Ein fremder Zugriff auf das Smartphone, verschwundene Nachrichten, verdächtige Kontoaktivitäten oder möglicherweise kopierte Unternehmensdaten lassen sich nicht durch Vermutungen zuverlässig klären. Entscheidend ist, welche digitalen Spuren tatsächlich vorhanden sind, wie sie entstanden sein können und welche Aussage sich technisch daraus ableiten lässt.

Für Auftraggeber aus Erlangen untersuchen wir Smartphones, Computer, Datenträger und weitere digitale Beweismittel. Privatpersonen wenden sich insbesondere bei möglichen Fremdzugriffen, gelöschter Kommunikation, kompromittierten Konten oder digitalen Konflikten nach einer Trennung an die Forensik. Bei Unternehmen stehen Datenabfluss, interne Verdachtsfälle, Cybervorfälle sowie der Schutz sensibler Forschungs-, Entwicklungs- und Geschäftsdaten im Vordergrund.

Erlangen besitzt dafür einen besonderen lokalen Kontext. Wissenschaft, Forschung, Medizintechnik und technologieorientierte Unternehmen prägen den Standort und seine Verbindung zur Metropolregion Nürnberg. Wo Entwicklungswissen, personenbezogene Informationen und vertrauliche Projektdaten digital verarbeitet werden, kann eine präzise Beweissicherung entscheidend dafür sein, einen Vorfall technisch nachvollziehbar zu rekonstruieren.

IT-Forensik in Erlangen: Was lässt sich tatsächlich nachweisen?

Professionelle IT-Forensik beginnt mit einer konkreten Frage. Wurde auf ein Smartphone unbefugt zugegriffen? Sind Spuren einer gelöschten Kommunikation noch vorhanden? Wurden bestimmte Unternehmensdateien kopiert? Welche Systeme waren von einem Cybervorfall betroffen?

Erst aus der Fragestellung ergibt sich, welche Geräte und Datenquellen benötigt werden. Dabei wird zwischen beobachteten Auffälligkeiten, technischen Befunden und deren fachlicher Interpretation unterschieden. Diese Trennung verhindert, dass einzelne Artefakte vorschnell als Beweis für einen bestimmten Vorgang bewertet werden.

Handyforensik für Privatpersonen in Erlangen

Smartphones gehören zu den datenreichsten persönlichen Geräten. Messenger-Kommunikation, Fotos, Kontakte, E-Mails, App-Daten, Benutzerkonten, Standortinformationen und Cloud-Verbindungen können für die Rekonstruktion eines digitalen Vorgangs relevant sein.

Eine forensische Smartphone-Untersuchung kann unter anderem sinnvoll sein bei:

• Verdacht auf unbefugten Zugriff auf ein Smartphone
• möglicher Spyware oder technischer Manipulation
• unbekannten Konto- oder Geräteverbindungen
• gelöschten WhatsApp- oder Messenger-Nachrichten
• gelöschten Fotos, Videos oder anderen Daten
• digitalen Konflikten nach Trennung oder Scheidung
• Sicherung elektronischer Beweismittel für rechtliche Verfahren

Welche Informationen tatsächlich zugänglich sind, hängt vom konkreten Gerät, Betriebssystem, Sicherheitszustand, der Verschlüsselung und den noch vorhandenen Daten ab.

Handy gehackt oder überwacht?

Ein ungewöhnlich hoher Akkuverbrauch, Geräteerwärmung oder erhöhter Datenverkehr beweisen keine Überwachung. Solche Auffälligkeiten können zahlreiche reguläre technische Ursachen haben.

Bei einem konkreten Verdacht werden deshalb objektivierbare Spuren untersucht. Abhängig vom Gerät können Anwendungen, Berechtigungen, Systemartefakte, Benutzerkonten und weitere relevante Informationen einbezogen werden.

Gerade nach einer Trennung muss ein möglicher Zugriff nicht über Spyware erfolgen. Weiterhin autorisierte Geräte, bekannte Passwörter, Apple- oder Google-Konten, E-Mail-Zugänge und synchronisierte Cloud-Dienste können ebenfalls relevant sein.

