Digitale Spuren entstehen bei nahezu jeder Nutzung eines Smartphones oder Computers. Nachrichten werden gespeichert und gelöscht, Dateien geöffnet, Benutzerkonten verwendet, externe Datenträger angeschlossen und Daten mit Cloud-Diensten synchronisiert. Werden solche Vorgänge später für einen privaten, geschäftlichen oder rechtlichen Sachverhalt relevant, reicht die sichtbare Benutzeroberfläche häufig nicht aus. LB Forensik untersucht für Privatpersonen, Unternehmen und Rechtsanwälte aus Magdeburg Smartphones, Computer, Datenträger, Backups und weitere berechtigt zugängliche digitale Datenquellen.

Ausgangspunkt einer Untersuchung ist eine möglichst konkrete technische Frage. Wurden Nachrichten gelöscht? Gibt es Hinweise auf einen Fremdzugriff? Wann wurde eine bestimmte Datei verwendet oder verändert? Wurden vertrauliche Unternehmensdaten möglicherweise kopiert? Welche Aktivitäten lassen sich innerhalb eines relevanten Zeitraums rekonstruieren? Die Aufgabe digitaler Forensik besteht darin, vorhandene Artefakte zu sichern, technisch einzuordnen und ihre Aussagegrenzen nachvollziehbar darzustellen.

Für die Sicherung und Analyse setzen wir abhängig vom jeweiligen Untersuchungsobjekt spezialisierte Forensiklösungen ein. Dazu gehören unter anderem Cellebrite, X-Ways Forensics, Belkasoft und MOBILedit Forensic. Verschiedene Werkzeuge können unterschiedliche Datenstrukturen erschließen. Entscheidend bleibt jedoch die fachliche Bewertung des ursprünglichen digitalen Artefakts und nicht allein die Darstellung innerhalb einer Software.

IT-Forensik für Magdeburg: Untersuchungsbereiche im Überblick

• Handyforensik für Apple iPhone und Android-Smartphones
• Computerforensik für Windows-PCs, Notebooks und Apple Macs
• forensische Analyse von WhatsApp und weiterer digitaler Kommunikation
• Untersuchung gelöschter oder nicht mehr unmittelbar sichtbarer Daten
• Prüfung technisch feststellbarer Hinweise auf mögliche Fremdzugriffe
• Analyse von Festplatten, SSDs, USB-Sticks und weiteren Datenträgern
• Auswertung vorhandener Backups und berechtigt zugänglicher Cloud-Daten
• Rekonstruktion relevanter Datei-, Benutzer- und Systemaktivitäten
• Untersuchung möglicher Datenabflüsse und interner Vorfälle
• zeitliche Korrelation digitaler Spuren aus mehreren Datenquellen
• forensisch nachvollziehbare Sicherung relevanter Datenbestände
• Dokumentation von Untersuchungsobjekt, Sicherung und technischen Befunden

Weitere technische Grundlagen finden Sie in unserer Wissensdatenbank zur digitalen Forensik. Dort werden einzelne Methoden, Datenquellen und typische Beweisfragen ausführlicher behandelt.

Welche digitalen Informationen können forensisch relevant sein?

Digitale Forensik untersucht nicht nur Dateien, Fotos oder sichtbare Nachrichten. Betriebssysteme, Anwendungen und Dienste erzeugen im Hintergrund zahlreiche weitere Informationen.

Abhängig vom Gerät können beispielsweise App-Datenbanken, Kommunikationsdaten, Dateimetadaten, Browserinformationen, Benutzeranmeldungen, Systemprotokolle, angeschlossene Datenträger, Synchronisationsdaten und unterschiedliche Zeitinformationen relevant sein.

Welche Artefakte tatsächlich untersucht werden sollten, ergibt sich aus dem Sachverhalt. Bei einem möglichen Datenabfluss sind beispielsweise andere Spuren relevant als bei der Frage, ob eine bestimmte Nachricht existierte oder ob ein Smartphone Hinweise auf einen unberechtigten Zugriff enthält.

