Ein digitales Ereignis hinterlässt häufig mehr Spuren, als auf einem Smartphone oder Computer unmittelbar sichtbar sind. Nachrichten werden in Datenbanken gespeichert, Dateien erzeugen Metadaten, Betriebssysteme protokollieren Aktivitäten und Anwendungen hinterlassen eigene technische Artefakte. LB Forensik untersucht für Privatpersonen, Unternehmen und Rechtsanwälte aus Gelsenkirchen digitale Daten auf Smartphones, Computern, Datenträgern, Backups und weiteren berechtigt zugänglichen Datenquellen.

Eine forensische Untersuchung beginnt dabei nicht mit der Suche nach möglichst vielen Informationen. Entscheidend ist die technische Fragestellung: Wurde eine Nachricht gelöscht? Gibt es Hinweise auf einen unbefugten Zugriff? Wann wurde eine Datei geöffnet oder verändert? Wurde ein externer Datenträger verwendet? Können Aktivitäten verschiedener Geräte einem gemeinsamen Zeitraum zugeordnet werden?

Abhängig vom Untersuchungsobjekt setzen wir spezialisierte Lösungen wie Cellebrite, X-Ways Forensics, Belkasoft und MOBILedit Forensic ein. Die eingesetzte Software bildet jedoch nur einen Teil des Untersuchungsprozesses. Maßgeblich sind die zugrunde liegenden digitalen Artefakte, ihre technische Herkunft und die Frage, welche Schlussfolgerung der vorhandene Datenbestand tatsächlich zulässt.

IT-Forensik für Gelsenkirchen: Leistungen und Untersuchungsbereiche

• Handyforensik für Apple iPhone und Android-Smartphones
• Computerforensik für Windows-PCs, Notebooks und Apple Macs
• forensische Analyse von WhatsApp und anderen Messenger-Daten
• Untersuchung gelöschter oder nicht unmittelbar sichtbarer Informationen
• Prüfung auf technisch erkennbare Hinweise zu Fremdzugriffen
• Analyse von Festplatten, SSDs, USB-Sticks und weiteren Speichermedien
• Auswertung vorhandener Backups und berechtigt zugänglicher Cloud-Daten
• Rekonstruktion relevanter Benutzer-, Datei- und Systemaktivitäten
• Untersuchung möglicher Datenabflüsse und interner Vorfälle
• zeitliche Korrelation digitaler Spuren aus mehreren Datenquellen
• forensisch nachvollziehbare Datensicherung
• Dokumentation der Untersuchungsschritte und technischen Feststellungen

Weiterführende technische Informationen finden Sie in unserer Wissensdatenbank zur digitalen Forensik. Dort behandeln wir einzelne Datenquellen und Methoden wesentlich tiefer und vermeiden dadurch unnötige Wiederholungen auf den regionalen Leistungsseiten.

Welche Fragen lassen sich anhand digitaler Spuren untersuchen?

IT-Forensik versucht technische Abläufe anhand vorhandener Daten zu rekonstruieren. Dabei ist nicht jeder Fund automatisch ein Beweis für die vermutete Handlung.

Ein USB-Eintrag kann beispielsweise belegen, dass ein Datenträger mit einem Computer verbunden war. Daraus folgt noch nicht, dass Dateien kopiert wurden. Ebenso bedeutet eine unter einem Benutzerkonto ausgeführte Aktivität nicht zwangsläufig, dass der Kontoinhaber persönlich vor dem Gerät saß.

Typische Untersuchungsfragen lauten:

• Wurden Nachrichten oder Dateien gelöscht?
• Kann ein Kommunikationsverlauf technisch rekonstruiert werden?
• Gibt es Hinweise auf einen möglichen Fremdzugriff?
• Wann wurde eine bestimmte Datei erstellt, geöffnet oder verändert?
• Welche Aktivitäten fanden in einem definierten Zeitraum statt?
• Wurde ein USB-Stick oder eine externe Festplatte angeschlossen?
• Lassen sich Hinweise auf eine Datenübertragung feststellen?
• Können Smartphone-, Computer- und Cloud-Daten zeitlich miteinander verbunden werden?
• Welche Aussage lässt ein bestimmtes digitales Artefakt tatsächlich zu?