Eine ergebnisoffene Untersuchung muss auch zu dem Ergebnis kommen können, dass sich für die vermutete Kompromittierung keine belastbaren technischen Hinweise feststellen lassen.

Gelöschte WhatsApp-Nachrichten und digitale Daten

Gelöschte Nachrichten oder Dateien können unter bestimmten Voraussetzungen noch rekonstruierbar sein. Eine Wiederherstellung lässt sich jedoch nicht pauschal versprechen. Moderne Smartphones verwenden Verschlüsselung, Flash-Speicher und komplexe Speichermechanismen, die die Verfügbarkeit gelöschter Daten erheblich beeinflussen.

Je nach Gerät können beispielsweise Messenger-Datenbanken, Medien, Sicherungen oder weitere Artefakte untersucht werden. Wurden wichtige Daten gelöscht, sollte das Gerät möglichst nicht zurückgesetzt oder unnötig weiterverwendet werden.

iPhone-, Android- und Mobile-Forensik

iPhone und Android erfordern unterschiedliche Untersuchungsstrategien. Bei Apple-Geräten beeinflussen unter anderem Modell, iOS-Version, Gerätezustand und Sicherheitskonfiguration die Möglichkeiten. Bei Android kommen Unterschiede zwischen Herstellern, Chipsätzen, Betriebssystemversionen und Sicherheitsupdates hinzu.

Abhängig vom Gerät können unter anderem Cellebrite UFED, MOBILedit Forensic, MEFF 3 PRO und weitere spezialisierte Systeme eingesetzt werden. Weitere Informationen finden Sie in unserem Fachbereich Mobile-Forensik.

Computer-Forensik: Nicht nur Dateien finden, sondern Abläufe rekonstruieren

Bei der Untersuchung eines Computers ist häufig der zeitliche Zusammenhang entscheidend. Wann wurde eine Datei erstellt, geöffnet, verändert oder gelöscht? Welche Benutzeraktivitäten sind noch nachvollziehbar? Welche externen Datenträger wurden angeschlossen? Welche weiteren Systemspuren passen zu dem untersuchten Zeitraum?

Windows-PCs, Macs, SSDs und andere Datenträger besitzen unterschiedliche forensische Eigenschaften. Für entsprechende Untersuchungen können unter anderem Cellebrite Collector, Cellebrite Inspector und X-Ways Forensics sowie weitere spezialisierte Werkzeuge eingesetzt werden.

Erlangen: Digitale Forensik zwischen Forschung, Medizintechnik und Technologie

Erlangens Profil schafft Fragestellungen, die sich von klassischen Handels- oder Verwaltungsstandorten unterscheiden. Forschungseinrichtungen, medizinische und medizintechnische Strukturen sowie technologieorientierte Unternehmen arbeiten mit Daten, deren Wert weit über einzelne Dateien hinausgehen kann.

Forschungsstände, technische Dokumentationen, Entwicklungsunterlagen, Projektkommunikation, personenbezogene Informationen und internes Know-how können über verschiedene Endgeräte, Benutzerkonten und Speichersysteme verteilt sein.

Bei einem konkreten Verdacht ist deshalb nicht zwangsläufig eine möglichst breite Auswertung sinnvoll. Zunächst muss festgestellt werden, welche Daten betroffen sein könnten, wo entsprechende Spuren zu erwarten sind und welcher Zeitraum für die Untersuchung tatsächlich relevant ist.

Forschungs- und Entwicklungsdaten als digitale Beweismittel

Forschungs- und Entwicklungsprojekte erzeugen häufig komplexe digitale Entstehungsgeschichten. Dateien werden über längere Zeiträume bearbeitet, kopiert, versioniert, ausgetauscht und über verschiedene Systeme synchronisiert.

Bei einem möglichen Datenabfluss kann deshalb nicht allein entscheidend sein, ob eine bestimmte Datei auf einem System vorhanden ist. Je nach Fragestellung können Dateisysteminformationen, Zeitstempel, Benutzeraktivitäten, externe Datenträger und weitere Artefakte miteinander verglichen werden.

