Wenn private Nachrichten bekannt werden, obwohl niemand Zugriff darauf haben sollte, ein Smartphone ungewöhnliche Aktivitäten zeigt oder wichtige Kommunikation plötzlich fehlt, entsteht schnell der Verdacht auf einen digitalen Eingriff. Doch zwischen einer auffälligen Beobachtung und einem technisch belegbaren Fremdzugriff liegt ein entscheidender Unterschied.

Unsere IT-Forensik für Bayreuth richtet sich deshalb besonders an Privatpersonen, die Klarheit über Vorgänge auf ihrem Smartphone, Computer oder innerhalb ihrer digitalen Konten benötigen. Statt Vermutungen zu bestätigen, untersuchen wir die vorhandenen Daten ergebnisoffen: Welche digitalen Spuren existieren tatsächlich? Was lässt sich zeitlich rekonstruieren? Welche Aussagen sind technisch belastbar – und wo endet die Aussagekraft der vorhandenen Daten?

Darüber hinaus unterstützen wir Unternehmen, Kanzleien und weitere Auftraggeber bei der Sicherung und Analyse digitaler Beweismittel. In einem Universitäts-, Forschungs- und Wirtschaftsstandort wie Bayreuth können dabei neben persönlichen Geräten auch Forschungsinformationen, geschäftliche Kommunikation, Unternehmensdaten und technisches Know-how eine Rolle spielen.

Sie vermuten einen Fremdzugriff auf Ihr Smartphone?

Viele private Untersuchungen beginnen nicht mit einem eindeutigen technischen Ereignis, sondern mit einer Reihe von Auffälligkeiten. Eine andere Person kennt Inhalte privater Gespräche. Nachrichten scheinen gelesen worden zu sein. Ein unbekanntes Gerät erscheint innerhalb eines Benutzerkontos. Nach einer Trennung besteht der Verdacht, dass der frühere Partner weiterhin Informationen erhält.

Solche Beobachtungen sollten ernst genommen, aber nicht vorschnell interpretiert werden.

Ein Fremdzugriff muss beispielsweise nicht über eine klassische Spionage-App erfolgen. Mögliche Ursachen können auch bekannte Zugangsdaten, weiterhin angemeldete Geräte, verknüpfte Messenger-Sitzungen, Cloud-Synchronisationen oder frühere Freigaben sein.

Eine forensische Untersuchung betrachtet deshalb nicht nur die Frage „Ist Spyware installiert?“, sondern das technische Gesamtbild.

Handyforensik für Privatpersonen aus Bayreuth

Das Smartphone ist heute häufig das wichtigste digitale Beweismittel einer Privatperson. Kommunikation, Fotos, Messenger, E-Mails, Kontakte, Benutzerkonten und zahlreiche weitere persönliche Informationen laufen auf einem einzigen Gerät zusammen.

Eine Untersuchung kann beispielsweise sinnvoll sein, wenn Sie klären möchten:

• ob Hinweise auf einen unbefugten Zugriff vorhanden sind,
• ob ungewöhnliche Apps oder Konfigurationen festgestellt werden können,
• ob weitere Geräte mit persönlichen Konten verbunden sind,
• ob WhatsApp- oder Messenger-Daten noch vorhanden sind,
• ob gelöschte Kommunikation technisch rekonstruierbar sein könnte,
• ob nach einer Trennung digitale Zugriffswege fortbestehen,
• ob relevante Fotos, Nachrichten oder Dokumente gesichert werden können,
• oder ob digitale Informationen für einen Rechtsstreit dokumentiert werden sollen.

Welche Daten tatsächlich zugänglich sind, hängt wesentlich von Smartphone-Modell, Betriebssystem, Sicherheitszustand, Verschlüsselung und der technisch möglichen Extraktionsart ab. Grundlagen dazu erläutern wir im Wissensbeitrag Was ist Smartphone-Forensik?.

Handy gehackt – welche Hinweise sind wirklich aussagekräftig?

Ein schnell leerer Akku, ein warmes Gerät, hoher Datenverbrauch oder gelegentliche Abstürze können zahlreiche Ursachen haben. Für sich genommen beweist keine dieser Beobachtungen eine Kompromittierung.

