Wenn ein Smartphone plötzlich ungewöhnliche Aktivitäten zeigt, private Informationen einer anderen Person bekannt werden oder wichtige Nachrichten fehlen, stellt sich schnell die Frage, ob ein unbefugter Zugriff stattgefunden hat. Eine technische Untersuchung beginnt jedoch nicht mit der Annahme, dass tatsächlich Spyware, ein Hackerangriff oder eine gezielte Manipulation vorliegt. Entscheidend sind die digitalen Spuren, die auf dem Gerät und in den zugehörigen Datenquellen tatsächlich vorhanden sind.

Für Privatpersonen aus Bremen untersuchen wir Smartphones, Computer und weitere digitale Beweismittel insbesondere bei Fremdzugriffsverdacht, gelöschter Kommunikation, auffälligen Benutzerkonten oder digitalen Konflikten nach einer Trennung. Unternehmen benötigen IT-forensische Unterstützung unter anderem bei Datenabfluss, internen Verdachtsfällen, Cybervorfällen oder der möglichen Weitergabe vertraulicher Geschäfts- und Projektdaten.

Bremen besitzt dabei einen eigenen wirtschaftlichen Kontext. Hafenwirtschaft und Logistik, Luft- und Raumfahrt, Automotive sowie international vernetzte Industrieunternehmen prägen den Standort. Digitale Daten können hier sowohl persönliche Kommunikation als auch technische Dokumentationen, Lieferketteninformationen, Entwicklungsdaten oder sensible Unternehmensinformationen betreffen.

IT-Forensik in Bremen – welche digitalen Spuren sind wirklich aussagekräftig?

Eine forensische Untersuchung soll nicht möglichst viele Daten finden, sondern eine konkrete Frage beantworten. Hat jemand Zugriff auf ein Smartphone? Lassen sich Spuren einer gelöschten Kommunikation feststellen? Wurden bestimmte Dateien auf einem Firmencomputer verarbeitet? Welche Systeme waren von einem Cybervorfall betroffen?

Ein einzelnes Artefakt reicht dabei häufig nicht aus. Ein USB-Datenträger am Computer beweist noch keinen Datendiebstahl. Ein unbekannter Log-in benennt nicht automatisch die handelnde Person. Und ein erhöhter Akkuverbrauch ist kein technischer Nachweis für Smartphone-Überwachung.

Belastbarer wird eine Untersuchung, wenn mehrere technische Informationen zusammenpassen und zeitlich miteinander korreliert werden können.

Handyforensik für Privatpersonen in Bremen

Das Smartphone enthält heute einen großen Teil des persönlichen Lebens: WhatsApp und andere Messenger, Fotos, E-Mails, Kontakte, Benutzerkonten, Standortinformationen, Cloud-Verbindungen und zahlreiche App-Daten.

Eine Untersuchung kann unter anderem sinnvoll sein, wenn Sie wissen möchten:

• ob Hinweise auf einen unbefugten Zugriff vorhanden sind,
• ob ungewöhnliche Apps oder Konfigurationen festgestellt werden können,
• ob unbekannte Geräte mit Ihren Konten verbunden sind,
• ob gelöschte WhatsApp-Nachrichten noch technisch relevant sein können,
• ob nach einer Trennung weiterhin digitale Zugriffswege bestehen,
• ob Fotos, Dokumente oder andere Daten noch gesichert werden können,
• oder ob digitale Informationen für einen Rechtsstreit dokumentiert werden sollen.

Welche Daten tatsächlich untersucht werden können, hängt unter anderem von Gerät, Betriebssystem, Sicherheitszustand, Verschlüsselung und der technisch verfügbaren Extraktionsmethode ab.

Mein Handy wurde möglicherweise gehackt – was kann untersucht werden?

Bei einem konkreten Fremdzugriffsverdacht können je nach Gerät Anwendungen, Berechtigungen, Systemartefakte, Benutzerkonten und weitere technisch relevante Informationen untersucht werden.