Dabei muss zwischen einer technisch festgestellten Aktivität und ihrer Bedeutung unterschieden werden. Dass eine Datei geöffnet wurde, beweist beispielsweise nicht automatisch, dass sie anschließend an einen Dritten weitergegeben wurde.

IT-Forensik für Unternehmen in Erlangen

Unternehmensforensik wird insbesondere dann relevant, wenn ein konkreter Verdacht technisch nachvollzogen werden muss. Das kann den Abfluss vertraulicher Informationen, ungewöhnliche Dateiaktivitäten, kompromittierte Benutzerkonten oder einen Cybervorfall betreffen.

Typische Untersuchungsfragen sind:

• Wurden vertrauliche Dateien kopiert oder gelöscht?
• Welche externen Datenträger wurden verwendet?
• Gab es auffällige Aktivitäten vor einem Arbeitgeberwechsel?
• Wurde ein Benutzerkonto unbefugt genutzt?
• Welche digitalen Spuren bestehen zu einem konkreten Vorgang?
• Welche Systeme waren von einem Sicherheitsvorfall betroffen?

Datenabfluss bei Kündigung oder Arbeitgeberwechsel

Besonders zeitkritisch können Verdachtsfälle rund um Kündigung, Freistellung oder Arbeitgeberwechsel sein. Bestehen konkrete Hinweise auf eine mögliche Mitnahme von Unternehmensinformationen, sollte früh geklärt werden, welche digitalen Beweismittel erhalten werden müssen.

Je nach Fall können Arbeitsplatzrechner, Notebooks, Firmenhandys, externe Datenträger, Benutzerkonten oder weitere Systeme relevante Spuren enthalten.

Ein einzelner Befund genügt dabei häufig nicht. Der Anschluss eines USB-Datenträgers belegt beispielsweise zunächst nur dessen Verbindung mit dem Computer. Ob bestimmte Dateien darauf übertragen wurden, ist eine eigene Untersuchungsfrage.

Weitere Informationen zu solchen Sachverhalten finden Sie in unserem Bereich Datendiebstahl.

Cybervorfälle und kompromittierte Systeme

Bei einem Cybervorfall treffen zwei Anforderungen aufeinander: Ein laufender Angriff muss begrenzt werden, gleichzeitig können vorhandene digitale Spuren für die spätere Rekonstruktion relevant sein.

Eine vorschnelle Neuinstallation oder Bereinigung kann Informationen verändern. Umgekehrt darf ein kompromittiertes System nicht allein zur Beweiserhaltung unnötig weiterbetrieben werden.

Welche Datenquellen benötigt werden, hängt vom konkreten Vorfall ab. Endgeräte, Benutzerkonten, Systeminformationen, E-Mail-Daten oder weitere digitale Quellen können jeweils unterschiedliche Teile des Ereignisses dokumentieren.

Digitale Beweissicherung beginnt vor der Analyse

Die Qualität einer Untersuchung hängt nicht allein von der später eingesetzten Analysesoftware ab. Bereits die Übernahme und Sicherung eines digitalen Beweismittels kann beeinflussen, welche Aussagen später möglich sind.

Die geeignete Methode richtet sich nach Untersuchungsobjekt und technischer Ausgangslage. Ein klassischer Datenträger kann anders behandelt werden als ein verschlüsseltes Smartphone, eine SSD oder ein moderner Mac.

Bei geeigneten Sicherungen können kryptografische Hashwerte verwendet werden, um die Integrität eines Datenbestands überprüfbar zu machen. Eine dokumentierte Beweismittelkette – Chain of Custody – kann zusätzlich festhalten, wann und wie ein Untersuchungsobjekt übernommen, gesichert und bearbeitet wurde.

Cellebrite, X-Ways und spezialisierte Forensikwerkzeuge

Für unterschiedliche Untersuchungsobjekte stehen unter anderem Cellebrite UFED, Cellebrite Collector, Cellebrite Inspector, X-Ways Forensics, MOBILedit Forensic und MEFF 3 PRO sowie weitere spezialisierte Werkzeuge zur Verfügung.