Handyforensik für Gelsenkirchen für iPhone und Android

Handyforensik in Gelsenkirchen untersucht digitale Spuren auf Smartphones und den damit verbundenen Datenquellen. Moderne Mobilgeräte enthalten Kommunikation, Fotos, Videos, Apps, Browserinformationen, Benutzerkonten und zahlreiche technische Systemdaten.

Eine Smartphone-Untersuchung geht deshalb deutlich über das manuelle Durchsehen des Displays hinaus. Abhängig von Gerät und möglicher Extraktionsmethode können beispielsweise App-Datenbanken, Messenger-Daten, Dateien, Medien, Anrufinformationen, Zeitstempel sowie bestimmte System-, Standort- und Verbindungsartefakte relevant sein.

Welche Informationen technisch zugänglich sind, hängt unter anderem von Hersteller, Modell, Betriebssystemversion, Sicherheitszustand, Verschlüsselung und Gerätezustand ab.

iPhone-Forensik bei Apple-Geräten

Apple-iPhones kombinieren Hardware, iOS, Secure Enclave und kryptografische Schutzmechanismen. Deshalb unterscheidet sich die mögliche Untersuchungstiefe teilweise erheblich zwischen verschiedenen Geräten und iOS-Versionen.

Je nach Ausgangssituation können Nachrichten, App-Daten, Fotos, Videos, Dateien, Browserinformationen, Zeitstempel und weitere Systemartefakte untersucht werden. Vorhandene lokale Backups oder berechtigt zugängliche iCloud-Daten können zusätzliche Informationsquellen darstellen.

Auch der aktuelle Gerätezustand kann eine Rolle spielen. Ein eingeschaltetes iPhone, das seit dem letzten Neustart bereits entsperrt wurde, kann forensisch eine andere Ausgangslage bieten als dasselbe Gerät direkt nach einem Neustart.

Die technischen Hintergründe erläutern wir ausführlicher unter Was ist iPhone-Forensik?.

Android-Forensik bei Samsung, Google, Honor und weiteren Herstellern

Bei Android-Geräten besteht eine besonders große technische Vielfalt. Hersteller, Prozessor, Android-Version, Sicherheitspatch und individuelle Gerätekonfiguration können die möglichen Sicherungsverfahren beeinflussen.

Abhängig vom Smartphone können Messenger-Daten, App-Datenbanken, Bilder, Videos, Dateien, Browserinformationen, Anrufdaten und weitere Systemartefakte untersucht werden.

Gerade deshalb kann der Einsatz mehrerer Forensiklösungen sinnvoll sein. Unterschiedliche Werkzeuge unterstützen einzelne Hersteller, Gerätemodelle und Datenstrukturen teilweise unterschiedlich.

WhatsApp-Nachrichten und Messenger-Daten untersuchen

WhatsApp gehört bei privaten Streitfällen, Stalking, Betrugsverdacht, arbeitsrechtlichen Sachverhalten und internen Unternehmensuntersuchungen regelmäßig zu den relevanten Datenquellen.

Eine forensische WhatsApp-Auswertung beschränkt sich nicht auf die sichtbare Chatansicht. Abhängig vom Datenbestand können Nachrichten, Zeitinformationen, Teilnehmer, Gruppenstrukturen, Bilder, Videos, Dokumente, Sprachnachrichten, Anrufinformationen und weitere App-Artefakte untersucht werden.

Eine ausführliche technische Darstellung finden Sie im bereits veröffentlichten Wissensartikel WhatsApp-Nachrichten forensisch auswerten.

