Digitale spor skabes ved stort set enhver brug af en smartphone eller computer. Beskeder gemmes og slettes, filer åbnes, brugerkonti anvendes, eksterne lagringsenheder tilsluttes, og data synkroniseres med cloud-tjenester. Hvis sådanne processer senere bliver relevante for en privat, forretningsmæssig eller juridisk sag, er den synlige brugergrænseflade ofte utilstrækkelig. LB Forensics undersøger smartphones, computere, lagringsenheder, sikkerhedskopier og andre autoriserede digitale datakilder for privatpersoner, virksomheder og advokater i Magdeburg.

Udgangspunktet for en undersøgelse er et specifikt teknisk spørgsmål. Blev beskeder slettet? Er der bevis for uautoriseret adgang? Hvornår blev en bestemt fil brugt eller ændret? Blev fortrolige virksomhedsdata muligvis kopieret? Hvilke aktiviteter kan rekonstrueres inden for en relevant tidsramme? Digital retsmedicins opgave er at sikre eksisterende artefakter, klassificere dem teknisk og tydeligt demonstrere deres begrænsninger.

Til sikring og analyse af bevismateriale bruger vi specialiserede retsmedicinske løsninger afhængigt af det specifikke efterforskningsobjekt. Disse omfatter blandt andet Cellebrite, X-Ways Forensics, Belkasoft og MOBILedit Forensic . Forskellige værktøjer kan tilgå forskellige datastrukturer. Den afgørende faktor er dog fortsat den ekspertvurdering af det originale digitale artefakt, ikke blot dets repræsentation i et softwareprogram.

IT-forensik for Magdeburg: Overblik over efterforskningsområder

• Mobiltelefonforensik for Apple iPhones og Android smartphones
• Computerretsmedicin til Windows-pc'er, bærbare computere og Apple Macs
• retsmedicinsk analyse af WhatsApp og anden digital kommunikation
• Undersøgelse af slettede eller ikke længere umiddelbart synlige data
• Undersøgelse af teknisk detekterbare indikationer på mulig uautoriseret adgang
• Analyse af harddiske, SSD'er, USB-sticks og andre datalagringsenheder
• Evaluering af eksisterende sikkerhedskopier og autoriserede clouddata
• Rekonstruktion af relevante fil-, bruger- og systemaktiviteter
• Undersøgelse af potentielle datalækager og interne hændelser
• tidsmæssig korrelation af digitale spor fra flere datakilder
• Retsmedicinsk verificerbar backup af relevante datasæt
• Dokumentation af den genstand, der undersøges, sikring af bevismateriale og tekniske fund

Yderligere tekniske oplysninger kan findes i vores vidensdatabase om digital retsmedicin . Der diskuteres individuelle metoder, datakilder og typiske bevisspørgsmål mere detaljeret.

Hvilke digitale oplysninger kan være relevante retsmedicinske formål?

Digital retsmedicin undersøger ikke kun filer, fotos eller synlige beskeder. Operativsystemer, applikationer og tjenester genererer et væld af yderligere oplysninger i baggrunden.

Afhængigt af enheden kan relevante data f.eks. omfatte appdatabaser, kommunikationsdata, filmetadata, browseroplysninger, brugerlogin, systemlogfiler, tilsluttede lagerenheder, synkroniseringsdata og forskellige tidsoplysninger.

Hvilke artefakter der rent faktisk bør undersøges, afhænger af de specifikke omstændigheder. For eksempel er andre spor relevante i tilfælde af en mulig datalækage end når man skal afgøre, om en bestemt besked eksisterede, eller om en smartphone viser tegn på uautoriseret adgang.

Derfor er et centralt princip: En enkelt digital artefakt bør ikke fortolkes yderligere, end de tekniske data tillader.

Mobiltelefonforensik i Magdeburg til iPhone og Android

Mobiltelefonforensik i Magdeburg undersøger digital information på smartphones og deres tilhørende datakilder. Mobile enheder lagrer i dag kommunikationsdata, billeder, videoer, apps, browserdata, brugerkonti og adskillige tekniske systemdetaljer.

