Ein Smartphone verhält sich plötzlich ungewöhnlich, private Informationen sind einer anderen Person bekannt oder wichtige Nachrichten wurden gelöscht. In Unternehmen können dagegen auffällige Dateiaktivitäten, verdächtige Benutzerkonten oder der mögliche Abfluss von Forschungs- und Geschäftsdaten Anlass für eine technische Untersuchung sein.

Für Auftraggeber aus Würzburg untersuchen wir Smartphones, Computer, Datenträger und weitere digitale Beweismittel mit dem Ziel, technische Tatsachen von Vermutungen zu trennen. Gerade bei privaten Fällen geht es häufig nicht darum, möglichst viele Daten auszulesen, sondern eine konkrete Frage zu beantworten: Gibt es Hinweise auf einen Fremdzugriff? Bestehen noch digitale Verbindungen zu einem früheren Partner? Sind gelöschte Kommunikationsdaten noch technisch relevant? Welche Informationen lassen sich nachvollziehbar sichern?

Würzburg besitzt zugleich einen besonderen wissenschaftlichen und wirtschaftlichen Kontext. Forschung und Entwicklung, Life Sciences, Medizintechnik, Informatik sowie Werkstoff- und Oberflächentechnologien prägen Teile des Standorts. Dadurch können neben klassischen Unternehmensdaten auch Forschungsstände, technische Dokumentationen und digitales Know-how Gegenstand einer forensischen Untersuchung werden.

IT-Forensik in Würzburg – was lässt sich technisch wirklich klären?

Digitale Forensik beginnt mit einer überprüfbaren Fragestellung. Ein unbekannter Log-in beweist noch nicht, wer tatsächlich auf ein Konto zugegriffen hat. Ein angeschlossener USB-Stick ist kein automatischer Nachweis für Datendiebstahl. Und ein auffälliger Akkuverbrauch eines Smartphones ist kein Beweis für Spyware.

Deshalb werden relevante Artefakte im Zusammenhang bewertet. Je nach Sachverhalt können Systeminformationen, Apps, Benutzerkonten, Zeitstempel, Dateisystemdaten, Messenger-Artefakte, angeschlossene Datenträger oder weitere technische Informationen miteinander verglichen werden.

Eine belastbare Untersuchung muss zugleich offen benennen, was sich anhand der vorhandenen Daten nicht sicher feststellen lässt.

Handyforensik für Privatpersonen in Würzburg

Smartphones enthalten heute einen erheblichen Teil der persönlichen Kommunikation und digitalen Identität. WhatsApp und andere Messenger, Fotos, E-Mails, Kontakte, Benutzerkonten, Cloud-Dienste und App-Daten können bei privaten Konflikten oder Sicherheitsverdacht relevante Spuren enthalten.

Typische Fragen von Privatkunden sind:

• Hat eine andere Person Zugriff auf mein Smartphone?
• Gibt es Hinweise auf eine technische Manipulation oder Spyware?
• Sind unbekannte Geräte mit meinen Konten verbunden?
• Kann mein ehemaliger Partner noch auf persönliche Daten zugreifen?
• Können gelöschte WhatsApp-Nachrichten untersucht werden?
• Sind gelöschte Fotos oder andere Dateien noch rekonstruierbar?
• Wie lassen sich digitale Beweise für eine rechtliche Auseinandersetzung sichern?

Welche Daten technisch zugänglich sind, hängt unter anderem von Gerätemodell, Betriebssystem, Verschlüsselung, Sicherheitszustand und verfügbarer Extraktionsmethode ab. Grundlagen dazu erläutert unser Wissensbeitrag Was ist Smartphone-Forensik?.

Handy gehackt oder überwacht – nicht jeder Verdacht bedeutet Spyware

Viele Betroffene vermuten zunächst eine versteckte Überwachungs-App. Tatsächlich können aber auch wesentlich einfachere Zugangswege relevant sein.

Bekannte Passwörter, weiterhin autorisierte Tablets oder Computer, verknüpfte Messenger-Geräte, gemeinsam eingerichtete Apple- oder Google-Konten sowie Cloud-Synchronisationen können dazu führen, dass Informationen weiterhin zugänglich sind.

