forensics, Belkasoft og MOBILedit Forensic . Den anvendte software er dog kun én del af undersøgelsesprocessen. Afgørende faktorer er de underliggende digitale artefakter, deres tekniske oprindelse og spørgsmålet om, hvilke konklusioner der rent faktisk kan drages ud fra de tilgængelige data.

IT-forensik for Gelsenkirchen: Tjenester og efterforskningsområder

• Mobiltelefonforensik for Apple iPhones og Android smartphones
• Computerretsmedicin til Windows-pc'er, bærbare computere og Apple Macs
• retsmedicinsk analyse af WhatsApp og andre messenger-data
• Undersøgelse af slettede eller ikke umiddelbart synlige oplysninger
• Kontrollér for teknisk påviselige tegn på uautoriseret adgang
• Analyse af harddiske, SSD'er, USB-sticks og andre lagringsmedier
• Evaluering af eksisterende sikkerhedskopier og autoriserede clouddata
• Rekonstruktion af relevante bruger-, fil- og systemaktiviteter
• Undersøgelse af potentielle datalækager og interne hændelser
• tidsmæssig korrelation af digitale spor fra flere datakilder
• Retsmedicinsk verificerbar databackup
• Dokumentation af undersøgelsestrin og tekniske fund

Yderligere tekniske oplysninger kan findes i vores vidensbase om digital retsmedicin . Der diskuterer vi individuelle datakilder og metoder i langt større dybde, hvorved unødvendige gentagelser på de regionale servicesider undgås.

Hvilke spørgsmål kan undersøges ved hjælp af digitale spor?

IT-forensik forsøger at rekonstruere tekniske processer baseret på tilgængelige data. Imidlertid udgør ikke alle fund automatisk bevis for den formodede handling.

En USB-post kan for eksempel indikere, at en lagerenhed var tilsluttet en computer. Dette betyder ikke nødvendigvis, at filer blev kopieret. Ligeledes betyder aktivitet udført under en brugerkonto ikke automatisk, at kontohaveren personligt brugte enheden.

Typiske forskningsspørgsmål omfatter:

• Blev beskeder eller filer slettet?
• Kan en kommunikationshistorie teknisk rekonstrueres?
• Er der tegn på mulig uautoriseret adgang?
• Hvornår blev en specifik fil oprettet, åbnet eller ændret?
• Hvilke aktiviteter fandt sted inden for en afgrænset periode?
• Var der tilsluttet en USB-stick eller ekstern harddisk?
• Er der tegn på dataoverførsel?
• Kan smartphone-, computer- og cloud-data forbindes over tid?
• Hvilken udtalelse kan man egentlig sige om et bestemt digitalt artefakt?

Mobiltelefonforensik i Gelsenkirchen til iPhone og Android

Mobiltelefonforensik i Gelsenkirchen undersøger digitale spor på smartphones og deres tilhørende datakilder. Moderne mobile enheder indeholder kommunikationsdata, fotos, videoer, apps, browseroplysninger, brugerkonti og adskillige tekniske systemdata.

En smartphone-undersøgelse går derfor langt ud over blot at inspicere skærmen manuelt. Afhængigt af enheden og den anvendte udtrækningsmetode kan relevante data omfatte app-databaser, messenger-data, filer, medier, opkaldsoplysninger, tidsstempler og visse system-, placerings- og forbindelsesartefakter.

De oplysninger, der er teknisk tilgængelige, afhænger blandt andet af producent, model, operativsystemversion, sikkerhedsstatus, kryptering og enhedens tilstand.

iPhone-efterforskning på Apple-enheder

Apple iPhones kombinerer hardware, iOS, Secure Enclave og kryptografiske beskyttelsesmekanismer. Derfor varierer den potentielle undersøgelsesdybde betydeligt mellem forskellige enheder og iOS-versioner.

Afhængigt af den oprindelige situation kan beskeder, appdata, fotos, videoer, filer, browseroplysninger, tidsstempler og andre systemfejl undersøges. Eksisterende lokale sikkerhedskopier eller autoriserede iCloud-data kan give yderligere informationskilder.

Enhedens aktuelle tilstand kan også spille en rolle. En tændt iPhone, der allerede har været låst op siden sidste genstart, kan give et andet udgangspunkt for retsmedicinsk undersøgelse end den samme enhed umiddelbart efter en genstart.

Vi forklarer den tekniske baggrund mere detaljeret under Hvad er iPhone-forensik?

