Digitale Spuren entstehen oft lange bevor überhaupt feststeht, dass sie später für eine Untersuchung benötigt werden. Ein iPhone speichert Kommunikations- und Systeminformationen, ein Windows-Rechner dokumentiert Benutzer- und Dateiaktivitäten und ein Cloud-Dienst kann zusätzliche Datenstände enthalten. LB Forensik untersucht für Privatpersonen, Unternehmen und Rechtsanwälte aus Regensburg digitale Daten auf Smartphones, Computern, Datenträgern, Backups und zugänglichen Cloud-Systemen.

Im Mittelpunkt steht eine konkrete technische Frage. Wurden Nachrichten gelöscht? Hat möglicherweise eine andere Person auf ein Smartphone zugegriffen? Wann wurde eine Datei verwendet oder verändert? Wurden Unternehmensdaten auf einen externen Datenträger kopiert? Lassen sich Ereignisse aus mehreren Geräten zeitlich miteinander verbinden? Die IT-Forensik versucht solche Vorgänge anhand tatsächlich vorhandener Artefakte zu rekonstruieren, ohne aus einzelnen technischen Funden weitergehende Schlüsse zu ziehen, als der Datenbestand zulässt.

Für die Sicherung und Analyse stehen spezialisierte Forensiksysteme zur Verfügung. Abhängig von Gerät, Betriebssystem und Untersuchungsziel setzen wir unter anderem Cellebrite, X-Ways Forensics, Belkasoft und MOBILedit Forensic ein. Kein einzelnes Werkzeug deckt sämtliche Datenquellen gleichermaßen ab. Bei relevanten Feststellungen kann deshalb auch die Gegenprüfung mit einer weiteren Methode sinnvoll sein.

IT-Forensik für Regensburg: Untersuchungsbereiche im Überblick

• Handyforensik für Apple iPhone und Android-Smartphones
• Computerforensik für Windows-PCs, Notebooks und Apple Macs
• Analyse von WhatsApp und weiterer digitaler Kommunikation
• Untersuchung gelöschter und nicht unmittelbar sichtbarer Daten
• Prüfung auf technisch feststellbare Hinweise zu Fremdzugriffen
• Analyse von Festplatten, SSDs, USB-Sticks und weiteren Speichermedien
• Auswertung vorhandener Backups und zugänglicher Cloud-Daten
• Rekonstruktion relevanter Datei-, Benutzer- und Systemaktivitäten
• Untersuchung möglicher Datenabflüsse und interner Vorfälle
• zeitliche Korrelation von Spuren aus mehreren digitalen Datenquellen
• forensische Sicherung definierter Datenbestände
• nachvollziehbare Dokumentation von Beweismitteln und Untersuchungsschritten

Technische Grundlagen und weiterführende Fragestellungen erläutern wir außerdem in unserer Wissensdatenbank zur digitalen Forensik. Dort werden einzelne Methoden und Datenquellen getrennt behandelt, sodass die regionale Leistungsseite nicht dieselben Inhalte unnötig wiederholt.

Welche digitalen Spuren können untersucht werden?

Digitale Forensik untersucht nicht nur sichtbare Dateien. Betriebssysteme, Apps und Anwendungen erzeugen während ihrer Nutzung zusätzliche Informationen, die später für die Rekonstruktion eines Vorgangs relevant sein können.

Dazu zählen je nach System beispielsweise App-Datenbanken, Kommunikationsinformationen, Dateimetadaten, Browserartefakte, Benutzeranmeldungen, Systemprotokolle, angeschlossene Datenträger, Cloud-Synchronisationen und zeitbezogene Systeminformationen.

Welche dieser Spuren tatsächlich Aussagekraft besitzen, hängt von der Untersuchungsfrage ab. Bei einem Verdacht auf Datenabfluss sind andere Artefakte relevant als bei der Frage, ob eine bestimmte Nachricht auf einem Smartphone vorhanden war oder wann eine Datei zuletzt verwendet wurde.