Eine Untersuchung sollte deshalb nicht auf die Suche nach einer bestimmten Schadsoftware beschränkt werden. Abhängig vom Gerät können Anwendungen, Berechtigungen, Benutzerkonten, Systemartefakte und weitere technische Hinweise untersucht werden.

Digitale Zugriffe nach Trennung oder Beziehungskonflikt

Gerade nach einer Trennung können frühere gemeinsame digitale Strukturen problematisch werden. Ein ehemaliger Partner kann Zugangsdaten kennen, ein altes Gerät kann weiterhin autorisiert sein oder ein gemeinsames Konto kann Daten synchronisieren.

Deshalb wird zunächst geklärt, welche digitalen Zugangswege überhaupt realistisch sind. Erst danach lässt sich entscheiden, ob nur das Smartphone oder zusätzlich Konten und andere Geräte in die Untersuchung einbezogen werden sollten.

Diese Vorgehensweise hilft zugleich, unnötige Auswertungen persönlicher Daten zu vermeiden.

WhatsApp-Nachrichten technisch untersuchen

WhatsApp-Kommunikation kann bei Trennungen, Bedrohungen, Betrugsfällen, privaten Streitigkeiten oder gerichtlichen Auseinandersetzungen relevant sein.

Eine forensische Auswertung beschränkt sich nicht auf den sichtbaren Chattext. Je nach vorhandener Datenbasis können Nachrichten, Zeitstempel, Teilnehmerinformationen, Medien, Dokumente, Gruppeninformationen und weitere technische Artefakte untersucht werden.

Ein Screenshot besitzt dabei eine andere technische Aussagekraft als eine nachvollziehbar gesicherte Originaldatenquelle. Für eine tiefere Bewertung ist daher das ursprüngliche Smartphone oder eine geeignete Sicherung regelmäßig aussagekräftiger.

Weitere Details finden Sie in unserem Wissensbeitrag WhatsApp-Nachrichten forensisch auswerten.

Gelöschte WhatsApp-Nachrichten – was kann noch vorhanden sein?

Gelöschte Kommunikation ist nicht automatisch vollständig verloren. Ebenso lässt sich aber nicht seriös versprechen, dass jede gelöschte Nachricht wiederhergestellt werden kann.

Entscheidend sind Gerät, Betriebssystem, WhatsApp-Version, Datenbankzustand, vorhandene Sicherungen und die weitere Nutzung nach der Löschung. Auch ein älterer Backup-Stand kann relevant sein, wenn dort Nachrichten vorhanden waren, die im aktuellen Datenbestand fehlen.

Bei wichtigen gelöschten Informationen sollte WhatsApp deshalb nicht vorschnell neu installiert und das Smartphone möglichst nicht zurückgesetzt werden.

Gelöschte Fotos, Videos und Dokumente

Auch andere persönliche Daten können Gegenstand einer Untersuchung sein. Moderne Smartphones arbeiten allerdings mit verschlüsseltem Flash-Speicher und komplexen Speichermechanismen.

Dadurch unterscheiden sich die Möglichkeiten erheblich von klassischen Festplatten. Neben dem Gerät selbst können deshalb auch vorhandene Backups, Cloud-Synchronisationen oder weitere verbundene Systeme von Bedeutung sein.

iPhone- und Android-Forensik

iPhones und Android-Smartphones müssen technisch unterschiedlich betrachtet werden. Bei Apple-Geräten beeinflussen insbesondere Modell, iOS-Version, Gerätezustand und Sicherheitskonfiguration die Untersuchungsmöglichkeiten.

Bei Android kommen große Unterschiede zwischen Herstellern, Chipsätzen, Betriebssystemversionen und Patchständen hinzu. Deshalb wird die Sicherungs- und Extraktionsmethode für jedes Gerät individuell festgelegt.

Vertiefende Informationen finden Sie unter iPhone-Forensik und Android-Forensik.

