Digitale Spuren entstehen heute nahezu überall: auf Computern und Smartphones, in Dateisystemen, Benutzerkonten, Messengern, Browsern, externen Speichermedien und synchronisierten Datenbeständen. Relevant werden diese Informationen spätestens dann, wenn geklärt werden muss, was auf einem digitalen System tatsächlich geschehen ist.

Unsere IT-Forensik für Kassel unterstützt Privatpersonen, Unternehmen, Rechtsanwälte und Organisationen bei der professionellen Sicherung, Untersuchung und Bewertung digitaler Daten. Dabei können Windows-Systeme, Macs, Notebooks, Smartphones, Festplatten, SSDs, USB-Datenträger, Speicherkarten und weitere technisch relevante Datenquellen Gegenstand einer Untersuchung sein.

Die Aufgabenstellung reicht von einem möglichen Fremdzugriff auf ein privates Smartphone über gelöschte Dateien und Messenger-Kommunikation bis zur Rekonstruktion komplexer Unternehmensvorfälle, möglichem Datendiebstahl oder der Untersuchung eines IT-Sicherheitsvorfalls.

Entscheidend ist jedoch nicht die größtmögliche Datenmenge. Vielmehr müssen die richtigen Datenquellen identifiziert, digitale Spuren methodisch gesichert, Zusammenhänge erkannt und technische Feststellungen von Vermutungen getrennt werden.

IT-Forensik für Kassel – wenn digitale Spuren Antworten liefern müssen

Eine professionelle forensische Untersuchung beginnt nicht mit einem Analyseprogramm, sondern mit einer klaren Fragestellung.

Wurde auf einen Computer unbefugt zugegriffen? Hat ein Mitarbeiter möglicherweise vertrauliche Unternehmensdaten kopiert? Lassen sich gelöschte Dateien noch rekonstruieren? Gibt es technische Hinweise darauf, dass ein Smartphone überwacht wurde? Oder kann nachvollzogen werden, wann eine bestimmte Datei bearbeitet oder ein externes Speichermedium verwendet wurde?

Je präziser die Untersuchungsfrage formuliert ist, desto gezielter lassen sich relevante Geräte, Zeiträume und Datenbestände bestimmen. Dadurch reduziert sich zugleich das Risiko, Daten ohne konkreten Bezug zur Fragestellung unnötig auszuwerten.

Genau darin liegt ein wesentlicher Unterschied zwischen einer bloßen technischen Durchsicht und digitaler Forensik. Ein einzelner technischer Treffer besitzt oft nur begrenzte Aussagekraft, während sein Kontext aus einer Auffälligkeit einen belastbaren Befund machen kann.

Welche digitalen Systeme können untersucht werden?

Moderne Sachverhalte beschränken sich selten auf eine einzige Geräteklasse. Deshalb umfasst unsere IT-Forensik unterschiedliche digitale Untersuchungsobjekte.

Abhängig von der konkreten Aufgabenstellung können unter anderem relevant sein:

• Windows-PCs und Arbeitsplatzrechner,
• Notebooks und mobile Arbeitsstationen,
• Apple Mac-Systeme,
• iPhones und Android-Smartphones,
• Festplatten und SSDs,
• USB-Sticks und externe Speichermedien,
• Speicherkarten,
• vorhandene Sicherungen und Backups,
• Messenger- und Kommunikationsdaten,
• sowie weitere zugängliche digitale Datenbestände.

Welche dieser Quellen tatsächlich benötigt werden, richtet sich nach dem Untersuchungsziel. Eine fachgerechte Untersuchung erfasst daher nicht wahllos sämtliche verfügbaren Daten, sondern priorisiert diejenigen Datenquellen, die zur Beantwortung der konkreten Fragestellung beitragen können.

Computerforensik für Kassel – Aktivitäten auf Windows-PCs und Macs rekonstruieren

Computer erzeugen während ihrer Nutzung eine Vielzahl technischer Artefakte. Dateien entstehen, werden geöffnet, verändert, verschoben oder gelöscht. Gleichzeitig melden sich Benutzer an, Programme werden ausgeführt, Webseiten aufgerufen und externe Geräte angeschlossen.

Unsere Computer-Forensik untersucht solche Spuren strukturiert und setzt sie, soweit technisch möglich, in einen zeitlichen und sachlichen Zusammenhang.