Android-efterforskning hos Samsung, Google, Honor og andre producenter

Android-enheder udviser en særlig bred vifte af tekniske variationer. Producent, processor, Android-version, sikkerhedsopdatering og individuel enhedskonfiguration kan alle påvirke de tilgængelige backupmetoder.

Afhængigt af smartphonen kan messenger-data, app-databaser, billeder, videoer, filer, browseroplysninger, opkaldsdata og andre systemartefakter undersøges.

Det er netop derfor, det kan være gavnligt at bruge flere forskellige retsmedicinske løsninger. Forskellige værktøjer understøtter individuelle producenter, enhedsmodeller og datastrukturer på forskellige måder.

Undersøg WhatsApp-beskeder og Messenger-data

WhatsApp er regelmæssigt blandt de relevante datakilder i private tvister, stalking, mistanke om bedrageri, ansættelsesretlige spørgsmål og interne virksomhedsundersøgelser.

En retsmedicinsk analyse af WhatsApp-data er ikke begrænset til den synlige chatvisning. Afhængigt af de tilgængelige data kan beskeder, tidsstempler, deltagere, gruppestrukturer, billeder, videoer, dokumenter, talebeskeder, opkaldsoplysninger og andre app-artefakter undersøges.

En detaljeret teknisk beskrivelse kan findes i den tidligere udgivne vidensartikel "Forensisk analyse af WhatsApp-beskeder".

Kan slettede WhatsApp-beskeder gendannes?

Under visse tekniske forhold kan slettet indhold eller tilbageværende artefakter stadig eksistere. Mulige datakilder omfatter appdatabaser, sikkerhedskopier, mediearkiver eller andre tilgængelige sikkerhedskopier.

En fuldstændig gendannelse kan dog ikke garanteres. Operativsystem, WhatsApp-version, databasetilstand, tidspunkt for sletning og yderligere enhedsbrug påvirker alle de tilgængelige data.

Fraværet af en besked skal også fortolkes korrekt. Hvis den ikke findes i den undersøgte datakilde, beviser det ikke automatisk, at denne kommunikation aldrig har fundet sted.

WhatsApp-skærmbillede eller originale data?

Et skærmbillede dokumenterer kun det synlige udseende af en chat. Det indeholder typisk ikke den underliggende beskeddatabase, interne identifikatorer eller andre appoplysninger.

Hvis den originale smartphone eller et passende dataudtrækningsværktøj er tilgængeligt, kan yderligere tekniske oplysninger undersøges. Dette giver mulighed for en betydeligt mere dybdegående evaluering end det er muligt baseret på et enkelt skærmbillede.

Computerforensiske tjenester i Gelsenkirchen til Windows og macOS

Computerforensik i Gelsenkirchen undersøger tekniske spor på pc'er, bærbare computere, Apple Macs og deres tilhørende lagringsmedier. Operativsystemer genererer adskillige artefakter under brug, som senere kan være relevante for rekonstruktion.

Afhængigt af forskningsspørgsmålet kan blandt andet følgende data undersøges:

• Filer og filsystemstrukturer
• Filmetadata og tidsstempler
• Slettede filer og resterende filartefakter
• Brugerkonti og loginaktivitet
• Browserhistorik og downloads
• tilsluttede USB-enheder
• eksterne harddiske og andre lagringsmedier
• Program- og applikationsspor
• Windows-hændelseslogfiler
• macOS-systemartefakter
• lokale cloud- og synkroniseringsoplysninger

Yderligere teknisk baggrundsinformation findes i artiklen "Hvad er computerforensik?".

Er det muligt at afgøre, om der er brugt en USB-stick?

Computersystemer kan indeholde oplysninger om, hvilke USB-enheder der er blevet tilsluttet dem. Afhængigt af systemet kan enhedsidentifikatorer og tidsmæssige korrelationer bestemmes.

Det er ikke sikkert, at en filoverførsel blot er foretaget, at en USB-stick er tilsluttet. For at undersøge, om specifikke data er blevet kopieret, skal yderligere artefakter tages i betragtning.

Dette kan omfatte filadgange, senest brugte filer, filsystemoplysninger, programspor og yderligere tidsoplysninger.

Rekonstruktion af filer og brugeraktivitet kronologisk

Filsystemer, programmer og operativsystemer gemmer forskellige tidsstempler. Disse kan give spor om, hvornår en fil blev oprettet, ændret, åbnet eller på anden måde behandlet.

Tidsstempler bør dog ikke fortolkes isoleret. Kopieringshandlinger, applikationer, synkroniseringstjenester eller operativsystemprocesser kan påvirke individuelle tidsstempler.