Ein wesentlicher Grundsatz lautet deshalb: Ein einzelnes digitales Artefakt sollte nicht weiter interpretiert werden, als es die technische Datenlage zulässt.

Handyforensik in Magdeburg für iPhone und Android

Handyforensik für Magdeburg untersucht digitale Informationen auf Smartphones und den damit verbundenen Datenquellen. Mobile Geräte speichern heute Kommunikation, Bilder, Videos, Apps, Browserdaten, Benutzerkonten und zahlreiche technische Systeminformationen.

Eine forensische Smartphone-Untersuchung geht über die manuelle Durchsicht des Displays hinaus. Je nach Gerät und technisch erreichbarer Datenbasis können Nachrichten, App-Datenbanken, Medien, Dateien, Anrufinformationen, Browserartefakte, Zeitstempel sowie bestimmte System-, Standort- und Verbindungsinformationen relevant sein.

Die Untersuchungstiefe hängt unter anderem von Hersteller, Modell, Betriebssystemversion, Sicherheitszustand, Verschlüsselung und verfügbarer Extraktionsmethode ab.

iPhone-Forensik bei Apple-Geräten

Apple-iPhones verwenden eine eng miteinander verbundene Kombination aus Hardware, iOS und kryptografischen Schutzmechanismen. Deshalb lässt sich vor einer Prüfung nicht seriös versprechen, dass sämtliche Daten eines Geräts extrahiert werden können.

Je nach technischer Ausgangslage können unter anderem Nachrichten, App-Daten, Bilder, Videos, Dateien, Browserinformationen, Zeitstempel und weitere Systemartefakte untersucht werden. Auch lokale Backups und berechtigt zugängliche iCloud-Daten können zusätzliche Datenquellen darstellen.

Der aktuelle Gerätezustand kann dabei relevant sein. Ein bereits entsperrtes und eingeschaltetes iPhone kann forensisch eine andere Ausgangslage bieten als dasselbe Gerät unmittelbar nach einem Neustart.

Weitere Hintergründe zu Möglichkeiten und Grenzen erläutern wir im veröffentlichten Wissensartikel Was ist iPhone-Forensik?.

Android-Forensik bei Samsung, Google, Honor und weiteren Herstellern

Android-Smartphones unterscheiden sich erheblich hinsichtlich Hardware, Chipsatz, Betriebssystemversion und Sicherheitskonfiguration. Entsprechend unterschiedlich können die möglichen Extraktionsverfahren ausfallen.

Je nach Gerät können beispielsweise Messenger-Daten, App-Datenbanken, Dateien, Fotos, Videos, Browserinformationen und weitere Systemartefakte untersucht werden.

Gerade bei Android-Geräten kann es sinnvoll sein, unterschiedliche Forensikwerkzeuge einzusetzen. Eine Methode kann bei einem bestimmten Gerät Daten erschließen, die mit einem anderen Werkzeug nicht oder nur eingeschränkt zugänglich sind.

WhatsApp und andere Messenger technisch auswerten

Messenger-Kommunikation ist bei privaten Konflikten, Stalking, Betrug, arbeitsrechtlichen Fällen und internen Unternehmensuntersuchungen häufig eine zentrale Datenquelle.

Eine forensische WhatsApp-Auswertung beschränkt sich nicht auf das Lesen sichtbarer Nachrichten. Je nach Datenbasis können Nachrichten, Teilnehmerinformationen, Zeitstempel, Gruppenstrukturen, Bilder, Videos, Dokumente, Sprachnachrichten und weitere App-Artefakte analysiert werden.

Die technischen Möglichkeiten erläutern wir ausführlich im Wissensartikel WhatsApp-Nachrichten forensisch auswerten.