En retsmedicinsk smartphoneundersøgelse går ud over blot at inspicere skærmen. Afhængigt af enheden og de teknisk tilgængelige data kan beskeder, appdatabaser, medier, filer, opkaldsoplysninger, browserartefakter, tidsstempler og visse system-, placerings- og forbindelsesoplysninger være relevante.

Undersøgelsens dybde afhænger blandt andet af producent, model, operativsystemversion, sikkerhedsstatus, kryptering og tilgængelig udtrækningsmetode.

iPhone-efterforskning på Apple-enheder

Apple iPhones bruger en tæt integreret kombination af hardware, iOS og kryptografiske beskyttelsesmekanismer. Derfor kan det ikke før en undersøgelse garanteres pålideligt, at alle data fra en enhed kan udtrækkes.

Afhængigt af den tekniske opsætning kan beskeder, appdata, billeder, videoer, filer, browseroplysninger, tidsstempler og andre systemfejl undersøges. Lokale sikkerhedskopier og autoriserede iCloud-data kan også repræsentere yderligere datakilder.

Enhedens aktuelle tilstand kan være relevant. En iPhone, der allerede er låst op og tændt, kan give et andet retsmedicinsk udgangspunkt end den samme enhed umiddelbart efter en genstart.

Yderligere baggrundsinformation om muligheder og begrænsninger kan findes i den udgivne vidensartikel "Hvad er iPhone-forensik?".

Android-efterforskning hos Samsung, Google, Honor og andre producenter

Android-smartphones adskiller sig betydeligt med hensyn til hardware, chipset, operativsystemversion og sikkerhedskonfiguration. Derfor kan de mulige udtrækningsmetoder variere betydeligt.

Afhængigt af enheden kan messenger-data, appdatabaser, filer, fotos, videoer, browseroplysninger og andre systemartefakter undersøges.

Især med Android-enheder kan det være nyttigt at anvende forskellige retsmedicinske værktøjer. Én metode kan muligvis give adgang til data på en bestemt enhed, som er utilgængelige eller kun delvist tilgængelige med et andet værktøj.

Teknisk analyse af WhatsApp og andre messengers

Messenger-kommunikation er ofte en central datakilde i private konflikter, stalking, bedrageri, ansættelsesretssager og interne virksomhedsundersøgelser.

En retsmedicinsk analyse af WhatsApp-data er ikke begrænset til at læse synlige beskeder. Afhængigt af de tilgængelige data kan beskeder, deltageroplysninger, tidsstempler, gruppestrukturer, billeder, videoer, dokumenter, talebeskeder og andre app-artefakter analyseres.

Vi forklarer de tekniske muligheder i detaljer i vidensartiklen "Retsmedicinsk analyse af WhatsApp-beskeder".

Slettede WhatsApp-beskeder

Slettede beskeder kan under visse betingelser stadig være helt eller delvist til stede i databaser, sikkerhedskopier, mediesamlinger eller andre tilgængelige datakilder.

En vellykket gendannelse kan dog ikke garanteres. Operativsystemet, appversionen, databasestatus, eksisterende sikkerhedskopier og fortsat brug af smartphonen påvirker chancerne for succes betydeligt.

Yderligere brug kan ændre dataene. Ny kommunikation, appopdateringer og synkroniseringsprocesser kan påvirke eksisterende artefakter. Derfor bør unødvendig brug undgås på en potentielt relevant smartphone.

Hvorfor et skærmbillede ikke tilbyder det samme datagrundlag

Et skærmbillede dokumenterer i første omgang kun den synlige skærmvisning. Det indeholder ikke automatisk den underliggende nyhedsdatabase, interne app-id'er eller andre tekniske oplysninger.

Hvis den originale enhed eller en passende ekstraktion er tilgængelig, kan yderligere artefakter bruges til teknisk sammenligning. Dette muliggør en betydeligt mere dybdegående undersøgelse af en kommunikationsproces end det er muligt med et enkelt billede.