Handyforensik für Regensburg für iPhone und Android

Handyforensik in Regensburg befasst sich mit digitalen Spuren auf Smartphones und den damit verbundenen Datenquellen. Moderne Mobilgeräte enthalten häufig einen erheblichen Teil der privaten oder geschäftlichen Kommunikation einer Person. Messenger, Fotos, Videos, Apps, Browserdaten und Benutzerkonten befinden sich auf einem Gerät und können technisch miteinander zusammenhängen.

Eine forensische Smartphone-Untersuchung geht deshalb über das manuelle Durchsehen der sichtbaren Inhalte hinaus. Je nach Gerät und erreichbarem Datenbestand können App-Datenbanken, Nachrichten, Medien, Dateien, Anrufinformationen, Zeitstempel sowie bestimmte System-, Standort- und Verbindungsartefakte untersucht werden.

Welche Daten verfügbar sind, hängt von Hersteller, Modell, Betriebssystemversion, Sicherheitszustand, Verschlüsselung und technisch möglicher Extraktionsmethode ab.

iPhone-Forensik bei Apple-Geräten

Bei einem Apple‑iPhone wirken Hardware, iOS und kryptografische Schutzmechanismen eng zusammen. Deshalb lässt sich vor einer technischen Prüfung nicht seriös versprechen, dass sämtliche Daten eines iPhones ausgelesen werden können.

Je nach Gerätezustand können unter anderem Nachrichten, App-Daten, Fotos, Videos, Dateien, Browserinformationen, Zeitstempel und weitere Systemartefakte zur Verfügung stehen. Auch lokale Backups und berechtigt zugängliche iCloud-Daten können zusätzliche Datenquellen darstellen.

Von besonderer Bedeutung kann der aktuelle Gerätezustand sein. Ein eingeschaltetes iPhone, das seit dem letzten Neustart bereits entsperrt wurde, kann forensisch andere Möglichkeiten bieten als dasselbe Gerät unmittelbar nach einem Neustart.

Weitere technische Hintergründe finden Sie im veröffentlichten Fachartikel Was ist iPhone-Forensik?.

Android-Forensik für Samsung, Google, Honor und weitere Hersteller

Android-Smartphones bilden kein technisch einheitliches System. Hersteller, Modell, Chipsatz, Android-Version und Sicherheitspatch beeinflussen die Möglichkeiten einer forensischen Sicherung teilweise erheblich.

Abhängig vom Gerät können Messenger-Daten, App-Datenbanken, Dateien, Bilder, Videos, Browserinformationen, Systemartefakte und weitere Nutzungsinformationen relevant sein.

Gerade bei Android-Geräten ist deshalb die Auswahl des geeigneten Werkzeugs entscheidend. Unterschiedliche Forensiklösungen können je nach Hersteller und Gerät verschiedene Extraktionsmethoden oder Datenbereiche unterstützen.

WhatsApp-Kommunikation technisch untersuchen

Messenger-Daten können bei privaten Konflikten, Betrugsfällen, Stalking, arbeitsrechtlichen Sachverhalten oder internen Unternehmensuntersuchungen relevant werden. WhatsApp gehört dabei regelmäßig zu den wichtigsten mobilen Datenquellen.

Eine forensische WhatsApp-Analyse beschränkt sich nicht auf das Lesen eines sichtbaren Chats. Je nach Datenbestand können Nachrichten, Teilnehmerinformationen, Gruppenstrukturen, Zeitangaben, Bilder, Videos, Dokumente, Sprachnachrichten und weitere App-Artefakte analysiert werden.

Die technischen Möglichkeiten erläutern wir ausführlicher unter WhatsApp-Nachrichten forensisch auswerten.

Gelöschte Nachrichten: Was lässt sich noch rekonstruieren?

Eine gelöschte WhatsApp-Nachricht ist nicht automatisch wiederherstellbar. Ob noch verwertbare Artefakte vorhanden sind, hängt unter anderem von Betriebssystem, App-Version, Datenbankzustand, vorhandenen Backups und der weiteren Nutzung des Smartphones ab.