Computer-Forensik – digitale Aktivitäten zeitlich rekonstruieren

Ein Computer kann zahlreiche Spuren enthalten, die bei normaler Nutzung nicht unmittelbar sichtbar sind. Je nach Betriebssystem können Dateisysteminformationen, Benutzeraktivitäten, Browserdaten, angeschlossene Geräte und weitere Systemartefakte relevant sein.

Besonders wichtig ist häufig die zeitliche Einordnung. Wann wurde eine Datei geöffnet oder verändert? Welche weiteren Ereignisse fanden im selben Zeitraum statt? War ein externer Datenträger angeschlossen? Welche anderen Spuren passen zu diesem Vorgang?

Mehr dazu erläutert unser Wissensbeitrag Was ist Computer-Forensik?.

Phishing, Smishing und digitale Betrugsfälle

Nach einer betrügerischen SMS, E-Mail oder Webseite besteht häufig die Sorge, das gesamte Smartphone oder der Computer sei kompromittiert worden.

Für eine technische Bewertung muss zunächst der tatsächliche Ablauf rekonstruiert werden: Welche Nachricht wurde empfangen? Welcher Link wurde geöffnet? Wurden Zugangsdaten eingegeben? Wurde eine Datei heruntergeladen? Welche ungewöhnlichen Vorgänge traten danach auf?

Je nach Sachverhalt können SMS, E-Mails, Browserdaten, Downloads und weitere technische Spuren für die Dokumentation des Vorfalls relevant sein.

Digitale Beweise für Rechtsanwälte und Gerichtsverfahren

Wer digitale Informationen später in einem Rechtsstreit verwenden möchte, sollte nicht nur auf deren sichtbaren Inhalt achten. Ebenso relevant können Herkunft, Sicherungsmethode und technische Einordnung sein.

Bei geeigneten Datenbeständen können kryptografische Hashwerte eingesetzt werden, um deren weitere Unverändertheit überprüfbar zu machen. Ein Hashwert beweist jedoch weder die Wahrheit des Inhalts noch, welche Person eine bestimmte Handlung vorgenommen hat.

Die Grenzen und Möglichkeiten erläutert unser Wissensbeitrag zur Integrität digitaler Beweismittel.

Würzburg als Forschungs-, Medizin- und Technologiestandort

Würzburg besitzt eine besondere Verbindung von Universität, Forschung, Medizin, Life Sciences und technologieorientierter Wirtschaft. Forschungsschwerpunkte bestehen unter anderem in experimenteller Biomedizin, Medizintechnik, Werkstoffen, Struktur- und Oberflächentechnologien sowie Informatik und Wirtschaftsinformatik.

Für die digitale Forensik entstehen daraus spezielle Fragestellungen. Forschungsdaten, Versuchsstände, technische Dokumentationen, Projektinformationen, personenbezogene Daten und geistiges Eigentum können einen erheblichen wissenschaftlichen und wirtschaftlichen Wert besitzen.

Solche Daten liegen häufig nicht nur auf einem einzelnen Rechner. Arbeitsplatzsysteme, Notebooks, mobile Geräte, Datenträger und weitere Datenquellen können unterschiedliche Teile eines Vorgangs dokumentieren.

Forschungs- und Entwicklungsdaten forensisch untersuchen

In Forschung und Entwicklung entstehen Daten häufig über längere Zeiträume. Dateien werden versioniert, verändert, zwischen Arbeitsplätzen ausgetauscht und auf unterschiedlichen Systemen verarbeitet.

Bei einem konkreten Verdacht auf Datenabfluss kann deshalb nicht allein relevant sein, ob eine bestimmte Datei vorhanden war. Auch Dateisysteminformationen, Zeitstempel, Benutzeraktivitäten oder externe Speichermedien können für die Rekonstruktion Bedeutung besitzen.

Ein technischer Befund darf jedoch nicht automatisch stärker interpretiert werden, als es die Daten zulassen. Dass eine Datei geöffnet wurde, beweist beispielsweise nicht, dass sie an einen Dritten weitergegeben wurde.