Forensisch interessant sind vielmehr technische Artefakte und deren Zusammenhänge. Abhängig vom Gerät können Anwendungen, Berechtigungen, Kontoinformationen, Systemdaten und weitere verfügbare Spuren untersucht werden.

Dabei muss auch ein negatives Ergebnis korrekt eingeordnet werden. Werden innerhalb der untersuchten Datenbasis keine belastbaren Hinweise gefunden, bedeutet dies nicht automatisch, dass zu keinem früheren Zeitpunkt ein Zugriff stattgefunden haben kann.

Die Reichweite eines Befundes wird immer durch die tatsächlich verfügbare Datenbasis begrenzt.

Digitale Zugriffe nach einer Trennung

Trennungs- und Beziehungskonflikte gehören zu den sensibelsten Bereichen der privaten IT-Forensik. Häufig besteht der Verdacht, dass ein ehemaliger Partner weiterhin Zugriff auf persönliche Kommunikation, Fotos oder andere Informationen besitzt.

Gerade in langjährigen Beziehungen wurden digitale Dienste jedoch oft gemeinsam eingerichtet. Passwörter waren bekannt, Tablets wurden gemeinsam verwendet, Familienfunktionen aktiviert oder Benutzerkonten auf mehreren Geräten angemeldet.

Dadurch kann ein Informationszugang bestehen, ohne dass klassische Spyware installiert wurde.

Je nach Sachverhalt sollte deshalb nicht nur das Smartphone isoliert betrachtet werden. Benutzerkonten, verknüpfte Geräte, Messenger-Verbindungen und andere technisch plausible Zugangswege können ebenfalls relevant sein.

WhatsApp als Beweismittel: mehr als ein Screenshot

WhatsApp-Kommunikation spielt bei privaten Konflikten, Bedrohungen, Betrugsfällen und rechtlichen Auseinandersetzungen häufig eine zentrale Rolle.

Ein Screenshot dokumentiert allerdings zunächst nur das auf dem Bildschirm dargestellte Bild. Für eine weitergehende technische Bewertung ist die Originaldatenquelle wesentlich interessanter.

Je nach verfügbarer Extraktion können unter anderem Nachrichten, Zeitinformationen, Teilnehmerzuordnungen, Medien, Dokumente, Gruppeninformationen und weitere WhatsApp-Artefakte untersucht werden.

Die technischen Möglichkeiten erläutern wir ausführlicher unter WhatsApp-Nachrichten forensisch auswerten.

Gelöschte WhatsApp-Nachrichten – was ist noch möglich?

Die Aussage „gelöscht bedeutet immer endgültig verloren“ ist genauso unseriös wie das Versprechen, jede gelöschte Nachricht wiederherstellen zu können.

Entscheidend ist die konkrete Datenlage.

Je nach Gerät und Anwendung können beispielsweise Datenbanken, Medien, Sicherungen oder andere noch vorhandene Artefakte relevant sein. Ein älterer Sicherungsstand kann außerdem Informationen enthalten, die im aktuellen Datenbestand nicht mehr sichtbar sind.

Moderne Smartphones verwenden jedoch Verschlüsselung und komplexe Speichermechanismen. Eine vollständige Wiederherstellung kann deshalb niemals pauschal zugesichert werden.

Wenn gelöschte Informationen wichtig sind, sollte das Gerät möglichst wenig weiterverwendet und WhatsApp nicht vorschnell neu installiert werden.

Fotos, Videos und Dokumente forensisch untersuchen

Nicht immer geht es um Messenger. Private Auseinandersetzungen können sich ebenso um Fotos, Videos, Dokumente oder andere Dateien drehen.

Hier ist zunächst zu klären, wo die betreffende Information ursprünglich gespeichert war. Neben dem Smartphone selbst können Backups, synchronisierte Datenbestände oder weitere Geräte relevant sein.

Bei gelöschten Dateien gilt auch hier: Die Wiederherstellungsmöglichkeiten hängen von Speichertechnologie, Verschlüsselung, Löschvorgang und weiterer Nutzung ab.

iPhone und Android erfordern unterschiedliche Untersuchungswege

Ein aktuelles iPhone kann nicht wie eine klassische Festplatte untersucht werden. Dasselbe gilt für moderne Android-Smartphones.