Unter geeigneten Voraussetzungen können Datenbankinformationen, Medien, Sicherungen oder andere Datenquellen eine vollständige oder teilweise Rekonstruktion ermöglichen. Eine Wiederherstellungsgarantie wäre jedoch technisch nicht seriös.

Auch ein negativer Befund muss richtig verstanden werden. Wenn in der untersuchten Datenbasis keine betreffende Nachricht gefunden wird, folgt daraus nicht automatisch, dass sie niemals existiert hat. Sie könnte beispielsweise bereits vollständig entfernt worden sein oder ausschließlich in einer nicht verfügbaren Datenquelle vorgelegen haben.

Warum ein Chat-Screenshot nicht mit einer forensischen Extraktion gleichzusetzen ist

Ein Screenshot dokumentiert lediglich die sichtbare Darstellung auf einem Bildschirm. Er enthält nicht automatisch die zugrunde liegende WhatsApp-Datenbank, interne Kennungen oder weitere App-Artefakte.

Steht das ursprüngliche Gerät oder eine geeignete Extraktion zur Verfügung, können zusätzliche technische Informationen für einen Abgleich herangezogen werden. Dadurch lässt sich die Datenbasis deutlich tiefer untersuchen als anhand eines einzelnen Bildes.

Computerforensik in Regensburg für Windows und macOS

Computerforensik in Regensburg untersucht technische Spuren auf Desktop-PCs, Notebooks, Apple Macs und den damit verbundenen Speichermedien. Ein Computer dokumentiert während seiner Nutzung zahlreiche Vorgänge, obwohl diese später nicht zwangsläufig unmittelbar sichtbar sind.

Je nach Fragestellung können Dateien, Dateisystemstrukturen, Metadaten, gelöschte Daten, Benutzerkonten, Browserinformationen, Programmaktivitäten, Systemprotokolle, externe Speichermedien und lokale Cloud-Artefakte untersucht werden.

Der wesentliche Erkenntnisgewinn entsteht häufig durch das Zusammenspiel mehrerer Spuren. Eine einzelne Zeitangabe oder ein USB-Eintrag sollte deshalb nicht ohne den dazugehörigen technischen Kontext interpretiert werden.

Die Methodik erläutern wir vertieft im Fachartikel Was ist Computer-Forensik?.

Kann die Nutzung eines USB-Sticks nachvollzogen werden?

Windows-Systeme können unterschiedliche Informationen zu angeschlossenen USB-Geräten speichern. Je nach Datenlage lassen sich beispielsweise Gerätekennungen und zeitliche Zusammenhänge feststellen.

Der technische Nachweis, dass ein USB-Stick mit einem Rechner verbunden war, beweist allerdings noch keinen Kopiervorgang. Für die Frage nach einer konkreten Datenübertragung müssen zusätzliche Artefakte betrachtet werden.

Dazu können Dateizugriffe, zuletzt verwendete Dateien, Dateisysteminformationen, Zeitstempel und weitere Benutzer- oder Systemaktivitäten gehören.

Wann wurde eine Datei erstellt, geöffnet oder verändert?

Dateisysteme und Programme können verschiedene Zeitinformationen erzeugen. Diese lassen sich abhängig vom System verwenden, um Hinweise auf Erstellung, Änderung, Zugriff oder andere Verarbeitungsvorgänge zu gewinnen.

Solche Zeitstempel dürfen jedoch nicht isoliert interpretiert werden. Kopiervorgänge, Cloud-Synchronisationen, Software und Betriebssystemprozesse können Zeitinformationen beeinflussen. Eine belastbarere Bewertung berücksichtigt deshalb mehrere zusammenpassende Artefakte.

Gelöschte Dateien, SSDs und Datenwiederherstellung

Ob gelöschte Dateien noch rekonstruiert werden können, hängt stark vom jeweiligen Speichermedium ab. Magnetische Festplatten, SSDs und der Flash-Speicher mobiler Geräte verhalten sich technisch unterschiedlich.