En mere pålidelig vurdering kombinerer derfor så mange uafhængige artefakter som muligt.

Slettede filer og datagendannelse

En slettet fil håndteres ikke på samme måde på alle lagringsmedier. Magnetiske harddiske, moderne SSD'er og flashhukommelsen på mobile enheder er meget forskellige.

Med SSD'er kan dataoprydningsmekanismer forårsage, at slettede data relativt hurtigt bliver utilgængelige. Kryptering, filsystem, tidspunkt for sletning og efterfølgende brug påvirker også gendannelsesmulighederne.

IT-forensik adskiller sig fra traditionel datagendannelse. Datagendannelse fokuserer primært på at gendanne tabt indhold. En retsmedicinsk undersøgelse tager desuden højde for oprindelse, metadata, tidsreference, integritet og tilsvarende systemspor.

Digitale eksamener for privatpersoner fra Gelsenkirchen

Private smartphones og computere kan indeholde relevante oplysninger i personlige og juridiske tvister. Derfor vedrører en betydelig del af digitale retsmedicinske undersøgelser ikke virksomhedsnetværk, men snarere individuelle private enheder.

Typiske spørgsmål omfatter for eksempel:

• Mistænkt hacket eller kompromitteret smartphone
• mulig spyware eller uautoriseret adgang
• slettede WhatsApp-beskeder
• Svig eller identitetstyveri
• Stalking og digital chikane
• Separation eller skilsmisse
• omstridt digital kommunikation
• Sikring af eksisterende digitale beviser

Er min telefon blevet hacket eller overvåget?

Højt batteriforbrug, varmeudvikling, ukendte notifikationer eller usædvanlig datatrafik er ikke i sig selv et kompromis.

En retsmedicinsk undersøgelse bør derfor være åben og søge efter teknisk detekterbare anomalier. Afhængigt af enheden kan applikationer, konfigurationer, profiler, systeminformation, kommunikationsartefakter og andre data undersøges.

Selv et negativt fund har sine begrænsninger. Hvis der ikke findes beviser inden for de tilgængelige data, betyder det ikke automatisk, at et angreb ikke har fundet sted på et tidligere tidspunkt.

Stalking, separation og private konflikter

I private tvister kan beskeder, filer, fotos eller brugerkonti spille en betydelig rolle. Samtidig skal der skelnes mellem teknisk adgang og juridisk autorisation.

LB Forensics undersøger kun enheder, brugerkonti og datasæt, som de har den nødvendige autorisation til. Hemmelig adgang til andre personers smartphones eller konti er ikke en tilladt retsmedicinsk undersøgelse.

Digital retsmedicin for virksomheder i Gelsenkirchen

Gelsenkirchen kombinerer sin industrielle struktur med den stigende digitalisering af sin forretningslokation. Virksomheder, sundhedssektoren, servicesektoren, logistik, industri og teknologiorienterede sektorer behandler omfattende digitale datasæt. Samtidig beskriver byen selv Gelsenkirchen som en netværksbaseret lokation med en veludviklet digital infrastruktur.

I et internt mistænkt tilfælde kan arbejdspladscomputere, bærbare computere, smartphones, eksterne lagringsmedier, brugerkonti, e-mailsystemer og cloud-applikationer alle være relevante samtidigt.

Mistanke om databrud

I tilfælde af et potentielt databrud bør det første skridt være at fastslå, hvilke transmissionsmetoder der var teknisk tilgængelige. USB-lagerenheder er blot én mulighed.

Afhængigt af omstændighederne kan cloud-tjenester, e-mail, browserapplikationer, beskedapps eller andre platforme også være relevante. En undersøgelse kan derfor sammenligne filadgang, eksterne lagerenheder, browseroplysninger, cloud-artefakter og andre systemspor.

En enkelt teknisk konklusion er ofte utilstrækkelig til en pålidelig konklusion. Målet er snarere at forbinde flere uafhængige beviser, både indholdsmæssigt og tidsmæssigt.

IT-retsmedicinsk analyse efter en cyberhændelse

Efter et mistænkt angreb kan systemlogfiler, brugeraktivitet, mistænkelige filer, persistensmekanismer, netværksspor og andre digitale artefakter være relevante.

I en igangværende sikkerhedshændelse skal inddæmning og bevisopbevaring betragtes som en del af processen. En tændt og allerede dekrypteret computer kan efter en genstart have et andet retsmedicinsk udgangspunkt end den samme enhed.

Derfor er det ikke teknisk korrekt at slukke alle mistænkelige enheder med det samme som en selvfølge.