Abhängig vom Betriebssystem und Untersuchungsziel können beispielsweise folgende Bereiche relevant sein:

• Dateisysteme und Dateimetadaten,
• gelöschte Dateien und verbliebene Datenfragmente,
• Benutzer- und Systemaktivitäten,
• Ereignis- und Systemprotokolle,
• Browser- und Downloadinformationen,
• angeschlossene USB-Geräte,
• externe Festplatten und andere Speichermedien,
• lokal gespeicherte Kommunikationsdaten,
• Cloud- und Synchronisationsartefakte,
• Softwareinstallationen und Programmnutzung,
• sowie zeitliche Beziehungen zwischen verschiedenen Ereignissen.

Grundlagen zu diesem Untersuchungsbereich erläutern wir ausführlicher unter Was ist Computer-Forensik?.

Was verrät ein Computer tatsächlich über vergangene Aktivitäten?

Die Stärke der Computerforensik liegt häufig nicht in einem einzelnen Artefakt, sondern in der Verbindung verschiedener technischer Spuren.

Ein typisches Beispiel ist ein USB-Datenträger. Lässt sich feststellen, dass ein bestimmtes Speichermedium an einen Computer angeschlossen war, steht zunächst nur diese technische Verbindung fest.

Damit ist jedoch noch nicht bewiesen, dass vertrauliche Dateien auf den Datenträger kopiert wurden.

Für eine weitergehende Bewertung können deshalb zusätzliche Informationen erforderlich sein. Dazu gehören etwa passende Dateiaktivitäten, Zeitinformationen, Dateisystemartefakte oder weitere technische Ereignisse.

Wenn mehrere dieser Informationen zusammenpassen, kann sich die Aussagekraft deutlich erhöhen.

Gelöschte Dateien – Datenwiederherstellung ist nicht automatisch Forensik

Die Wiederherstellung gelöschter Dateien wird häufig mit Computerforensik gleichgesetzt. Tatsächlich verfolgen beide Bereiche unterschiedliche Ziele.

Bei einer klassischen Datenrettung steht vor allem die Frage im Vordergrund, ob ein verlorener Inhalt wieder zugänglich gemacht werden kann. Eine forensische Untersuchung geht weiter und fragt zusätzlich, woher eine Datei stammt, in welchem technischen Zusammenhang sie stand und welche weiteren Artefakte ihre Bewertung unterstützen.

Die Wiederherstellbarkeit hängt dabei wesentlich vom jeweiligen Speichermedium ab.

Bei magnetischen Festplatten können gelöschte Informationen unter bestimmten Voraussetzungen noch vorhanden sein. Moderne SSDs arbeiten dagegen mit TRIM und internen Speicherverwaltungsprozessen, weshalb gelöschte Inhalte deutlich schneller nicht mehr rekonstruierbar sein können.

Ist eine gelöschte Datei möglicherweise beweisrelevant, sollte der betreffende Computer deshalb möglichst nicht unnötig weiterverwendet werden.

IT-Forensik für Privatpersonen in Kassel

Digitale Forensik wird nicht nur bei Unternehmensvorfällen benötigt. Ein erheblicher Teil der Untersuchungen betrifft private Situationen, in denen Smartphones, Computer oder Benutzerkonten eine zentrale Rolle spielen.

Typische Fragestellungen sind:

• Hat jemand Zugriff auf mein Smartphone oder meinen Computer?
• Kann mein ehemaliger Partner noch persönliche Informationen einsehen?
• Gibt es Hinweise auf Spyware oder Stalkerware?
• Sind unbekannte Geräte oder Kontoverbindungen relevant?
• Können gelöschte WhatsApp-Nachrichten noch untersucht werden?
• Kann die Authentizität einer Messenger-Kommunikation technisch geprüft werden?
• Gibt es nach Phishing oder Onlinebetrug relevante digitale Spuren?
• Können digitale Informationen für einen Rechtsstreit nachvollziehbar gesichert werden?

Gerade bei privaten Fällen spielt Diskretion eine besonders große Rolle. Gleichzeitig sollte sich der Untersuchungsumfang auf die tatsächliche Fragestellung beschränken. Technisch erreichbare Daten müssen deshalb nicht automatisch vollständig ausgewertet werden.

Smartphone-Forensik – das Mobiltelefon als digitale Datenquelle

Ein modernes Smartphone verbindet Kommunikation, Benutzerkonten, Fotos, Videos, Messenger, E-Mail, Browser, Apps und zahlreiche weitere Dienste in einem einzigen Gerät.

Dadurch besitzen Smartphones bei privaten und geschäftlichen Sachverhalten eine besonders hohe Informationsdichte.

Unsere Smartphone-Forensik untersucht die technisch verfügbaren Daten abhängig vom konkreten Gerät und der jeweiligen Fragestellung.