Bei modernen SSDs können Mechanismen zur Speicherbereinigung dazu führen, dass gelöschte Daten vergleichsweise schnell nicht mehr zugänglich sind. Weitere Faktoren sind das verwendete Dateisystem, Verschlüsselung, Zeitpunkt der Löschung und die anschließende Nutzung des Systems.

IT-Forensik geht dabei über reine Datenrettung hinaus. Soll eine Datei als digitaler Beweis bewertet werden, können zusätzlich Herkunft, Metadaten, Zeitbezug und weitere Systemartefakte relevant sein.

IT-Forensik für Privatpersonen aus Regensburg

Digitale Forensik ist nicht auf Unternehmen oder Strafverfahren beschränkt. Private Smartphones und Computer können bei persönlichen Konflikten oder rechtlichen Auseinandersetzungen erhebliche Mengen relevanter Informationen enthalten.

Privatkunden wenden sich beispielsweise an LB Forensik, wenn ein Fremdzugriff auf ein Smartphone vermutet wird, Nachrichten verschwunden sind, digitale Nachstellung vorliegt oder Kommunikation für eine rechtliche Fragestellung nachvollziehbar gesichert und technisch untersucht werden soll.

Verdacht auf ein gehacktes oder überwachtes Handy

Hoher Akkuverbrauch, Wärmeentwicklung, unbekannte Meldungen oder ungewöhnlicher Datenverkehr sind für sich genommen kein Beweis dafür, dass ein Smartphone kompromittiert wurde.

Bei einer forensischen Untersuchung wird deshalb ergebnisoffen geprüft, ob tatsächlich relevante technische Auffälligkeiten vorhanden sind. Abhängig vom Gerät können Apps, Konfigurationen, Profile, Systeminformationen, Kommunikationsartefakte und weitere Daten untersucht werden.

Ebenso wichtig ist die Grenze eines negativen Befunds. Werden im verfügbaren Datenbestand keine Hinweise auf einen Fremdzugriff festgestellt, beweist dies nicht zwingend, dass zu keinem früheren Zeitpunkt eine Kompromittierung stattgefunden hat.

Digitale Beweise bei Stalking, Trennung und persönlichen Konflikten

Messenger-Nachrichten, Dateien, Fotos, Benutzerkonten oder andere digitale Informationen können in privaten Streitfällen relevant werden. Technische Zugänglichkeit und rechtliche Berechtigung sind dabei jedoch zwei unterschiedliche Fragen.

LB Forensik untersucht nur Geräte, Accounts und Datenbestände, für deren Untersuchung eine entsprechende Berechtigung besteht. Ein heimlicher Zugriff auf fremde Smartphones oder Benutzerkonten gehört nicht zu einer zulässigen forensischen Untersuchung.

Digitale Untersuchungen für Unternehmen in Regensburg

Regensburg verbindet einen ausgeprägten Industrie- und Technologiestandort mit Hochschulen, Forschung und zahlreichen mittelständischen Unternehmen. Besonders in Bereichen wie Automobilwirtschaft, Elektrotechnik, Halbleitertechnik, IT, Sensorik und weiteren technologieorientierten Branchen entstehen umfangreiche geschäftliche Datenbestände.

Bei internen Verdachtsfällen oder IT-Sicherheitsvorfällen können deshalb mehrere Datenquellen gleichzeitig relevant werden: Arbeitsplatzrechner, Notebooks, Smartphones, externe Datenträger, E-Mail-Systeme, Benutzerkonten oder Cloud-Anwendungen.

Verdacht auf Datenabfluss durch Beschäftigte

Bei einem vermuteten Datenabfluss sollte zunächst untersucht werden, welche Übertragungswege technisch überhaupt in Betracht kommen. USB-Datenträger bilden nur eine Möglichkeit. Auch Cloud-Speicher, E-Mail, Webanwendungen oder Messenger können abhängig vom Sachverhalt relevant sein.

Eine forensische Untersuchung kann daher Dateizugriffe, externe Datenträger, Browseraktivitäten, Cloud-Artefakte und weitere Systeminformationen miteinander vergleichen.