Computerforensik i Magdeburg til Windows og macOS

Computerforensik i Magdeburg undersøger digitale spor på stationære computere, bærbare computere, Apple Macs og tilsluttede lagringsmedier. Operativsystemer genererer adskillige artefakter under deres brug, som senere kan bruges til at rekonstruere specifikke aktiviteter.

Afhængigt af forskningsspørgsmålet kan blandt andet følgende datakilder undersøges:

• Filer og filsystemstrukturer
• Filmetadata og tidsoplysninger
• Slettede filer og resterende filartefakter
• Brugerkonti og loginaktivitet
• Browserhistorik og downloads
• USB-enheder og eksterne lagringsmedier
• Program- og applikationsspor
• Windows-hændelseslogfiler
• macOS-systemartefakter
• lokale cloud- og synkroniseringsoplysninger

Yderligere grundlæggende oplysninger om undersøgelse af computersystemer kan findes under Hvad er computerforensik ?.

USB-enheder og eksterne lagringsmedier

Computersystemer kan indeholde oplysninger om, hvilke USB-enheder eller eksterne lagringsmedier der er blevet tilsluttet dem. Afhængigt af de tilgængelige data kan enhedsidentifikatorer og visse tidsmæssige korrelationer analyseres.

En USB-indtastning alene beviser ikke en filoverførsel. For at afgøre, om specifikke data blev kopieret, skal yderligere artefakter tages i betragtning.

Dette kan omfatte filadgange, senest brugte filer, filsystemoplysninger, tidsstempler og andre bruger- eller systemaktiviteter.

Organiser filer kronologisk

Filer og applikationer kan indeholde forskellige tidsstempler. Disse kan give spor om, hvornår data blev oprettet, ændret, åbnet eller på anden måde behandlet.

Tidsstempler bør dog ikke fortolkes isoleret. Kopiering af processer, applikationer, cloud-synkroniseringer og systemprocesser kan ændre tidsoplysninger.

En mere teknisk forsvarlig vurdering tager derfor højde for så mange uafhængige artefakter som muligt.

Slettede filer, SSD'er og datagendannelse

Slettede data kan ikke gendannes på samme måde på alle lagringsmedier. Traditionelle harddiske, moderne SSD'er og flashhukommelsen på mobile enheder opfører sig forskelligt fra et teknisk synspunkt.

Med SSD'er kan dataoprydningsmekanismer forårsage, at slettede data bliver utilgængelige relativt hurtigt. Yderligere faktorer omfatter filsystemet, krypteringen, tidspunktet for sletningen og den efterfølgende brug af enheden.

Ren datagendannelse har primært til formål at gøre tabt information tilgængelig igen. En retsmedicinsk undersøgelse tager desuden højde for oprindelse, metadata, tidsmæssig kontekst og andre tekniske spor.

En gendannet fil er derfor ikke automatisk det komplette retsmedicinske fund.

Digitale eksamener for privatpersoner fra Magdeburg

Digital retsmedicin er ikke længere udelukkende nødvendigt for virksomheder. Især smartphones og personlige computere indeholder omfattende information, der kan være relevant i personlige konflikter eller juridiske tvister.

Typiske private henvendelser omhandler f.eks. mulig uautoriseret adgang til en smartphone, slettet kommunikation, stalking og digital chikane, mistanke om bedrageri, identitetstyveri, separation eller skilsmisse samt omstridte beskeder eller andet digitalt indhold.

Er min telefon blevet hacket eller overvåget?

Usædvanligt højt batteriforbrug, varmeudvikling eller ukendte fejlmeddelelser er ikke tegn på et angreb. Sådanne symptomer kan have adskillige tekniske årsager.

En retsmedicinsk undersøgelse bør derfor udføres uden forbehold. Afhængigt af smartphonen kan apps, systemoplysninger, profiler, konfigurationer, kommunikationsartefakter og andre tekniske data undersøges.