Cellebrite til mobile datakilder

Vi bruger Cellebrite især med mobile og andre digitale datakilder. De tilgængelige udtræknings- og analysemetoder afhænger af den specifikke enhed, operativsystem og sikkerhedsstatus.

Uddrag alene besvarer ikke noget bevisspørgsmål. Kun efterfølgende teknisk analyse afslører, hvilke artefakter der er relevante for den specifikke sag.

X-Ways Forensics til computere og lagringsmedier

X-Ways Forensics muliggør detaljerede undersøgelser af computere, harddiske, SSD'er og andre datalagringsenheder.

Filsystemstrukturer, eksisterende og slettede filer, metadata og andre tekniske oplysninger kan specifikt undersøges ved hjælp af denne metode. En detaljeret filsystemanalyse kan være særligt relevant, når man undersøger spørgsmål om filbrug, lagringsmedier og slettede oplysninger.

Belkasoft til omfattende artefaktanalyser

Belkasoft understøtter struktureret analyse af forskellige digitale datakilder. I mere komplekse tilfælde kan kommunikations-, fil- og systeminformation korreleres kronologisk.

MOBILedit Forensic som en yderligere metode til mobiltelefonforensik

MOBILedit Forensic udvider mulighederne for at udtrække og analysere data fra mobile enheder. Især når man har med enheder fra forskellige Android-producenter at gøre, kan en ekstra backup- eller analysemetode være nyttig.

Hvorfor flere retsmedicinske værktøjer anvendes

Intet enkelt program understøtter alle enheder, operativsystemer og datastrukturer med samme detaljeringsniveau. Desuden kan forskellige løsninger genkende og vise de samme data på forskellige måder.

I tilfælde af vigtige fund kan en anden metode derfor bidrage til den tekniske plausibilitet. Den oprindelige artefakt er dog altid afgørende. Et automatisk genereret softwarehit er endnu ikke en endelig retsmedicinsk vurdering.

Integritet af digitalt bevismateriale

I en evidensorienteret undersøgelse bør det være muligt at spore, hvilket datasæt analysen er baseret på. Afhængigt af undersøgelsesobjektet kan der derfor først oprettes en passende retsmedicinsk backup.

Kryptografiske hashværdier kan bruges til at verificere integriteten af ​​et defineret datasæt. De muliggør en sammenligning for at afgøre, om dette specifikke datasæt har ændret sig i forhold til en dokumenteret referencetilstand.

En hashværdi beviser dog ikke automatisk fuldstændigheden af ​​en sikkerhedskopi, indholdets ægthed eller korrektheden af ​​en efterfølgende fortolkning.

Vi forklarer de tekniske detaljer mere detaljeret under Integritet af digitalt bevismateriale.

Sporbarhedskæde og beviskæde

Forvaringskæden dokumenterer den organisatoriske håndtering af et efterforskningsobjekt. Dette kan omfatte erhvervelse, identifikation, sikring, opbevaring og relevante overdragelser.

Den opfylder derfor en anden funktion end en hashværdi. Hashværdien tjener til teknisk integritetskontrol af et defineret datasæt. Beviskæden dokumenterer derimod, hvordan enheden og de genererede sikkerhedskopier fra den blev håndteret.

Yderligere information kan findes i den udgivne artikel " Chain of Custody in Digital Forensics".

Fra digitalt undersøgelsesobjekt til verificerbare fund

Indskrænk spørgsmålet

Først defineres det, hvilket teknisk problem der skal undersøges, og hvilken tidsperiode der er relevant.

Vælg datakilder

Smartphones, computere, datalagringsenheder, sikkerhedskopier eller cloud-data prioriteres baseret på deres betydning for den specifikke situation.

Registrer den tekniske starttilstand

Enhedsmodel, operativsystem, kryptering, sikkerhedsstatus og tilgængelige adgangsmuligheder kan påvirke backupstrategien.

Sikkerhedskopier relevante data

Metoden til databackup tilpasses det specifikke objekt, der undersøges. Hvor det er relevant, udføres efterfølgende analyse på et defineret backupsæt.

Målrettet undersøgelse af artefakter

Filer, databaser, kommunikationsoplysninger og systemspor evalueres baseret på det tidligere definerede spørgsmål.

Flere spor hænger sammen

Hvis forskellige artefakter relaterer sig til den samme proces, kan de sammenlignes med hinanden med hensyn til tid og indhold.

Præsenter resultater og fortolkning separat.

En forståelig dokumentation skelner mellem direkte fastslåede data, deres professionelle fortolkning og begrænsningerne af de tilgængelige data.

