Digitale beviser opbevares sjældent kun ét sted. En besked kan være gemt på en smartphone, en fil kan efterlade yderligere spor på en computer, og en sikkerhedskopi kan indeholde en tidligere version af dataene. LB Forensics undersøger digitale spor på smartphones, computere, lagringsmedier, sikkerhedskopier og autoriserede cloud-data for privatpersoner, virksomheder og advokater i Münster.

Fokus er på et specifikt teknisk spørgsmål. Blev beskeder slettet? Er der tegn på uautoriseret adgang? Hvornår blev en fil åbnet eller ændret? Blev en ekstern lagringsenhed brugt? Kan aktiviteter fra smartphones, computere og andre datakilder korreleres kronologisk? En retsmedicinsk undersøgelse sigter mod at besvare sådanne spørgsmål baseret på faktiske artefakter og samtidig afklare begrænsningerne i de tilgængelige data.

Afhængigt af enhed, operativsystem og undersøgelsesformål bruger vi specialiserede retsmedicinske løsninger som Cellebrite, X-Ways Forensics, Belkasoft og MOBILedit Forensic . Forskellige værktøjer kan tilgå forskellige datastrukturer eller teknisk supplere resultaterne. Den underliggende digitale artefakt og dens ekspertfortolkning er dog fortsat altafgørende.

IT-forensik i Münster: Overblik over tjenester

• Mobiltelefonforensik for Apple iPhones og Android smartphones
• Computerretsmedicin til Windows-pc'er, bærbare computere og Apple Macs
• Analyse af WhatsApp og anden digital kommunikation
• Undersøgelse af slettede eller ikke længere umiddelbart synlige data
• Kontrollér for teknisk detekterbare beviser på uautoriseret adgang
• Analyse af harddiske, SSD'er, USB-sticks og andre datalagringsenheder
• Evaluering af eksisterende sikkerhedskopier og autoriserede clouddata
• Rekonstruktion af relevante bruger-, fil- og systemaktiviteter
• Undersøgelse af potentielle datalækager og interne hændelser
• tidsmæssig korrelation af digitale spor fra flere datakilder
• Retsmedicinsk verificerbar backup af relevante datasæt
• Dokumentation af undersøgelsesmetoden og de tekniske fund

Du kan finde mere dybdegående teknisk information i vores vidensdatabase om digital retsvidenskab . Der diskuterer vi individuelle metoder og datakilder mere detaljeret, uden at belaste den regionale serviceside med det samme indhold flere gange.

Hvilke digitale spor kan undersøges?

Digital retsmedicin er ikke begrænset til synlige dokumenter, fotos eller beskeder. Operativsystemer, apps og applikationer genererer et væld af yderligere oplysninger, der kan være relevante for at rekonstruere en begivenhed.

Afhængigt af systemet omfatter dette blandt andet appdatabaser, filmetadata, kommunikationsoplysninger, browserartefakter, brugerlogin, systemhændelser, tilsluttede lagerenheder og synkroniseringsspor.

Hvilke oplysninger der rent faktisk er relevante, afhænger af forskningsspørgsmålet. For eksempel er der i tilfælde af en mistanke om databrud fokus på andre artefakter end ved undersøgelse af mulig uautoriseret adgang til en smartphone.

Derfor bør en teknisk konklusion aldrig fortolkes videre, end dens datakilde og den tilgængelige kontekst tillader.

Mobiltelefonforensik i Münster til iPhone og Android

Mobiltelefonforensik i Münster undersøger digitale spor på smartphones og tilhørende datakilder. Moderne mobile enheder indeholder kommunikationsdata, fotos, videoer, apps, browseroplysninger, brugerkonti og adskillige tekniske systemdata.

En professionel smartphone-analyse går ud over blot at gennemgå synligt indhold. Afhængigt af enheden og de tilgængelige data kan relevante oplysninger omfatte beskeder, appdatabaser, medier, filer, opkaldsoplysninger, tidsstempler og visse system-, placerings- og forbindelsesartefakter.

De oplysninger, der rent faktisk er tilgængelige, afhænger af faktorer som producent, model, operativsystemversion, sikkerhedsstatus, kryptering og tilgængelig udtrækningsmetode.

iPhone-efterforskning på Apple-enheder

Med Apple iPhones er hardware, iOS og kryptografiske beskyttelsesmekanismer tæt forbundet. Derfor kan modellen ikke alene bestemme, hvilke data der vil være tilgængelige under en retsmedicinsk undersøgelse.