Selv et negativt fund har sine begrænsninger. Hvis der ikke findes tegn på en kompromittering inden for de tilgængelige data, betyder det ikke automatisk, at et angreb ikke kunne have fundet sted på et tidligere tidspunkt.

Stalking, separation og personlige konflikter

I private konflikter kan beskedapps, fotos, filer, brugerkonti eller andre digitale oplysninger være relevante. Samtidig skal der skelnes klart mellem teknisk adgang og juridisk autorisation.

LB Forensics undersøger kun enheder, konti og datasæt, som de har den nødvendige autorisation til. Hemmelig adgang til andre personers smartphones eller brugerkonti er ikke en tilladt retsmedicinsk undersøgelse.

IT-retsmedicinske undersøgelser for virksomheder i Magdeburg

Magdeburg er et knudepunkt for erhvervsliv, videnskab, logistik og teknologi. Virksomheder, især inden for IT og kommunikation, maskinteknik, industri, medicinsk teknologi, e-mobilitet og tjenester, behandler omfattende forretnings- og personoplysninger.

Derudover er der universiteter, gymnasier og ikke-universitetsmæssige forskningsinstitutioner. Det betyder, at digitale undersøgelser i Magdeburg kan variere fra individuelle arbejdsstationer til mere komplekse projekter, der involverer flere enheder og brugerkonti.

I en intern hændelse kan f.eks. bærbare computere, smartphones, eksterne lagerenheder, e-maildata, brugerkonti og cloud-applikationer alle være relevante samtidigt.

Mistanke om datalækage eller uautoriseret datakopiering

I tilfælde af et potentielt databrud bør det først afklares, hvilke transmissionsveje der var teknisk tilgængelige.

USB-lagerenheder er blot én mulighed. Afhængigt af systemet kan cloud-tjenester, e-mail, webapplikationer, messengers eller andre platforme også være relevante for dataoverførsel.

En retsmedicinsk undersøgelse kan derfor sammenligne filadgang, eksterne lagringsenheder, browseraktiviteter, cloud-artefakter og andre systemspor.

En enkeltstående teknisk konklusion bør ikke overfortolkes. For eksempel beviser tilstedeværelsen af ​​et tilsluttet lagringsmedie ikke automatisk, at fortrolige filer blev overført til det.

Analyse efter en cyberhændelse

Efter et mistænkt cyberangreb kan brugeraktivitet, systemlogfiler, mistænkelige filer, persistensmekanismer, netværksspor og andre tekniske artefakter blive relevante.

I igangværende hændelser skal bevisopbevaring og -inddæmning betragtes som en samlet opgave. En tændt og dekrypteret computer kan præsentere en anden retsmedicinsk situation end det samme system efter en genstart.

Derfor er den generelle anbefaling om øjeblikkeligt at slukke ethvert mistænkeligt system ikke teknisk korrekt i alle tilfælde.

Cellebrite til mobile datakilder

Vi bruger Cellebrite især til mobile og andre digitale datakilder. Den tilgængelige udtrækningsmetode afhænger af faktorer som enhed, operativsystem og sikkerhedsstatus.

Udtrækningsprocessen giver dog blot det tekniske grundlag. Kun den efterfølgende analyse afslører, hvilke data der rent faktisk er relevante for det specifikke forskningsspørgsmål.

X-Ways Forensics til computere og datalagringsenheder

X-Ways Forensics muliggør detaljeret analyse af computere, harddiske, SSD'er og andre lagringsmedier.

Filsystemstrukturer, filer, metadata, slettede data og andre tekniske oplysninger kan undersøges specifikt ved hjælp af denne metode. En detaljeret filsystemanalyse kan være særligt relevant, når der er spørgsmål om filbrug eller eksterne lagringsmedier.

Belkasoft om korrelationen af ​​forskellige artefakter

Belkasoft understøtter struktureret analyse af forskellige digitale datakilder. I mere omfattende undersøgelser kan relevante kommunikations-, fil- og systemoplysninger således forbindes både kronologisk og tematisk.