Die Software allein macht jedoch noch keine belastbare Forensik. Ein Werkzeug kann Daten extrahieren, strukturieren und darstellen. Entscheidend ist die fachliche Bewertung: Wie ist ein Artefakt entstanden? Welche Aussage lässt sich daraus ableiten? Welche alternativen Erklärungen bestehen? Und wo endet die technische Aussagekraft?

Zertifizierte Qualität und Sachverständigenkompetenz

Die LB Detektive GmbH verfügt über ein durch TÜV NORD zertifiziertes Qualitätsmanagementsystem nach DIN EN ISO 9001, dessen Geltungsbereich unter anderem die IT-Forensik umfasst. Ergänzend besteht eine Personenzertifizierung des Sachverständigen nach DIN EN ISO/IEC 17024.

Damit werden organisatorisch definierte Qualitätsprozesse mit personenbezogen nachgewiesener Sachverständigenkompetenz verbunden. Für Auftraggeber sind insbesondere nachvollziehbare Untersuchungsabläufe, kontrollierte Beweismittelhandhabung und eine verständliche fachliche Dokumentation relevant.

Typische Untersuchungsfälle in Erlangen

Privatperson: Zugriff nach einer Trennung

Eine andere Person scheint weiterhin über vertrauliche Informationen zu verfügen. Untersucht werden mögliche technische Zugangswege über Smartphone, Konten, synchronisierte Geräte und bekannte Zugangsdaten, bevor eine Ursache bewertet wird.

Technologieunternehmen: Verdacht auf Abfluss von Projektinformationen

Vertrauliche Entwicklungsunterlagen scheinen außerhalb des vorgesehenen Personenkreises bekannt geworden zu sein. Statt sämtliche Unternehmensdaten auszuwerten, werden relevanter Zeitraum, betroffene Systeme und technisch geeignete Datenquellen zunächst eingegrenzt.

Mitarbeiterfall: Auffällige Aktivitäten vor dem Ausscheiden

Kurz vor einem Arbeitgeberwechsel werden ungewöhnliche Dateiaktivitäten festgestellt. Relevante Dateisystemspuren, Benutzeraktivitäten und externe Datenträger können zeitlich miteinander korreliert werden, um den Vorgang technisch einzugrenzen.

Wie läuft eine IT-forensische Untersuchung ab?

1. Untersuchungsziel festlegen

Aus dem ursprünglichen Verdacht wird eine konkrete technische Fragestellung entwickelt.

2. Relevante Beweismittel bestimmen

Es wird geprüft, welche Smartphones, Computer, Datenträger oder weiteren Datenquellen tatsächlich zur Klärung beitragen können.

3. Daten geeignet sichern

Das Sicherungsverfahren wird an Gerät, Betriebssystem und Untersuchungsziel angepasst.

4. Digitale Spuren analysieren

Relevante Artefakte werden untersucht und bei Bedarf zeitlich und sachlich mit weiteren Datenquellen abgeglichen.

5. Ergebnisse dokumentieren

Abhängig von der Beauftragung können die Feststellungen in einem strukturierten Untersuchungsbericht oder Sachverständigengutachten aufbereitet werden.

Was sollte vor einer Untersuchung vermieden werden?

• Ein möglicherweise kompromittiertes Smartphone nicht vorschnell zurücksetzen.
• Verdächtige Apps nicht eigenständig entfernen.
• Keine unbekannten Spyware- oder Reinigungsprogramme installieren.
• Computer und Datenträger nicht unnötig verändern.
• Geräte mit gelöschten Daten möglichst wenig weiterverwenden.
• Unbekannte Anmeldungen und Sicherheitsmeldungen dokumentieren.

IT-Forensik in Erlangen und der Metropolregion

Unser Einsatzgebiet umfasst neben Erlangen auch Herzogenaurach, Forchheim, Höchstadt an der Aisch, Fürth und weitere Orte der Metropolregion Nürnberg. Durch die enge wirtschaftliche und infrastrukturelle Verbindung können sowohl private als auch geschäftliche Untersuchungen aus der gesamten Region betreut werden.