IT-Forensik für Unternehmen und Einrichtungen in Würzburg

Typische betriebliche Fragestellungen können sein:

• Wurden vertrauliche Geschäfts- oder Projektdaten kopiert?
• Welche externen Speichermedien wurden verwendet?
• Gab es auffällige Dateiaktivitäten vor einem Arbeitgeberwechsel?
• Wurde ein Benutzerkonto unbefugt verwendet?
• Sind Forschungs- oder Entwicklungsinformationen möglicherweise abgeflossen?
• Welche Systeme waren von einem Cybervorfall betroffen?

Der Untersuchungsumfang sollte dabei möglichst genau an der konkreten Fragestellung ausgerichtet werden. Gerade bei Forschungs-, Gesundheits- oder Personaldaten ist eine gezielte Untersuchung regelmäßig sinnvoller als eine undifferenzierte Auswertung großer Datenbestände.

Datendiebstahl bei Kündigung oder Mitarbeiterwechsel

Besonders sensibel können Vorgänge rund um Kündigung, Freistellung oder einen Wechsel zu einem Wettbewerber sein. Bestehen konkrete Hinweise auf ungewöhnliche Dateiaktivitäten, sollte früh geklärt werden, welche Systeme als mögliche Beweismittel erhalten werden müssen.

Arbeitsplatzrechner, Firmenhandys, Notebooks, externe Datenträger und weitere Datenquellen können unterschiedliche technische Spuren enthalten.

Der Nachweis, dass ein USB-Stick angeschlossen wurde, ist dabei lediglich ein Teilbefund. Ob bestimmte Dateien tatsächlich übertragen wurden, muss anhand zusätzlicher Artefakte bewertet werden.

Cybervorfälle – technische Ursachen statt nur sichtbarer Folgen untersuchen

Nach einem Cybervorfall muss häufig schnell reagiert werden. Gleichzeitig können gerade die vorhandenen Systemzustände und Protokolle entscheidende Hinweise auf den Ablauf enthalten.

Eine vorschnelle Neuinstallation kann Spuren verändern. Ein kompromittiertes System darf andererseits nicht allein aus forensischen Gründen unnötig weiterbetrieben werden.

Deshalb müssen Gefahrenabwehr und Beweissicherung situationsabhängig aufeinander abgestimmt werden.

Forensische Datensicherung – die Qualität entscheidet sich vor der Analyse

Eine leistungsfähige Analysesoftware kann eine ungeeignete Datensicherung später nicht vollständig ausgleichen. Deshalb wird zunächst festgelegt, wie das jeweilige Untersuchungsobjekt sinnvoll gesichert werden kann.

Smartphone, SSD, klassischer Datenträger und moderner Computer stellen unterschiedliche technische Anforderungen. Nicht bei jedem Gerät ist dieselbe Art der Sicherung möglich oder sinnvoll.

Weitere Grundlagen erläutert unser Wissensbeitrag Forensische Datensicherung.

Unsere Forensiksoftware – unterschiedliche Werkzeuge für unterschiedliche Datenquellen

Für Smartphone-, Computer- und Datenträgeruntersuchungen setzen wir mehrere spezialisierte Systeme ein. Die Werkzeugauswahl richtet sich nach Gerät, Betriebssystem und konkreter Untersuchungsfrage.

Cellebrite Inseyets

Cellebrite Inseyets unterstützt insbesondere die strukturierte Analyse mobiler Daten. Abhängig vom Smartphone und der verfügbaren Extraktion können relevante Artefakte gezielt untersucht und miteinander in Beziehung gesetzt werden.

Cellebrite Digital Collector

Digital Collector wird für geeignete Computer- und Datenträgerakquisitionen eingesetzt. Das Vorgehen richtet sich dabei unter anderem nach Hardware, Betriebssystem, Verschlüsselung und Untersuchungsziel.

Cellebrite Inspector

Inspector ermöglicht die weitergehende Analyse computerforensischer Datenbestände und unterstützt dabei, relevante Artefakte innerhalb großer Datenmengen strukturiert auszuwerten.

X-Ways Forensics

X-Ways Forensics wird für detaillierte Untersuchungen von Dateisystemen, Datenträgern, Partitionen und weiteren computerforensischen Strukturen eingesetzt.