Ein einzelnes Artefakt sollte nicht überinterpretiert werden. Erst wenn mehrere unabhängige Spuren sachlich und zeitlich zusammenpassen, kann sich ein belastbareres technisches Gesamtbild ergeben.

Analyse nach einem Cybervorfall

Nach einem vermuteten Angriff können beispielsweise Benutzeraktivitäten, Systemprotokolle, verdächtige Dateien, Persistenzmechanismen, Netzwerkhinweise und weitere Artefakte untersucht werden.

Bei einem laufenden Vorfall müssen Eindämmung und Beweiserhalt gemeinsam betrachtet werden. Ein eingeschalteter und bereits entschlüsselter Computer kann eine andere forensische Ausgangssituation darstellen als dasselbe System nach einem Neustart.

Deshalb ist die pauschale Empfehlung, jedes betroffene Gerät sofort auszuschalten, technisch nicht in jedem Fall richtig.

Cellebrite für mobile Daten und Smartphone-Analysen

Cellebrite setzen wir insbesondere für die Sicherung und Auswertung mobiler sowie weiterer digitaler Datenquellen ein. Je nach Gerät und Sicherheitszustand können unterschiedliche Extraktionsmethoden zur Verfügung stehen.

Die technische Extraktion ist jedoch nur die Grundlage der Untersuchung. Entscheidend bleibt, welche Artefakte tatsächlich vorhanden sind und wie sie in Bezug auf die konkrete Fragestellung bewertet werden.

X-Ways Forensics bei Computern und Datenträgern

X-Ways Forensics ermöglicht detaillierte Untersuchungen von Dateisystemen, Festplatten, SSDs und weiteren Speichermedien.

Damit lassen sich unter anderem vorhandene und gelöschte Dateien, Metadaten, Dateisysteminformationen und weitere technische Strukturen untersuchen. Besonders bei Fragen zu Dateiverwendung, Datenträgern oder gelöschten Informationen kann die detaillierte Dateisystemanalyse relevant sein.

Belkasoft für die Korrelation unterschiedlicher Datenquellen

Belkasoft unterstützt die strukturierte Analyse digitaler Artefakte aus unterschiedlichen Quellen. Bei umfangreicheren Fällen kann dies helfen, Kommunikation, Benutzeraktivitäten und andere Daten zeitlich und sachlich miteinander in Beziehung zu setzen.

MOBILedit Forensic als zusätzliche Methode der Handyforensik

MOBILedit Forensic ergänzt unsere Möglichkeiten bei der Extraktion und Analyse mobiler Endgeräte. Gerade aufgrund der großen technischen Vielfalt verschiedener Android-Hersteller kann eine zusätzliche Extraktions- oder Analysemethode sinnvoll sein.

Warum nicht nur ein Forensikprogramm eingesetzt wird

Forensikwerkzeuge besitzen unterschiedliche Stärken. Ein Programm kann bestimmte App-Strukturen besonders gut erkennen, während ein anderes zusätzliche Dateisysteminformationen oder andere Artefakte aufbereitet.

Bei relevanten Feststellungen kann eine zweite Methode deshalb der Plausibilisierung dienen. Maßgeblich bleibt jedoch immer die ursprüngliche Datenquelle. Ein automatisch erzeugter Softwaretreffer ist noch keine abschließende forensische Schlussfolgerung.

Digitale Beweissicherung und Datenintegrität

Bei einer beweisorientierten Untersuchung sollte nachvollziehbar bleiben, welche Datenquelle untersucht wurde und auf welchem Datenbestand die Analyse beruht. Die geeignete Sicherungsmethode richtet sich dabei nach dem jeweiligen Gerät.

Ein klassischer Datenträger kann beispielsweise unter geeigneten Voraussetzungen anders gesichert werden als ein eingeschaltetes Smartphone oder ein laufendes verschlüsseltes Computersystem.

Hashwerte können eingesetzt werden, um die Integrität eines definierten Datenbestands zu kontrollieren. Ein Hashwert zeigt jedoch nicht automatisch, dass die Sicherung vollständig war oder die spätere Interpretation eines Fundes richtig ist.

