Was geschah auf einem Smartphone, Computer oder Benutzerkonto tatsächlich? Diese Frage steht häufig am Anfang einer digitalen Untersuchung. LB Forensik untersucht für Auftraggeber aus Rosenheim digitale Spuren, wenn Kommunikation gelöscht wurde, ein Fremdzugriff vermutet wird, Dateien verschwunden sind oder technische Abläufe für eine private, geschäftliche oder rechtliche Fragestellung rekonstruiert werden sollen.

Dabei können Smartphones, Windows- und macOS-Systeme, Festplatten, SSDs, externe Datenträger, vorhandene Backups und zugängliche Cloud-Daten relevante Beweisquellen darstellen. Nicht die größtmögliche Datenmenge ist das Ziel, sondern eine nachvollziehbare Antwort auf die konkrete Untersuchungsfrage.

Für die technische Sicherung und Analyse stehen LB Forensik unterschiedliche spezialisierte Werkzeuge zur Verfügung. Abhängig von Gerät, Betriebssystem und Untersuchungsziel setzen wir unter anderem Cellebrite, X-Ways Forensics, Belkasoft und MOBILedit Forensic ein. Relevante Feststellungen werden nicht allein anhand einer Softwareanzeige bewertet, sondern anhand der zugrunde liegenden digitalen Artefakte.

Digitale Forensik in Rosenheim auf einen Blick

• forensische Untersuchung von Apple-iPhones und Android-Smartphones
• Computer-Forensik für Windows und Apple macOS
• Analyse von WhatsApp und weiterer digitaler Kommunikation
• Untersuchung gelöschter oder nicht mehr sichtbarer Daten
• Prüfung auf technisch erkennbare Hinweise zu Fremdzugriffen und Kompromittierungen
• Analyse von Festplatten, SSDs, USB-Sticks und weiteren Datenträgern
• Untersuchung vorhandener Backups und zugänglicher Cloud-Daten
• Rekonstruktion von Benutzer-, Datei- und Systemaktivitäten
• zeitliche Zuordnung und Korrelation mehrerer digitaler Spuren
• nachvollziehbare Dokumentation von Sicherung, Analyse und technischen Feststellungen

Grundlagen und vertiefende Fachinformationen stellen wir zusätzlich in unserer Wissensdatenbank zur digitalen Forensik bereit. Dort werden einzelne Verfahren, technische Begriffe und typische Beweisfragen getrennt und ausführlich erläutert.

Welche Fragen kann IT-Forensik beantworten?

Digitale Forensik beginnt idealerweise nicht mit der Anweisung, „alles zu durchsuchen“. Eine klar formulierte Fragestellung hilft, relevante Geräte, Zeiträume und Datenquellen einzugrenzen und technische Funde richtig zu bewerten.

In einem privaten Fall kann beispielsweise relevant sein, ob gelöschte Nachrichten noch vorhanden sind. Bei einem Unternehmen kann dagegen untersucht werden, ob ein externer Datenträger angeschlossen oder eine Datei über einen bestimmten Übertragungsweg weitergegeben wurde.

Mögliche Untersuchungsfragen sind:

• Wurden Nachrichten, Dateien oder andere Daten gelöscht?
• Gibt es technische Hinweise auf einen unbefugten Zugriff?
• Wann wurde eine bestimmte Datei erstellt, geöffnet, verändert oder entfernt?
• Welche Aktivitäten fanden innerhalb eines bestimmten Zeitfensters statt?
• Wurde ein USB-Stick oder ein anderer externer Datenträger verwendet?
• Kann eine Messenger-Kommunikation anhand ursprünglicher Daten untersucht werden?
• Existieren Hinweise auf einen möglichen Datenabfluss?
• Können Informationen aus Smartphone, Computer und Cloud miteinander abgeglichen werden?
• Welche Aussage lässt ein vorhandenes digitales Artefakt tatsächlich zu?

Smartphone-Forensik in Rosenheim

Smartphones speichern Kommunikation, Medien, App-Daten und zahlreiche technische Informationen auf engstem Raum. Gleichzeitig befindet sich ein erheblicher Teil der forensisch relevanten Daten nicht unmittelbar sichtbar in der Benutzeroberfläche.