Bei Apple-Geräten beeinflussen unter anderem Modell, iOS-Version, Gerätezustand und Sicherheitskonfiguration die verfügbaren Möglichkeiten. Android-Geräte unterscheiden sich zusätzlich erheblich nach Hersteller, Chipsatz, Android-Version und Sicherheitspatch.

Deshalb wird für jedes Gerät zunächst bestimmt, welche Art der Datensicherung beziehungsweise Extraktion technisch verfügbar und für die konkrete Fragestellung sinnvoll ist.

Weiterführende Informationen finden Sie in unseren Fachbeiträgen zur iPhone-Forensik und Android-Forensik.

Computer-Forensik für private Sachverhalte

Manche digitalen Vorgänge lassen sich nicht allein über das Smartphone verstehen. Windows-PCs, Macs und Notebooks können zusätzliche Spuren enthalten.

Abhängig vom System können unter anderem Benutzeraktivitäten, Dateisysteminformationen, Browserdaten, angeschlossene Geräte und installierte Programme untersucht werden.

Das kann beispielsweise relevant werden, wenn Messenger zusätzlich am Computer verwendet wurden, ein Benutzerkonto auf mehreren Geräten angemeldet war oder Dateien zwischen verschiedenen Systemen übertragen wurden.

Weitere technische Hintergründe finden Sie unter Was ist Computer-Forensik?.

Phishing, Onlinebetrug und kompromittierte Benutzerkonten

Nach einem Phishing- oder Betrugsvorfall besteht häufig die Sorge, das gesamte Smartphone sei übernommen worden. Das muss technisch nicht zwangsläufig der Fall sein.

Für eine sinnvolle Untersuchung sollte zunächst rekonstruiert werden, was tatsächlich vorgefallen ist: Wurde ein Link geöffnet? Wurden Zugangsdaten eingegeben? Wurde eine Datei heruntergeladen? Gab es anschließend ungewöhnliche Kontoaktivitäten?

Je nach Sachverhalt können Nachrichten, E-Mails, Browserinformationen, Downloads und weitere technische Spuren relevant sein.

Eine forensische Untersuchung kann dabei helfen, den digitalen Ablauf zu dokumentieren. Sie kann jedoch nicht automatisch die natürliche Person hinter einem betrügerischen Server, einer Telefonnummer oder einem Benutzerkonto identifizieren.

Digitale Beweise für Anwalt und gerichtliche Auseinandersetzungen

Bei privaten Streitigkeiten reicht es häufig nicht, eine Information lediglich gefunden zu haben. Entscheidend kann später sein, woher sie stammt und wie sie gesichert wurde.

Deshalb unterscheiden wir zwischen einer einfachen Sichtung und einer nachvollziehbaren forensischen Sicherung.

Bei beweisrelevanten Daten wird dokumentiert, welches Untersuchungsobjekt vorlag, welche Sicherungsmethode verwendet wurde und auf welcher Datenbasis die spätere Analyse erfolgte.

Bei geeigneten Datenbeständen können Hashwerte eingesetzt werden, um deren weitere Unverändertheit überprüfbar zu machen. Was Hashwerte leisten – und was gerade nicht – erläutert unser Beitrag zur Integrität digitaler Beweismittel.

Welche Forensiksoftware setzen wir ein?

Smartphones, Computer und Datenträger unterscheiden sich technisch erheblich. Deshalb arbeiten wir nicht mit einer einzigen Universallösung, sondern mit mehreren spezialisierten Forensiksystemen.

Cellebrite Inseyets

Cellebrite Inseyets wird insbesondere im Umfeld der Mobile-Forensik eingesetzt. Je nach Gerät und technisch verfügbarer Extraktion können Smartphone-Daten strukturiert analysiert und relevante Artefakte für die jeweilige Untersuchungsfrage ausgewertet werden.

Cellebrite Digital Collector und Inspector

Bei Computer- und Datenträgeruntersuchungen stehen mit Cellebrite Digital Collector und Inspector spezialisierte Werkzeuge für die Datenerfassung und anschließende Untersuchung digitaler Datenbestände zur Verfügung.