Welche Informationen gewonnen werden können, hängt unter anderem von Hersteller, Modell, Betriebssystem, Sicherheitsstand, Verschlüsselung und Gerätezustand ab.

Moderne Smartphones lassen sich deshalb nicht pauschal wie klassische Festplatten behandeln. Je nach technischer Ausgangslage stehen unterschiedliche Extraktionsmethoden und Datenumfänge zur Verfügung.

Weitere Grundlagen erläutern wir unter Was ist Smartphone-Forensik?.

Handy gehackt – wann ist eine forensische Untersuchung sinnvoll?

Viele Betroffene bemerken zunächst ungewöhnliche Symptome. Der Akku entlädt sich schneller, das Smartphone wird warm, der Datenverbrauch steigt oder es erscheinen unbekannte Anmeldungen.

Solche Beobachtungen können einen Untersuchungsanlass darstellen, beweisen für sich genommen aber keine Kompromittierung.

Ein erhöhter Akkuverbrauch kann beispielsweise zahlreiche harmlose Ursachen haben. Ebenso muss eine unbekannte Anmeldung zunächst technisch eingeordnet werden.

Abhängig vom Gerät können Anwendungen, Berechtigungen, Benutzerkonten, Konfigurationen und weitere technisch verfügbare Artefakte untersucht werden.

Eine fachliche Bewertung unterscheidet deshalb zwischen einer bloßen Auffälligkeit, einem technisch erklärbaren Zustand und einem tatsächlich relevanten Befund.

Überwachung durch einen Ex-Partner – Spyware ist nur eine Möglichkeit

Nach einer Trennung entsteht häufig der Verdacht, dass ein ehemaliger Partner weiterhin private Nachrichten, Fotos oder andere Informationen sehen kann.

Eine versteckte Überwachungssoftware ist dabei nur eines von mehreren denkbaren Szenarien.

Während einer Beziehung werden digitale Zugänge häufig bewusst miteinander geteilt. Passwörter sind bekannt, Tablets werden gemeinsam verwendet, Familienfunktionen eingerichtet oder Computer mit denselben Benutzerkonten verbunden.

Solche Verbindungen können auch nach einer Trennung bestehen bleiben.

Eine ergebnisoffene Untersuchung betrachtet daher nicht nur mögliche Spyware, sondern ebenso bekannte Zugangsdaten, weiterhin autorisierte Geräte, Kontoverbindungen und andere technisch plausible Zugangswege.

Spyware und Stalkerware – technische Grenzen gehören zum Befund

Besteht ein konkreter Überwachungsverdacht, sollte ein betroffenes Smartphone nicht vorschnell zurückgesetzt oder eigenständig bereinigt werden. Solche Veränderungen können relevante Informationen beeinflussen.

Abhängig von der verfügbaren Datenbasis können auffällige Anwendungen, Berechtigungen, Konfigurationen und weitere technische Artefakte untersucht werden.

Eine seriöse Untersuchung verspricht allerdings nicht, jede denkbare oder früher vorhandene Kompromittierung sicher erkennen zu können.

Wenn innerhalb der verfügbaren Daten nichts Auffälliges festgestellt wird, bedeutet dies zunächst nur, dass in dieser Datenbasis keine entsprechenden belastbaren Hinweise gefunden wurden.

Es bedeutet dagegen nicht automatisch, dass zu keinem früheren Zeitpunkt ein Zugriff stattgefunden haben kann.

WhatsApp und Messenger – sichtbarer Chat und technische Daten sind nicht dasselbe

Messenger-Kommunikation kann bei Trennungen, Bedrohungen, Betrugsfällen, geschäftlichen Konflikten und rechtlichen Auseinandersetzungen eine wichtige Rolle spielen.

Ein Screenshot zeigt zunächst eine sichtbare Darstellung. Die ursprüngliche Datenquelle enthält dagegen häufig zusätzliche technische Informationen.

Abhängig von der verfügbaren Extraktion können Nachrichten, Zeitinformationen, Teilnehmer, Medien, Dokumente und weitere technische Strukturen untersucht werden.

Das kann insbesondere dann relevant sein, wenn Kontext, Vollständigkeit oder Authentizität einer Kommunikation hinterfragt werden.

Weitere Informationen finden Sie unter WhatsApp-Nachrichten forensisch auswerten.

Gelöschte WhatsApp-Nachrichten – was kann noch vorhanden sein?

Ob gelöschte Messenger-Inhalte wiederhergestellt oder anderweitig rekonstruiert werden können, lässt sich ohne Kenntnis des konkreten Geräts nicht zuverlässig beantworten.