Ausführliche technische Informationen finden Sie unter Integrität digitaler Beweismittel.

Chain of Custody: vom Gerät zum dokumentierten Befund

Die Chain of Custody dokumentiert den Umgang mit einem Beweismittel. Dazu können die Übernahme eines Smartphones oder Computers, seine eindeutige Identifikation, die durchgeführten Sicherungen und weitere relevante Übergaben gehören.

Sie darf nicht mit der technischen Integritätsprüfung verwechselt werden. Ein Hashwert kontrolliert einen definierten Datenbestand. Die Beweismittelkette dokumentiert dagegen, wie mit dem Untersuchungsobjekt und den daraus erzeugten Sicherungen umgegangen wurde.

Den Unterschied erklären wir ausführlich im veröffentlichten Fachartikel Chain of Custody in der digitalen Forensik.

Wie läuft eine IT-forensische Untersuchung ab?

Fragestellung präzisieren

Zunächst wird festgelegt, welcher technische Vorgang untersucht werden soll und welcher Zeitraum dafür relevant ist.

Relevante Geräte und Datenquellen bestimmen

Nicht jedes verfügbare Gerät muss automatisch untersucht werden. Smartphone, Computer, Datenträger, Backup oder Cloud-Daten werden nach ihrer Bedeutung für die Fragestellung priorisiert.

Ausgangszustand erfassen

Gerätemodell, Betriebssystem, Sicherheitszustand, Verschlüsselung und vorhandene Zugangsmöglichkeiten können die geeignete Sicherungsstrategie beeinflussen.

Daten technisch geeignet sichern

Die Sicherungsmethode wird an das jeweilige Untersuchungsobjekt angepasst. Wo sinnvoll, erfolgt die anschließende Analyse auf Grundlage eines definierten Sicherungsbestands.

Relevante Artefakte analysieren

Dateien, Datenbanken, Kommunikationsinformationen und Systemspuren werden gezielt anhand der vorher definierten Untersuchungsfrage ausgewertet.

Unabhängige Spuren korrelieren

Wenn mehrere Datenquellen denselben Vorgang betreffen, können sie zeitlich und sachlich miteinander verglichen werden. Dadurch lässt sich ein Ereignis häufig genauer einordnen als anhand eines einzelnen Fundes.

Befund und fachliche Interpretation trennen

Die Dokumentation sollte deutlich erkennen lassen, was technisch festgestellt wurde, welche Schlussfolgerungen daraus möglich sind und an welchen Stellen der vorhandene Datenbestand keine eindeutige Aussage zulässt.

IT-Forensik im Raum Regensburg und Ostbayern

Regensburg bildet einen bedeutenden Wirtschafts-, Wissenschafts- und Technologiestandort in Ostbayern. Digitale Untersuchungen betreffen deshalb sowohl private Endgeräte als auch geschäftliche IT-Systeme aus Industrie, Technologie, Forschung, Dienstleistungen und mittelständischen Unternehmen.

Zum regionalen Umfeld gehören unter anderem Neutraubling, Bad Abbach, Kelheim, Burglengenfeld, Schwandorf, Straubing, Cham und Abensberg. Diese Orte werden hier ausschließlich zur geografischen Einordnung genannt und nicht als Niederlassungen von LB Forensik dargestellt.

Für weitere Bereiche Bayerns bestehen bereits eigenständige und verifizierte Seiten zur IT-Forensik für München, zur IT-Forensik für Ingolstadt und zur IT-Forensik für Augsburg.

Für den konkreten Untersuchungsfall ist die Stadtgrenze ohnehin zweitrangig. Entscheidend sind die vorhandenen digitalen Beweismittel, ihr Zustand, der relevante Zeitraum und die technische Fragestellung.

Was sollte vor einer forensischen Untersuchung vermieden werden?

Ein möglicherweise beweisrelevantes Smartphone sollte nicht vorschnell auf Werkseinstellungen zurückgesetzt werden. Verdächtige Apps, Nachrichten oder Dateien sollten ebenfalls nicht eigenständig entfernt werden, wenn deren Herkunft oder Nutzung später untersucht werden soll.