MOBILedit Forensic som en anden metode til mobiltelefonforensik

MOBILedit Forensic supplerer vores muligheder for at udtrække og analysere data fra mobile enheder. Især i betragtning af det store udvalg af Android-enheder kan en yderligere metode være gavnlig.

Hvorfor flere retsmedicinske programmer anvendes

Intet enkelt retsmedicinsk værktøj understøtter alle enheder, operativsystemer og datastrukturer med samme dybde. Derudover kan forskellige systemer genkende eller behandle de samme data forskelligt.

I relevante tilfælde kan en anden metode derfor bidrage til plausibilitetstjek. Den underliggende digitale artefakt er fortsat afgørende. Et automatisk genereret softwarehit udgør ikke en endelig ekspertvurdering.

Integritet af digitale datasæt

I en evidensorienteret undersøgelse bør det være muligt at spore, hvilken datakilde der blev undersøgt, og hvilket datasæt den efterfølgende analyse er baseret på.

Kryptografiske hashværdier kan bruges til at verificere integriteten af ​​en defineret backup. Hvis reference- og kontrolværdierne stemmer overens, tyder det stærkt på, at dette specifikke datasæt ikke har ændret sig siden den oprindelige beregning.

En hashværdi beviser dog ikke automatisk fuldstændigheden af ​​en sikkerhedskopi, ej heller ægthed, forfatterskab eller korrektheden af ​​en senere fortolkning.

Yderligere baggrundsinformation kan findes i den udgivne artikel "Integritet af digital bevismateriale".

Dokumentation af sporbarhedskæde og bevismateriale

Forvaringskæden dokumenterer håndteringen af ​​en genstand under efterforskning. For eksempel kan den i tilfælde af en smartphone eller computer registrere, hvornår enheden blev taget i forvaring, dens tilstand, hvordan den blev identificeret, og hvilke sikkerhedsforanstaltninger der blev truffet.

En "chain of custody" (eller "kæde af custody") har en anden funktion end en hashværdi. Mens en hashværdi teknisk set kan verificere integriteten af ​​et specifikt datasæt, dokumenterer "chain of custody" den organisatoriske håndtering af undersøgelsesobjektet.

Detaljerede oplysninger kan findes under Sporbarhedskæden i digital retsmedicin.

Fra undersøgelsesobjekt til teknisk fund

Definer spørgsmålet og tidsperioden

Først bestemmes det, hvilket teknisk problem der skal undersøges, og hvilken tidsperiode der er relevant.

Vælg relevante datakilder

Ikke alle eksisterende enheder behøver at blive undersøgt automatisk. Smartphones, computere, lagringsmedier, sikkerhedskopier eller cloud-data prioriteres baseret på deres relevans for sagen.

Dokumentér den oprindelige tilstand

Enhedsmodel, operativsystem, kryptering, sikkerhedsstatus og tilgængelige adgangsmuligheder kan påvirke den passende backupstrategi.

Sikre data på en teknisk egnet måde

Metoden til databevaring afhænger af undersøgelsesobjektet og forskningsspørgsmålet. Hvor det er teknisk muligt, er den efterfølgende analyse baseret på et defineret datasæt.

Analyser relevante artefakter

Filer, databaser, kommunikationsinformation og systemspor evalueres specifikt baseret på forskningsspørgsmålet.

Sammenligning af spor fra forskellige kilder

Hvis flere digitale artefakter relaterer sig til den samme proces, kan de korreleres med hinanden med hensyn til tid og indhold.

Separat konstatering fra fortolkning

En forståelig dokumentation skelner mellem direkte fastslåede data, deres professionelle fortolkning og de tekniske begrænsninger af de tilgængelige data.

IT-forensik i Magdeburg og Sachsen-Anhalt-området

Magdeburg er delstatshovedstaden og et af de centrale økonomiske og videnskabelige centre i Sachsen-Anhalt. Kombinationen af ​​industri, logistik, informationsteknologi, forskning og serviceydelser betyder, at digitale problemer kan påvirke både private og mere komplekse forretningsdatakilder.