Können gelöschte WhatsApp-Nachrichten rekonstruiert werden?

Unter bestimmten technischen Voraussetzungen können gelöschte Inhalte oder verbliebene Artefakte noch vorhanden sein. Denkbare Datenquellen sind beispielsweise App-Datenbanken, Backups, Medienbestände oder andere zugängliche Sicherungen.

Eine vollständige Wiederherstellung lässt sich jedoch nicht garantieren. Betriebssystem, WhatsApp-Version, Datenbankzustand, Zeitpunkt der Löschung und weitere Gerätenutzung beeinflussen die vorhandene Datenbasis.

Auch das Fehlen einer Nachricht muss richtig interpretiert werden. Wird sie in der untersuchten Datenquelle nicht gefunden, beweist dies nicht automatisch, dass diese Kommunikation niemals stattgefunden hat.

WhatsApp-Screenshot oder Originaldaten?

Ein Screenshot dokumentiert lediglich die sichtbare Darstellung eines Chats. Die zugrunde liegende Nachrichtendatenbank, interne Kennungen und weitere App-Informationen enthält er normalerweise nicht.

Steht das ursprüngliche Smartphone oder eine geeignete Extraktion zur Verfügung, können zusätzliche technische Informationen untersucht werden. Dadurch ist eine deutlich tiefere Bewertung möglich als anhand eines einzelnen Screenshots.

Computerforensik Einsatzort Gelsenkirchen für Windows und macOS

Computerforensik in Gelsenkirchen untersucht technische Spuren auf PCs, Notebooks, Apple Macs und den damit verbundenen Speichermedien. Betriebssysteme erzeugen bei ihrer Nutzung zahlreiche Artefakte, die später für eine Rekonstruktion relevant sein können.

Je nach Fragestellung können unter anderem folgende Daten untersucht werden:

• Dateien und Dateisystemstrukturen
• Dateimetadaten und Zeitstempel
• gelöschte Dateien und verbliebene Dateiartefakte
• Benutzerkonten und Anmeldeaktivitäten
• Browserhistorien und Downloads
• angeschlossene USB-Geräte
• externe Festplatten und weitere Speichermedien
• Programm- und Anwendungsspuren
• Windows-Ereignisprotokolle
• macOS-Systemartefakte
• lokale Cloud- und Synchronisationsinformationen

Weitere technische Hintergründe behandeln wir im Fachartikel Was ist Computer-Forensik?.

Kann festgestellt werden, ob ein USB-Stick benutzt wurde?

Computersysteme können Informationen darüber enthalten, welche USB-Geräte mit ihnen verbunden wurden. Je nach System können Gerätekennungen und zeitliche Zusammenhänge festgestellt werden.

Der bloße Anschluss eines USB-Sticks beweist jedoch noch keine Dateiübertragung. Soll untersucht werden, ob konkrete Daten kopiert wurden, müssen weitere Artefakte berücksichtigt werden.

Dazu können Dateizugriffe, zuletzt verwendete Dateien, Dateisysteminformationen, Anwendungsspuren und zusätzliche Zeitinformationen gehören.

Dateien und Benutzeraktivitäten zeitlich rekonstruieren

Dateisysteme, Programme und Betriebssysteme speichern unterschiedliche Zeitinformationen. Diese können Hinweise darauf liefern, wann eine Datei erstellt, verändert, geöffnet oder anderweitig verarbeitet wurde.

Zeitstempel sollten jedoch nicht isoliert interpretiert werden. Kopiervorgänge, Anwendungen, Synchronisationsdienste oder Betriebssystemprozesse können einzelne Zeitwerte beeinflussen.

Eine belastbarere Bewertung verbindet deshalb möglichst mehrere unabhängige Artefakte miteinander.

Gelöschte Dateien und Datenwiederherstellung

Eine gelöschte Datei ist technisch nicht auf jedem Speichermedium gleich zu behandeln. Magnetische Festplatten, moderne SSDs und Flash-Speicher mobiler Geräte unterscheiden sich erheblich.