X-Ways Forensics

X-Ways Forensics ermöglicht tiefgehende Untersuchungen von Dateisystemen, Datenträgern, Partitionen und weiteren computerforensischen Strukturen. Gerade bei detaillierten Dateisystemanalysen kann dies von besonderer Bedeutung sein.

MOBILedit Forensic und MEFF 3 Pro

MOBILedit Forensic und MEFF 3 Pro ergänzen die Möglichkeiten bei mobilen Untersuchungen und können abhängig von Gerät und Aufgabenstellung zusätzliche Analysewege eröffnen.

Die eingesetzte Software entscheidet jedoch nicht allein über die Qualität des Ergebnisses. Automatisch erzeugte Treffer müssen fachlich geprüft und in ihrem technischen Kontext bewertet werden. Ein Softwarebericht ist deshalb nicht automatisch ein Sachverständigengutachten.

Bayreuth: Universitätsstadt, Forschungsstandort und wirtschaftliches Zentrum Oberfrankens

Bayreuth besitzt für digital-forensische Untersuchungen eine eigenständige Struktur. Neben seiner Funktion als Oberzentrum ist die Stadt durch Universität, Forschung, öffentliche Einrichtungen, Gesundheitswesen, Dienstleistungen sowie produzierende und technologieorientierte Unternehmen geprägt.

Insbesondere die Verbindung von Wissenschaft und Wirtschaft führt dazu, dass digitale Informationen sehr unterschiedliche Bedeutung besitzen können. Neben klassischen Unternehmensdaten können Forschungsunterlagen, Projektinformationen, technische Dokumentationen, Entwicklungsstände und anderes Know-how schutzwürdig sein.

Für eine forensische Untersuchung bedeutet dies: Nicht die größtmögliche Datenmenge ist das Ziel. Entscheidend ist, diejenigen Geräte und Datenquellen zu identifizieren, die für eine konkrete Fragestellung tatsächlich relevant sind.

IT-Forensik für Unternehmen und Einrichtungen in Bayreuth

Bei geschäftlichen Aufträgen stehen andere Fragen im Mittelpunkt als bei einer privaten Smartphone-Untersuchung.

Typische Anlässe können sein:

• Verdacht auf Abfluss vertraulicher Informationen,
• ungewöhnliche Dateiaktivitäten vor dem Ausscheiden eines Mitarbeiters,
• Verwendung externer USB-Datenträger,
• gelöschte oder veränderte Geschäftsdaten,
• kompromittierte Benutzerkonten oder Computer,
• interne Sicherheitsvorfälle,
• Cyberangriffe
• oder die Sicherung elektronischer Beweismittel.

Gerade bei sensiblen Unternehmens- oder Forschungsdaten sollte der Untersuchungsumfang präzise definiert werden. Eine gezielte Analyse kann aussagekräftiger sein als die undifferenzierte Auswertung großer Datenbestände.

USB-Stick gefunden – ist damit Datendiebstahl bewiesen?

Nein. Das ist ein gutes Beispiel dafür, warum technische Befunde sorgfältig formuliert werden müssen.

Unter bestimmten Voraussetzungen kann ein Computersystem dokumentieren, dass ein bestimmtes USB-Gerät angeschlossen war. Daraus folgt jedoch nicht automatisch, dass vertrauliche Dateien auf dieses Gerät kopiert wurden.

Für eine weitergehende Bewertung müssen zusätzliche Spuren betrachtet werden. Erst das Zusammenspiel mehrerer Artefakte kann gegebenenfalls einen konkreteren Ablauf stützen.

Cybervorfall: Erst reagieren oder zuerst Beweise sichern?

Beides muss aufeinander abgestimmt werden.

Bei einem laufenden Sicherheitsvorfall besitzt die Schadensbegrenzung Priorität. Gleichzeitig können unkoordinierte Neuinstallationen oder Löschmaßnahmen digitale Spuren beseitigen, die später für die Ursachenanalyse benötigt werden.

Deshalb sollte möglichst früh entschieden werden, welche Systeme isoliert, welche Daten gesichert und welche Maßnahmen dokumentiert werden müssen.

Nachvollziehbare Qualität statt automatischer Softwareberichte

Die LB Detektive GmbH verfügt über ein durch TÜV NORD zertifiziertes Qualitätsmanagementsystem nach DIN EN ISO 9001, dessen Geltungsbereich unter anderem die IT-Forensik umfasst. Ergänzend besteht eine Personenzertifizierung des Sachverständigen nach DIN EN ISO/IEC 17024.