Afhængigt af den tekniske situation kan beskeder, appdata, fotos, videoer, filer, browseroplysninger, tidsstempler og andre systemfejl undersøges. Eksisterende lokale sikkerhedskopier eller autoriserede iCloud-data kan også give yderligere informationskilder.

Enhedens aktuelle tilstand kan spille en betydelig rolle. En tændt iPhone, der allerede har været låst op siden sidste genstart, kan give et andet retsmedicinsk udgangspunkt end den samme enhed umiddelbart efter en genstart.

Yderligere teknisk baggrundsinformation er forklaret i den udgivne vidensartikel "Hvad er iPhone-forensik?".

Android-efterforskning for Samsung, Google, Honor og andre producenter

Android-smartphones adskiller sig teknisk set betydeligt fra hinanden. Producent, model, chipset, Android-version, sikkerhedsopdatering og den individuelle enhedskonfiguration påvirker alle de mulige udtrækningsmetoder.

Afhængigt af enheden kan messenger-data, app-databaser, filer, billeder, videoer, browseroplysninger, opkaldsdata og andre systemartefakter undersøges.

Den store variation af enheder er én af grundene til, at forskellige værktøjer anvendes i mobil retsmedicin. Én metode kan låse op for data på en bestemt enhed, som ikke er tilgængelige, eller som er tilgængelige på en anden måde, med en anden metode.

Analysér WhatsApp-beskeder og Messenger-data

Messenger-kommunikation kan være en vigtig digital datakilde i private tvister, bedrageri, stalking, ansættelsesretlige anliggender og virksomhedssager.

En retsmedicinsk WhatsApp-analyse er ikke begrænset til den synlige chat. Afhængigt af de tilgængelige data kan beskeder, deltageroplysninger, tidsstempler, gruppestrukturer, billeder, videoer, dokumenter, talebeskeder, opkaldsoplysninger og andre app-artefakter analyseres.

Vi forklarer de tekniske grundprincipper i detaljer under "Retsmedicinsk analyse af WhatsApp-beskeder".

Kan slettede WhatsApp-beskeder gendannes?

Under visse omstændigheder kan slettet indhold eller tilbageværende artefakter stadig eksistere. Relevante oplysninger kan f.eks. findes i appdatabaser, eksisterende sikkerhedskopier, mediebiblioteker eller andre tilgængelige datakilder.

En fuldstændig gendannelse kan dog ikke garanteres. Operativsystemet, WhatsApp-versionen, databasens tilstand, tidspunktet for sletningen og videre brug af smartphonen påvirker alle de tilgængelige data.

Selv et negativt fund skal fortolkes professionelt. Hvis en besked ikke findes i den undersøgte datakilde, beviser det ikke automatisk, at kommunikationen aldrig har eksisteret.

Hvorfor et skærmbillede ikke er en komplet retsmedicinsk datakilde

Et skærmbillede dokumenterer i første omgang kun den synlige visning på en skærm. Det indeholder ikke automatisk den underliggende nyhedsdatabase, interne identifikatorer eller andre tekniske oplysninger.

Hvis den originale smartphone eller et passende retsmedicinsk udtræk er tilgængeligt, kan yderligere datastrukturer og tidsoplysninger bruges til en teknisk sammenligning.

Computerforensik i Münster til Windows og macOS

Computerforensik i Münster undersøger tekniske spor på stationære pc'er, bærbare computere, Apple Macs og deres tilhørende lagringsmedier. Operativsystemer genererer adskillige artefakter under daglig brug, som senere kan bidrage til rekonstruktionen af ​​specifikke aktiviteter.

Afhængigt af det stillede spørgsmål kan følgende dataområder for eksempel være relevante:

• Filer og filsystemstrukturer
• Filmetadata og tidsstempler
• Slettede filer og resterende filartefakter
• Brugerkonti og loginaktivitet
• Browserhistorik og downloads
• USB-enheder og eksterne lagringsmedier
• Program- og applikationsspor
• Windows-hændelseslogfiler
• macOS-systemartefakter
• lokale cloud- og synkroniseringsoplysninger

Vi forklarer metodologien og typiske datakilder mere detaljeret under Hvad er computerforensik?

Kan brugen af ​​en USB-stick bevises?

Computersystemer kan gemme tekniske oplysninger om tilsluttede USB-enheder. Afhængigt af de tilgængelige data kan f.eks. enhedsidentifikatorer og tidsmæssige relationer analyseres.

Bevis for en forbindelse betyder dog ikke automatisk, at filer er blevet kopieret. Yderligere beviser er nødvendige for at fastslå dette.

Dette kan omfatte filadgange, senest brugte filer, filsystemoplysninger, programspor og yderligere tidsoplysninger.