Entscheidend sind unter anderem Betriebssystem, App-Version, Datenbankzustand, Verschlüsselung, vorhandene Backups und die weitere Nutzung nach der Löschung.

Zusätzliche Geräte können ebenfalls relevant sein. So kann eine Kommunikation auf dem Smartphone bereits gelöscht sein, während auf einem anderen beteiligten System noch ein abweichender Datenstand vorhanden ist.

Eine pauschale Wiederherstellungsgarantie wäre daher unseriös.

Smartphone und Computer gemeinsam betrachten

Digitale Vorgänge verlaufen heute häufig geräteübergreifend.

Ein Messenger wird auf dem Smartphone und zusätzlich auf einem Computer genutzt. Fotos synchronisieren sich mit anderen Geräten, während E-Mails auf mehreren Systemen abgerufen werden. Dokumente wechseln außerdem zwischen Notebook, Smartphone und Cloud-Diensten.

Eine Untersuchung, die sich ausschließlich auf ein einziges Gerät konzentriert, kann deshalb einen relevanten Teil des Sachverhalts übersehen.

Wenn es die Fragestellung erfordert, lassen sich mehrere Datenquellen zeitlich und sachlich miteinander vergleichen. Dadurch können Zusammenhänge sichtbar werden, die auf einem einzelnen Gerät nicht erkennbar wären.

Datenträgerforensik – Festplatten, SSDs und USB-Speicher untersuchen

Festplatten, SSDs, USB-Sticks und Speicherkarten können eigenständige Beweismittel sein oder Teil einer größeren Untersuchung werden.

Abhängig vom Speichermedium lassen sich vorhandene Dateien, Dateisystemstrukturen, Partitionen, gelöschte Informationen und weitere technische Merkmale untersuchen.

Bei geeigneten Datenträgern können zudem Schreibschutzverfahren eingesetzt werden, damit während der Sicherung keine unbeabsichtigten Schreibzugriffe erfolgen.

Die spätere Aussagekraft hängt allerdings nicht allein vom eingesetzten Write-Blocker oder Forensikprogramm ab. Entscheidend ist die gesamte Dokumentation vom Untersuchungsgegenstand über die Sicherung bis zur Analyse.

Digitale Beweissicherung – Integrität ist nur ein Teil der Beweisfrage

Digitale Daten lassen sich leicht kopieren und verändern. Deshalb besitzt ihre nachvollziehbare Sicherung bei rechtlich relevanten Sachverhalten besondere Bedeutung.

Bei geeigneten Datenbeständen können kryptografische Hashwerte eingesetzt werden. Dadurch lässt sich mathematisch prüfen, ob sich ein definierter Datenbestand seit einem dokumentierten Zeitpunkt verändert hat.

Ein identischer Hashwert beantwortet jedoch nicht jede Beweisfrage.

Er beweist beispielsweise weder die Wahrheit des Inhalts noch, wer eine Nachricht tatsächlich geschrieben hat oder welche natürliche Person zu einem bestimmten Zeitpunkt ein Benutzerkonto verwendet hat.

Integrität, Authentizität, Herkunft und personenbezogene Zuordnung sind daher unterschiedliche Fragestellungen, die getrennt bewertet werden müssen.

Mehr dazu erläutert unser Wissensbeitrag zur Integrität digitaler Beweismittel.

IT-Forensik für Unternehmen in Kassel und Nordhessen

Kassel verbindet industrielle Fertigung mit technologieorientierter Entwicklung, Mobilität, Energie, Logistik, IT und Forschung. Für Unternehmen dieser Bereiche sind digitale Daten längst ein zentraler Bestandteil ihrer Wertschöpfung.

Entwicklungsunterlagen, Konstruktionsdaten, Kalkulationen, Projektdokumentationen, technische Zeichnungen, Geschäftsgeheimnisse und interne Kommunikation werden deshalb auf einer Vielzahl digitaler Systeme verarbeitet.

Wenn der Verdacht auf unberechtigte Nutzung oder Datenabfluss entsteht, kann dies erhebliche wirtschaftliche und rechtliche Konsequenzen haben.

Typische Untersuchungsanlässe sind:

• Verdacht auf Datendiebstahl oder Know-how-Abfluss,
• auffällige Dateiaktivitäten vor einem Mitarbeiterwechsel,
• Verwendung externer Speichermedien,
• Löschung oder Veränderung geschäftlicher Daten,
• unberechtigte Nutzung von Cloud- oder Transferdiensten,
• kompromittierte Benutzerkonten,
• Cyberangriffe und Sicherheitsvorfälle,
• interne Untersuchungen,
• sowie die Sicherung digitaler Daten für anwaltliche oder gerichtliche Verfahren.