Je nach Gerät können Nachrichten, Anrufinformationen, Kontakte, App-Datenbanken, Browserartefakte, Fotos, Videos, Dateien, Zeitinformationen, Systemdaten sowie bestimmte Standort- und Verbindungsartefakte untersucht werden.

Welche Informationen tatsächlich zugänglich sind, hängt unter anderem von Modell, Betriebssystemversion, Sicherheitszustand, Verschlüsselung und verfügbarer Extraktionsmethode ab.

iPhone-Forensik für Rosenheim

Bei einem Apple‑iPhone beeinflussen Hardware, iOS-Version, Gerätezustand und kryptografische Sicherheitsmechanismen die möglichen Untersuchungsverfahren. Deshalb lässt sich die erreichbare Extraktionstiefe nicht seriös allein anhand der Modellbezeichnung beurteilen.

Je nach Ausgangssituation können Nachrichten, App-Daten, Fotos, Videos, Browserinformationen, Dateien, Zeitstempel, Systemartefakte und weitere Informationen untersucht werden. Auch lokale Backups oder zugängliche iCloud-Daten können zusätzliche Datenquellen darstellen.

Ein wesentlicher Bestandteil einer fachgerechten Untersuchung besteht darin, zwischen vorhandenen Daten, rekonstruierten Informationen und der daraus gezogenen Interpretation zu unterscheiden.

Technische Hintergründe zu Apples Sicherheitsarchitektur, Extraktionsarten und Untersuchungsgrenzen erläutern wir im Fachbeitrag Was ist iPhone-Forensik?.

Android-Forensik für unterschiedliche Hersteller

Android ist kein einheitliches technisches System. Samsung, Google, Honor, Xiaomi und weitere Hersteller verwenden unterschiedliche Hardware- und Sicherheitskonfigurationen. Auch Android-Version, Sicherheitspatch und Gerätezustand können die verfügbaren Extraktionsmethoden beeinflussen.

Abhängig vom Gerät können beispielsweise Messenger-Daten, App-Datenbanken, Dateien, Medien, Browserinformationen, Systemartefakte und weitere Nutzungsinformationen untersucht werden.

Die Verwendung mehrerer forensischer Lösungen kann sinnvoll sein, wenn unterschiedliche Werkzeuge verschiedene Datenstrukturen erschließen oder Ergebnisse fachlich gegengeprüft werden sollen.

WhatsApp- und Messenger-Kommunikation untersuchen

Bei privaten Konflikten, Betrugsfällen, geschäftlichen Auseinandersetzungen oder strafrechtlichen Fragestellungen kann Messenger-Kommunikation eine zentrale Datenquelle darstellen.

Eine forensische Analyse beschränkt sich nicht auf den sichtbaren Chat. Je nach Datenbestand können Nachrichten, Zeitinformationen, Kontakte, Teilnehmer, Gruppenstrukturen, Bilder, Videos, Dokumente, Sprachnachrichten und weitere App-Artefakte relevant sein.

Was ist bei WhatsApp-Screenshots zu beachten?

Ein Screenshot dokumentiert zunächst nur eine sichtbare Darstellung. Er enthält nicht automatisch die zugrunde liegende Nachrichtendatenbank, interne Zeitinformationen oder weitere Artefakte des ursprünglichen Geräts.

Steht das Originalgerät oder eine geeignete Extraktion zur Verfügung, können zusätzliche technische Informationen für einen Abgleich herangezogen werden.

Können gelöschte WhatsApp-Nachrichten rekonstruiert werden?

Das kann unter bestimmten technischen Voraussetzungen möglich sein. Eine Wiederherstellung lässt sich jedoch nicht pauschal versprechen.

Relevant können beispielsweise noch vorhandene Datenbankinformationen, Backups, Medienbestände oder andere verbundene Datenquellen sein. Ob daraus eine vollständige, teilweise oder keine Rekonstruktion möglich ist, ergibt sich erst aus der Untersuchung des konkreten Datenbestands.

Computer-Forensik Rosenheim für Windows und macOS

Computer erzeugen bei nahezu jeder Nutzung technische Spuren. Programme werden gestartet, Dateien geöffnet, Benutzer angemeldet, Datenträger verbunden, Daten heruntergeladen und Anwendungen mit Cloud-Diensten synchronisiert.

