Slettede beskeder, mistænkelige adgangsforsøg, ændrede filer eller uforklarlig aktivitet på en smartphone eller computer efterlader ofte digitale spor. Det er afgørende ikke at betragte disse oplysninger isoleret, men at undersøge deres tekniske kontekst. LB Forensik udfører IT-retsmedicinske undersøgelser for privatpersoner, virksomheder og advokater i Plauen og Vogtland-regionen.

Afhængigt af omstændighederne undersøger vi smartphones, Windows- og macOS-systemer, harddiske, SSD'er, USB-lagerenheder, eksisterende sikkerhedskopier og tilgængelige cloud-data. Dette kan f.eks. omfatte rekonstruktion af slettet kommunikation, undersøgelse af potentiel uautoriseret adgang, kronologisk klassificering af brugeraktivitet eller sikring af digitale data på en sporbar måde med henblik på retssager.

Der findes forskellige specialiserede retsmedicinske løsninger til sikring og analyse af bevismateriale. Afhængigt af enheden og formålet med efterforskningen bruger vi værktøjer som Cellebrite, X-Ways Forensics, Belkasoft og MOBILedit Forensic . Den mest passende metode bestemmes af den specifikke datakilde, enhedens tekniske tilstand og det spørgsmål, der skal besvares.

IT-forensik for Plauen – et overblik

• Smartphone-efterforskning af Apple iPhone- og Android-enheder
• Computerretsmedicin til Windows og Apple macOS
• Analyse af WhatsApp og anden digital kommunikation
• Undersøgelse af slettede og ikke længere umiddelbart synlige data
• Undersøgelse for teknisk detekterbare indikationer på uautoriseret adgang eller kompromittering.
• Analyse af harddiske, SSD'er, USB-sticks og andre lagringsmedier
• Undersøgelse af eksisterende sikkerhedskopier og tilgængelige cloud-data
• Rekonstruktion af relevante bruger-, fil- og systemaktiviteter
• Temporal klassificering og korrelation af digitale spor
• Forståelig dokumentation af sikkerheds- og undersøgelsestrinnene

De, der ønsker at dykke dybere ned i individuelle procedurer og tekniske termer, kan finde yderligere information om smartphone- og computerforensik, bevarelse af digital bevismateriale, messenger-data, slettede oplysninger og andre retsmedicinske emner i vores vidensdatabase om digital retsmedicin .

Hvilke digitale spor kan være relevante i en sag?

Digitale spor skabes mange steder. En smartphone lagrer andre oplysninger end en Windows-computer, en messenger-app lagrer andre artefakter end en browser eller en cloud-tjeneste. Derfor begynder en undersøgelse ikke med en generel, omfattende analyse, men snarere med spørgsmålet om, hvilke datakilder der er relevante for den specifikke sag.

Undersøgelsen kan f.eks. omfatte beskeder, filer, fotos, videoer, appdatabaser, browseroplysninger, brugerkonti, systemlogfiler, tidsstempler, tilsluttede lagringsmedier eller eksisterende sikkerhedskopier.

Typiske spørgsmål omfatter:

• Blev beskeder eller filer slettet?
• Er der tegn på uautoriseret adgang?
• Hvornår blev en specifik fil oprettet, åbnet eller ændret?
• Hvilke aktiviteter fandt sted inden for en specifik tidsperiode?
• Er en USB-lagerenhed blevet tilsluttet en computer?
• Er der nogen tekniske indikationer på et muligt databrud?
• Kan en messengerhistorik undersøges ved hjælp af de originale data?
• Er det muligt at kombinere information fra flere enheder med hensyn til timing?
• Understøtter eksisterende digitale spor en bestemt fortolkning, eller modsiger de den?

Smartphone efterforskning i Plauen

Smartphones kombinerer kommunikation, medier, apps, internetbrug og et væld af personlige og forretningsmæssige oplysninger på én enhed. Derfor er det ikke kun de data, som brugeren kan se direkte på skærmen, der er relevante for en retsmedicinsk undersøgelse.

Afhængigt af smartphonen og den tilgængelige database kan kommunikationsdata, appdatabaser, fotos, videoer, browseroplysninger, opkaldsdata, tidsstempler, systemartefakter og visse placerings- og forbindelsesoplysninger undersøges.

Hvor dyb en backup går afhænger især af enhedsmodellen, operativsystemversionen, sikkerhedsstatus, kryptering og den tilgængelige udtrækningsmetode.

iPhone-efterforskning for klienter fra Plauen

Med Apple-enheder skal hardware, iOS-version og sikkerhedsmekanismer tages i betragtning i et samlet perspektiv. Moderne iPhones beskytter brugerdata gennem flere sammenkoblede sikkerheds- og krypteringsmetoder. Derfor kan det ikke før en teknisk undersøgelse garanteres pålideligt, at alle data på en enhed er tilgængelige.