Mobilität und industrielle Fertigung – besondere Relevanz für Kassel

Mobilität und industrielle Fertigung gehören zu den charakteristischen Kompetenzfeldern des Wirtschaftsraums Kassel. In solchen Strukturen entstehen hochspezialisierte digitale Informationen, deren wirtschaftlicher Wert erheblich sein kann.

Bei einem Verdacht auf Datenabfluss können Arbeitsplatzrechner, Notebooks, externe Datenträger und gegebenenfalls mobile Geräte unterschiedliche Teile desselben Vorgangs dokumentieren.

Die forensische Herausforderung besteht deshalb darin, aus vielen Einzelereignissen einen technisch nachvollziehbaren Ablauf zu entwickeln.

Wann wurde eine relevante Datei zuletzt bearbeitet? Welche Systeme waren beteiligt? Wurde im entsprechenden Zeitraum ein externes Speichermedium verwendet? Und gibt es weitere Spuren, die mit diesem Vorgang korrespondieren?

Erst wenn solche Informationen gemeinsam betrachtet werden, lässt sich ihre tatsächliche Aussagekraft beurteilen.

Energie, IT und Forschung – wenn Know-how selbst zum digitalen Vermögenswert wird

Forschungs- und Entwicklungsinformationen unterscheiden sich von gewöhnlichen Geschäftsdokumenten. Häufig entsteht ihr Wert gerade dadurch, dass sie noch nicht veröffentlicht oder nur einem begrenzten Personenkreis zugänglich sind.

Projektstände, technische Konzepte, Berechnungen, Forschungsergebnisse, Entwicklungsunterlagen oder Quell- und Konfigurationsdaten können daher Gegenstand einer forensischen Untersuchung werden.

Gerade hier ist eine präzise Eingrenzung erforderlich. Eine professionelle Untersuchung sollte nicht sämtliche erreichbaren Unternehmensdaten analysieren, sondern die Systeme und Zeiträume identifizieren, die für den konkreten Verdacht tatsächlich relevant sind.

Datendiebstahl durch Mitarbeiter – der USB-Stick allein beweist wenig

Ein klassischer Verdachtsfall entsteht kurz vor dem Ausscheiden eines Mitarbeiters. Ein externer Datenträger wurde angeschlossen, größere Datenmengen wurden bearbeitet oder vertrauliche Dateien scheinen plötzlich außerhalb des Unternehmens verfügbar zu sein.

Solche Umstände können eine Untersuchung rechtfertigen, stellen aber noch keinen automatischen Nachweis eines Datendiebstahls dar.

Eine forensische Analyse kann – abhängig vom System – unterschiedliche Spuren zusammenführen. Dazu gehören Dateisysteminformationen, USB-Artefakte, Benutzeraktivitäten, Browserdaten, Cloud-Spuren und weitere relevante Ereignisse.

Die Qualität der Untersuchung zeigt sich gerade darin, aus einem Verdacht keine voreilige Schlussfolgerung zu machen.

Cyberforensik – was geschah vor, während und nach einem Sicherheitsvorfall?

Nach einem IT-Sicherheitsvorfall muss häufig rekonstruiert werden, welche Systeme betroffen waren, welche Aktivitäten stattgefunden haben und welche digitalen Spuren noch vorhanden sind.

Gleichzeitig darf die forensische Sicherung notwendige Maßnahmen zur Schadensbegrenzung nicht blockieren.

Das richtige Vorgehen hängt deshalb vom Einzelfall ab. Ein laufendes System kann flüchtige Informationen enthalten, die beim Ausschalten verloren gehen. Ein weiterhin aktiver kompromittierter Computer kann dagegen zusätzliche Risiken verursachen.

Bei verschlüsselten Systemen kann zudem ein bereits entsperrter Zustand für die Sicherung relevant sein.

Eine seriöse Universalregel, jedes betroffene Gerät sofort auszuschalten oder grundsätzlich weiterlaufen zu lassen, gibt es deshalb nicht. Systemzustand, Gefährdung und Untersuchungsziel müssen gemeinsam betrachtet werden.

Forensische Datensicherung – das Original möglichst schützen

Die Sicherungsstrategie richtet sich nach dem jeweiligen Untersuchungsobjekt.

Bei geeigneten klassischen Datenträgern können forensische Abbilder erstellt und Schreibschutzverfahren eingesetzt werden. Laufende oder verschlüsselte Systeme können dagegen andere Vorgehensweisen erfordern.