Diese Aktivitäten können unterschiedliche Artefakte hinterlassen. Je nach Untersuchungsfrage kommen beispielsweise folgende Datenquellen infrage:

• Dateisysteme und Dateistrukturen
• Dateimetadaten und Zeitstempel
• gelöschte Dateien und verbliebene Dateiartefakte
• Benutzerkonten und Anmeldeinformationen
• Browserhistorien und Downloads
• USB-Geräte und externe Speichermedien
• Programm- und Anwendungsspuren
• System- und Ereignisprotokolle
• lokale Cloud- und Synchronisationsartefakte
• weitere Betriebssysteminformationen

Häufig entsteht der eigentliche Erkenntniswert erst durch die Verbindung mehrerer Artefakte. Dass ein USB-Stick angeschlossen wurde, bedeutet beispielsweise noch nicht, dass bestimmte Dateien auf diesen Datenträger übertragen wurden.

Weitere Grundlagen finden Sie unter Was ist Computer-Forensik?.

Gelöschte Dateien und Daten wiederherstellen

Ob gelöschte Daten noch verfügbar sind, hängt stark vom jeweiligen Speichersystem ab. Eine klassische Festplatte, eine moderne SSD und der Flash-Speicher eines Smartphones verhalten sich nach einem Löschvorgang technisch unterschiedlich.

Dateisystem, Verschlüsselung, Speicherbereinigung, Zeitpunkt der Löschung und anschließende Gerätenutzung beeinflussen, welche Informationen noch rekonstruiert werden können.

Deshalb sollte ein möglicherweise beweisrelevantes Gerät nicht unnötig weiterverwendet oder mit beliebiger Datenrettungs- oder Bereinigungssoftware bearbeitet werden.

IT-Forensik für Privatpersonen in Rosenheim

Private Auftraggeber benötigen digitale Forensik häufig in Situationen, in denen sich persönliche und rechtliche Fragen überschneiden. Ein Smartphone oder Computer kann dann relevante Informationen enthalten, die mit einer normalen Sichtung nicht zuverlässig bewertet werden können.

Typische Anlässe sind unter anderem:

• gelöschte oder bestrittene Kommunikation
• Verdacht auf einen Fremdzugriff auf Smartphone oder Computer
• Betrugsfälle
• Stalking und Nachstellung
• Trennung oder Scheidung
• Streit über digitale Nachrichten oder Dateien
• Sicherung relevanter Daten vor einer gerichtlichen Auseinandersetzung
• ungeklärte Veränderungen an Geräten oder Benutzerkonten

Ist mein Smartphone gehackt oder überwacht?

Ungewöhnliches Verhalten eines Smartphones ist kein Beweis für eine Kompromittierung. Hoher Akkuverbrauch, Wärmeentwicklung, unbekannte Benachrichtigungen oder erhöhter Datenverkehr können verschiedene Ursachen besitzen.

Eine forensische Untersuchung sollte deshalb ergebnisoffen erfolgen. Abhängig vom Gerät können Systeminformationen, Apps, Konfigurationen, Profile, Kommunikationsdaten und weitere technische Artefakte untersucht werden.

Auch ein negativer Befund besitzt Grenzen. Werden innerhalb der verfügbaren Daten keine Hinweise auf eine Kompromittierung gefunden, bedeutet dies nicht zwangsläufig, dass zu keinem früheren Zeitpunkt ein Angriff stattgefunden hat.

Digitale Beweise bei Trennung und Scheidung

In privaten Auseinandersetzungen ist besonders deutlich zwischen technischer Zugriffsmöglichkeit und rechtlicher Berechtigung zu unterscheiden.

LB Forensik untersucht ausschließlich Geräte, Benutzerkonten und Datenbestände, für deren Untersuchung eine entsprechende Berechtigung besteht. Das heimliche Auslesen eines fremden Smartphones oder fremder Accounts ist keine zulässige forensische Dienstleistung.

IT-Forensik für Unternehmen in Rosenheim

Rosenheim und die umliegende Region sind durch mittelständische Unternehmen, Dienstleistungen, Handel, Handwerk und überregionale Wirtschaftsbeziehungen geprägt. Digitale Vorfälle können deshalb sowohl einzelne Arbeitsplatzrechner als auch mobile Endgeräte, Benutzerkonten, externe Speicher und Cloud-Anwendungen betreffen.

