Når private beskeder pludselig kommer til en anden persons kendskab, en smartphone udviser usædvanlig aktivitet, eller vigtige data mangler, opstår der hurtigt konkrete mistanker. Denne observation alene er dog ikke tilstrækkelig til en pålidelig undersøgelse. Det afgørende er at identificere de faktiske digitale spor, hvordan de kan være opstået, og hvilke tekniske konklusioner der kan drages ud fra dem.

Vores IT-forensiske tjenester i Mainz støtter enkeltpersoner, virksomheder, advokater og andre klienter med professionel undersøgelse af digitale enheder og data. Smartphones, computere, lagringsmedier og personlige brugerkonti er særligt hyppige fokusområder. Afhængigt af de specifikke omstændigheder kan eksisterende sikkerhedskopier eller andre tilgængelige datakilder også være relevante.

Mainz har en unik teknologisk og økonomisk kontekst for dette. Bioteknologi, sundhedspleje, medier, digitale teknologier, forskning og en mangfoldig SMV-sektor karakteriserer stedet. Derfor kan forskningsinformation, forretningskommunikation, projektdokumenter og fortrolig knowhow ud over personoplysninger også være genstand for retsmedicinsk undersøgelse.

IT-forensik i Mainz – forvandling af en anomali til et teknisk fund

Digital retsmedicin starter ikke med et færdigt svar, men med et klart spørgsmål. Er der tegn på uautoriseret adgang? Er slettede data stadig tilgængelige? Kan visse kontoaktiviteter dateres? Eller er virksomhedsdata muligvis blevet overført til eksterne systemer?

Først når det specifikke spørgsmål er defineret, kan det afgøres, hvilke enheder og datakilder der rent faktisk er relevante. Dette holder undersøgelsen fokuseret og undgår unødvendig analyse af personlige eller forretningsmæssige data.

Lige så vigtig er den tekniske grænse. Et ukendt login identificerer ikke automatisk personen bag adgangen. Ligeledes beviser et tilsluttet USB-stik ikke datatyveri. Det samme gælder for usædvanligt højt batteriforbrug: det kan indikere et problem, men det er ikke bevis for spyware.

IT-forensik for privatpersoner i Mainz

En betydelig del af digitale retsmedicinske undersøgelser vedrører private anliggender. Smartphones, beskedapps, brugerkonti, cloudtjenester og personlige computere er ofte i fokus.

Typiske spørgsmål omfatter:

• Kunne en anden person muligvis have adgang til min smartphone?
• Er der nogen tekniske indikationer på spyware eller manipulation?
• Er der ukendte enheder forbundet til mine brugerkonti?
• Kan min tidligere partner stadig få adgang til mine personoplysninger?
• Kan slettede WhatsApp-beskeder stadig undersøges?
• Kan fotos, videoer eller dokumenter stadig gendannes?
• Er der relevante digitale spor tilbage efter en phishing- eller svindelhændelse?
• Hvordan kan digitale oplysninger sikres i forbindelse med retssager?

Hvilke data der rent faktisk er tilgængelige, afhænger af den specifikke enhed, operativsystemet, sikkerhedsstatus, kryptering og den teknisk mulige udvindingsmetode. Derfor skal hver undersøgelse planlægges individuelt.

Mobiltelefon hacket eller overvåget – hvilke spor er virkelig pålidelige?

Mange berørte brugere oplever i starten symptomer som øget batteriforbrug, usædvanlig varmeudvikling, nedbrud eller uforklarligt dataforbrug. Sådanne uregelmæssigheder kan berettige en undersøgelse, men er ikke i sig selv tilstrækkelige til at bevise en kompromittering.

En retsmedicinsk analyse tager derfor hensyn til objektivt verificerbare tekniske oplysninger. Afhængigt af enheden kan applikationer, tilladelser, kontoforbindelser, systemartefakter og andre data være relevante.

Undersøgelsen bør ikke udelukkende fokusere på klassisk spyware. Tidligere loginoplysninger, stadig autoriserede enheder, tilknyttede konti eller Active Cloud-synkroniseringer kan også forklare, hvorfor en anden persons personlige oplysninger stadig er tilgængelige.

