Wenn Nachrichten verschwinden, ein Smartphone ungewöhnliche Aktivitäten zeigt oder sich auf einem Computer nicht erklären lässt, wann Dateien geöffnet, verändert oder übertragen wurden, entstehen schnell Vermutungen. Für eine belastbare technische Bewertung reicht das nicht aus. LB Forensik untersucht für Privatpersonen, Unternehmen und Rechtsanwälte aus Wuppertal digitale Spuren auf Smartphones, Computern, Datenträgern, Backups und zugänglichen Cloud-Daten.

Im Mittelpunkt einer IT-forensischen Untersuchung steht eine klar formulierte Frage. Welche Daten sind tatsächlich vorhanden? Welche Aktivitäten lassen sich zeitlich nachvollziehen? Gibt es technische Hinweise auf einen Fremdzugriff, eine Löschung, eine Manipulation oder einen möglichen Datenabfluss? Erst wenn die relevanten Artefakte miteinander in Beziehung gesetzt werden, entsteht aus einzelnen digitalen Spuren ein technisch nachvollziehbarer Befund.

Abhängig von Gerät, Betriebssystem und Untersuchungsziel setzen wir spezialisierte Werkzeuge wie Cellebrite, X-Ways Forensics, Belkasoft und MOBILedit Forensic ein. Die Software dient dabei der Sicherung, Aufbereitung und Analyse. Die fachliche Bewertung erfolgt anhand der zugrunde liegenden Datenstrukturen und nicht allein aufgrund einer automatisch erzeugten Programmanzeige.

IT-Forensik für Wuppertal: Leistungen und Untersuchungsbereiche

• Smartphone-Forensik für Apple iPhone und Android-Geräte
• Computer-Forensik für Windows-Systeme und Apple macOS
• Analyse von WhatsApp und weiterer digitaler Kommunikation
• Untersuchung gelöschter oder nicht mehr unmittelbar sichtbarer Daten
• Prüfung technisch feststellbarer Hinweise auf Fremdzugriffe und Kompromittierungen
• Analyse von Festplatten, SSDs, USB-Sticks und weiteren Datenträgern
• Untersuchung vorhandener Backups und zugänglicher Cloud-Daten
• Rekonstruktion relevanter Benutzer-, Datei- und Systemaktivitäten
• Analyse möglicher Datenabflüsse und interner Vorfälle
• zeitliche Korrelation digitaler Spuren aus mehreren Datenquellen
• forensische Sicherung und Integritätsprüfung digitaler Datenbestände
• nachvollziehbare Dokumentation der Untersuchungsschritte und Befunde

Technische Grundlagen, einzelne Untersuchungsverfahren und typische Beweisfragen erläutern wir vertieft in unserer Wissensdatenbank zur digitalen Forensik.

Welche Fragen kann eine digitale Untersuchung beantworten?

Digitale Forensik soll nicht möglichst viele Daten sammeln, sondern eine konkrete technische Fragestellung anhand vorhandener Spuren untersuchen. Dadurch lässt sich der relevante Datenbestand eingrenzen und vermeiden, dass einzelne Artefakte ohne Zusammenhang überinterpretiert werden.

Bei einem privaten Fall kann beispielsweise zu klären sein, ob eine WhatsApp-Kommunikation noch vorhanden ist oder ob sich Hinweise auf einen unberechtigten Zugriff auf ein Smartphone finden lassen. In einem Unternehmen kann dagegen die Frage im Mittelpunkt stehen, ob Daten auf einen externen Datenträger kopiert oder über einen Cloud-Dienst übertragen wurden.

Typische Fragestellungen sind unter anderem: Wurden Nachrichten oder Dateien gelöscht? Wann wurde eine bestimmte Datei geöffnet oder verändert? Welche Benutzeraktivitäten sind innerhalb eines bestimmten Zeitraums nachvollziehbar? Wurde ein USB-Datenträger angeschlossen? Gibt es Hinweise auf einen Fremdzugriff? Lassen sich Smartphone-, Computer- und Cloud-Artefakte zeitlich miteinander verbinden?