Gelöschte WhatsApp-Nachrichten

Gelöschte Nachrichten können unter bestimmten Voraussetzungen vollständig oder teilweise noch in Datenbanken, Sicherungen, Medienbeständen oder anderen zugänglichen Datenquellen vorhanden sein.

Eine Wiederherstellung lässt sich jedoch nicht garantieren. Betriebssystem, App-Version, Datenbankzustand, vorhandene Backups und die weitere Nutzung des Smartphones beeinflussen die Erfolgsaussichten erheblich.

Weitere Nutzung kann den Datenbestand verändern. Neue Kommunikation, App-Updates und Synchronisationsvorgänge können vorhandene Artefakte beeinflussen. Bei einem möglicherweise relevanten Smartphone sollte deshalb unnötige Nutzung vermieden werden.

Warum ein Screenshot nicht dieselbe Datenbasis bietet

Ein Screenshot dokumentiert zunächst nur die sichtbare Bildschirmdarstellung. Er enthält nicht automatisch die zugrunde liegende Nachrichtendatenbank, interne App-Kennungen oder weitere technische Informationen.

Steht das Originalgerät oder eine geeignete Extraktion zur Verfügung, können zusätzliche Artefakte für einen technischen Abgleich herangezogen werden. Dadurch lässt sich ein Kommunikationsvorgang deutlich tiefer untersuchen als anhand eines einzelnen Bildes.

Computerforensik in Magdeburg für Windows und macOS

Computerforensik für Magdeburg untersucht digitale Spuren auf Arbeitsplatzrechnern, Notebooks, Apple Macs und verbundenen Speichermedien. Betriebssysteme erzeugen während ihrer Nutzung zahlreiche Artefakte, die sich später zur Rekonstruktion bestimmter Aktivitäten heranziehen lassen können.

Abhängig von der Fragestellung können unter anderem folgende Datenquellen untersucht werden:

• Dateien und Dateisystemstrukturen
• Dateimetadaten und Zeitinformationen
• gelöschte Dateien und verbliebene Dateiartefakte
• Benutzerkonten und Anmeldeaktivitäten
• Browserhistorien und Downloads
• USB-Geräte und externe Speichermedien
• Programm- und Anwendungsspuren
• Windows-Ereignisprotokolle
• macOS-Systemartefakte
• lokale Cloud- und Synchronisationsinformationen

Weitere Grundlagen zur Untersuchung von Computersystemen finden Sie unter Was ist Computer-Forensik?.

USB-Geräte und externe Datenträger

Computersysteme können Informationen darüber enthalten, welche USB-Geräte oder externen Datenträger mit ihnen verbunden wurden. Je nach Datenlage lassen sich Gerätekennungen und bestimmte zeitliche Zusammenhänge untersuchen.

Ein USB-Eintrag beweist jedoch für sich genommen keinen Dateitransfer. Soll festgestellt werden, ob bestimmte Daten kopiert wurden, müssen zusätzliche Artefakte berücksichtigt werden.

Dazu können Dateizugriffe, zuletzt verwendete Dateien, Dateisysteminformationen, Zeitstempel und weitere Benutzer- oder Systemaktivitäten gehören.

Dateien zeitlich einordnen

Dateien und Anwendungen können verschiedene Zeitinformationen enthalten. Diese können Hinweise darauf geben, wann Daten erstellt, verändert, geöffnet oder anderweitig verarbeitet wurden.

Zeitstempel dürfen jedoch nicht isoliert interpretiert werden. Kopiervorgänge, Anwendungen, Cloud-Synchronisationen und Systemprozesse können Zeitinformationen verändern.

Eine fachlich belastbarere Bewertung berücksichtigt deshalb möglichst mehrere voneinander unabhängige Artefakte.

Gelöschte Dateien, SSDs und Datenwiederherstellung

Gelöschte Daten lassen sich nicht auf jedem Speichermedium gleichermaßen rekonstruieren. Klassische Festplatten, moderne SSDs und Flash-Speicher mobiler Geräte verhalten sich technisch unterschiedlich.