Samspillet mellem flere spor er derfor afgørende. Først når forskellige beviser teknisk set passer sammen, tegner der sig et pålideligt billede.

Digital adgang efter en separation

Især efter et brud kan digitale forbindelser, der bevidst blev etableret under forholdet, fortsætte. Disse omfatter for eksempel delte Apple- eller Google-konti, registrerede tablets, gemte adgangskoder, familiedeling eller messenger-forbindelser.

Derfor bør en mistanke ikke forhastet reduceres til spørgsmålet om, hvorvidt der er spyware til stede på smartphonen. Først er det nødvendigt at afklare, hvilke tekniske adgangspunkter der rent faktisk er realistiske.

Baseret på disse oplysninger kan det derefter afgøres, om kun selve smartphonen eller også andre konti og enheder skal undersøges. Dette holder analysen fokuseret og undgår unødvendige indtrængen i private data.

Retsmedicinsk analyse af WhatsApp og Messenger

WhatsApp-kommunikation kan være af betydelig betydning i private konflikter, trusler, svindelsager eller juridiske tvister.

En retsmedicinsk analyse går ud over blot at læse synlige chathistorikker. Afhængigt af datasættet kan beskeder, tidsstempler, deltageroplysninger, medier, dokumenter, gruppeoplysninger og andre tekniske artefakter være relevante.

Et skærmbillede har derfor en anden teknisk betydning end data fra en verificerbart sikret originalkilde. Mens et skærmbillede blot dokumenterer en synlig repræsentation, kan de originale data indeholde yderligere tekniske oplysninger.

Vi forklarer mulighederne og begrænsningerne i detaljer i vidensartiklen "Retsmedicinsk analyse af WhatsApp-beskeder".

Kan slettede WhatsApp-beskeder gendannes?

Under visse tekniske forhold kan slettede beskeder eller tilbageværende artefakter stadig være til stede. En fuldstændig gendannelse kan dog ikke garanteres pålideligt.

Afgørende faktorer inkluderer enhedsmodellen, operativsystemet, WhatsApp-versionen, databasens tilstand, eksisterende sikkerhedskopier og videre brug efter sletning.

Yderligere datakilder kan også være relevante. En ældre sikkerhedskopi kan indeholde beskeder, der ikke længere er synlige på den aktuelle smartphone. Tilsvarende kan en anden involveret enhed indeholde en anden kommunikationsstatus.

Hvis slettet kommunikation er vigtig, bør smartphonen derfor ikke nulstilles, hvis det er muligt, og WhatsApp bør ikke geninstalleres for tidligt.

Slettede billeder, videoer og andre filer

Fotos, videoer og dokumenter kan også være genstand for en retsmedicinsk undersøgelse. Om slettet indhold kan gendannes, afhænger dog i høj grad af den anvendte lagringsteknologi.

Moderne smartphones bruger krypteret flashhukommelse og komplekse hukommelsesstyringsmekanismer. Dette adskiller deres muligheder betydeligt fra traditionelle harddiske.

Netop derfor bør man overveje yderligere datakilder. Sikkerhedskopier, cloud-synkroniseringer eller andre tilsluttede enheder kan indeholde vigtige oplysninger, selvom den originale smartphone ikke længere leverer dem fuldt ud.

iPhone- og Android-retsmedicin

iPhones og Android-smartphones kræver forskellige undersøgelsesstrategier. For Apple-enheder spiller faktorer som model, iOS-version, enhedens tilstand og sikkerhedskonfiguration en rolle. For Android-enheder er der også betydelige forskelle mellem producenter, chipsæt, operativsystemversioner og patchniveauer.

Det er derfor ikke muligt at forudsige generelt, hvilke data der vil være tilgængelige på hver enhed. Den passende sikkerhedskopierings- og udtrækningsmetode skal bestemmes individuelt for hver specifik smartphone.

Derudover er den faktiske mængde data, der leveres af hver metode, afgørende. Dette tekniske omfang skal tages i betragtning i den efterfølgende evaluering.

Computerforensik til private og erhvervsmæssige anliggender

En Windows-pc, Mac eller bærbar computer kan indeholde yderligere spor, der ikke findes på en smartphone. Afhængigt af systemet kan brugeraktivitet, filsystemoplysninger, browserdata, tilsluttede enheder og andre tekniske artefakter være relevante.