Unternehmen beauftragen digitale Untersuchungen beispielsweise bei einem Verdacht auf Datenabfluss, internen Mitarbeiterfällen, gelöschten Unternehmensinformationen, unerlaubten Kopiervorgängen oder nach einem IT-Sicherheitsvorfall.

Verdacht auf Datendiebstahl oder Datenabfluss

Für die technische Bewertung eines möglichen Datenabflusses reicht ein einzelnes Artefakt häufig nicht aus. Ein angeschlossener USB-Datenträger beweist keinen Kopiervorgang und eine vorhandene Datei belegt noch keine Weitergabe.

Je nach Sachverhalt können deshalb Dateizugriffe, externe Datenträger, Cloud-Anwendungen, Browseraktivitäten, E-Mail-Daten und weitere Systeminformationen miteinander verglichen werden.

IT-forensische Untersuchung nach einem Cybervorfall

Nach einem vermuteten Angriff können unter anderem Systemprotokolle, Benutzeraktivitäten, verdächtige Dateien, Persistenzmechanismen, Netzwerkhinweise und weitere technische Artefakte untersucht werden.

Bei einem laufenden Vorfall muss zugleich berücksichtigt werden, dass Eindämmung und Beweiserhalt unterschiedliche Anforderungen stellen können. Ein laufender verschlüsselter Computer kann forensisch eine andere Ausgangssituation darstellen als ein ausgeschaltetes System.

Forensische Analyse mit Cellebrite

Cellebrite stellt spezialisierte Verfahren für die Extraktion und Analyse mobiler und weiterer digitaler Datenquellen bereit. Welche Methode in einem konkreten Fall genutzt werden kann, hängt unter anderem von Gerät, Betriebssystem und Sicherheitszustand ab.

Die technische Extraktion ist dabei nur ein Teil der Untersuchung. Entscheidend ist anschließend die korrekte Interpretation der gewonnenen Daten.

X-Ways Forensics für Computer und Datenträger

X-Ways Forensics setzen wir insbesondere bei detaillierten Untersuchungen von Computern, Festplatten, SSDs und weiteren Datenträgern ein.

Das Werkzeug ermöglicht unter anderem die Untersuchung von Dateisystemstrukturen, Dateien, Metadaten, gelöschten Daten und weiteren technischen Informationen. Bei komplexen Fragestellungen kann eine sehr gezielte Analyse einzelner Speicherbereiche und Artefakte erfolgen.

Belkasoft für die Korrelation digitaler Artefakte

Belkasoft unterstützt die strukturierte Analyse unterschiedlicher digitaler Datenquellen. Besonders bei größeren Datenbeständen kann die Zusammenführung relevanter Artefakte helfen, Beziehungen und zeitliche Zusammenhänge sichtbar zu machen.

MOBILedit Forensic für mobile Endgeräte

MOBILedit Forensic ergänzt unsere Möglichkeiten bei der Extraktion und Auswertung mobiler Geräte. Dies ist insbesondere bei der technischen Vielfalt unterschiedlicher Android-Hersteller und Gerätemodelle relevant.

Warum setzen wir nicht nur ein Forensikprogramm ein?

Forensiksoftware interpretiert Daten. Verschiedene Werkzeuge können deshalb denselben Datenbestand unterschiedlich erkennen oder darstellen.

Ein Programm kann bestimmte App-Artefakte besonders gut aufbereiten, während ein anderes zusätzliche Dateisysteminformationen oder Metadaten verfügbar macht. Bei relevanten Befunden kann eine zusätzliche Methode deshalb der technischen Gegenprüfung dienen.

Entscheidend bleibt stets die ursprüngliche Datenquelle. Eine automatisch erzeugte Softwareanzeige ersetzt keine fachliche Bewertung.

Wie werden digitale Beweismittel gesichert?

Die geeignete Vorgehensweise hängt vom Zustand des jeweiligen Geräts ab. Ein ausgeschalteter Datenträger, ein eingeschaltetes Smartphone und ein laufender verschlüsselter Computer erfordern nicht automatisch dieselbe Sicherungsmethode.