Bei SSDs können Speicherbereinigungsmechanismen dazu führen, dass gelöschte Daten relativ schnell nicht mehr zugänglich sind. Auch Verschlüsselung, Dateisystem, Zeitpunkt der Löschung und weitere Nutzung beeinflussen die Wiederherstellungsmöglichkeiten.

IT-Forensik unterscheidet sich dabei von klassischer Datenrettung. Die Datenrettung konzentriert sich primär auf die Wiederherstellung verlorener Inhalte. Eine forensische Untersuchung betrachtet zusätzlich Herkunft, Metadaten, Zeitbezug, Integrität und korrespondierende Systemspuren.

Digitale Untersuchungen für Privatpersonen aus Gelsenkirchen

Private Smartphones und Computer können bei persönlichen und rechtlichen Auseinandersetzungen relevante Informationen enthalten. Ein erheblicher Teil digital-forensischer Untersuchungen betrifft deshalb keine Unternehmensnetzwerke, sondern einzelne private Geräte.

Typische Fragestellungen sind beispielsweise:

• Verdacht auf ein gehacktes oder kompromittiertes Smartphone
• mögliche Spyware oder unerlaubter Fremdzugriff
• gelöschte WhatsApp-Nachrichten
• Betrug oder Identitätsmissbrauch
• Stalking und digitale Nachstellung
• Trennung oder Scheidung
• bestrittene digitale Kommunikation
• Sicherung vorhandener digitaler Beweise

Ist mein Handy gehackt oder überwacht?

Hoher Akkuverbrauch, Wärmeentwicklung, unbekannte Benachrichtigungen oder ungewöhnlicher Datenverkehr beweisen für sich genommen keine Kompromittierung.

Eine forensische Untersuchung sollte deshalb ergebnisoffen nach technisch feststellbaren Auffälligkeiten suchen. Abhängig vom Gerät können Anwendungen, Konfigurationen, Profile, Systeminformationen, Kommunikationsartefakte und weitere Daten untersucht werden.

Auch ein negativer Befund besitzt Grenzen. Werden innerhalb des verfügbaren Datenbestands keine Hinweise gefunden, bedeutet dies nicht automatisch, dass zu keinem früheren Zeitpunkt ein Angriff stattgefunden hat.

Stalking, Trennung und private Konflikte

Bei privaten Auseinandersetzungen können Nachrichten, Dateien, Fotos oder Benutzerkonten eine wichtige Rolle spielen. Gleichzeitig muss zwischen technischer Zugriffsmöglichkeit und rechtlicher Berechtigung unterschieden werden.

LB Forensik untersucht nur Geräte, Benutzerkonten und Datenbestände, für deren Untersuchung eine entsprechende Berechtigung besteht. Der heimliche Zugriff auf fremde Smartphones oder Accounts gehört nicht zu einer zulässigen forensischen Untersuchung.

Digitale Forensik für Unternehmen in Gelsenkirchen

Gelsenkirchen verbindet seine industrielle Struktur mit einer zunehmenden Digitalisierung des Wirtschaftsstandorts. Unternehmen, Gesundheitswirtschaft, Dienstleistungen, Logistik, Industrie und technologieorientierte Bereiche verarbeiten umfangreiche digitale Datenbestände. Gleichzeitig beschreibt die Stadt selbst Gelsenkirchen als vernetzten Standort mit ausgeprägter digitaler Infrastruktur.

Bei einem internen Verdachtsfall können Arbeitsplatzrechner, Notebooks, Smartphones, externe Speichermedien, Benutzerkonten, E-Mail-Systeme und Cloud-Anwendungen gleichzeitig relevant sein.

Verdacht auf Datenabfluss

Bei einem möglichen Datenabfluss sollte zunächst geprüft werden, welche Übertragungswege technisch überhaupt zur Verfügung standen. USB-Speicher stellen nur eine Möglichkeit dar.