Afhængigt af omstændighederne kan beskeder, appdata, medier, filer, browseroplysninger, tidsstempler, systemartefakter og andre data være tilgængelige til undersøgelse. Eksisterende lokale sikkerhedskopier eller tilgængelige iCloud-data kan give yderligere informationskilder.

En retsmedicinsk analyse skal tydeligt skelne mellem faktisk eksisterende data, teknisk rekonstrueret information og ekspertfortolkning.

Vi forklarer yderligere baggrundsinformation under Hvad er iPhone-forensik?

Android-efterforskning af Samsung, Google, Honor og andre enheder

Android-smartphones udviser en særlig bred vifte af tekniske variationer. Producent, model, chipset, Android-version, sikkerhedsrettelse og enhedskonfiguration påvirker alle, hvilke udtrækningsmetoder der er mulige.

Afhængigt af enheden kan messenger-data, appdatabaser, filer, medier, browseroplysninger, systemartefakter og andre brugsoplysninger undersøges.

Det er netop her, at det kan være nyttigt at kombinere forskellige retsmedicinske værktøjer. Én metode kan låse op for data, der ikke kan tilgås eller behandles anderledes med en anden metode.

Retsmedicinsk undersøgelse af WhatsApp-beskeder og messenger-data

Messenger-kommunikation er regelmæssigt blandt de vigtigste datakilder i både private og erhvervsmæssige tilfælde. En retsmedicinsk analyse af WhatsApp-data går ud over blot at læse synlige beskeder.

Afhængigt af datasættet kan beskeder, tidsoplysninger, deltagere, gruppestrukturer, billeder, videoer, dokumenter, talebeskeder og andre app-artefakter undersøges.

Dette er især relevant, hvis beskeder er blevet slettet, deltagere benægter en kommunikationshistorik, eller kun skærmbilleder er tilgængelige som bevis.

Et skærmbillede viser kun, hvad der blev vist på skærmen på et bestemt tidspunkt. Det indeholder ikke automatisk de underliggende databasestrukturer og andre tekniske oplysninger om den oprindelige enhed.

For mere dybdegående information, se vores vidensartikel "Retsmedicinsk evaluering af WhatsApp-beskeder".

Er det muligt at gendanne slettede WhatsApp-beskeder?

Dette kan være muligt under visse betingelser. En generel garanti for reparation ville dog være fagligt uforsvarlig.

Den afgørende faktor er, hvilke oplysninger der forbliver og er teknisk tilgængelige efter sletning. Afhængigt af enheden kan databaserester, sikkerhedskopier, mediebeholdninger eller andre datakilder være relevante for rekonstruktion.

Hvis der ikke findes tilsvarende artefakter under en undersøgelse, betyder det i første omgang kun, at de ikke kunne detekteres i den tilgængelige database. Det følger ikke automatisk, at den pågældende kommunikation aldrig har eksisteret.

Computer efterforskning i Plauen til Windows og macOS

Computere efterlader adskillige tekniske spor under deres brug. Derfor er en retsmedicinsk undersøgelse ikke begrænset til at søge efter eksisterende dokumenter.

Afhængigt af det stillede spørgsmål kan følgende blandt andet undersøges: filsystemer, metadata, slettede filer, brugerkonti, browseraktiviteter, downloads, programspor, systemlogfiler, eksterne lagerenheder og lokale spor af cloud-applikationer.

Kombinationen af ​​forskellige artefakter kan være særligt relevant. For eksempel kan en systempost indikere, at et specifikt USB-drev blev tilsluttet. Dette alene betyder dog ikke nødvendigvis, at filer blev kopieret. For at fastslå dette skal yderligere tekniske spor søges og sammenlignes.

Du kan finde det grundlæggende i artiklen "Hvad er computerforensik?".

Slettede filer: Hvad kan stadig gendannes?

"Slettet" betyder ikke det samme i alle systemer. Om en fil kan gendannes helt, delvist eller slet ikke afhænger af filsystemet, lagringsmediet, krypteringen, tidspunktet for sletningen og den efterfølgende brug af enheden.

Med moderne SSD'er og mobile enheder kan hukommelsesoprydning og kryptografiske mekanismer relativt hurtigt gøre slettede oplysninger utilgængelige. Traditionelle magnetiske harddiske kan tilbyde et andet udgangspunkt.