Ein einzelner technischer Fund liefert dabei häufig noch keine abschließende Antwort. Der Nachweis eines angeschlossenen USB-Sticks zeigt beispielsweise zunächst nur, dass dieser Datenträger mit einem System verbunden war. Ein konkreter Kopiervorgang muss anhand weiterer Spuren untersucht werden.

Smartphone-Forensik in Wuppertal

Smartphones gehören heute zu den informationsreichsten digitalen Beweismitteln. Kommunikation, Fotos, Videos, Apps, Benutzerkonten, Internetnutzung und zahlreiche Systeminformationen können auf einem einzigen Gerät zusammenlaufen.

Eine forensische Smartphone-Untersuchung beschränkt sich deshalb nicht auf die Daten, die unmittelbar auf dem Bildschirm sichtbar sind. Je nach Gerät und Extraktionsmethode können beispielsweise App-Datenbanken, Nachrichten, Medien, Browserinformationen, Anrufdaten, Dateien, Zeitstempel, Systeminformationen sowie bestimmte Standort- und Verbindungsartefakte relevant sein.

Welche Informationen tatsächlich zugänglich sind, hängt wesentlich von Gerätemodell, Betriebssystemversion, Sicherheitszustand, Verschlüsselung und verfügbarem Sicherungsverfahren ab.

iPhone-Forensik für private und geschäftliche Fälle

Bei einem Apple‑iPhone greifen Hardware, iOS und kryptografische Schutzmechanismen eng ineinander. Moderne Geräte verwenden hardwaregestützte Verschlüsselung und weitere Sicherheitsmechanismen, sodass sich die mögliche Untersuchungstiefe nicht seriös allein aus der Modellbezeichnung ableiten lässt.

Je nach technischer Ausgangssituation können Nachrichten, App-Daten, Fotos, Videos, Dateien, Browserinformationen, Zeitstempel und weitere Systemartefakte untersucht werden. Vorhandene lokale Backups oder zugängliche iCloud-Daten können zusätzliche Informationsquellen darstellen.

Eine fachgerechte Untersuchung verspricht daher keine pauschal vollständige Auslesung. Entscheidend ist, welche Daten tatsächlich gewonnen werden konnten und welche Aussage diese Informationen im konkreten Fall zulassen.

Die technischen Grundlagen und Grenzen erläutern wir ausführlich im veröffentlichten Wissensartikel Was ist iPhone-Forensik?.

Android-Forensik bei Samsung, Google, Honor und weiteren Herstellern

Android-Smartphones unterscheiden sich technisch deutlich voneinander. Hersteller, Chipsatz, Android-Version, Sicherheitspatch und individuelle Gerätekonfiguration beeinflussen, welche Sicherungs- und Extraktionsmethoden verfügbar sind.

Abhängig vom jeweiligen Gerät können Messenger-Daten, App-Datenbanken, Dateien, Fotos, Videos, Browserinformationen, Systemartefakte und weitere Nutzungsinformationen untersucht werden.

Gerade im Android-Bereich kann der Einsatz mehrerer forensischer Werkzeuge sinnvoll sein. Unterschiedliche Systeme unterstützen bestimmte Geräte und Datenstrukturen teilweise unterschiedlich tief.

WhatsApp-Nachrichten forensisch analysieren

WhatsApp gehört bei privaten Konflikten, Betrugsfällen, Stalking, arbeitsrechtlichen Fragestellungen und internen Untersuchungen regelmäßig zu den relevanten Datenquellen. Eine forensische Analyse unterscheidet sich deutlich von der bloßen Sichtung eines sichtbaren Chatverlaufs.

Je nach verfügbarem Datenbestand können Nachrichten, Zeitinformationen, Teilnehmerdaten, Gruppenstrukturen, Bilder, Videos, Dokumente, Sprachnachrichten und weitere App-Artefakte untersucht werden.