Dabei handelt es sich um zwei unterschiedliche Ebenen: Das Qualitätsmanagement betrifft definierte organisatorische Prozesse; die Personenzertifizierung betrifft die nachgewiesene Kompetenz der zertifizierten Person.

Für den Auftraggeber sind vor allem nachvollziehbare Untersuchungsabläufe, eine kontrollierte Behandlung der Daten und eine verständliche Trennung zwischen technischem Befund und fachlicher Interpretation relevant.

Drei typische Situationen aus unserer Untersuchungspraxis

Private Kommunikation scheint nicht mehr privat zu sein

Nach einer Trennung kennt eine andere Person Inhalte, die eigentlich nur auf dem eigenen Smartphone vorhanden sein sollten. Statt sofort von Spyware auszugehen, werden mögliche technische Zugangswege eingegrenzt und die verfügbaren Daten anschließend gezielt untersucht.

Gelöschte Nachrichten werden für einen Rechtsstreit wichtig

Ein bestimmter Kommunikationsverlauf ist nicht mehr vollständig sichtbar. Zunächst wird geprüft, welche Datenquellen noch vorhanden sind. Erst danach lässt sich beurteilen, ob eine Rekonstruktion technisch überhaupt Aussicht auf Erfolg besitzt.

Unternehmensdaten könnten vor einem Mitarbeiterwechsel abgeflossen sein

In einem eng definierten Zeitraum treten ungewöhnliche Dateiaktivitäten auf. Statt daraus unmittelbar einen Datendiebstahl abzuleiten, werden relevante Computersysteme, externe Datenträger und weitere technische Spuren miteinander verglichen.

So beginnt eine forensische Untersuchung

1. Was soll geklärt werden?

Am Anfang steht keine Software, sondern eine konkrete Frage. Dadurch lässt sich bestimmen, welche digitalen Spuren überhaupt relevant sein können.

2. Welche Datenquellen kommen infrage?

Je nach Fall können Smartphone, Computer, Datenträger, Backup oder andere zugängliche Datenbestände Bedeutung besitzen.

3. Welche Sicherungsmethode ist geeignet?

Das Verfahren richtet sich nach Gerät, Betriebssystem, Verschlüsselung und Untersuchungsziel. Eine identische Bit-für-Bit-Sicherung ist bei modernen Smartphones nicht in jeder technischen Konstellation möglich.

4. Welche Spuren unterstützen oder widerlegen die Ausgangsannahme?

Die Daten werden nicht nur nach einzelnen Stichworten durchsucht. Relevante Artefakte werden technisch und zeitlich eingeordnet und, soweit sinnvoll, miteinander korreliert.

5. Was lässt sich daraus tatsächlich ableiten?

Die Ergebnisse werden so dokumentiert, dass zwischen festgestellten technischen Tatsachen, fachlicher Interpretation und nicht beantwortbaren Fragen unterschieden werden kann.

Vor der Untersuchung: Diese Fehler können digitale Spuren verändern

• Setzen Sie ein verdächtiges Smartphone nicht vorschnell zurück.
• Löschen Sie vermeintliche Spyware nicht eigenständig.
• Installieren Sie keine unbekannten Analyse- oder Bereinigungsprogramme.
• Installieren Sie WhatsApp bei wichtigen gelöschten Nachrichten nicht neu.
• Überschreiben Sie vorhandene Backups nicht unnötig.
• Nutzen Sie ein Gerät mit relevanten gelöschten Daten möglichst wenig weiter.
• Dokumentieren Sie auffällige Meldungen, Zeitpunkte und Beobachtungen.

IT-Forensik für Bayreuth und Oberfranken

Unsere Leistungen können von Privatpersonen, Unternehmen und Kanzleien aus Bayreuth sowie aus dem weiteren oberfränkischen Umfeld in Anspruch genommen werden. Dazu zählen unter anderem Kulmbach, Hof, Coburg, Forchheim, Bamberg und weitere Orte der Region.

Für Fälle mit Bezug zur Metropolregion Nürnberg steht außerdem unsere regionale Seite zur IT-Forensik Nürnberg zur Verfügung.