Kronologisk rekonstruktion er ofte særligt afslørende. Hvornår blev en fil åbnet? Hvilken brugeraktivitet forekom i samme periode? Var en ekstern lagerenhed tilsluttet? Hvilke andre hændelser svarer til den proces, der undersøges?

Når flere sådanne oplysninger stemmer overens, kan der tegne sig et klart og pålideligt helhedsbillede.

Ser smartphone og computer sammen

Mange digitale processer er nu spredt på tværs af flere enheder. Messenger-apps bruges på smartphones og også på computere. Fotos og dokumenter synkroniseres med cloud-tjenester. E-mails tilgås på flere enheder.

Derfor kan en rent enhedsfokuseret tilgang overse en relevant del af problemstillingen. Hvis det undersøgte spørgsmål vedrører flere systemer, kan en fælles analyse være betydeligt mere informativ.

Men også her gælder følgende: Ikke alle teknisk tilgængelige datakilder behøver at blive automatisk fuldt evalueret. Omfanget af undersøgelsen bør baseres på de specifikke omstændigheder.

Phishing, smishing og onlinesvindel

Efter en phishing- eller smishing-hændelse er der ofte bekymring for, at hele smartphonen eller computeren er blevet kompromitteret. Teknisk set er dette ikke nødvendigvis tilfældet.

For at kunne foretage en meningsfuld undersøgelse bør hændelsesforløbet derfor først rekonstrueres. Hvilken besked blev modtaget? Hvilket link blev åbnet? Blev loginoplysninger indtastet? Var der downloads eller andre usædvanlige aktiviteter?

Afhængigt af omstændighederne kan SMS-beskeder, e-mails, browseroplysninger, downloads og andre tekniske spor bidrage til at dokumentere processen på en sporbar måde.

En retsmedicinsk undersøgelse kan afsløre tekniske forbindelser. Den identificerer dog ikke automatisk den fysiske person bag et telefonnummer, domæne eller en teknisk infrastruktur.

Digitalt bevismateriale til advokater og retssager

Når digital information bliver relevant i en juridisk tvist, er det ofte ikke nok blot at overveje det synlige indhold af en fil eller besked. Oprindelsen, lagringsmetoden og den tekniske kontekst kan være lige så vigtige.

For egnede datasæt kan kryptografiske hashværdier bruges til at verificere den fortsatte integritet af et defineret datasæt.

En hashværdi besvarer dog ikke alle bevisspørgsmål. Den beviser hverken sandheden af ​​et stykke indhold eller automatisk dets ophavsret.

Integritet, autenticitet, oprindelse og personlig tilskrivning er derfor forskellige spørgsmål, der skal vurderes separat.

Mainz som placering for bioteknologi, forskning og digital økonomi

Mainz har en økonomisk struktur, der adskiller sig væsentligt fra traditionelle industricentre. Bioteknologi, sundhedspleje, medier, digitale teknologier og forskning karakteriserer byen, ligesom en bredt diversificeret mellemstor erhvervssektor.

Dette resulterer i meget forskellige digitale aktiver. Forskningsdata, personlige helbredsoplysninger, teknisk dokumentation, medieindhold, projektoplysninger og forretningsviden kan alle blive retsmedicinsk relevante, afhængigt af omstændighederne.

Hvis der er en konkret mistanke om manipulation eller datalækage, bør det derfor først afklares, hvilken type data der kan være berørt, og på hvilke systemer der kan forventes tilsvarende spor.

Forsknings- og udviklingsdata som digitalt bevismateriale

Især inden for bioteknologi og forskning kan digital information have betydelig videnskabelig og økonomisk værdi.

Forskningsresultater, evalueringer, projektdokumentation og udviklingsdokumenter skabes ofte over længere perioder. Samtidig redigeres, versioneres og udveksles de på forskellige systemer.

I tilfælde af et potentielt databrud er den blotte eksistens af en specifik fil derfor ikke den eneste relevante faktor. Tidsstempler, brugeraktivitet, filsystemoplysninger og eksterne lagringsmedier kan også bidrage til rekonstruktionen.