Bei SSDs können Speicherbereinigungsmechanismen dazu führen, dass gelöschte Daten vergleichsweise schnell nicht mehr zugänglich sind. Hinzu kommen Faktoren wie Dateisystem, Verschlüsselung, Löschzeitpunkt und anschließende Gerätenutzung.

Eine reine Datenrettung verfolgt primär das Ziel, verlorene Informationen wieder verfügbar zu machen. Eine forensische Untersuchung betrachtet zusätzlich Herkunft, Metadaten, zeitlichen Zusammenhang und weitere technische Spuren.

Eine wiederhergestellte Datei ist deshalb nicht automatisch der vollständige forensische Befund.

Digitale Untersuchungen für Privatpersonen aus Magdeburg

Digitale Forensik wird längst nicht ausschließlich von Unternehmen benötigt. Gerade Smartphones und private Computer enthalten umfangreiche Informationen, die bei persönlichen Konflikten oder rechtlichen Auseinandersetzungen relevant sein können.

Typische private Fragestellungen betreffen beispielsweise einen möglichen Fremdzugriff auf ein Smartphone, gelöschte Kommunikation, Stalking und digitale Nachstellung, Betrugsverdacht, Identitätsmissbrauch, Trennung oder Scheidung sowie bestrittene Nachrichten oder andere digitale Inhalte.

Ist mein Handy gehackt oder überwacht?

Ein ungewöhnlich hoher Akkuverbrauch, Wärmeentwicklung oder unbekannte Meldungen beweisen keinen Angriff. Solche Symptome können zahlreiche technische Ursachen haben.

Eine forensische Untersuchung sollte deshalb ergebnisoffen erfolgen. Abhängig vom Smartphone können Apps, Systeminformationen, Profile, Konfigurationen, Kommunikationsartefakte und weitere technische Daten untersucht werden.

Auch ein negativer Befund besitzt Grenzen. Werden innerhalb des verfügbaren Datenbestands keine Hinweise auf eine Kompromittierung gefunden, bedeutet dies nicht automatisch, dass zu keinem früheren Zeitpunkt ein Angriff stattgefunden haben kann.

Stalking, Trennung und persönliche Konflikte

In privaten Konflikten können Messenger, Fotos, Dateien, Benutzerkonten oder andere digitale Informationen relevant sein. Gleichzeitig muss klar zwischen technischer Zugriffsmöglichkeit und rechtlicher Berechtigung unterschieden werden.

LB Forensik untersucht ausschließlich Geräte, Accounts und Datenbestände, für deren Untersuchung eine entsprechende Berechtigung besteht. Das heimliche Auslesen fremder Smartphones oder Benutzerkonten gehört nicht zu einer zulässigen forensischen Untersuchung.

IT-forensische Untersuchungen für Unternehmen in Magdeburg

Magdeburg ist Wirtschafts-, Wissenschafts-, Logistik- und Technologiestandort. Insbesondere Unternehmen aus IT und Kommunikation, Maschinenbau, Industrie, Medizintechnik, E-Mobilität und Dienstleistungen verarbeiten umfangreiche geschäftliche und personenbezogene Daten.

Hinzu kommen Universität, Hochschule und außeruniversitäre Forschungseinrichtungen. Dadurch können digitale Untersuchungen in Magdeburg vom einzelnen Arbeitsplatzrechner bis zu komplexeren Sachverhalten mit mehreren Geräten und Benutzerkonten reichen.

Bei einem internen Vorfall können beispielsweise Notebooks, Smartphones, externe Datenträger, E-Mail-Daten, Benutzerkonten und Cloud-Anwendungen gleichzeitig relevant sein.

Verdacht auf Datenabfluss oder unerlaubte Datenkopien

Bei einem möglichen Datenabfluss sollte zunächst geklärt werden, welche Übertragungswege technisch zur Verfügung standen.