Soweit technisch sinnvoll, wird zunächst eine geeignete Sicherung des relevanten Datenbestands erzeugt. Die weitere Untersuchung kann anschließend auf dieser Datenbasis erfolgen, damit unnötige Veränderungen am Original vermieden werden.

Was sagt ein Hashwert aus?

Ein Hashwert kann verwendet werden, um die Integrität eines bestimmten digitalen Datenbestands zu überprüfen. Stimmen entsprechende Hashwerte überein, lässt sich überprüfen, ob diese Daten seit einem definierten Zeitpunkt verändert wurden.

Ein Hashwert sagt jedoch nicht automatisch aus, dass eine Extraktion vollständig war oder eine fachliche Interpretation korrekt ist. Integrität, Vollständigkeit und Aussagekraft müssen getrennt bewertet werden.

Warum wird der Umgang mit einem Beweismittel dokumentiert?

Bei beweisrelevanten Untersuchungen sollte nachvollziehbar bleiben, welches Gerät oder welcher Datenträger übernommen wurde, in welchem Zustand er sich befand, welche Sicherung durchgeführt wurde und auf welcher Datenbasis die Analyse erfolgte.

Damit können technische Feststellungen später eindeutig einer Datenquelle und einem dokumentierten Untersuchungsschritt zugeordnet werden.

Vom Untersuchungsauftrag zum technischen Befund

Fragestellung und Zeitraum eingrenzen

Zunächst wird definiert, welcher Vorgang untersucht und welcher Zeitraum betrachtet werden soll. Daraus ergeben sich die relevanten Geräte und Datenquellen.

Technischen Ausgangszustand erfassen

Gerät, Betriebssystem, Sicherheitszustand, Verschlüsselung und vorhandene Zugangsmöglichkeiten werden berücksichtigt.

Datenquellen priorisieren und sichern

Bei mehreren Geräten kann die Reihenfolge der Sicherung relevant sein. Die Methode richtet sich nach dem konkreten Zustand und Untersuchungsziel.

Artefakte gezielt analysieren

Die Auswertung orientiert sich an der Fragestellung. Dateien, Datenbanken, Kommunikationsinformationen und Systemspuren werden nicht wahllos, sondern sachbezogen untersucht.

Technische Zusammenhänge rekonstruieren

Wenn mehrere unabhängige Datenquellen vorhanden sind, können sie zeitlich und sachlich miteinander verglichen werden.

Feststellung und Interpretation unterscheiden

Eine fachlich belastbare Dokumentation trennt den unmittelbar festgestellten technischen Befund von den daraus gezogenen Schlussfolgerungen und benennt die Grenzen der vorhandenen Daten.

IT-Forensik im Raum Rosenheim und Südostoberbayern

Rosenheim bildet einen zentralen Knotenpunkt zwischen München, dem Chiemgau, dem Inntal und dem südöstlichen Oberbayern. Zum direkten regionalen Umfeld gehören unter anderem Kolbermoor, Bad Aibling, Raubling, Stephanskirchen, Prien am Chiemsee, Wasserburg am Inn und Traunstein.

Auch die Nähe zu München ist für die regionale Betreuung relevant. LB Forensik verfügt über eine Niederlassung in München, die für Auftraggeber aus Rosenheim einen wichtigen regionalen Anlaufpunkt darstellt.

Weitere Informationen zum Standort finden Sie unter IT-Forensik München. Eine weitere Niederlassung besteht in Augsburg.

Die übrigen genannten Orte dienen ausschließlich der regionalen Einordnung. Eine Niederlassung wird dort nicht behauptet.

Was sollte vor einer forensischen Untersuchung vermieden werden?

Ein möglicherweise relevantes Smartphone sollte nicht vorschnell zurückgesetzt werden. Vermutete Schadsoftware oder unbekannte Apps sollten ebenfalls nicht eigenständig gelöscht werden, wenn die Frage nach ihrer Herkunft oder Aktivität später untersucht werden soll.

Auch Datenrettungs-, Bereinigungs- und sogenannte Anti-Spy-Programme können neue Dateien und Protokolle erzeugen oder vorhandene Daten verändern.