Eine vertiefende technische Darstellung finden Sie unter WhatsApp-Nachrichten forensisch auswerten.

Was ist bei gelöschten WhatsApp-Nachrichten möglich?

Gelöschte Nachrichten können unter bestimmten Voraussetzungen vollständig oder teilweise noch in einer Datenbank, einem Backup, einem Medienbestand oder einer anderen zugänglichen Datenquelle vorhanden sein. Eine Wiederherstellungsgarantie gibt es nicht.

Ob sich Inhalte rekonstruieren lassen, hängt unter anderem von Betriebssystem, WhatsApp-Version, Datenbankzustand, vorhandenen Sicherungen und der weiteren Nutzung des Smartphones ab.

Neue Nachrichten, App-Aktualisierungen, Synchronisationen und weitere Schreibvorgänge verändern den Datenbestand kontinuierlich. Ein möglicherweise beweisrelevantes Gerät sollte deshalb nicht unnötig weiterverwendet werden.

Warum ein Screenshot technisch nur begrenzte Aussagekraft besitzt

Ein Screenshot bildet zunächst lediglich die sichtbare Darstellung auf einem Bildschirm ab. Die ursprüngliche Nachrichtendatenbank, interne Kennungen, zusätzliche Zeitinformationen und weitere App-Artefakte enthält er nicht automatisch.

Steht das ursprüngliche Smartphone oder eine geeignete forensische Extraktion zur Verfügung, kann geprüft werden, ob zusätzliche Datenstrukturen vorhanden sind, die den sichtbaren Inhalt technisch stützen oder in einen anderen Zusammenhang stellen.

Computer-Forensik für Windows und macOS

Computer erzeugen während der Nutzung zahlreiche technische Spuren. Dateien werden erstellt und geöffnet, Programme gestartet, Benutzer angemeldet, Webseiten aufgerufen, externe Speicher verbunden und Daten mit lokalen oder cloudbasierten Anwendungen verarbeitet.

Abhängig von der Untersuchungsfrage können Dateisystemstrukturen, Dateimetadaten, gelöschte Dateien, Benutzerkonten, Anmeldeaktivitäten, Browserhistorien, Downloads, USB-Geräte, Programmspuren, Systemprotokolle und lokale Cloud-Synchronisationsdaten relevant sein.

Gerade bei komplexeren Sachverhalten entsteht der eigentliche Erkenntniswert häufig erst durch die Kombination verschiedener Artefakte. Eine Datei kann beispielsweise anhand ihrer Metadaten, der zuletzt verwendeten Anwendungen, vorhandener Systemspuren und weiterer Zeitinformationen untersucht werden.

Weitere Grundlagen zur Methodik erläutern wir im Wissensartikel Was ist Computer-Forensik?.

USB-Datenträger und mögliche Kopiervorgänge

Windows- und andere Betriebssysteme können Informationen darüber enthalten, welche USB-Geräte mit einem Computer verbunden wurden. Daraus lässt sich unter geeigneten Voraussetzungen erkennen, dass ein bestimmter Datenträger verwendet wurde.

Der Anschluss eines Datenträgers beweist jedoch nicht automatisch, dass Dateien übertragen wurden. Für eine weitergehende Bewertung können beispielsweise Dateizugriffe, zuletzt verwendete Dateien, Zeitstempel, Dateisysteminformationen und weitere Systemartefakte relevant sein.

Dateiverwendung und zeitliche Rekonstruktion

Je nach Dateisystem, Anwendung und Betriebssystem können verschiedene Zeitinformationen vorhanden sein. Diese können Hinweise darauf geben, wann eine Datei erstellt, verändert, geöffnet oder anderweitig verarbeitet wurde.

Zeitstempel sind jedoch keine isolierten Beweise. Kopiervorgänge, Synchronisationsdienste, Anwendungen und Systemprozesse können Zeitinformationen verändern. Deshalb sollte ihre Bedeutung anhand des technischen Kontextes beurteilt werden.