Planlæg filer og brugeraktiviteter efter tid

Filsystemer, applikationer og operativsystemer genererer forskellige tidsstempler. Disse kan give spor om, hvornår en fil blev oprettet, åbnet, ændret eller på anden måde behandlet.

Tidsstempler bør dog ikke fortolkes isoleret. Kopiering af processer, programmer, cloud-synkroniseringer og systemprocesser kan påvirke individuelle værdier.

En mere pålidelig rekonstruktion tager derfor højde for så mange uafhængige digitale spor som muligt.

Slettede filer, SSD'er og datagendannelse

Om slettede data kan gendannes, afhænger i høj grad af det anvendte lagringsmedie. Magnetiske harddiske, moderne SSD'er og flashhukommelse i mobile enheder har forskellige tekniske egenskaber.

Med SSD'er kan dataoprydningsmekanismer forårsage, at slettede data relativt hurtigt bliver utilgængelige. Andre faktorer omfatter det anvendte filsystem, kryptering, tidspunktet for sletning og efterfølgende brug.

Traditionel datagendannelse fokuserer primært på at gøre tabt information tilgængelig igen. IT-forensik tager desuden højde for oprindelse, tidsramme, metadata, integritet og tilsvarende systemspor.

En gendannet fil er derfor ikke automatisk det komplette retsmedicinske fund.

Digital retsmedicin for privatpersoner fra Münster

En stor del af digitale retsmedicinske problemer vedrører private smartphones, computere og brugerkonti. Kommunikation og personoplysninger kan spille en afgørende rolle i tilfælde af bedrageri, stalking, separation eller andre juridiske tvister.

Typiske årsager til private efterforskninger inkluderer:

• Mistanke om uautoriseret adgang til smartphone eller computer
• potentiel spyware eller digital overvågning
• slettet WhatsApp- eller Messenger-kommunikation
• Svig og identitetstyveri
• Stalking og digital chikane
• Separation og skilsmisse
• omstridte beskeder eller filer
• Sikring af eksisterende digitale beviser

Er min smartphone blevet hacket eller overvåget?

Højt batteriforbrug, varmeudvikling, ukendte beskeder eller øget datatrafik er ikke i sig selv bevis for et angreb. Sådanne symptomer kan have mange tekniske årsager.

En retsmedicinsk undersøgelse bør derfor udføres uden forbehold. Afhængigt af enheden kan applikationer, profiler, konfigurationer, systemoplysninger, kommunikationsartefakter og andre tekniske data undersøges for uregelmæssigheder.

Selv et negativt fund har sine begrænsninger. Hvis der ikke findes tilsvarende beviser inden for de tilgængelige data, beviser det ikke automatisk, at der ikke har fundet uautoriseret adgang sted på et tidligere tidspunkt.

Stalking, separation og personlige konflikter

I private tvister kan beskeder, billeder, filer og brugerkonti blive relevante. Samtidig er der en klar forskel på teknisk adgang og juridisk autorisation.

LB Forensics undersøger kun enheder, konti og datasæt, som de har den nødvendige autorisation til. Hemmelig adgang til andre personers smartphones eller brugerkonti er ikke en tilladt retsmedicinsk undersøgelse.

Retsmedicinske undersøgelser for virksomheder og advokatfirmaer i Münster

Münster kombinerer et stærkt akademisk og videnskabeligt landskab med mellemstore virksomheder, sundhedssektoren, forskning, service og teknologiorienterede industrier. Digitale systemer kan derfor spænde fra individuelle arbejdsstationer til flere sammenkoblede datakilder.

I et virksomhedsscenarie kan f.eks. bærbare computere, smartphones, eksterne lagerenheder, brugerkonti, e-mailsystemer og cloud-applikationer blive relevante samtidigt.

Mistanke om datalækage eller uautoriseret datakopiering

I tilfælde af et potentielt databrud bør det første skridt være at fastslå, hvilke transmissionsmetoder der var teknisk tilgængelige. USB-lagerenheder er blot én mulighed.

Afhængigt af systemet kan cloud-tjenester, e-mail, browserapplikationer, beskedapps eller andre platforme også være relevante. En retsmedicinsk analyse kan derfor sammenligne filadgang, eksterne lagerenheder, browserinformation, cloud-artefakter og andre systemspor.

En enkeltstående konklusion bør ikke overfortolkes. For eksempel beviser tilstedeværelsen af ​​et tilsluttet lagringsmedie ikke automatisk overførsel af fortrolige filer.