Ikke desto mindre bør en teknisk konklusion ikke fortolkes strengere end dataene tillader. For eksempel beviser det faktum, at en fil blev åbnet, ikke automatisk, at den efterfølgende blev delt.

IT-forensik for virksomheder og advokatfirmaer i Mainz

Virksomhedsundersøgelser starter ofte med en specifik anomali. Dette omfatter usædvanlig filaktivitet, mistænkelige brugerkonti, eksterne lagerenheder eller indikationer på et muligt databrud.

Typiske spørgsmål omfatter:

• Blev der kopieret eller slettet nogen fortrolige filer?
• Hvilke eksterne lagringsenheder blev brugt?
• Var der nogen usædvanlige aktiviteter før du skiftede arbejdsgiver?
• Er en brugerkonto blevet kompromitteret?
• Kunne følsomme forsknings- eller projektdata være blevet lækket?
• Hvilke systemer blev påvirket af en cyberhændelse?

Især når det drejer sig om følsomme forsknings-, medie- eller virksomhedsdata, bør undersøgelsens omfang være præcist begrænset til det faktiske forskningsspørgsmål. Dette holder analysen fokuseret og reducerer samtidig unødvendige indtrængen i irrelevante datasæt.

Datatyveri og interne mistanker

Hvis der er en konkret mistanke om lækage af fortrolige virksomhedsdata, kan arbejdspladsens computere, bærbare computere, virksomhedens mobiltelefoner, eksterne datalagringsenheder og andre datakilder afhængigt af omstændighederne være relevante.

Tilstedeværelsen af ​​en tilsluttet USB-enhed er kun ét bevis. For en pålidelig vurdering kan det være nødvendigt at tage yderligere fil- og brugeraktivitet i betragtning.

Kun når flere tekniske spor stemmer overens, kan der opstå en stærkere forbindelse.

Cyberhændelser – sikring af beviser og begrænsning af skader

Efter et cyberangreb skal virksomheder kombinere to mål: at forhindre yderligere skade og samtidig bevare relevant bevismateriale til senere genopbygning.

En hurtig geninstallation kan ændre vigtige oplysninger. På den anden side bør et kompromitteret system ikke unødvendigt fortsættes med at fungere udelukkende med det formål at bevare bevismateriale.

Derfor bør der træffes beslutninger så tidligt som muligt om, hvilke systemer der skal isoleres, hvilke data der skal sikkerhedskopieres, og hvilke foranstaltninger der skal dokumenteres.

Den mest passende fremgangsmåde afhænger altid af det specifikke angrebsscenarie.

Sikkerhedskopiering af retsmedicinske data – kvalitet starter før analyse

Kvaliteten af ​​et studie bestemmes ikke udelukkende af den efterfølgende evaluering. Selv sikringen af ​​studieobjektet kan påvirke dets validitet.

Smartphones, SSD'er, traditionelle harddiske og moderne computere har forskellige tekniske krav. Derfor findes der ingen universel backupmetode til alle enheder.

For egnede datalagringsmedier kan retsmedicinske billeder og skrivebeskyttelsesmetoder være nyttige. Moderne smartphones kræver dog andre udtrækningsmetoder.

Det er derfor afgørende at dokumentere på en forståelig måde, hvilken enhed der blev undersøgt, hvilken metode der blev anvendt, og hvilket dataomfang denne metode rent faktisk leverede.

Vores retsmedicinske software

Forskellige enheder og datastrukturer kræver specialiserede værktøjer. Derfor bruger vi adskillige retsmedicinske løsninger afhængigt af undersøgelsesobjektet og det specifikke spørgsmål.

Cellebrite-indsatser

Cellebrite Inseyets understøtter især struktureret analyse af mobile digitale data. Afhængigt af enheden og tilgængelige udtrækningsmuligheder kan relevante smartphone-artefakter undersøges specifikt og korreleres.

Cellebrite Digital Collector

Cellebrite Digital Collector understøtter passende sikkerhedskopieringsprocedurer for computere og digitale lagringsmedier. Den specifikke procedure afhænger af hardware, operativsystem, kryptering og undersøgelsesformål.