MOBILedit Forensic und MEFF 3 Pro

MOBILedit Forensic und MEFF 3 Pro ergänzen die Mobile-Forensik und ermöglichen abhängig vom jeweiligen Gerät zusätzliche technische Analysewege.

Entscheidend ist nicht die Zahl der Programme. Software extrahiert und strukturiert Daten. Erst die fachliche Bewertung entscheidet, welche Bedeutung ein Artefakt für die konkrete Untersuchungsfrage tatsächlich besitzt.

Zertifizierte Prozesse und sachverständige Bewertung

Die LB Detektive GmbH verfügt über ein durch TÜV NORD zertifiziertes Qualitätsmanagementsystem nach DIN EN ISO 9001, dessen Geltungsbereich unter anderem die IT-Forensik umfasst. Ergänzend besteht eine Personenzertifizierung des Sachverständigen nach DIN EN ISO/IEC 17024.

Beide Ebenen sind voneinander zu unterscheiden. DIN EN ISO 9001 betrifft definierte organisatorische Qualitätsprozesse; die Zertifizierung nach DIN EN ISO/IEC 17024 betrifft die nachgewiesene Kompetenz der zertifizierten Person.

Für Auftraggeber sind insbesondere nachvollziehbare Abläufe, kontrollierte Beweismittelhandhabung und eine fachlich verständliche Dokumentation relevant.

Drei typische Untersuchungssituationen in Würzburg

Privat: Weiterhin Zugriff nach einer Trennung?

Eine andere Person scheint weiterhin private Informationen zu kennen. Statt unmittelbar Spyware anzunehmen, werden mögliche Zugangswege über Smartphone, Benutzerkonten, Cloud-Verbindungen und verbundene Geräte eingegrenzt.

Privat: Gelöschte Kommunikation wird rechtlich relevant

Ein wichtiger Messenger-Verlauf ist nicht mehr vollständig sichtbar. Zunächst wird geprüft, welche Datenquellen noch vorhanden sind und welche technische Extraktion sinnvoll ist. Erst danach lässt sich die Aussicht auf eine Rekonstruktion seriös einschätzen.

Forschungs- oder Unternehmensumfeld: Vertrauliche Daten könnten abgeflossen sein

Innerhalb eines definierten Zeitraums werden auffällige Dateiaktivitäten festgestellt. Statt daraus unmittelbar einen Datenabfluss abzuleiten, werden relevante Systeme, Benutzeraktivitäten und externe Datenträger im Zusammenhang untersucht.

Wie läuft eine IT-forensische Untersuchung ab?

1. Untersuchungsfrage festlegen

Zu Beginn wird definiert, welcher digitale Vorgang tatsächlich geklärt werden soll.

2. Datenquellen auswählen

Nur Geräte, Datenträger oder Konten mit konkretem Bezug zur Fragestellung werden einbezogen.

3. Daten geeignet sichern

Die Sicherungsmethode wird an Gerät, Betriebssystem, Verschlüsselung und technischen Zustand angepasst.

4. Digitale Spuren analysieren

Relevante Artefakte werden technisch und zeitlich eingeordnet und bei Bedarf mit weiteren Datenquellen verglichen.

5. Ergebnisse dokumentieren

Je nach Auftrag können die Feststellungen in einem Untersuchungsbericht oder einer sachverständigen Dokumentation aufbereitet werden.

Was sollte vor einer Untersuchung vermieden werden?

• Ein möglicherweise kompromittiertes Smartphone nicht vorschnell zurücksetzen.
• Verdächtige Apps nicht eigenständig entfernen.
• WhatsApp bei relevanten gelöschten Daten nicht neu installieren.
• Keine unbekannten Spyware- oder Bereinigungsprogramme installieren.
• Vorhandene Sicherungen nicht unüberlegt überschreiben.
• Computer oder Datenträger bei einem konkreten Datenabflussverdacht nicht unnötig verändern.