En enhed, der kan være relevant som bevismateriale, bør derfor ikke bruges unødvendigt eller behandles med datagendannelses- og oprydningsprogrammer. Enhver yderligere skriveoperation kan ændre de oprindelige data.

IT-forensik for privatpersoner i Plauen

Digitale beviser spiller en stadig vigtigere rolle uden for virksomheds- og straffesager. Private smartphones, computere og brugerkonti kan indeholde afgørende oplysninger i personlige eller juridiske tvister.

Typiske årsager til undersøgelse omfatter slettede eller omstridte kommunikationer, mistanke om bedrageri, stalking og chikane, mulig uautoriseret adgang til enheder eller konti, separations- og skilsmissesituationer og sikring af eksisterende digitale data før en juridisk tvist.

Er min smartphone blevet hacket?

Dette spørgsmål kan ikke besvares pålideligt baseret på individuelle symptomer. Usædvanligt højt batteriforbrug, en varm smartphone, dårlig modtagelse eller ukendte notifikationer beviser ikke et angreb.

En retsmedicinsk undersøgelse forsøger derfor ikke at bekræfte en eksisterende mistanke. I stedet undersøges de tilgængelige data objektivt for teknisk relevante anomalier.

Afhængigt af enheden kan apps, systemoplysninger, konfigurationer, profiler, kommunikationsartefakter og andre tekniske data være inkluderet.

Selv et negativt resultat skal fortolkes korrekt. Hvis der ikke findes tegn på en kompromittering i de tilgængelige data, kan det ikke nødvendigvis konkluderes, at et angreb ikke fandt sted på et tidligere tidspunkt.

Digitalt bevismateriale i sager om separation, skilsmisse eller personlige konflikter

Især i private tvister er en klar grænse mellem teknisk mulighed og juridisk begrundelse nødvendig.

LB Forensics undersøger kun enheder, brugerkonti og datasæt, som de har den nødvendige autorisation til. Hemmelig adgang til andre personers smartphones, beskedapps eller cloud-konti er ikke en tilladt retsmedicinsk tjeneste.

IT forensics for virksomheder i Plauen og Vogtland-regionen

Virksomheder kan kræve digitale undersøgelser, hvis fortrolige data er forsvundet, en medarbejder har lavet uautoriserede kopier, forretningsoplysninger er blevet slettet, eller en IT-sikkerhedshændelse skal undersøges.

Dette kan omfatte sammenkoblede stationære computere, bærbare computere, smartphones, eksterne lagerenheder, brugerkonti, e-maildata og cloud-applikationer. Hvilke kilder der rent faktisk bør undersøges, afhænger af de specifikke omstændigheder.

Datalækager og uautoriserede datakopier

En enkelt teknisk konstatering giver ofte ikke mulighed for en endegyldig vurdering. For eksempel beviser tilslutningen af ​​et USB-stik i første omgang kun, at lagringsmediet er tilsluttet et system.

I tilfælde af mistanke om datalækage kan yderligere spor såsom filadgang, eksterne lagringsenheder, cloud-applikationer, browseraktiviteter, e-maildata og andre systemoplysninger derfor være relevante.

Målet er ikke at drage den mest vidtrækkende konklusion ud fra et enkelt artefakt, men at objektivt sammenligne eksisterende spor med hinanden.

Digital efterforskning efter et cyberangreb

Efter et mistænkt cyberangreb kan systemlogfiler, brugeraktivitet, mistænkelige filer, persistensmekanismer, netværksspor og andre systemartefakter undersøges.

I tilfælde af en akut hændelse skal det dog tages i betragtning, at sikring af bevismateriale og begrænsning af skader kan have forskellige prioriteter. For eksempel har en tændt krypteret computer et andet udgangspunkt end et system, der allerede er slukket.

Derfor er der ingen pålidelig, generel anbefaling om øjeblikkeligt at slukke alle mistænkelige enheder.

Retsmedicinsk software: Cellebrite, X-Ways Forensics, Belkasoft og MOBILedit

Intet enkelt retsmedicinsk program dækker alle enheder, operativsystemer og datakilder ligeligt. Professionel digital retsmedicin kræver derfor valg af passende værktøjer baseret på det specifikke emne for undersøgelsen.

Cellebrite

Vi bruger Cellebrite især til mobile og andre digitale undersøgelser. Afhængigt af enheden og den indledende tekniske situation er forskellige ekstraktions- og analysemetoder tilgængelige.

X-Ways Forensics

X-Ways Forensics bruges især til detaljerede undersøgelser af computere og datalagringsenheder. Filsystemer, filer, metadata, slettede data og andre tekniske strukturer kan analyseres specifikt med det.