Cellebrite-inspektør

Cellebrite Inspector tjener til yderligere analyse af computerforensiske datasæt og understøtter struktureret evaluering af relevante artefakter i store datasæt.

X-Ways Forensics

X-Ways Forensics muliggør detaljerede undersøgelser af filsystemer, databærere, partitioner og andre computerforensiske strukturer.

MOBILedit Forensic og MEFF 3 Pro

MOBILedit Forensic og MEFF 3 Pro supplerer mobil retsmedicin og kan, afhængigt af enheden, åbne op for yderligere tekniske analysemuligheder.

Den anvendte software leverer dog kun tekniske data og strukturer. Kun en professionel evaluering afgør betydningen af ​​en artefakt for det specifikke forskningsspørgsmål. Derfor erstatter en automatiseret softwarerapport ikke en ekspertfortolkning.

Certificerede processer og ekspertkompetence

LB Detektive GmbH har et kvalitetsstyringssystem, der er certificeret af TÜV NORD i henhold til DIN EN ISO 9001, hvilket omfatter IT-forensisk analyse.

Derudover har eksperten personlig certificering i henhold til DIN EN ISO/IEC 17024.

Begge niveauer opfylder forskellige funktioner. Mens DIN EN ISO 9001 omhandler definerede organisatoriske kvalitetsprocesser, refererer personalecertificering til den dokumenterede kompetence hos en certificeret person.

For klienter er gennemsigtige efterforskningsprocedurer, kontrolleret håndtering af bevismateriale og teknisk forståelig dokumentation særligt relevante.

Tre typiske eksamenssituationer i Mainz

Private oplysninger forbliver kendte efter en separation

Efter en separation opstår der mistanke om fortsat digital adgang. I stedet for automatisk at antage spyware, overvejes mulige adgangsruter via smartphones, konti, tilsluttede enheder og andre teknisk plausible forbindelser.

Slettede messenger-kommunikationer bør sikkerhedskopieres.

Efter en tvist er relevante meddelelser ikke længere fuldt synlige. Først undersøges det, hvilke datakilder der stadig er tilgængelige, og hvilke tekniske udtrækningsmetoder der er mulige. Først derefter kan der foretages en pålidelig vurdering af, om yderligere rekonstruktion har nogen udsigt til succes.

Fortrolige projektdata kan være blevet lækket.

Usædvanlig filaktivitet forekommer inden for en klart defineret tidsramme. I stedet for straks at konkludere, at dette indikerer et databrud, undersøges relevante enheder, brugeraktivitet og eksterne lagringsmedier i kontekst.

Sådan fungerer en IT-retsmedicinsk undersøgelse

1. Afklar spørgsmålet

Først defineres det, hvilket teknisk problem der skal undersøges, og hvilken tidsperiode der er relevant.

2. Bestem relevante datakilder

Derefter vil det blive undersøgt, hvilke smartphones, computere, datalagringsenheder eller konti der rent faktisk kan bidrage til at afklare situationen.

3. Vurder det tekniske udgangspunkt

Operativsystem, kryptering, enhedens tilstand og tilgængelige data påvirker den passende backupstrategi.

4. Sikkerhedskopier data professionelt

Backupmetoden tilpasses derefter til den specifikke enhed og det specifikke forskningsspørgsmål.

5. Analysér digitale spor

Relevante artefakter klassificeres teknisk og kronologisk og sammenlignes om nødvendigt med andre datakilder.

6. Evaluer relationer

Individuelle tekniske hits betragtes ikke isoleret. I stedet tages alternative forklaringer og mulige sammenhænge i betragtning.

7. Dokumentér resultater

Afhængigt af opgaven samles resultaterne i en undersøgelsesrapport eller yderligere ekspertdokumentation.

Hvad bør du undgå så meget som muligt inden en eksamen?

• Nulstil ikke en potentielt kompromitteret smartphone forhastet.
• Slet ikke selv mistænkelige programmer.
• Installer ikke ukendte anti-spyware- eller rengøringsprogrammer.
• Geninstaller ikke WhatsApp, hvis relevante beskeder er blevet slettet.
• Overskriv ikke eksisterende sikkerhedskopier unødigt.
• Brug enheder med slettede data så lidt som muligt.
• Undgå unødvendige ændringer på computere, hvis der er en konkret mistanke om datalækage.
• Dokumentér sikkerhedsadvarsler og usædvanlige tidsstempler.