Ein bereits ausgeschalteter Computer sollte nicht allein zur ersten Durchsicht normal gestartet werden. Der Start des Betriebssystems erzeugt selbst technische Veränderungen.

Umgekehrt ist auch ein sofortiges Ausschalten nicht in jeder Situation fachlich richtig. Bei einem laufenden verschlüsselten System kann der aktuelle Gerätezustand für den späteren Zugriff auf bestimmte Daten relevant sein.

FAQ zur IT-Forensik in Rosenheim

Kann LB Forensik Smartphones von Privatpersonen aus Rosenheim untersuchen?

Ja. Privatpersonen gehören ausdrücklich zu unseren Auftraggebern. Je nach Fragestellung können Smartphones, Computer, Datenträger, vorhandene Backups und zugängliche Cloud-Daten untersucht werden.

Kann geprüft werden, ob mein iPhone gehackt wurde?

Eine Untersuchung kann nach technisch feststellbaren Hinweisen auf einen möglichen Fremdzugriff oder eine Kompromittierung suchen. Welche Aussage möglich ist, hängt vom Gerät, verfügbaren Datenbestand und der erreichbaren Untersuchungstiefe ab.

Können gelöschte WhatsApp-Nachrichten wiederhergestellt werden?

Das ist unter bestimmten Voraussetzungen möglich. Eine vollständige Wiederherstellung lässt sich nicht garantieren, weil sie vom Gerät und den tatsächlich noch vorhandenen Daten abhängt.

Kann festgestellt werden, wann eine Datei gelöscht wurde?

Je nach Dateisystem und vorhandenem Datenbestand können Zeitstempel, Dateisysteminformationen und weitere Artefakte Hinweise auf einen Lösch- oder Veränderungsvorgang liefern. Nicht jeder Vorgang lässt sich jedoch sekundengenau rekonstruieren.

Kann ein USB-Stick auf einem Firmenrechner nachgewiesen werden?

Windows- und andere Systeme können Spuren angeschlossener Speichermedien enthalten. Der Nachweis einer Verbindung belegt für sich genommen jedoch noch keinen konkreten Datentransfer.

Kann ein WhatsApp-Screenshot auf Manipulation geprüft werden?

Ein Screenshot kann technisch untersucht werden, besitzt allein jedoch nur begrenzte Aussagekraft. Steht das Ursprungsgerät oder eine geeignete weitere Datenquelle zur Verfügung, können zusätzliche Artefakte für einen Vergleich herangezogen werden.

Können Smartphone und Computer gemeinsam ausgewertet werden?

Ja. Wenn mehrere Datenquellen denselben Sachverhalt betreffen, können relevante Artefakte gemeinsam betrachtet und zeitlich miteinander korreliert werden.

Kann IT-Forensik eindeutig feststellen, wer einen Computer benutzt hat?

Nicht in jedem Fall. Digitale Spuren können einem Gerät, Benutzerkonto oder technischen Vorgang zugeordnet werden. Daraus folgt nicht automatisch, welche natürliche Person das Gerät tatsächlich bedient hat.

Welche Software verwendet LB Forensik?

Abhängig von Datenquelle und Fragestellung setzen wir unter anderem Cellebrite, X-Ways Forensics, Belkasoft und MOBILedit Forensic ein.

Hat LB Forensik eine Niederlassung in Rosenheim?

Eine Niederlassung in Rosenheim wird nicht ausgewiesen. Die regional relevante LB-Forensik-Niederlassung befindet sich in München. Darüber hinaus besteht eine Niederlassung in Augsburg.

Sollte ein verdächtiges Smartphone ausgeschaltet werden?

Das lässt sich nicht pauschal beantworten. Bei modernen verschlüsselten Smartphones kann der aktuelle Gerätezustand Einfluss auf die forensischen Möglichkeiten haben. Vor einem Neustart oder Ausschalten sollte die konkrete Situation möglichst technisch bewertet werden.

Welche Angaben helfen bei der ersten Einschätzung?

Wichtig sind insbesondere Gerätetyp, Modell, Betriebssystem, relevanter Zeitraum, bekannte Auffälligkeiten, bereits vorgenommene Maßnahmen und die konkrete Frage, die durch die Untersuchung beantwortet werden soll.