Gelöschte Daten: Wiederherstellung und forensischer Beweiswert

Datenrettung und digitale Forensik verfolgen unterschiedliche Ziele. Bei einer klassischen Datenrettung steht im Vordergrund, verlorene Dateien wieder zugänglich zu machen. Eine forensische Untersuchung fragt zusätzlich nach Herkunft, Integrität, zeitlichem Zusammenhang und technischer Bedeutung.

Ob gelöschte Daten noch rekonstruiert werden können, hängt stark vom verwendeten Speichermedium ab. Eine magnetische Festplatte, eine SSD und der Flash-Speicher eines Smartphones verhalten sich nach einem Löschvorgang technisch unterschiedlich.

Besonders bei modernen SSDs können Speicherbereinigungsmechanismen dazu führen, dass gelöschte Inhalte relativ schnell nicht mehr zugänglich sind. Bei verschlüsselten mobilen Geräten gelten wiederum andere technische Voraussetzungen.

Eine wiederhergestellte Datei ist außerdem nicht automatisch der vollständige forensische Befund. Entscheidend können zusätzlich Metadaten, Dateisysteminformationen, Zeitstempel und korrespondierende Systemartefakte sein.

Digitale Untersuchungen für Privatpersonen aus Wuppertal

Ein erheblicher Teil digital-forensischer Fragestellungen entsteht heute im privaten Umfeld. Smartphones, Messenger, Computer und Cloud-Konten können bei persönlichen Konflikten oder rechtlichen Auseinandersetzungen relevante Informationen enthalten.

Typische Anlässe sind ein möglicher Fremdzugriff auf ein Smartphone, gelöschte Kommunikation, Betrugsverdacht, Stalking oder Nachstellung, Trennung und Scheidung, bestrittene Nachrichten, verdächtige Veränderungen an Benutzerkonten oder die Sicherung digitaler Daten vor einem rechtlichen Verfahren.

Verdacht auf ein gehacktes Smartphone

Ein ungewöhnlich hoher Akkuverbrauch, Wärmeentwicklung, unbekannte Meldungen oder auffälliger Datenverkehr beweisen für sich genommen keinen Angriff. Solche Symptome können zahlreiche technische Ursachen haben.

Eine professionelle Untersuchung sollte deshalb ergebnisoffen erfolgen. Abhängig vom Gerät können Apps, Systeminformationen, Profile, Konfigurationen, Kommunikationsartefakte und weitere technische Daten auf Auffälligkeiten untersucht werden.

Auch ein negativer Befund besitzt Grenzen. Werden innerhalb des verfügbaren Datenbestands keine Hinweise auf eine Kompromittierung festgestellt, lässt sich daraus nicht automatisch ableiten, dass zu keinem früheren Zeitpunkt ein Angriff stattgefunden hat.

Trennung, Scheidung und private Streitfälle

In privaten Auseinandersetzungen ist zwischen technischer Zugriffsmöglichkeit und rechtlicher Berechtigung zu unterscheiden. Nicht alles, was technisch erreichbar ist, darf automatisch untersucht werden.

LB Forensik untersucht nur Geräte, Accounts und Datenbestände, für deren Untersuchung eine entsprechende Berechtigung besteht. Ein heimliches Auslesen fremder Smartphones oder Benutzerkonten gehört nicht zu einer zulässigen forensischen Untersuchung.

Digitale Forensik für Unternehmen im Bergischen Land

Wuppertal ist ein bedeutender Wirtschaftsstandort des Bergischen Landes. Industrie, Gesundheitswirtschaft, Handel, Dienstleistungen, Forschung und mittelständische Unternehmen verarbeiten umfangreiche geschäftliche und personenbezogene Daten. Kommt es zu einem internen Vorfall oder einem Cyberangriff, können deshalb mehrere digitale Datenquellen gleichzeitig relevant sein.

Arbeitsplatzrechner, Notebooks, Smartphones, externe Datenträger, Benutzerkonten, E-Mail-Systeme und Cloud-Anwendungen können miteinander zusammenhängen. Die Untersuchung sollte deshalb nicht automatisch auf ein einzelnes Gerät beschränkt werden.