USB-Speicher sind nur eine Möglichkeit. Je nach System können auch Cloud-Dienste, E-Mail, Webanwendungen, Messenger oder weitere Plattformen für eine Datenübertragung relevant sein.

Eine forensische Untersuchung kann deshalb Dateizugriffe, externe Datenträger, Browseraktivitäten, Cloud-Artefakte und weitere Systemspuren miteinander vergleichen.

Ein einzelner technischer Fund sollte dabei nicht überinterpretiert werden. Der Nachweis eines angeschlossenen Speichermediums belegt beispielsweise nicht automatisch, dass vertrauliche Dateien darauf übertragen wurden.

Analyse nach einem Cybervorfall

Nach einem vermuteten Cyberangriff können Benutzeraktivitäten, Systemprotokolle, verdächtige Dateien, Persistenzmechanismen, Netzwerkhinweise und weitere technische Artefakte relevant werden.

Bei laufenden Vorfällen müssen Beweiserhalt und Eindämmung gemeinsam betrachtet werden. Ein eingeschalteter und entschlüsselter Computer kann forensisch eine andere Ausgangslage bieten als dasselbe System nach einem Neustart.

Deshalb ist die pauschale Empfehlung, jedes verdächtige System sofort auszuschalten, technisch nicht in jedem Fall richtig.

Cellebrite für mobile Datenquellen

Cellebrite setzen wir insbesondere bei mobilen und weiteren digitalen Datenquellen ein. Welche Extraktionsmethode verfügbar ist, hängt unter anderem von Gerät, Betriebssystem und Sicherheitszustand ab.

Die Extraktion stellt jedoch lediglich die technische Grundlage dar. Erst die anschließende Analyse zeigt, welche Daten für die konkrete Untersuchungsfrage tatsächlich relevant sind.

X-Ways Forensics für Computer und Datenträger

X-Ways Forensics ermöglicht detaillierte Analysen von Computern, Festplatten, SSDs und weiteren Speichermedien.

Dateisystemstrukturen, Dateien, Metadaten, gelöschte Daten und weitere technische Informationen können damit gezielt untersucht werden. Insbesondere bei Fragen zur Dateiverwendung oder zu externen Speichermedien kann eine detaillierte Dateisystemanalyse relevant sein.

Belkasoft zur Korrelation unterschiedlicher Artefakte

Belkasoft unterstützt die strukturierte Analyse verschiedener digitaler Datenquellen. Bei umfangreicheren Untersuchungen können relevante Kommunikations-, Datei- und Systeminformationen dadurch zeitlich und sachlich miteinander verbunden werden.

MOBILedit Forensic als weitere Methode der Handyforensik

MOBILedit Forensic ergänzt unsere Möglichkeiten bei der Extraktion und Analyse mobiler Endgeräte. Besonders bei der großen technischen Vielfalt von Android-Geräten kann eine zusätzliche Methode sinnvoll sein.

Warum mehrere Forensikprogramme eingesetzt werden

Kein einzelnes Forensikwerkzeug unterstützt sämtliche Geräte, Betriebssysteme und Datenstrukturen mit identischer Tiefe. Unterschiedliche Systeme können denselben Datenbestand zudem unterschiedlich erkennen oder aufbereiten.

Bei relevanten Feststellungen kann eine zweite Methode deshalb zur Plausibilisierung beitragen. Maßgeblich bleibt das zugrunde liegende digitale Artefakt. Ein automatisch erzeugter Softwaretreffer ist noch keine abschließende fachliche Bewertung.

Integrität digitaler Datenbestände

Bei einer beweisorientierten Untersuchung sollte nachvollziehbar bleiben, welche Datenquelle untersucht wurde und auf welchem Datenbestand die spätere Analyse beruht.