Wichtig ist dabei, nicht ausschließlich nach klassischer Spyware zu suchen. Bekannte Passwörter, weiterhin autorisierte Geräte, gemeinsam eingerichtete Apple- oder Google-Konten, Cloud-Synchronisationen oder verknüpfte Messenger-Geräte können ebenfalls dazu führen, dass eine andere Person Informationen erhält.

Eine seriöse Untersuchung bleibt deshalb ergebnisoffen. Werden innerhalb der verfügbaren Daten keine belastbaren Hinweise auf eine Kompromittierung festgestellt, gehört auch dieser Befund zum Ergebnis.

Fremdzugriff nach einer Trennung

Gerade nach Trennungen entstehen häufig digitale Unsicherheiten. Frühere Partner haben möglicherweise gemeinsam Geräte eingerichtet, Passwörter gekannt oder Cloud- und Familienfunktionen verwendet.

Dadurch können digitale Verbindungen bestehen geblieben sein, ohne dass eine versteckte Überwachungssoftware installiert wurde.

Je nach Fall kann es deshalb sinnvoll sein, nicht nur das Smartphone selbst zu betrachten, sondern auch relevante Konten, verbundene Geräte und technisch plausible Zugangswege.

WhatsApp als digitales Beweismittel

WhatsApp-Kommunikation kann bei privaten Konflikten, Betrugsfällen, Bedrohungen oder rechtlichen Auseinandersetzungen eine erhebliche Bedeutung besitzen.

Eine forensische Auswertung beschränkt sich nicht auf den sichtbaren Text eines Chats. Je nach verfügbarer Datenbasis können Nachrichten, Zeitstempel, Teilnehmerinformationen, Medien, Dokumente, Gruppeninformationen und weitere technische Artefakte relevant sein.

Ein Screenshot besitzt dabei eine andere technische Aussagekraft als Daten aus einer nachvollziehbar gesicherten Originalquelle.

Die technischen Möglichkeiten erklären wir ausführlicher im Wissensbeitrag WhatsApp-Nachrichten forensisch auswerten.

Gelöschte Nachrichten – was kann noch vorhanden sein?

Gelöschte WhatsApp-Nachrichten oder andere Kommunikationsdaten sind nicht automatisch wiederherstellbar. Ebenso falsch wäre jedoch die pauschale Aussage, dass nach einer Löschung niemals mehr technische Informationen vorhanden sein können.

Gerät, Betriebssystem, App-Version, Datenbankzustand, vorhandene Backups und die weitere Nutzung nach der Löschung beeinflussen die Möglichkeiten erheblich.

Wenn eine spätere Untersuchung wahrscheinlich ist, sollte WhatsApp nicht vorschnell neu installiert und das Smartphone möglichst nicht zurückgesetzt werden.

Gelöschte Fotos, Videos und Dokumente

Auch gelöschte Bilder, Videos oder Dokumente können Gegenstand einer Untersuchung sein. Moderne Smartphones verwenden allerdings verschlüsselten Flash-Speicher und komplexe Speicherverwaltung.

Dadurch unterscheiden sich die Möglichkeiten deutlich von klassischen Festplatten. Neben dem Gerät selbst können deshalb auch vorhandene Backups, Cloud-Synchronisationen oder andere verbundene Systeme relevant sein.

iPhone und Android – unterschiedliche technische Voraussetzungen

Eine forensische Untersuchung muss zum jeweiligen Smartphone passen. Bei einem iPhone können Modell, iOS-Version, Gerätezustand und Sicherheitskonfiguration entscheidend sein. Bei Android unterscheiden sich zusätzlich Hersteller, Chipsätze, Betriebssystemversionen und Sicherheitspatches.

Deshalb lässt sich nicht pauschal vorhersagen, welche Daten bei jedem Gerät verfügbar sind. Die technische Ausgangslage wird individuell bewertet, bevor eine geeignete Sicherungs- und Analysemethode festgelegt wird.