Häufig gestellte Fragen zur IT-Forensik in Bayreuth

Ich glaube, dass jemand mein Handy überwacht. Was sollte ich zuerst tun?

Vermeiden Sie vorschnelle Veränderungen am Gerät. Notieren oder dokumentieren Sie konkrete Auffälligkeiten und lassen Sie zunächst prüfen, welche Untersuchung anhand Ihres Geräts und der Fragestellung sinnvoll ist.

Ist eine Handyuntersuchung auch für Privatpersonen möglich?

Ja. Gerade Fremdzugriffe, Spyware-Verdacht, gelöschte Kommunikation, Account-Probleme und digitale Konflikte nach einer Trennung sind typische private Untersuchungsanlässe.

Kann festgestellt werden, ob mein Ex-Partner Zugriff auf meine Daten hat?

Je nach Ausgangslage können technische Zugangswege untersucht werden. Dazu können neben dem Smartphone auch verbundene Konten und Geräte gehören. Ob sich ein konkreter Zugriff nachweisen lässt, hängt von den vorhandenen Spuren ab.

Kann jede Spyware erkannt werden?

Nein. Eine solche Garantie wäre technisch nicht seriös. Die Nachweismöglichkeiten hängen unter anderem vom Gerät, Betriebssystem, möglichen Angriff, Zeitpunkt und verfügbaren Datenbestand ab.

Sind gelöschte WhatsApp-Nachrichten endgültig verloren?

Nicht zwangsläufig. Unter bestimmten Voraussetzungen können noch Daten oder andere relevante Artefakte vorhanden sein. Eine vollständige Wiederherstellung kann jedoch nicht zugesichert werden.

Kann geprüft werden, ob ein WhatsApp-Screenshot echt ist?

Der Screenshot selbst besitzt nur begrenzte Aussagekraft. Wenn das ursprüngliche Smartphone oder eine geeignete Extraktion verfügbar ist, können die zugrunde liegenden Kommunikationsdaten wesentlich aussagekräftiger sein.

Kann auch ein Mac oder Windows-Computer untersucht werden?

Ja. Die konkrete Vorgehensweise hängt von Hardware, Betriebssystem, Verschlüsselung, Gerätezustand und der zu beantwortenden Frage ab.

Kann ein Unternehmen feststellen lassen, ob Daten kopiert wurden?

Unter geeigneten Voraussetzungen können Dateiaktivitäten, externe Datenträger und weitere Systemartefakte untersucht werden. Ob ein bestimmter Kopiervorgang belegbar ist, muss anhand der verfügbaren Gesamtspuren bewertet werden.

Reicht ein Forensikprogramm für eine Untersuchung aus?

Software kann Daten extrahieren und Artefakte darstellen. Die fachliche Einordnung, Überprüfung von Zusammenhängen und Bewertung der Aussagekraft bleibt Aufgabe des Untersuchers.

Wie wird der Untersuchungsumfang festgelegt?

Ausgangspunkt sind Gerät, konkrete Auffälligkeit, relevanter Zeitraum und gewünschtes Untersuchungsziel. Daraus lässt sich ableiten, welche Sicherung und Analyse tatsächlich erforderlich ist.

Vertrauliche Erstaufnahme für einen Fall aus Bayreuth

Wenn Sie einen Fremdzugriff auf Ihr Smartphone vermuten, gelöschte Kommunikation benötigen oder digitale Informationen für eine Auseinandersetzung sichern möchten, sind zunächst wenige Angaben entscheidend: Welches Gerät ist betroffen? Was genau ist aufgefallen? Seit wann besteht der Verdacht? Wurde das Gerät seitdem zurückgesetzt, aktualisiert oder anderweitig verändert?

Bei Unternehmensfällen sind zusätzlich der relevante Zeitraum, die betroffenen Systeme und die konkrete Verdachtslage wichtig. Erst danach wird festgelegt, welche Sicherungs- und Untersuchungsmethode fachlich sinnvoll ist.

Weitere verständliche Erläuterungen zu Smartphone-, Computer- und Messenger-Forensik sowie zur digitalen Beweissicherung finden Sie in unserer Wissensdatenbank.