IT-Forensik in Würzburg und unsere Einsatzgebiete in Mainfranken

Unser Einsatzgebiet umfasst neben Würzburg auch Schweinfurt, Kitzingen, Ochsenfurt, Karlstadt, Marktheidenfeld, Bad Kissingen, Lohr am Main, Wertheim, Tauberbischofsheim, Bamberg und weitere Städte und Gemeinden in Mainfranken und Unterfranken.

Durch die Lage Würzburgs zwischen Mainfranken und den fränkischen Wirtschaftsräumen bestehen zudem enge Verbindungen in Richtung Nürnberg. Auftraggeber aus der Region können sowohl einzelne Smartphones und Computer als auch komplexere Sachverhalte mit mehreren digitalen Beweismitteln untersuchen lassen.

Häufige Fragen zur IT-Forensik in Würzburg

Kann ich als Privatperson mein Smartphone untersuchen lassen?

Ja. Häufige private Fragestellungen betreffen Fremdzugriffe, Spyware-Verdacht, gelöschte Nachrichten, Benutzerkonten oder digitale Beweise für persönliche und rechtliche Auseinandersetzungen.

Kann festgestellt werden, ob jemand Zugriff auf mein Handy hat?

Vorhandene technische Spuren möglicher Zugangswege können untersucht werden. Ob sich ein konkreter Zugriff nachweisen lässt, hängt vom Gerät, dem möglichen Zugriffsweg und den noch verfügbaren Daten ab.

Kann mein ehemaliger Partner ohne Spyware Zugriff auf meine Daten besitzen?

Ja. Bekannte Zugangsdaten, weiterhin autorisierte Geräte, Cloud-Konten oder bestehende Synchronisationsverbindungen können alternative Zugangswege darstellen.

Können gelöschte WhatsApp-Nachrichten untersucht werden?

Unter bestimmten Voraussetzungen können noch Daten oder technische Artefakte vorhanden sein. Eine vollständige Wiederherstellung kann jedoch nicht garantiert werden.

Können Forschungs- oder Entwicklungsdaten forensisch untersucht werden?

Ja. Entscheidend ist eine präzise Fragestellung, damit relevante Systeme und Datenquellen gezielt untersucht werden können.

Kann nachgewiesen werden, ob ein USB-Stick verwendet wurde?

Unter bestimmten Voraussetzungen können Computersysteme Spuren angeschlossener USB-Geräte enthalten. Der Nachweis der Verbindung beweist jedoch nicht automatisch die Übertragung bestimmter Dateien.

Können Cyberangriffe nachträglich analysiert werden?

Das kann möglich sein, sofern noch geeignete Endgeräte, Kontoinformationen, Protokolle oder andere relevante Datenquellen vorhanden sind.

Ist ein Softwarebericht bereits ein Gutachten?

Nein. Ein Softwarebericht stellt extrahierte oder strukturierte Daten dar. Eine sachverständige Bewertung verlangt zusätzlich eine definierte Fragestellung, technische Interpretation und nachvollziehbare Herleitung der Feststellungen.

Welche Geräte können untersucht werden?

Je nach Fragestellung können Smartphones, Windows-PCs, Macs, Notebooks, Festplatten, SSDs, USB-Datenträger und weitere digitale Systeme relevant sein.

Was kostet eine IT-forensische Untersuchung in Würzburg?

Der Aufwand richtet sich nach Untersuchungsfrage, Geräteanzahl, Datenmenge, technischer Zugänglichkeit und gewünschter Dokumentation. Bei komplexeren Fällen wird deshalb zunächst der tatsächlich erforderliche Untersuchungsumfang eingegrenzt.

IT-Forensik Würzburg vertraulich anfragen

Für eine erste Einschätzung sind insbesondere das betroffene Gerät oder System, die konkrete Auffälligkeit, der relevante Zeitraum und bereits vorgenommene Veränderungen wichtig. Diese Informationen helfen dabei, den Untersuchungsumfang sinnvoll zu bestimmen.

Weitere verständliche Erläuterungen zu Smartphone-, Messenger- und Computerforensik sowie zur digitalen Beweissicherung finden Sie in unserer Wissensdatenbank.