Je nach Sachverhalt können auch Cloud-Dienste, E-Mail, Browseranwendungen, Messenger oder weitere Plattformen relevant sein. Eine Untersuchung kann deshalb Dateizugriffe, externe Datenträger, Browserinformationen, Cloud-Artefakte und weitere Systemspuren miteinander vergleichen.

Ein einzelner technischer Fund reicht häufig nicht für eine belastbare Schlussfolgerung. Ziel ist vielmehr, mehrere unabhängige Spuren sachlich und zeitlich miteinander zu verbinden.

IT-forensische Analyse nach einem Cybervorfall

Nach einem vermuteten Angriff können unter anderem Systemprotokolle, Benutzeraktivitäten, verdächtige Dateien, Persistenzmechanismen, Netzwerkhinweise und weitere digitale Artefakte relevant sein.

Bei einem laufenden Sicherheitsvorfall müssen Eindämmung und Beweiserhalt gemeinsam betrachtet werden. Ein eingeschalteter und bereits entschlüsselter Computer kann eine andere forensische Ausgangssituation darstellen als dasselbe Gerät nach einem Neustart.

Deshalb ist es fachlich nicht richtig, jedes verdächtige Gerät pauschal sofort auszuschalten.

Cellebrite für mobile Datenquellen

Cellebrite setzen wir insbesondere bei mobilen und weiteren digitalen Datenquellen ein. Welche Extraktions- und Analysemethoden verfügbar sind, hängt vom jeweiligen Gerät, Betriebssystem und Sicherheitszustand ab.

Die Extraktion allein beantwortet noch keine Beweisfrage. Erst die anschließende technische Analyse zeigt, welche Artefakte für den konkreten Sachverhalt relevant sind.

X-Ways Forensics für Computer und Speichermedien

X-Ways Forensics ermöglicht detaillierte Untersuchungen von Computern, Festplatten, SSDs und weiteren Datenträgern.

Dateisystemstrukturen, vorhandene und gelöschte Dateien, Metadaten und weitere technische Informationen können damit gezielt untersucht werden. Besonders bei Fragestellungen zu Dateiverwendung, Datenträgern und gelöschten Informationen kann eine detaillierte Dateisystemanalyse relevant sein.

Belkasoft für umfangreiche Artefaktanalysen

Belkasoft unterstützt die strukturierte Untersuchung unterschiedlicher digitaler Datenquellen. Bei umfangreicheren Fällen können Kommunikations-, Datei- und Systeminformationen zeitlich miteinander korreliert werden.

MOBILedit Forensic als zusätzliche Methode der Handyforensik

MOBILedit Forensic ergänzt die Möglichkeiten bei der Extraktion und Analyse mobiler Geräte. Gerade bei unterschiedlichen Android-Herstellern kann eine zusätzliche Sicherungs- oder Analysemethode sinnvoll sein.

Warum mehrere Forensikwerkzeuge eingesetzt werden

Kein einzelnes Programm unterstützt sämtliche Geräte, Betriebssysteme und Datenstrukturen mit identischer Tiefe. Unterschiedliche Lösungen können denselben Datenbestand zudem unterschiedlich erkennen und darstellen.

Bei wichtigen Feststellungen kann eine zweite Methode deshalb zur technischen Plausibilisierung beitragen. Maßgeblich bleibt jedoch immer das ursprüngliche Artefakt. Ein automatisch erzeugter Softwaretreffer ist noch keine abschließende forensische Bewertung.

Integrität digitaler Beweismittel

Bei einer beweisorientierten Untersuchung sollte nachvollziehbar bleiben, auf welchem Datenbestand die Analyse beruht. Je nach Untersuchungsobjekt kann deshalb zunächst eine geeignete forensische Sicherung erstellt werden.