Für Smartphones gelten wiederum eigene technische Bedingungen. Moderne iPhones und Android-Geräte lassen sich häufig nicht vollständig sektorweise wie klassische Festplatten kopieren.

Statt pauschal von einer „1:1-Kopie“ zu sprechen, sollte deshalb dokumentiert werden, welche Extraktionsmethode eingesetzt wurde und welchen Datenumfang sie tatsächlich bereitgestellt hat.

Forensiksoftware – leistungsfähige Werkzeuge ersetzen keine fachliche Bewertung

Digitale Forensik benötigt spezialisierte Software. Unterschiedliche Geräte, Betriebssysteme und Datenstrukturen erfordern allerdings unterschiedliche Werkzeuge.

Cellebrite Inseyets

Cellebrite Inseyets wird insbesondere für die Gewinnung und Analyse mobiler digitaler Daten eingesetzt. Der tatsächlich verfügbare Datenumfang hängt vom jeweiligen Smartphone, Betriebssystem, Sicherheitszustand und der technisch möglichen Extraktion ab.

Cellebrite Digital Collector

Cellebrite Digital Collector unterstützt geeignete Akquisitionsverfahren bei Computern und digitalen Datenträgern. Betriebssystem, Hardware, Verschlüsselung und Systemzustand bestimmen dabei das konkrete Vorgehen.

Cellebrite Inspector

Cellebrite Inspector unterstützt die strukturierte Untersuchung computerforensischer Datenbestände und ermöglicht die Analyse relevanter Datei-, Benutzer- und Systemartefakte.

X-Ways Forensics

X-Ways Forensics ermöglicht tiefgehende Untersuchungen von Datenträgern, Partitionen, Dateisystemen und weiteren computerforensischen Strukturen.

MOBILedit Forensic und MEFF 3 Pro

MOBILedit Forensic und MEFF 3 Pro ergänzen die Werkzeugbasis für mobile Untersuchungen und können abhängig vom Gerät und der Aufgabenstellung zusätzliche Analysewege eröffnen.

Entscheidend ist allerdings nicht, wie viele Programme eingesetzt werden.

Forensiksoftware extrahiert, strukturiert, korreliert und visualisiert Daten. Die Bedeutung eines Artefakts im konkreten Sachverhalt muss jedoch weiterhin fachlich bewertet werden. Ein automatisierter Softwarebericht ist deshalb nicht mit einer sachverständigen Bewertung oder einem Gutachten gleichzusetzen.

Qualität beginnt bei der Untersuchungsmethodik

Die LB Detektive GmbH verfügt über ein durch TÜV NORD CERT zertifiziertes Qualitätsmanagementsystem nach DIN EN ISO 9001:2015. Der zertifizierte Geltungsbereich umfasst unter anderem die IT-Forensik.

Ein strukturiertes Qualitätsmanagement sorgt dafür, dass wesentliche Abläufe, Verantwortlichkeiten und qualitätsrelevante Arbeitsschritte organisatorisch definiert werden.

Ergänzend besteht Sachverständigenkompetenz mit Personenzertifizierung nach DIN EN ISO/IEC 17024.

Qualitätsmanagement und persönliche Sachverständigenqualifikation erfüllen dabei unterschiedliche Funktionen. Ebenso wenig garantiert eine Zertifizierung automatisch das Ergebnis eines einzelnen Auftrags.

Entscheidend bleiben eine geeignete Untersuchungsmethode, fachgerechte technische Durchführung, nachvollziehbare Dokumentation und kritische Bewertung der gewonnenen Informationen.

Drei typische Situationen aus der IT-Forensik

Private Informationen sind einer anderen Person bekannt

Nach einer Trennung stellt eine Person fest, dass ein ehemaliger Partner Inhalte kennt, die eigentlich nicht mehr zugänglich sein sollten. Statt unmittelbar eine Spionage-App als Ursache anzunehmen, werden mögliche technische Zugangswege betrachtet. Smartphone, Benutzerkonten und gegebenenfalls weitere gemeinsam genutzte Geräte können dabei unterschiedliche Teile des Sachverhalts erklären.

Wichtige Dateien wurden von einem Computer gelöscht

Dokumente, die für eine rechtliche Auseinandersetzung benötigt werden, sind nicht mehr sichtbar. Vor einer Wiederherstellungszusage werden Datenträgertyp, Dateisystem, Löschvorgang und weitere Nutzung bewertet. Erst daraus ergibt sich, welche forensischen Möglichkeiten noch realistisch bestehen.