Belkasoft

Belkasoft muliggør analyse af forskellige digitale artefakter og understøtter, især med større datasæt, sammenlægning og korrelation af relevante oplysninger.

MOBILedit Retsmedicinsk

MOBILedit Forensic udvider udtræknings- og analysemulighederne for mobile enheder. Især i betragtning af den brede vifte af tekniske specifikationer, der findes i forskellige Android-smartphones, kan en yderligere metode være gavnlig.

Hvorfor bruger vi flere retsmedicinske værktøjer?

Forskellige programmer kan behandle de samme data på forskellige måder. Ét værktøj kan registrere specifikke programartefakter, mens et andet afslører yderligere filsystemoplysninger eller metadata.

Derfor kan en teknisk verifikation være nyttig i tilfælde af relevante fund. Den afgørende faktor er stadig den underliggende digitale artefakt og ikke blot præsentationen af ​​et resultat i en softwaregrænseflade.

Hvordan sikres digitale data retsmedicinsk?

Metoden til at sikre dataene afhænger af typen af ​​bevismateriale. En slukket lagringsenhed kan kræve en anden tilgang end en kørende krypteret computer eller en tændt smartphone.

Hvor det er teknisk og praktisk muligt, oprettes der først en passende sikkerhedskopi af de relevante data. Analysen kan derefter udføres på dette grundlag, hvorved unødvendige undersøgelsestrin på de originale data undgås så meget som muligt.

Hvad er funktionen af ​​hashværdier?

Hashværdier kan bruges til at verificere integriteten af ​​et specifikt datasæt. De muliggør en teknisk sammenligning for at afgøre, om de pågældende data har ændret sig siden et defineret sikkerhedskopieringstidspunkt.

En identisk hashværdi beviser dog ikke automatisk, at en sikkerhedskopi er færdig, eller at en fundet artefakt er blevet fortolket korrekt fra et teknisk perspektiv. Dataintegritet, fuldstændighed og fortolkning skal overvejes separat.

Hvorfor er det vigtigt at dokumentere beviserne?

I undersøgelser af relevans for bevismateriale bør det tydeligt dokumenteres, hvilken enhed eller databærer der er erhvervet, bevismaterialets tilstand og det datasæt, som den efterfølgende analyse er baseret på.

Dette sikrer, at datakilden, backup- og undersøgelsestrinnene forbliver tydeligt adskilte fra hinanden.

Hvordan forløber en IT-retsmedicinsk undersøgelse?

1. Definer det specifikke spørgsmål

Først defineres det tekniske problem, der skal afklares, og den tidsperiode, der skal undersøges. Dette gør det muligt at prioritere relevante datakilder.

2. Vurder enhederne og deres oprindelige tilstand

Enhedsmodellen, operativsystemet, krypteringen, sikkerhedsstatus og tilgængelige adgangsmuligheder påvirker den videre handling.

3. Sikr passende datakilder

Bevaringsmetoden er tilpasset enheden og undersøgelsens formål. Prioritering kan være nødvendig, når der håndteres flere beviser.

4. Undersøg relevante artefakter

Filer, databaser, kommunikationsdata, systeminformation og andre tekniske spor analyseres ud fra det definerede spørgsmål.

5. Etabler tidsmæssige forbindelser

Hvor dataene tillader det, sammenlignes og korreleres uafhængige spor kronologisk. Dette gør det ofte muligt at klassificere en teknisk proces mere præcist.

6. Dokumentér de tekniske fund på en forståelig måde.

De indsamlede data og deres professionelle fortolkning skal forblive tydelige. Ligeledes tages der hensyn til tekniske begrænsninger, hvis de tilgængelige data ikke giver mulighed for en klar konklusion.

IT-kriminalteknik i Plauen og Vogtland-regionen

Som den største by i Vogtland-distriktet er Plauen et regionalt centrum for virksomheder, freelancere, advokatfirmaer og private klienter. Digitale anliggender er naturligvis ikke begrænset til byens grænser.

Regionsområdet omfatter blandt andet Oelsnitz/Vogtl., Reichenbach im Vogtland, Auerbach/Vogtland, Falkenstein/Vogtl., og Treuen . Zwickau, Chemnitz og Hof, der grænser direkte mod syd, kan også spille en rolle i spørgsmål af overregional betydning.

De nævnte byer er kun til geografisk reference og er ikke beregnet til at repræsentere LB Forensik-filialer. De primære faktorer, der bestemmer gennemførligheden af ​​en digital undersøgelse, er det tilgængelige udstyr og de tilgængelige datakilder samt det specifikke spørgsmål, der skal besvares.