Computer-Forensik bei privaten Fragestellungen

Nicht jeder digitale Vorgang lässt sich allein über das Smartphone klären. Windows-PCs, Macs oder Notebooks können zusätzliche Spuren enthalten.

Je nach System können Benutzeraktivitäten, Dateisysteminformationen, Browserdaten, angeschlossene Geräte oder lokal gespeicherte Informationen von Cloud- und Messenger-Diensten relevant sein.

Weitere Grundlagen finden Sie im Wissensbeitrag Was ist Computer-Forensik?.

Phishing, Smishing und Onlinebetrug

Nach einem betrügerischen Link oder einer Phishing-Nachricht besteht häufig die Sorge, dass das gesamte Smartphone übernommen wurde. Das muss technisch nicht der Fall sein.

Für die Untersuchung ist deshalb zunächst der Ablauf wichtig: Welche Nachricht wurde empfangen? Welcher Link wurde geöffnet? Wurden Zugangsdaten eingegeben? Wurde eine Datei geladen? Welche Auffälligkeiten traten danach auf?

Je nach Sachverhalt können SMS, E-Mails, Browserdaten, Downloads und weitere technische Informationen dazu beitragen, den Vorgang nachvollziehbar zu dokumentieren.

Digitale Beweise für Anwalt und gerichtliche Auseinandersetzungen

Wenn digitale Daten später in einer rechtlichen Auseinandersetzung eine Rolle spielen sollen, reicht der bloße Inhalt häufig nicht aus. Ebenso wichtig kann sein, nachvollziehen zu können, woher die Daten stammen und auf welcher technischen Grundlage eine Feststellung beruht.

Bei geeigneten Sicherungen können kryptografische Hashwerte verwendet werden, um die spätere Unverändertheit eines definierten Datenbestands zu prüfen. Ein Hashwert beweist jedoch weder die Wahrheit eines Inhalts noch die Person, die eine bestimmte Handlung vorgenommen hat.

Diese Abgrenzung erläutert unser Beitrag zur Integrität digitaler Beweismittel.

Bremen als maritimer, logistischer und technologischer Wirtschaftsstandort

Bremens Wirtschaftsstruktur unterscheidet sich deutlich von vielen anderen deutschen Städten. Hafenwirtschaft und internationale Logistik treffen auf Luft- und Raumfahrt, Automotive, industrielle Produktion und weitere technologieintensive Bereiche.

In solchen Unternehmen besitzen digitale Informationen häufig unmittelbaren wirtschaftlichen Wert. Lieferketteninformationen, technische Dokumentationen, Projektunterlagen, Konstruktionsdaten, Kundeninformationen und interne Kommunikation können über unterschiedliche Endgeräte und Systeme verteilt sein.

Bei einem konkreten Sicherheitsverdacht muss deshalb zunächst geklärt werden, welche Daten tatsächlich betroffen sein könnten und auf welchen Systemen relevante Spuren zu erwarten sind.

Digitale Forensik für maritime Wirtschaft und Logistik

Logistische Abläufe sind heute stark digitalisiert. Kommunikation mit Kunden und Geschäftspartnern, Waren- und Lieferinformationen, Zugriffsrechte, Dokumente und operative Prozesse werden über miteinander verbundene Systeme verarbeitet.

Bei einem Datenabfluss oder internen Verdachtsfall kann eine isolierte Betrachtung eines einzelnen Computers deshalb zu kurz greifen. Abhängig vom Sachverhalt können Arbeitsplatzsysteme, mobile Geräte, Benutzerkonten und weitere Datenquellen miteinander in Beziehung stehen.

Ziel einer Untersuchung ist jedoch nicht die vollständige Durchleuchtung sämtlicher Unternehmenssysteme, sondern die gezielte Sicherung derjenigen Spuren, die für die konkrete Fragestellung relevant sind.

Luft- und Raumfahrt – sensible Entwicklungsdaten forensisch untersuchen

Bremen besitzt eine ausgeprägte Luft- und Raumfahrtindustrie. In forschungs- und entwicklungsintensiven Bereichen können technische Dokumentationen, Projektdaten, Entwicklungsstände und internes Know-how besonders schutzwürdig sein.