Kryptografische Hashwerte können dazu verwendet werden, die Integrität eines definierten Sicherungsbestands zu kontrollieren. Stimmen Referenz- und Kontrollwert überein, spricht dies sehr stark dafür, dass sich genau dieser Datenbestand seit der ursprünglichen Berechnung nicht verändert hat.

Ein Hashwert beweist jedoch weder automatisch die Vollständigkeit einer Sicherung noch Authentizität, Urheberschaft oder die Richtigkeit einer späteren Interpretation.

Weitere Hintergründe finden Sie im veröffentlichten Fachartikel Integrität digitaler Beweismittel.

Chain of Custody und Beweismitteldokumentation

Die Chain of Custody dokumentiert den Umgang mit einem Untersuchungsobjekt. Bei einem Smartphone oder Computer kann beispielsweise festgehalten werden, wann das Gerät übernommen wurde, in welchem Zustand es sich befand, wie es identifiziert wurde und welche Sicherungen daraus entstanden sind.

Eine Beweismittelkette erfüllt eine andere Funktion als ein Hashwert. Während ein Hashwert die Integrität eines bestimmten Datenbestands technisch überprüfen kann, dokumentiert die Chain of Custody den organisatorischen Umgang mit dem Untersuchungsobjekt.

Ausführliche Informationen finden Sie unter Chain of Custody in der digitalen Forensik.

Vom Untersuchungsobjekt zum technischen Befund

Fragestellung und Zeitraum eingrenzen

Zunächst wird festgelegt, welcher technische Sachverhalt untersucht werden soll und welcher Zeitraum dafür relevant ist.

Relevante Datenquellen auswählen

Nicht jedes vorhandene Gerät muss automatisch untersucht werden. Smartphone, Computer, Datenträger, Backup oder Cloud-Daten werden anhand ihrer Bedeutung für den Sachverhalt priorisiert.

Ausgangszustand dokumentieren

Gerätemodell, Betriebssystem, Verschlüsselung, Sicherheitszustand und vorhandene Zugangsmöglichkeiten können die geeignete Sicherungsstrategie beeinflussen.

Daten technisch geeignet sichern

Die Sicherungsmethode richtet sich nach Untersuchungsobjekt und Fragestellung. Wo technisch sinnvoll, erfolgt die spätere Analyse auf Grundlage eines definierten Sicherungsbestands.

Relevante Artefakte analysieren

Dateien, Datenbanken, Kommunikationsinformationen und Systemspuren werden gezielt anhand der Untersuchungsfrage ausgewertet.

Spuren aus unterschiedlichen Quellen vergleichen

Wenn mehrere digitale Artefakte denselben Vorgang betreffen, können sie zeitlich und sachlich miteinander korreliert werden.

Feststellung und Interpretation voneinander trennen

Eine nachvollziehbare Dokumentation unterscheidet zwischen unmittelbar festgestellten Daten, ihrer fachlichen Interpretation und den technischen Grenzen des vorhandenen Datenbestands.

IT-Forensik im Raum Magdeburg und Sachsen-Anhalt

Magdeburg ist Landeshauptstadt und eines der zentralen Wirtschafts- und Wissenschaftszentren Sachsen-Anhalts. Die Verbindung von Industrie, Logistik, Informationstechnologie, Forschung und Dienstleistungen führt dazu, dass digitale Sachverhalte sowohl private als auch komplexere geschäftliche Datenquellen betreffen können.

Zum regionalen Umfeld gehören unter anderem Schönebeck (Elbe), Burg, Haldensleben, Wolmirstedt, Oschersleben, Stendal, Dessau-Roßlau und Halle (Saale). Auch Wolfsburg und Braunschweig können bei überregionalen Sachverhalten eine Rolle spielen.

Die genannten Städte dienen hier ausschließlich der geografischen Einordnung. Sie werden nicht automatisch als Niederlassungen von LB Forensik dargestellt.