Vertrauliche Unternehmensdaten könnten abgeflossen sein

Kurz vor dem Ausscheiden eines Mitarbeiters werden ungewöhnliche Dateiaktivitäten und die Nutzung eines externen Datenträgers festgestellt. Statt daraus unmittelbar einen Datendiebstahl abzuleiten, werden relevante Artefakte innerhalb des definierten Zeitraums miteinander korreliert und auf ihre tatsächliche Aussagekraft geprüft.

Wie läuft eine IT-forensische Untersuchung für Kassel ab?

1. Sachverhalt und Untersuchungsziel definieren

Welche Beobachtung liegt vor? Welche technische Frage soll beantwortet werden? Welcher Zeitraum ist relevant?

2. Relevante Datenquellen identifizieren

Es wird bestimmt, ob Computer, Smartphone, Datenträger, Backup oder weitere Systeme für die Fragestellung benötigt werden.

3. Technischen Zustand bewerten

Betriebssystem, Verschlüsselung, Gerätezustand, Speichertechnologie und mögliche Datenverluste beeinflussen das weitere Vorgehen.

4. Daten methodisch sichern

Die Sicherungsmethode wird an das jeweilige Untersuchungsobjekt angepasst und nachvollziehbar dokumentiert.

5. Relevante Artefakte analysieren

Die Auswertung konzentriert sich auf diejenigen Daten, die zur definierten Untersuchungsfrage beitragen können.

6. Zusammenhänge rekonstruieren

Zeitinformationen und technische Ereignisse lassen sich, sofern mehrere Datenquellen vorhanden sind, miteinander vergleichen.

7. Befunde fachlich bewerten

Einzelne Treffer werden nicht isoliert betrachtet. Stattdessen werden alternative technische Erklärungen und Grenzen der Aussagekraft berücksichtigt.

8. Ergebnisse nachvollziehbar dokumentieren

Abhängig vom Auftrag werden die relevanten Feststellungen in einer technischen Dokumentation, einem Untersuchungsbericht oder einer weitergehenden sachverständigen Ausarbeitung festgehalten.

Was sollte vor einer forensischen Untersuchung vermieden werden?

• Betroffene Smartphones nicht vorschnell auf Werkseinstellungen zurücksetzen.
• Vermutete Spyware nicht eigenständig entfernen.
• Keine unbekannten Bereinigungs- oder Analyseprogramme installieren.
• WhatsApp bei relevanten gelöschten Nachrichten nicht unnötig neu installieren.
• Vorhandene Backups nicht überschreiben.
• Computer mit wichtigen gelöschten Daten möglichst wenig weiterverwenden.
• Originaldatenträger nicht unnötig verändern.
• Einen ausgeschalteten Untersuchungscomputer nicht allein zur Durchsicht wieder starten.
• Einen laufenden verschlüsselten Computer bei einem relevanten Vorfall nicht reflexartig ausschalten.
• Fehlermeldungen, Auffälligkeiten und relevante Zeitpunkte dokumentieren.

IT-Forensik für Kassel und die Region Nordhessen

Unsere IT-forensischen Leistungen stehen Auftraggebern aus Kassel und dem gesamten nordhessischen Wirtschaftsraum zur Verfügung. Dazu gehören unter anderem Baunatal, Vellmar, Lohfelden, Niestetal, Kaufungen, Fuldatal, Hofgeismar, Wolfhagen, Melsungen, Fritzlar und weitere Orte der Region.

Auch Auftraggeber aus Göttingen, Korbach, Bad Wildungen und angrenzenden Regionen können entsprechende Untersuchungen beauftragen. Komplexe Unternehmens- und Sachverständigenfälle lassen sich darüber hinaus bundesweit koordinieren.

Damit können sowohl sensible private Untersuchungen als auch umfangreiche Sachverhalte mit mehreren Geräten, Datenträgern oder Unternehmenssystemen bearbeitet werden.

Häufige Fragen zur IT-Forensik für Kassel

Was untersucht die IT-Forensik?

IT-Forensik untersucht digitale Daten und technische Spuren auf Computern, Smartphones, Datenträgern und weiteren relevanten Systemen. Ziel ist es, digitale Vorgänge soweit technisch möglich zu rekonstruieren, relevante Informationen zu sichern und deren Aussagekraft fachlich zu bewerten.

Welche Geräte können untersucht werden?

Abhängig von der Aufgabenstellung können unter anderem Windows-PCs, Notebooks, Macs, Smartphones, Festplatten, SSDs, USB-Datenträger und Speicherkarten untersucht werden.

Kann festgestellt werden, ob mein Computer gehackt wurde?