Besteht ein konkreter Verdacht auf einen unbefugten Datenabfluss, können unter geeigneten Voraussetzungen Dateiaktivitäten, externe Datenträger, Benutzerkonten und weitere technische Artefakte untersucht werden.

Auch hier gilt: Dass eine Datei geöffnet wurde, beweist nicht automatisch, dass sie weitergegeben wurde. Forensische Bewertung bedeutet, technische Ereignisse nicht stärker zu interpretieren, als es der Datenbestand erlaubt.

Unternehmensforensik in Bremen

Typische betriebliche Untersuchungsfragen können sein:

• Wurden vertrauliche Dateien kopiert oder gelöscht?
• Welche externen Speichermedien wurden verwendet?
• Gab es ungewöhnliche Aktivitäten vor dem Ausscheiden eines Mitarbeiters?
• Wurde ein Unternehmensaccount unbefugt genutzt?
• Wurden sensible Projekt- oder Entwicklungsdaten möglicherweise übertragen?
• Welche Systeme waren nach einem Cybervorfall tatsächlich betroffen?

Der technische Untersuchungsumfang sollte dabei möglichst eng an die konkrete Fragestellung angepasst werden.

Datenabfluss über USB, Cloud oder Messenger

Unternehmensdaten können über unterschiedliche Wege verarbeitet oder weitergegeben werden. USB-Datenträger sind nur eine mögliche Datenquelle. Auch E-Mail, Cloud-Dienste oder Messenger können je nach Sachverhalt eine Rolle spielen.

Ein einzelnes Artefakt reicht selten aus, um einen vollständigen Datenabfluss zu beweisen. Aussagekräftiger wird eine Rekonstruktion, wenn mehrere technische Spuren zeitlich und sachlich miteinander übereinstimmen.

Cybervorfall – reagieren und Spuren erhalten

Bei einem aktiven Sicherheitsvorfall muss zunächst verhindert werden, dass zusätzliche Schäden entstehen. Gleichzeitig können unkoordinierte Lösch- oder Neuinstallationsmaßnahmen wichtige technische Spuren verändern.

Gefahrenabwehr und forensische Sicherung sollten deshalb möglichst miteinander abgestimmt werden. Welche Systeme und Daten benötigt werden, hängt vom konkreten Angriff und der Untersuchungsfrage ab.

Unsere Werkzeuge für mobile und computerbasierte Untersuchungen

Unterschiedliche Geräte erfordern unterschiedliche Forensikwerkzeuge. Deshalb setzen wir abhängig vom Untersuchungsobjekt mehrere spezialisierte Lösungen ein.

Cellebrite Inseyets

Cellebrite Inseyets unterstützt insbesondere die strukturierte Analyse mobiler Daten. Abhängig vom Gerät und der verfügbaren Extraktion können relevante Smartphone-Artefakte gezielt untersucht und miteinander in Beziehung gesetzt werden.

Cellebrite Digital Collector

Digital Collector unterstützt geeignete Akquisitionsverfahren bei Computern und digitalen Datenträgern. Welche Methode gewählt wird, richtet sich nach Betriebssystem, Hardware, Verschlüsselung und Untersuchungsziel.

Cellebrite Inspector

Inspector ermöglicht die weitergehende Untersuchung umfangreicher computerforensischer Datenbestände und unterstützt die strukturierte Analyse relevanter Artefakte.

X-Ways Forensics

X-Ways Forensics wird für tiefgehende Untersuchungen von Datenträgern, Dateisystemen, Partitionen und anderen computerforensischen Strukturen eingesetzt.

MOBILedit Forensic und MEFF 3 Pro

MOBILedit Forensic und MEFF 3 Pro ergänzen die Mobile-Forensik. Mehrere Werkzeugansätze können insbesondere dann sinnvoll sein, wenn unterschiedliche Datenarten oder gerätespezifische Strukturen untersucht werden müssen.