Kryptografische Hashwerte können dazu verwendet werden, die Integrität eines definierten Datenbestands zu überprüfen. Sie ermöglichen den Vergleich, ob sich genau dieser Datenbestand gegenüber einem dokumentierten Referenzzustand verändert hat.

Ein Hashwert beweist jedoch nicht automatisch die Vollständigkeit einer Sicherung, die Authentizität eines Inhalts oder die Richtigkeit einer späteren Interpretation.

Die technischen Zusammenhänge erklären wir ausführlicher unter Integrität digitaler Beweismittel.

Chain of Custody und Beweismittelkette

Die Chain of Custody dokumentiert den organisatorischen Umgang mit einem Untersuchungsobjekt. Dazu können Übernahme, Identifikation, Sicherung, Aufbewahrung und relevante Übergaben gehören.

Sie erfüllt damit eine andere Aufgabe als ein Hashwert. Der Hashwert dient der technischen Integritätsprüfung eines definierten Datenbestands. Die Beweismittelkette dokumentiert dagegen, wie mit dem Gerät und den daraus erzeugten Sicherungen umgegangen wurde.

Weitere Informationen finden Sie im veröffentlichten Fachartikel Chain of Custody in der digitalen Forensik.

Vom digitalen Untersuchungsobjekt zum nachvollziehbaren Befund

Fragestellung eingrenzen

Zunächst wird definiert, welcher technische Sachverhalt untersucht werden soll und welcher Zeitraum dafür relevant ist.

Datenquellen auswählen

Smartphone, Computer, Datenträger, Backup oder Cloud-Daten werden anhand ihrer Bedeutung für den jeweiligen Sachverhalt priorisiert.

Technischen Ausgangszustand erfassen

Gerätemodell, Betriebssystem, Verschlüsselung, Sicherheitszustand und vorhandene Zugangsmöglichkeiten können die Sicherungsstrategie beeinflussen.

Relevante Daten sichern

Die Sicherungsmethode wird an das jeweilige Untersuchungsobjekt angepasst. Wo sinnvoll, erfolgt die spätere Analyse auf einem definierten Sicherungsbestand.

Artefakte gezielt untersuchen

Dateien, Datenbanken, Kommunikationsinformationen und Systemspuren werden anhand der vorher festgelegten Fragestellung ausgewertet.

Mehrere Spuren miteinander korrelieren

Wenn verschiedene Artefakte denselben Vorgang betreffen, können sie zeitlich und sachlich miteinander verglichen werden.

Befund und Interpretation getrennt darstellen

Eine nachvollziehbare Dokumentation unterscheidet zwischen unmittelbar festgestellten Daten, ihrer fachlichen Interpretation und den Grenzen des vorhandenen Datenbestands.

Gelsenkirchen im digitalen Wirtschaftsraum Ruhrgebiet

Gelsenkirchen liegt im Zentrum der Metropolregion Ruhr und ist eng mit den umliegenden Wirtschafts- und Lebensräumen verbunden. Gleichzeitig verfolgt die Stadt seit Jahren Digitalisierungs- und Vernetzungsprojekte und verfügt über eine ausgebaute digitale Infrastruktur.

Zum unmittelbaren regionalen Umfeld gehören unter anderem Gladbeck, Bottrop, Essen, Bochum, Herne, Herten, Recklinghausen und Dorsten. Diese Orte dienen hier ausschließlich der geografischen Einordnung und werden nicht als Niederlassungen von LB Forensik dargestellt.

Bereits veröffentlichte regionale LB-Forensik-Seiten bestehen unter anderem für IT-Forensik für Essen sowie IT-Forensik für Dortmund.

Gelsenkirchen selbst ist bereits als bundesweites Einsatzgebiet von LB Forensik ausgewiesen. Für eine digitale Untersuchung ist die Stadtgrenze allerdings weniger entscheidend als die konkrete Datenquelle, der Gerätezustand, der relevante Zeitraum und die technische Fragestellung.