Analyse efter en IT-sikkerhedshændelse

Efter et mistænkt cyberangreb kan systemlogfiler, brugeraktivitet, mistænkelige filer, persistensmekanismer, netværksspor og andre digitale artefakter være relevante.

I igangværende hændelser skal inddæmning og bevisopbevaring betragtes som en del af processen. En tændt og dekrypteret computer kan præsentere en anden retsmedicinsk situation end den samme enhed efter en genstart.

Derfor er den generelle anbefaling om øjeblikkeligt at slukke ethvert mistænkeligt system ikke teknisk korrekt i alle tilfælde.

Cellebrite til analyse af smartphone- og mobildata

Vi bruger Cellebrite især med mobile og andre digitale datakilder. De teknisk tilgængelige udtræknings- og analysemetoder afhænger af enheden, operativsystemet, sikkerhedsstatus og det specifikke forskningsmål.

Udvindingsprocessen giver kun grundlaget. Kun den efterfølgende ekspertanalyse afslører, hvilke artefakter der rent faktisk er relevante for den undersøgte sag.

X-Ways Forensics til computere og datalagringsenheder

X-Ways Forensics muliggør detaljeret analyse af computere, harddiske, SSD'er og andre lagringsmedier.

Dette muliggør en målrettet undersøgelse af filsystemstrukturer, eksisterende og slettede filer, metadata og andre tekniske oplysninger. Detaljeret filsystemanalyse kan være særligt relevant, når man har at gøre med spørgsmål om filbrug og eksterne lagringsmedier.

Belkasoft til komplekse digitale artefakter

Belkasoft understøtter struktureret analyse af forskellige digitale datakilder. I mere omfattende undersøgelser kan kommunikations-, fil- og systeminformation korreleres både tidsmæssigt og tematisk.

MOBILedit Forensic som en yderligere metode til mobiltelefonforensik

MOBILedit Forensic udvider mulighederne for at udtrække og analysere data fra mobile enheder. En yderligere metode kan være særligt nyttig i betragtning af den tekniske mangfoldighed hos forskellige Android-producenter.

Hvorfor flere retsmedicinske værktøjer anvendes

Intet enkelt program understøtter alle enheder, operativsystemer og datastrukturer med samme dybde. Desuden kan forskellige løsninger genkende og vise de samme data på forskellige måder.

I tilfælde hvor der findes relevante fund, kan en yderligere metode derfor bidrage til den tekniske plausibilitet. Den oprindelige artefakt er dog fortsat afgørende. Et automatisk genereret softwarehit er ikke en endegyldig retsmedicinsk vurdering.

Integritet af digitalt bevismateriale

I en evidensbaseret undersøgelse bør det være transparent, hvilket datagrundlag analysen udføres på. Afhængigt af undersøgelsesobjektet kan et defineret datasæt derfor først sikres.

Kryptografiske hashværdier kan bruges til at verificere integriteten af ​​et sådant datasæt. De muliggør en teknisk sammenligning af, om dette specifikke datasæt har ændret sig i forhold til en dokumenteret referencetilstand.

En hashværdi beviser dog ikke automatisk fuldstændighed, ægthed, forfatterskab eller korrektheden af ​​en senere fortolkning.

Yderligere oplysninger kan findes under Integritet af digitalt bevismateriale.

Forvaringskæde og dokumenteret håndtering af bevismateriale

Sporbarhedskæden beskriver den sporbare håndtering af et efterforskningsobjekt. Dette kan omfatte erhvervelse, identifikation, sikring, opbevaring og relevante overførsler.

Den opfylder en anden funktion end den tekniske integritetskontrol. Mens en hashværdi teknisk set kan sammenligne et defineret datasæt, dokumenterer beviskæden den organisatoriske håndtering af enheden og de sikkerhedskopier, der genereres fra den.

Vi forklarer forskellen i detaljer i vidensartiklen Chain of Custody i digital retsvidenskab.

Fra det indledende spørgsmål til en verificerbar teknisk konklusion

Definer forskningsmålet

Først defineres det, hvilket teknisk problem der skal undersøges, og hvilken tidsperiode der skal tages i betragtning.

Bestem relevante datakilder

Smartphone, computer, datalagringsenhed, backup eller cloud-data prioriteres baseret på deres relevans for det specifikke spørgsmål.

Dokumentér den oprindelige tilstand

Enhedsmodellen, operativsystemet, sikkerhedsstatus, kryptering og tilgængelige adgangsmuligheder påvirker den videre handling.

Sikre data på en teknisk egnet måde

Sikkerhedskopimetoden afhænger af undersøgelsesobjektet og datakilden. Hvor det er relevant, er den efterfølgende analyse baseret på en defineret sikkerhedskopi.