Gelsenkirchen i den digitale økonomiske region i Ruhr-området

Gelsenkirchen ligger i hjertet af Ruhr-metropolregionen og er tæt forbundet med de omkringliggende økonomiske og boligmæssige områder. Samtidig har byen i årevis arbejdet med digitaliserings- og netværksprojekter og kan prale af en veludviklet digital infrastruktur.

Det umiddelbare regionale område omfatter blandt andet Gladbeck, Bottrop, Essen , Bochum , Herne, Herten, Recklinghausen og Dorsten . Disse steder bruges her udelukkende til geografisk reference og præsenteres ikke som filialer af LB Forensik.

Der findes allerede offentliggjorte regionale LB-forensiksider, blandt andet for IT-forensik i Essen og IT-forensik i Dortmund.

Gelsenkirchen er allerede udpeget som et landsdækkende operationsområde for LB Forensik. For en digital undersøgelse er bygrænsen dog mindre vigtig end den specifikke datakilde, enhedens tilstand, den relevante tidsperiode og det aktuelle tekniske spørgsmål.

Hvad skal man undgå før en retsmedicinsk undersøgelse?

En smartphone, der kan være relevant som bevismateriale, bør ikke hurtigt nulstilles til fabriksindstillingerne. Mistænkelige apps, filer eller beskeder bør heller ikke slettes separat, hvis deres oprindelse eller brug skal undersøges senere.

Datagendannelses-, oprydnings- eller antispywareprogrammer kan oprette nye filer og systemoplysninger og derved ændre eksisterende spor.

En computer, der allerede har været slukket, bør ikke genstartes normalt, heller ikke blot for en indledende inspektion. Selve operativsystemets opstartsproces kan generere nye aktiviteter og påvirke eksisterende artefakter.

Omvendt er det ikke altid den rigtige fremgangsmåde at lukke et kørende system ned med det samme. Med krypterede enheder kan den aktuelle tilstand være vigtig for senere sikkerhedskopieringsmuligheder.

Ofte stillede spørgsmål til klienter fra Gelsenkirchen

Undersøger LB Forensics også smartphones, der tilhører privatpersoner?

Ja. Afhængigt af deres specifikke spørgsmål kan privatpersoner få undersøgt iPhones, Android-smartphones, computere, datalagringsenheder, eksisterende sikkerhedskopier og andre autoriserede datakilder.

Er det muligt at afgøre, om en mobiltelefon er blevet hacket?

En retsmedicinsk undersøgelse kan lede efter teknisk detekterbare beviser for mulig uautoriseret adgang eller kompromittering. Resultaternes pålidelighed afhænger af den specifikke enhed og de tilgængelige data.

Kan slettede WhatsApp-beskeder gendannes?

Under visse omstændigheder kan databaser, sikkerhedskopier, medier eller andre artefakter muliggøre en fuldstændig eller delvis rekonstruktion. En vellykket gendannelse kan dog ikke garanteres.

Er det muligt at se, om filer er blevet kopieret til en USB-stick?

Tilslutning af en USB-enhed kan efterlade tekniske spor. Om en specifik filoverførsel kan spores, afhænger af andre eksisterende artefakter.

Kan flere enheder fra samme etui undersøges sammen?

Ja. Hvis smartphone, computer, datalagringsenhed eller cloud-data vedrører det samme emne, kan relevante oplysninger evalueres i fællesskab og korreleres med hinanden over tid.

Er det muligt at afgøre, om en fil efterfølgende er blevet ændret?

Afhængigt af filen og datakilden kan metadata, filsystemoplysninger, sikkerhedskopier og andre tekniske artefakter give spor til ændringer. Ikke alle manipulationer kan endeligt rekonstrueres bagefter.

Kan IT-forensik afgøre, hvilken person der udførte en handling?

Ikke automatisk. Digitale spor kan ofte knyttes til en enhed, brugerkonto eller teknisk proces. Dette betyder ikke nødvendigvis, hvilken person der rent faktisk betjente enheden.

Hvilken retsmedicinsk software bruger LB Forensics?

Afhængigt af enhed, datakilde og undersøgelsesformål bruger vi blandt andet Cellebrite, X-Ways Forensics, Belkasoft og MOBILedit Forensic.

Skal en mistænkelig smartphone nulstilles inden undersøgelse?

Nej. En nulstilling kan ændre eller fjerne relevante data og tekniske spor. Hvis den pågældende enhed potentielt er relevant som bevismateriale, bør de næste trin vurderes teknisk før en nulstilling.