Was sollte vor einer forensischen Untersuchung vermieden werden?

Ein möglicherweise beweisrelevantes Smartphone sollte nicht vorschnell auf Werkseinstellungen zurückgesetzt werden. Verdächtige Apps, Dateien oder Nachrichten sollten ebenfalls nicht eigenständig gelöscht werden, wenn ihre Herkunft oder Nutzung später untersucht werden soll.

Datenrettungs-, Bereinigungs- oder Anti-Spyware-Programme können neue Dateien und Systeminformationen erzeugen und dadurch vorhandene Spuren verändern.

Ein bereits ausgeschalteter Computer sollte nicht nur für eine erste Durchsicht normal gestartet werden. Schon der Betriebssystemstart kann neue Aktivitäten erzeugen und bestehende Artefakte beeinflussen.

Umgekehrt ist auch das sofortige Ausschalten eines laufenden Systems nicht in jeder Situation richtig. Bei verschlüsselten Geräten kann der aktuelle Zustand für die späteren Sicherungsmöglichkeiten von Bedeutung sein.

FAQ für Auftraggeber aus Gelsenkirchen

Untersucht LB Forensik auch Smartphones von Privatpersonen?

Ja. Privatpersonen können abhängig von ihrer Fragestellung iPhones, Android-Smartphones, Computer, Datenträger, vorhandene Backups und weitere berechtigt zugängliche Datenquellen untersuchen lassen.

Kann festgestellt werden, ob ein Handy gehackt wurde?

Eine forensische Untersuchung kann nach technisch feststellbaren Hinweisen auf einen möglichen Fremdzugriff oder eine Kompromittierung suchen. Die Aussagekraft hängt vom konkreten Gerät und verfügbaren Datenbestand ab.

Können gelöschte WhatsApp-Nachrichten wiederhergestellt werden?

Unter bestimmten Voraussetzungen können Datenbanken, Backups, Medien oder weitere Artefakte eine vollständige oder teilweise Rekonstruktion ermöglichen. Eine Wiederherstellung kann jedoch nicht garantiert werden.

Kann festgestellt werden, ob Dateien auf einen USB-Stick kopiert wurden?

Der Anschluss eines USB-Geräts kann technische Spuren hinterlassen. Ob ein konkreter Dateitransfer nachvollzogen werden kann, hängt von weiteren vorhandenen Artefakten ab.

Können mehrere Geräte aus demselben Fall gemeinsam untersucht werden?

Ja. Wenn Smartphone, Computer, Datenträger oder Cloud-Daten denselben Sachverhalt betreffen, können relevante Informationen gemeinsam ausgewertet und zeitlich miteinander korreliert werden.

Kann festgestellt werden, ob eine Datei nachträglich verändert wurde?

Je nach Datei und Datenquelle können Metadaten, Dateisysteminformationen, Sicherungen und weitere technische Artefakte Hinweise auf Veränderungen liefern. Nicht jede Manipulation lässt sich nachträglich eindeutig rekonstruieren.

Kann IT-Forensik feststellen, welche Person eine Handlung ausgeführt hat?

Nicht automatisch. Digitale Spuren können häufig einem Gerät, Benutzerkonto oder technischen Vorgang zugeordnet werden. Daraus folgt nicht zwingend, welche natürliche Person das Gerät tatsächlich bedient hat.

Welche Forensiksoftware verwendet LB Forensik?

Abhängig von Gerät, Datenquelle und Untersuchungsziel setzen wir unter anderem Cellebrite, X-Ways Forensics, Belkasoft und MOBILedit Forensic ein.

Sollte ein verdächtiges Smartphone vor der Untersuchung zurückgesetzt werden?

Nein. Ein Zurücksetzen kann relevante Daten und technische Spuren verändern oder entfernen. Bei einem möglicherweise beweisrelevanten Gerät sollte die weitere Vorgehensweise möglichst vor einem Reset technisch bewertet werden.