Analyser relevante artefakter

Filer, databaser, kommunikationsinformation og systemspor evalueres specifikt baseret på forskningsspørgsmålet.

Tilslutning af uafhængige spor

Når flere datakilder relaterer sig til den samme proces, kan de korreleres med hensyn til tid og indhold.

Præsenter resultater og fortolkning separat.

En forståelig dokumentation skelner mellem direkte fastslåede data, den professionelle fortolkning og begrænsningerne i de tilgængelige data.

IT-forensik i Münster-området og Münsterland-regionen

Münster er det videnskabelige, økonomiske og administrative centrum i Münsterland-regionen. Kombinationen af ​​universiteter, forskningsinstitutioner, sundhedssektoren, mellemstore virksomheder og teknologiorienterede strukturer fører til en bred vifte af potentielle digitale udfordringer.

Det regionale område omfatter blandt andet Greven, Telgte, Warendorf, Senden, Dülmen, Coesfeld, Steinfurt og Emsdetten . Osnabrück og de omkringliggende regioner kan også være relevante i sager af overregional betydning.

De nævnte byer er udelukkende til geografisk klassificering og præsenteres ikke her som filialer af LB Forensik.

Yderligere tidligere offentliggjort regional information kan findes, for eksempel om IT-forensik for Dortmund og IT-forensik for Essen.

Hvad skal man undgå før en retsmedicinsk undersøgelse?

En smartphone, der kan være relevant som bevismateriale, bør ikke nulstilles for tidligt. Mistænkelige apps, beskeder eller filer bør heller ikke slettes separat, hvis deres oprindelse eller brug skal undersøges senere.

Datagendannelses-, oprydnings- og antispywareprogrammer kan oprette nye filer og systemoplysninger og derved ændre de oprindelige data.

En computer, der allerede har været slukket, bør ikke genstartes normalt blot for en indledende inspektion. Selv opstartsprocessen for operativsystemet kan generere ny aktivitet og påvirke eksisterende artefakter.

Omvendt er det ikke altid den rigtige fremgangsmåde at slukke en kørende enhed med det samme. Især med krypterede systemer kan enhedens aktuelle tilstand påvirke efterfølgende backupmuligheder.

Ofte stillede spørgsmål om digital retsmedicin i Münster

Udfører LB Forensics undersøgelser for privatpersoner fra Münster?

Ja. Afhængigt af det stillede spørgsmål kan smartphones, computere, datalagringsenheder, eksisterende sikkerhedskopier og andre autoriserede datakilder undersøges.

Kan det undersøges, om min telefon er blevet hacket?

En retsmedicinsk analyse kan søge efter teknisk detekterbare indikationer på mulig uautoriseret adgang eller kompromittering. Dens pålidelighed afhænger af den specifikke enhed og tilgængelige data.

Kan slettede WhatsApp-beskeder gendannes?

Under visse omstændigheder kan databaseoplysninger, sikkerhedskopier, medier eller andre artefakter muliggøre en hel eller delvis rekonstruktion. En vellykket gendannelse kan dog ikke garanteres.

Er det muligt at afgøre, om der er brugt en USB-stick?

Computersystemer kan indeholde tekniske spor af tilsluttede USB-enheder. Bevis for forbindelsen er dog ikke automatisk bevis for en specifik filoverførsel.

Kan flere enheder fra samme etui undersøges sammen?

Ja. Hvis smartphone, computer, datalagringsenhed eller cloud-data vedrører det samme emne, kan relevante artefakter analyseres sammen og korreleres med hinanden over tid.

Er det muligt at fastslå, hvornår en fil blev ændret?

Afhængigt af filsystemet og datatypen kan metadata, programspor og andre systemartefakter give spor om ændringer. Et enkelt tidsstempel bør dog ikke evalueres uden dets tekniske kontekst.

Kan IT-retsmedicin endeligt afgøre, hvilken person der handlede?

Ikke automatisk. Digitale spor kan ofte knyttes til en enhed, brugerkonto eller teknisk proces. Dette betyder ikke nødvendigvis, hvilken person der rent faktisk betjente enheden.

Hvilken retsmedicinsk software bruger LB Forensics?

Afhængigt af enhed, datakilde og undersøgelsesformål bruger vi blandt andet Cellebrite, X-Ways Forensics, Belkasoft og MOBILedit Forensic.

Skal en potentielt kompromitteret smartphone nulstilles?

En nulstilling af en enhed, der indeholder bevismateriale, bør ikke udføres uden en forudgående teknisk vurdering. Dette kan ændre eller fjerne relevante data og tekniske spor.