IT-forensik i Mainz og Rhinen-Main-regionen

Vores serviceområde omfatter Mainz , Wiesbaden , Ingelheim am Rhein, Bingen, Rüsselsheim am Main, Bad Kreuznach og andre steder i den omkringliggende region.

På grund af sin tætte integration i Rhinen-Main-regionen er der også direkte forbindelser til Frankfurt og andre eksisterende driftsområder.

Dette gør det muligt at behandle både følsomme private efterforskninger og mere komplekse virksomhedssager med flere digitale beviser regionalt og nationalt.

Ofte stillede spørgsmål om IT-forensik i Mainz

Kan jeg som privatperson få min smartphone undersøgt?

Ja. Typiske private efterforskninger involverer uautoriseret adgang, mistanke om spyware, slettet kommunikation, brugerkonti eller digitalt bevismateriale i forbindelse med personlige og juridiske tvister.

Er det muligt at finde ud af, om nogen har adgang til min telefon?

Afhængigt af enheden kan eksisterende tekniske spor vedrørende mulige adgangsruter undersøges. Fuldstændig bevis for enhver tænkelig tidligere adgang kan dog ikke garanteres.

Kan min tidligere partner få adgang til mine data uden spyware?

Ja. Andre autoriserede enheder, kendte loginoplysninger, cloud-konti eller eksisterende synkroniseringer kan tilbyde alternative adgangsmetoder.

Kan slettede WhatsApp-beskeder gendannes?

Under visse omstændigheder kan der stadig være meddelelser eller tekniske artefakter til stede. En fuldstændig gendannelse kan dog generelt ikke garanteres.

Kan slettede billeder gendannes?

Dette afhænger af enheden, lagringssystemet, sletningstidspunktet, videre brug og tilgængelige yderligere datakilder.

Kan en firmamobiltelefon også undersøges?

Ja. Virksomhedens mobiltelefoner kan repræsentere relevant digitalt bevismateriale i interne tilfælde af mistanke om databrud, kompromitterede brugerkonti eller andre sikkerhedshændelser.

Er det muligt at undersøge, om forsknings- eller projektdata er blevet kopieret?

Afhængigt af de tilgængelige data kan filaktivitet, eksterne lagringsenheder og andre tekniske artefakter undersøges. Om en specifik kopieringsoperation kan bevises, afhænger af det samlede bevismateriale.

Kan et cyberangreb undersøges efterfølgende?

Dette kan være muligt, hvis der stadig er egnede datakilder tilgængelige. Hvilke systemer og oplysninger der er relevante, afhænger af den specifikke hændelse.

Betragtes en softwarerapport allerede som en ekspertvurdering?

Nej. Software leverer tekniske data og artefakter. En ekspertvurdering kræver dog et defineret spørgsmål, en professionel evaluering og en forståelig udledning af resultaterne.

Hvor meget koster en IT-retsmedicinsk undersøgelse i Mainz?

Den nødvendige indsats afhænger af udstyret, forskningsspørgsmålet, datamængden, den tekniske tilgængelighed og den ønskede dokumentation. I mere komplekse tilfælde defineres derfor først det faktiske omfang af undersøgelsen.

Sikre digitale spor, før de ændres

I tilfælde af mistanke om uautoriseret adgang, slettede beskeder eller mistænkelig aktivitet på en computer, kan enhedens aktuelle tilstand være afgørende for efterfølgende undersøgelse.

Nulstilling, geninstallation eller manuel oprydning kan ændre relevante data. Derudover kan fortsat brug overskrive eller på anden måde påvirke ældre oplysninger.

Derfor bør det først afklares, hvilke enheder og datakilder der skal sikkerhedskopieres, og hvilken fremgangsmåde der er teknisk passende i det specifikke tilfælde.

Yderligere dybdegående teknisk information om smartphone-, computer- og messenger-forensik samt digital bevisopbevaring kan findes i vores vidensdatabase.