Software allein erzeugt jedoch keinen belastbaren Befund. Entscheidend bleibt die fachliche Interpretation der gewonnenen Artefakte.

Zertifizierte Prozesse und sachverständige Bewertung

Die LB Detektive GmbH verfügt über ein durch TÜV NORD zertifiziertes Qualitätsmanagementsystem nach DIN EN ISO 9001, dessen Geltungsbereich unter anderem die IT-Forensik umfasst. Ergänzend besteht eine Personenzertifizierung des Sachverständigen nach DIN EN ISO/IEC 17024.

Beide Ebenen erfüllen unterschiedliche Funktionen: Die DIN EN ISO 9001 betrifft definierte organisatorische Qualitätsprozesse. Die Zertifizierung nach DIN EN ISO/IEC 17024 betrifft die nachgewiesene Kompetenz der entsprechend zertifizierten Person.

Für Auftraggeber sind vor allem nachvollziehbare Untersuchungsabläufe, kontrollierte Beweismittelhandhabung und eine fachlich verständliche Bewertung entscheidend.

Drei typische Untersuchungssituationen in Bremen

Private Kommunikation scheint nicht mehr vertraulich zu sein

Nach einer Trennung kennt eine andere Person Informationen, die eigentlich nur über das eigene Smartphone oder persönliche Konten zugänglich sein sollten. Statt sofort Spyware zu unterstellen, werden mögliche technische Zugangswege eingegrenzt.

Gelöschte Nachrichten werden für eine Auseinandersetzung relevant

Ein wichtiger Kommunikationsverlauf ist nicht mehr vollständig sichtbar. Zunächst wird geprüft, welche Datenquellen und Sicherungsstände vorhanden sind. Erst danach lässt sich bewerten, ob eine weitergehende Rekonstruktion technisch sinnvoll ist.

Unternehmensdaten könnten vor einem Mitarbeiterwechsel abgeflossen sein

Innerhalb eines begrenzten Zeitraums treten ungewöhnliche Dateiaktivitäten auf. Relevante Systeme, externe Datenträger und weitere Artefakte werden im Zusammenhang untersucht, statt aus einem einzelnen Ereignis voreilige Schlüsse zu ziehen.

So läuft eine IT-forensische Untersuchung ab

1. Untersuchungsfrage festlegen

Zunächst wird geklärt, welcher konkrete technische Vorgang untersucht werden soll.

2. Relevante Datenquellen bestimmen

Nur Geräte, Datenträger oder Konten mit tatsächlichem Bezug zur Fragestellung werden einbezogen.

3. Daten geeignet sichern

Die Sicherungsmethode richtet sich nach Gerät, Betriebssystem, Verschlüsselung und technischem Zustand.

4. Digitale Spuren auswerten

Relevante Artefakte werden analysiert und bei Bedarf zeitlich oder sachlich miteinander korreliert.

5. Ergebnisse nachvollziehbar dokumentieren

Je nach Auftrag können die Feststellungen in einem Untersuchungsbericht oder in einer weitergehenden sachverständigen Dokumentation aufbereitet werden.

Was sollten Sie vor einer Untersuchung vermeiden?

• Ein verdächtiges Smartphone nicht vorschnell zurücksetzen.
• Verdächtige Apps nicht eigenständig löschen.
• WhatsApp bei relevanten gelöschten Nachrichten nicht neu installieren.
• Keine unbekannten Spyware- oder Bereinigungsprogramme installieren.
• Vorhandene Backups nicht unnötig überschreiben.
• Computer oder Datenträger bei einem Datenabflussverdacht nicht unnötig verändern.

IT-Forensik in Bremen und unsere Einsatzgebiete im Norden

Unser Einsatzgebiet umfasst neben Bremen auch Bremerhaven, Delmenhorst, Oldenburg, Verden, Achim, Osterholz-Scharmbeck und weitere Städte im nordwestdeutschen Raum. Überregional bestehen außerdem enge Verbindungen zu Hannover und Hamburg.