Det regionale område omfatter blandt andet Schönebeck (Elben), Burg, Haldensleben, Wolmirstedt, Oschersleben, Stendal, Dessau-Roßlau og Halle (Saale) . Wolfsburg og Braunschweig kan også spille en rolle i overregionale spørgsmål.

De nævnte byer bruges her udelukkende til geografisk reference. De præsenteres ikke automatisk som filialer af LB Forensik.

Magdeburg er allerede en del af LB Forensiks landsdækkende serviceområde. Der er også en offentliggjort regional side for IT-forensik i Leipzig, der dækker det centrale Tyskland.

Hvad bør man undgå så meget som muligt før en eksamen?

En potentielt følsom smartphone bør ikke nulstilles for tidligt. Mistænkelige apps, beskeder eller filer bør heller ikke slettes separat, hvis deres oprindelse eller brug skal undersøges senere.

Datagendannelses-, oprydnings- og antispywareprogrammer kan oprette nye filer og logfiler og derved ændre den oprindelige systemtilstand.

En computer, der allerede har været slukket, bør ikke genstartes normalt blot for at foretage en indledende inspektion. Selv en almindelig opstart af operativsystemet genererer ny aktivitet og kan påvirke eksisterende artefakter.

Omvendt er det ikke altid den rigtige ting at slukke en kørende enhed med det samme. Med krypterede systemer, der stadig kører, kan den aktuelle tilstand være relevant for senere databackup.

Ofte stillede spørgsmål om IT-forensik i Magdeburg

Kan privatpersoner fra Magdeburg få deres smartphones undersøgt?

Ja. Afhængigt af det pågældende spørgsmål kan privatpersoner få undersøgt iPhones, Android-smartphones, computere, datalagringsenheder, eksisterende sikkerhedskopier og andre autoriserede datakilder.

Er det muligt at tjekke om en mobiltelefon er blevet hacket?

En retsmedicinsk undersøgelse kan lede efter teknisk detekterbare beviser for uautoriseret adgang eller potentiel kompromittering. Resultaternes pålidelighed afhænger af enheden og de tilgængelige data.

Kan slettede WhatsApp-beskeder gendannes?

Dette kan være muligt under visse betingelser. Databaser, sikkerhedskopier, medier og andre artefakter kan være relevante. En fuldstændig gendannelse kan ikke garanteres.

Er det muligt at se, om filer er blevet kopieret til en USB-stick?

Tilslutning af en USB-lagerenhed kan efterlade tekniske spor. Om en specifik filoverførsel kan spores, afhænger af andre eksisterende artefakter.

Kan en smartphone og en computer undersøges sammen?

Ja. Hvis flere enheder relaterer sig til det samme problem, kan relevante oplysninger sammenlignes og korreleres over tid.

Kan ændringer i en fil undersøges teknisk?

Afhængigt af filtype og system kan metadata, filsystemoplysninger, sikkerhedskopier og andre artefakter give spor til ændringer. Ikke alle manipulationer kan rekonstrueres tydeligt bagefter.

Kan det tydeligt fastslås, hvem der har brugt computeren?

Ikke automatisk. Digitale spor kan ofte knyttes til en enhed, brugerkonto eller teknisk proces. Dette afslører ikke nødvendigvis, hvilken person der rent faktisk betjente systemet.

Hvilken retsmedicinsk software bruger LB Forensik?

Afhængigt af enhed, datakilde og undersøgelsesformål bruger vi blandt andet Cellebrite, X-Ways Forensics, Belkasoft og MOBILedit Forensic.

Skal en mistænkelig enhed nulstilles eller genstartes?

Dette bør ikke gøres med en enhed, der kan være relevant som bevismateriale, uden en forudgående teknisk vurdering. En nulstilling eller genstart kan ændre relevante data og, i tilfælde af moderne apparater, også påvirke apparatets retsmedicinske tilstand.