For Sachsen findes der allerede uafhængige og i øjeblikket verificerede websteder for IT-forensik i Leipzig og for IT-forensik i Dresden.

Hvad bør man ikke gøre med potentiel digital bevismateriale?

En potentielt følsom smartphone bør ikke nulstilles for tidligt, og mistænkelige applikationer bør ikke slettes separat. Installation af datagendannelses-, oprydnings- eller påståede antispywareprogrammer kan også ændre eksisterende data og skabe nye systemspor.

En computer, der har været slukket, bør ikke genstartes normalt blot for at kontrollere dens status. Selv en almindelig opstart af operativsystemet ændrer filer, logfiler og tidsoplysninger.

Omvendt ville det også være teknisk forkert at slukke alle tændte enheder med det samme. I krypterede systemer eller under igangværende sikkerhedshændelser kan dette gøre adgangen til relevante data vanskeligere. Den passende foranstaltning afhænger af enhedens specifikke tilstand.

Ofte stillede spørgsmål om IT-forensik i Plauen

Arbejder LB Forensik også for privatpersoner fra Plauen?

Ja. Privatpersoner kan få smartphones, computere, datalagringsenheder, eksisterende sikkerhedskopier og tilgængelige cloud-data undersøgt, forudsat at de har den nødvendige autorisation til de pågældende data.

Kan en iPhone scannes for spyware eller uautoriseret adgang?

En retsmedicinsk undersøgelse kan lede efter teknisk detekterbare indikationer på en mulig kompromittering. Hvilke konklusioner der kan drages afhænger af enheden, iOS-versionen, tilgængelige data og undersøgelsens dybde.

Kan slettede WhatsApp-beskeder gøres synlige igen?

Under visse betingelser kan databaseoplysninger, sikkerhedskopier, medier eller andre tilbageværende artefakter muliggøre rekonstruktion. Om og i hvilket omfang dette er muligt, kan kun vurderes ud fra det specifikke datasæt.

Er det muligt at afgøre, om der er brugt en USB-stick?

Computere kan indeholde tekniske spor af tilsluttede USB-enheder. Sådanne beviser betyder dog ikke automatisk, at filer er blevet kopieret. Yderligere artefakter skal muligvis undersøges for at bekræfte dette.

Kan brugen af ​​en computer rekonstrueres kronologisk?

Afhængigt af systemet kan logins, filadgang, programaktiviteter, browserdata, systemhændelser og andre tidsrelaterede oplysninger give spor om specifikke brugsperioder. Der findes dog ikke automatisk en komplet registrering af alle brugerhandlinger.

Kan et skærmbillede undersøges som digitalt bevis?

Et skærmbillede kan analyseres teknisk, men i sig selv har det begrænset betydning. Hvis den originale enhed eller andre egnede datakilder er tilgængelige, kan yderligere artefakter bruges til sammenligning.

Er det muligt at afgøre, om en fil efterfølgende er blevet ændret?

Metadata, filsystemoplysninger, interne filstrukturer, sikkerhedskopier og andre tekniske artefakter kan give spor til ændringer, afhængigt af den oprindelige situation. Ikke alle manipulationer kan endeligt opdages bagefter.

Kan IT-retsmedicin bevise, at en specifik person er gerningsmanden?

Ikke automatisk. En artefakt kan for eksempel tildeles en enhed eller brugerkonto. Dette betyder ikke nødvendigvis, hvilken fysisk person der rent faktisk betjente enheden på det pågældende tidspunkt.

Hvilken retsmedicinsk software bruger LB Forensics?

Afhængigt af datakilden og undersøgelsens formål bruger vi værktøjer som Cellebrite, X-Ways Forensics, Belkasoft og MOBILedit Forensic. Det specifikke værktøjsvalg afhænger af enheden, operativsystemet og den nødvendige analysedybde.

Kan flere enheder undersøges samtidig?

Ja. Hvis en situation involverer flere smartphones, computere, lagringsmedier, sikkerhedskopier eller tilgængelige cloud-data, kan relevante oplysninger fra disse kilder sammenlignes og korreleres over tid.

Skal jeg nulstille en mistænkelig smartphone?

En nulstilling af en enhed, der kan indeholde bevismateriale, bør aldrig udføres uden en forudgående teknisk vurdering. Relevante data og spor kan ændres eller slettes under en sådan proces.

Hvilke oplysninger er nødvendige, før en eksamen begynder?

Nyttige oplysninger omfatter detaljer om den berørte enhed, operativsystemet, den relevante tidsperiode, den specifikke hændelse, de foranstaltninger, der allerede er truffet, og det spørgsmål, som undersøgelsen har til formål at afklare.