Je nach Systemzustand und vorhandenen Daten können Hinweise auf ungewöhnliche Aktivitäten, Programme, Benutzeraktivitäten und weitere relevante Artefakte untersucht werden. Nicht jeder frühere Angriff muss jedoch nachträglich vollständig nachweisbar sein.

Kann ein Smartphone auf Überwachung untersucht werden?

Ja. Abhängig vom Gerät und der verfügbaren Datenbasis können unter anderem Anwendungen, Berechtigungen, Kontoverbindungen und weitere technische Auffälligkeiten untersucht werden.

Kann jede Spyware erkannt werden?

Nein. Eine Garantie, jede denkbare oder früher vorhandene Kompromittierung zu erkennen, wäre technisch unseriös. Aussagekraft und Grenzen hängen vom konkreten Gerät und verfügbaren Datenbestand ab.

Können gelöschte Dateien wiederhergestellt werden?

Das kann unter bestimmten Voraussetzungen möglich sein. Datenträgertyp, Dateisystem, Löschvorgang, Überschreibung und weitere Nutzung beeinflussen die Wiederherstellbarkeit erheblich.

Können gelöschte WhatsApp-Nachrichten untersucht werden?

Je nach Smartphone, Datenbankzustand, Backups und weiterer Nutzung können noch relevante Informationen oder Artefakte vorhanden sein. Eine pauschale Wiederherstellungsgarantie besteht nicht.

Kann festgestellt werden, ob ein USB-Stick angeschlossen wurde?

Auf geeigneten Systemen können technische Informationen zu angeschlossenen USB-Geräten vorhanden sein. Der Anschluss allein beweist jedoch nicht die Übertragung bestimmter Dateien.

Kann ein Datendiebstahl durch Mitarbeiter nachgewiesen werden?

Je nach Datenlage können Dateiaktivitäten, externe Datenträger, Benutzeraktivitäten und weitere Spuren miteinander korreliert werden. Ob daraus ein belastbarer Nachweis entsteht, hängt vom konkreten Einzelfall ab.

Können Computer und Smartphone gemeinsam untersucht werden?

Ja. Bei geräteübergreifender Kommunikation, Cloud-Synchronisation, Kontozugriffen oder anderen zusammenhängenden Vorgängen kann die gemeinsame Betrachtung mehrerer Datenquellen sinnvoll sein.

Sind Hashwerte ein Beweis für die Echtheit einer Datei?

Ein Hashwert kann zur Integritätskontrolle eines definierten Datenbestands verwendet werden. Er beweist jedoch nicht automatisch die inhaltliche Wahrheit, Herkunft oder Urheberschaft einer Datei.

Ist ein Bericht aus einer Forensiksoftware bereits ein Gutachten?

Nein. Software liefert und strukturiert technische Daten. Eine sachverständige Bewertung erfordert zusätzlich eine definierte Fragestellung, fachliche Prüfung, nachvollziehbare Methodik und begründete Interpretation.

Was kostet eine IT-forensische Untersuchung für Kassel?

Der erforderliche Aufwand hängt von Untersuchungsfrage, Geräteart, Anzahl der Datenquellen, technischer Zugänglichkeit, Datenumfang und gewünschter Dokumentation ab. Deshalb wird bei komplexeren Fällen zunächst festgelegt, welche Untersuchungen zur Beantwortung der Fragestellung tatsächlich erforderlich sind.

Digitale Spuren sichern, bevor sie sich verändern

Bei digitalen Vorfällen kann nicht nur entscheidend sein, welche Daten vorhanden sind, sondern auch in welchem Zustand sie gesichert werden.

Weitere Nutzung, Neuinstallationen, Zurücksetzen oder eigenständige Bereinigungsmaßnahmen können Daten verändern und eine spätere Rekonstruktion erschweren. Gleichzeitig erfordern laufende Cybervorfälle möglicherweise sofortige Maßnahmen zur Schadensbegrenzung.

Deshalb sollte das Vorgehen nicht nach einer pauschalen Checkliste erfolgen, sondern anhand des konkreten Geräts und Sachverhalts entschieden werden.

Für eine erste Einschätzung sind insbesondere die betroffenen Geräte, die beobachteten Auffälligkeiten, der relevante Zeitraum und bereits vorgenommene Veränderungen wichtig. Daraus lässt sich ableiten, welche Sicherungs- und Untersuchungsmethode für den jeweiligen Fall fachlich sinnvoll ist.

Weitere vertiefende Informationen zu Computerforensik, Smartphone-Forensik, digitalen Beweismitteln und Untersuchungsmethoden finden Sie in unserer Wissensdatenbank.