Auch für Nürnberg besteht eine eigene Fachseite. Auftraggeber können einzelne Smartphones oder Computer ebenso untersuchen lassen wie komplexere Sachverhalte mit mehreren digitalen Beweismitteln.

Häufige Fragen zur IT-Forensik in Erlangen

Kann ich als Privatperson eine Handyforensik beauftragen?

Ja. Private Untersuchungen betreffen häufig mögliche Fremdzugriffe, gelöschte Kommunikation, Benutzerkonten, Smartphones oder digitale Beweismittel für persönliche und rechtliche Auseinandersetzungen.

Kann festgestellt werden, ob mein Smartphone gehackt wurde?

Vorhandene technische Spuren eines möglichen Fremdzugriffs können untersucht werden. Ob sich eine Kompromittierung tatsächlich nachweisen lässt, hängt vom Gerät, Betriebssystem, möglichen Zugriffsweg und den noch vorhandenen Daten ab.

Können gelöschte WhatsApp-Nachrichten wiederhergestellt werden?

Eine vollständige oder teilweise Rekonstruktion kann unter bestimmten technischen Voraussetzungen möglich sein. Garantieren lässt sich eine Wiederherstellung nicht.

Kann überprüft werden, ob ein ehemaliger Partner noch Zugriff auf meine Daten hat?

Je nach Sachverhalt können Smartphones, Kontoverbindungen und weitere mögliche Zugangswege untersucht werden. Neben Schadsoftware können beispielsweise weiterhin autorisierte Geräte oder bekannte Zugangsdaten relevant sein.

Können Forschungs- oder Entwicklungsdaten forensisch untersucht werden?

Ja. Je nach System und Fragestellung können beispielsweise Dateiaktivitäten, Benutzeraktivitäten, externe Datenträger und weitere digitale Artefakte untersucht und zeitlich miteinander verglichen werden.

Kann festgestellt werden, ob Dateien auf einen USB-Stick kopiert wurden?

Der Anschluss eines USB-Datenträgers und weitere Dateiaktivitäten können unter bestimmten Voraussetzungen Spuren hinterlassen. Ob sich die Übertragung konkreter Dateien nachweisen lässt, hängt von der gesamten Datenlage ab.

Können Cyberangriffe nachträglich untersucht werden?

Das kann möglich sein, wenn noch geeignete Datenquellen vorhanden sind. Welche Systeme und Informationen benötigt werden, richtet sich nach dem konkreten Angriffsszenario.

Was ist der Unterschied zwischen einem Forensikbericht und einem Sachverständigengutachten?

Ein Untersuchungsbericht dokumentiert die durchgeführten technischen Untersuchungen und Feststellungen. Ein Sachverständigengutachten beantwortet darüber hinaus eine definierte Beweis- oder Fachfrage anhand nachvollziehbar dargestellter Untersuchungs- und Bewertungsschritte.

Was kostet eine IT-forensische Untersuchung in Erlangen?

Der Aufwand hängt von Untersuchungsfrage, Geräteanzahl, Datenmenge, technischer Zugänglichkeit und gewünschter Dokumentation ab. Bei komplexeren Sachverhalten wird der erforderliche Umfang deshalb zunächst fachlich eingegrenzt.

IT-Forensik Erlangen anfragen

Für eine erste Einschätzung sind insbesondere vier Angaben hilfreich: Welches Gerät oder System ist betroffen? Was wurde konkret festgestellt? Wann fand der relevante Vorgang ungefähr statt? Und wurde das Gerät seitdem weiterverwendet, verändert oder zurückgesetzt?

Auf dieser Grundlage kann festgelegt werden, welche digitalen Beweismittel tatsächlich benötigt werden und welche Sicherungs- und Analysemethode für die konkrete Fragestellung geeignet ist. Vertiefende Fachinformationen finden Sie in unserer Wissensdatenbank zur digitalen Forensik.