Privatpersonen, Unternehmen und Rechtsanwälte aus der Region können sowohl einzelne Smartphones oder Computer als auch komplexere Sachverhalte mit mehreren digitalen Beweismitteln untersuchen lassen.

Häufige Fragen zur IT-Forensik in Bremen

Kann ich als Privatperson mein Handy untersuchen lassen?

Ja. Typische private Untersuchungsfälle betreffen mögliche Fremdzugriffe, gelöschte Kommunikation, Spyware-Verdacht, Benutzerkonten oder digitale Beweismittel für persönliche und rechtliche Auseinandersetzungen.

Kann festgestellt werden, ob jemand Zugriff auf mein Smartphone hat?

Vorhandene technische Spuren möglicher Zugangswege können untersucht werden. Ob sich ein konkreter Zugriff nachweisen lässt, hängt jedoch vom Gerät, dem möglichen Zugriffsweg und dem noch vorhandenen Datenbestand ab.

Kann mein ehemaliger Partner ohne Spyware Zugriff auf Daten besitzen?

Ja. Bekannte Zugangsdaten, weiterhin autorisierte Geräte, Cloud-Konten oder bestehende Synchronisationsverbindungen können alternative Zugangswege darstellen.

Können gelöschte WhatsApp-Nachrichten noch vorhanden sein?

Unter bestimmten technischen Voraussetzungen können Daten oder andere relevante Artefakte noch vorhanden sein. Eine vollständige Wiederherstellung kann jedoch nicht garantiert werden.

Kann ein Screenshot als digitaler Beweis ausreichen?

Ein Screenshot kann relevant sein, besitzt jedoch weniger technische Informationen als die zugrunde liegende Originaldatenquelle. Für eine tiefere Bewertung ist das ursprüngliche Smartphone oder eine geeignete Sicherung häufig aussagekräftiger.

Können Unternehmen prüfen lassen, ob Daten kopiert wurden?

Je nach System können Dateiaktivitäten, externe Datenträger und weitere technische Spuren untersucht werden. Ob sich die Übertragung konkreter Dateien nachweisen lässt, hängt von der verfügbaren Gesamtdatenlage ab.

Kann ein Cyberangriff im Nachhinein untersucht werden?

Das kann möglich sein, wenn noch geeignete Endgeräte, Kontodaten, Protokolle oder andere relevante Datenquellen verfügbar sind.

Welche Rolle spielen Hashwerte?

Hashwerte können dazu verwendet werden, die Unverändertheit eines definierten Datenbestands gegenüber einem dokumentierten Referenzzustand zu kontrollieren. Sie beweisen jedoch weder den Inhalt noch die Urheberschaft einer Datei.

Kann ein Sachverständigengutachten erstellt werden?

Je nach Aufgabenstellung kann neben einem technischen Untersuchungsbericht eine weitergehende sachverständige Bewertung und Dokumentation erstellt werden.

Wie werden die Kosten einer Untersuchung bestimmt?

Der Aufwand hängt von Untersuchungsfrage, Geräteanzahl, Datenmenge, technischer Zugänglichkeit und gewünschtem Dokumentationsumfang ab. Bei komplexeren Sachverhalten wird deshalb zunächst der tatsächlich erforderliche Untersuchungsumfang eingegrenzt.

IT-Forensik Bremen vertraulich anfragen

Für eine erste Einschätzung sind insbesondere vier Angaben hilfreich: Welches Gerät oder System ist betroffen? Was genau ist aufgefallen? Wann trat der relevante Vorgang ungefähr auf? Und wurde das Gerät seitdem weiterverwendet, zurückgesetzt oder anderweitig verändert?

Auf dieser Grundlage lässt sich festlegen, welche digitalen Beweismittel tatsächlich benötigt werden und welche Sicherungs- und Analysemethode für den jeweiligen Fall sinnvoll ist. Weitere technische Erläuterungen finden Sie in unserer Wissensdatenbank.