Magdeburg gehört bereits zum bundesweiten Einsatzgebiet von LB Forensik. Für Mitteldeutschland besteht außerdem eine veröffentlichte regionale Seite zur IT-Forensik für Leipzig.

Was sollte vor einer Untersuchung möglichst vermieden werden?

Ein möglicherweise relevantes Smartphone sollte nicht vorschnell zurückgesetzt werden. Verdächtige Apps, Nachrichten oder Dateien sollten ebenfalls nicht eigenständig gelöscht werden, wenn ihre Herkunft oder Nutzung später untersucht werden soll.

Datenrettungs-, Bereinigungs- und Anti-Spyware-Programme können neue Dateien und Protokolle erzeugen und dadurch den ursprünglichen Systemzustand verändern.

Ein bereits ausgeschalteter Computer sollte nicht allein zur ersten Sichtung normal gestartet werden. Bereits ein regulärer Betriebssystemstart erzeugt neue Aktivitäten und kann vorhandene Artefakte beeinflussen.

Umgekehrt ist ein sofortiges Ausschalten eines laufenden Geräts nicht in jeder Situation richtig. Bei eingeschalteten verschlüsselten Systemen kann der aktuelle Zustand für die spätere Datensicherung relevant sein.

FAQ zur IT-Forensik in Magdeburg

Können Privatpersonen aus Magdeburg Smartphones untersuchen lassen?

Ja. Privatpersonen können abhängig von der Fragestellung iPhones, Android-Smartphones, Computer, Datenträger, vorhandene Backups und weitere berechtigt zugängliche Datenquellen untersuchen lassen.

Kann geprüft werden, ob ein Handy gehackt wurde?

Eine forensische Untersuchung kann nach technisch feststellbaren Hinweisen auf einen Fremdzugriff oder eine mögliche Kompromittierung suchen. Die Aussagekraft hängt vom Gerät und verfügbaren Datenbestand ab.

Können gelöschte WhatsApp-Nachrichten rekonstruiert werden?

Das kann unter bestimmten Voraussetzungen möglich sein. Datenbanken, Backups, Medien und weitere Artefakte können relevant sein. Eine vollständige Wiederherstellung lässt sich nicht garantieren.

Kann festgestellt werden, ob Dateien auf einen USB-Stick kopiert wurden?

Der Anschluss eines USB-Datenträgers kann technische Spuren hinterlassen. Ob ein konkreter Dateitransfer nachvollzogen werden kann, hängt von weiteren vorhandenen Artefakten ab.

Können Smartphone und Computer gemeinsam untersucht werden?

Ja. Wenn mehrere Geräte denselben Sachverhalt betreffen, können relevante Informationen miteinander verglichen und zeitlich korreliert werden.

Kann die Veränderung einer Datei technisch untersucht werden?

Je nach Dateityp und System können Metadaten, Dateisysteminformationen, Sicherungen und weitere Artefakte Hinweise auf Veränderungen liefern. Nicht jede Manipulation lässt sich nachträglich eindeutig rekonstruieren.

Kann eindeutig festgestellt werden, wer einen Computer benutzt hat?

Nicht automatisch. Digitale Spuren können häufig einem Gerät, Benutzerkonto oder technischen Vorgang zugeordnet werden. Daraus ergibt sich nicht zwingend, welche natürliche Person das System tatsächlich bedient hat.

Welche Forensiksoftware setzt LB Forensik ein?

Abhängig von Gerät, Datenquelle und Untersuchungsziel setzen wir unter anderem Cellebrite, X-Ways Forensics, Belkasoft und MOBILedit Forensic ein.

Sollte ein verdächtiges Gerät zurückgesetzt oder neu gestartet werden?

Bei einem möglicherweise beweisrelevanten Gerät sollte dies nicht ohne vorherige technische Bewertung erfolgen. Ein Reset oder Neustart kann relevante Daten verändern und bei modernen Geräten auch den forensischen Gerätezustand beeinflussen.