Datenrettungs-, Bereinigungs- und Anti-Spyware-Programme können neue Dateien und Protokolle erzeugen. Dadurch kann sich der ursprüngliche Datenbestand verändern.

Ein bereits ausgeschalteter Computer sollte nicht nur für eine erste Durchsicht normal gestartet werden. Der Betriebssystemstart erzeugt selbst neue Aktivitäten und kann vorhandene Artefakte verändern.

Umgekehrt ist das sofortige Ausschalten eines eingeschalteten Systems nicht in jeder Situation richtig. Insbesondere bei verschlüsselten Geräten kann der aktuelle Zustand Einfluss auf die späteren Sicherungsmöglichkeiten haben.

FAQ zur digitalen Forensik in Regensburg

Arbeitet LB Forensik auch für Privatpersonen aus Regensburg?

Ja. Privatpersonen können abhängig von der Fragestellung Smartphones, Computer, Datenträger, vorhandene Backups und berechtigt zugängliche Cloud-Daten untersuchen lassen.

Kann untersucht werden, ob mein Handy gehackt wurde?

Eine forensische Untersuchung kann nach technisch feststellbaren Hinweisen auf einen möglichen Fremdzugriff oder eine Kompromittierung suchen. Welche Aussage möglich ist, hängt vom konkreten Gerät und verfügbaren Datenbestand ab.

Können gelöschte WhatsApp-Nachrichten wiederhergestellt werden?

Unter bestimmten Voraussetzungen können verbliebene Datenbankinformationen, Backups, Medien oder andere Artefakte eine Rekonstruktion ermöglichen. Eine vollständige Wiederherstellung lässt sich nicht garantieren.

Kann festgestellt werden, ob Dateien auf einen USB-Stick kopiert wurden?

Der Anschluss eines USB-Datenträgers kann technisch nachweisbare Spuren hinterlassen. Ob darüber hinaus ein konkreter Dateitransfer nachvollzogen werden kann, hängt von weiteren vorhandenen Artefakten ab.

Können Smartphone und Computer gemeinsam untersucht werden?

Ja. Wenn mehrere Geräte denselben Sachverhalt betreffen, können relevante Informationen gemeinsam analysiert und zeitlich miteinander korreliert werden.

Kann festgestellt werden, wann eine Datei verwendet wurde?

Je nach Betriebssystem und Datenbestand können Dateimetadaten, Anwendungsspuren und weitere Systemartefakte Hinweise auf die Verwendung einer Datei geben. Eine einzelne Zeitangabe sollte jedoch nicht ohne technischen Kontext interpretiert werden.

Kann digitale Forensik eindeutig feststellen, welche Person gehandelt hat?

Nicht automatisch. Digitale Artefakte können häufig einem Gerät, Benutzerkonto oder technischen Vorgang zugeordnet werden. Daraus folgt nicht zwingend, welche natürliche Person das Gerät im betreffenden Moment tatsächlich bedient hat.

Kann ein WhatsApp-Screenshot technisch überprüft werden?

Ein Screenshot kann untersucht werden, enthält allein aber nur begrenzte technische Informationen. Steht das ursprüngliche Smartphone oder eine geeignete Extraktion zur Verfügung, können zusätzliche App- und Kommunikationsartefakte zum Vergleich herangezogen werden.

Welche Forensiksoftware verwendet LB Forensik?

Abhängig von Gerät, Datenquelle und Untersuchungsziel setzen wir unter anderem Cellebrite, X-Ways Forensics, Belkasoft und MOBILedit Forensic ein.

Sollte ein verdächtiges Smartphone zurückgesetzt oder neu gestartet werden?

Bei einem möglicherweise beweisrelevanten Gerät sollte dies nicht ohne vorherige technische Bewertung erfolgen. Ein Reset oder Neustart kann den verfügbaren Datenbestand und bei modernen Smartphones auch den forensisch relevanten Gerätezustand verändern.