Verdacht auf Datenabfluss oder unerlaubte Datenkopien

Bei einem möglichen Datenabfluss muss untersucht werden, welche technischen Übertragungswege überhaupt in Betracht kommen. Externe Datenträger stellen nur eine Möglichkeit dar. Je nach Sachverhalt können auch Cloud-Dienste, E-Mail, Browseraktivitäten oder andere Anwendungen relevant sein.

Eine belastbare Untersuchung versucht, mehrere unabhängige Spuren miteinander zu verbinden. Ziel ist nicht, aus einem einzelnen Fund möglichst weitreichende Schlussfolgerungen zu ziehen, sondern einen möglichen Ablauf technisch einzugrenzen.

Untersuchung nach einem Cybervorfall

Nach einem vermuteten Cyberangriff können Systemprotokolle, Benutzeraktivitäten, verdächtige Dateien, Persistenzmechanismen, Netzwerkhinweise und weitere Systemartefakte untersucht werden.

Bei einem laufenden Vorfall müssen jedoch zwei Ziele gegeneinander abgewogen werden: die Eindämmung des Angriffs und der Erhalt relevanter digitaler Spuren. Ein eingeschalteter und bereits entschlüsselter Computer kann eine andere forensische Ausgangslage darstellen als dasselbe Gerät nach einem Neustart.

Deshalb ist die pauschale Anweisung, jedes verdächtige Gerät sofort auszuschalten, fachlich nicht in jedem Fall richtig.

Cellebrite bei mobilen Datenquellen

Cellebrite setzen wir insbesondere bei der Sicherung und Analyse mobiler sowie weiterer digitaler Datenquellen ein. Welche Extraktionsmöglichkeiten zur Verfügung stehen, hängt vom jeweiligen Gerät, Betriebssystem und Sicherheitszustand ab.

Die technische Extraktion stellt dabei nur einen Arbeitsschritt dar. Entscheidend ist anschließend die fachliche Einordnung der gewonnenen Daten in Bezug auf die konkrete Untersuchungsfrage.

X-Ways Forensics bei Computern und Speichermedien

X-Ways Forensics wird insbesondere für detaillierte Untersuchungen von Computern, Festplatten, SSDs und weiteren Datenträgern eingesetzt.

Dateisystemstrukturen, Dateien, Metadaten, gelöschte Daten und weitere technische Informationen können damit gezielt analysiert werden. Dies ist insbesondere bei Fragestellungen zu Dateiverwendung, Speichermedien und rekonstruierten Dateisystemaktivitäten relevant.

Belkasoft für komplexe Artefaktanalysen

Belkasoft unterstützt die Auswertung unterschiedlicher digitaler Datenquellen und die strukturierte Korrelation relevanter Artefakte.

Bei umfangreicheren Fällen können damit beispielsweise Kommunikationsdaten, Systeminformationen und weitere digitale Spuren zeitlich miteinander in Beziehung gesetzt werden.

MOBILedit Forensic bei Smartphones

MOBILedit Forensic erweitert die technischen Möglichkeiten bei der Extraktion und Analyse mobiler Endgeräte. Insbesondere bei der großen Gerätevielfalt im Android-Bereich kann eine zusätzliche Untersuchungsmethode sinnvoll sein.

Warum mehrere Forensikwerkzeuge eingesetzt werden

Kein einzelnes Analyseprogramm unterstützt sämtliche Geräte, Betriebssysteme und Datenstrukturen gleichermaßen. Verschiedene Lösungen können denselben Datenbestand außerdem unterschiedlich erkennen und darstellen.

Bei relevanten Befunden kann deshalb eine zusätzliche Methode zur technischen Gegenprüfung sinnvoll sein. Entscheidend bleibt das zugrunde liegende Artefakt. Ein automatisch erzeugter Softwaretreffer ist noch keine abschließende forensische Bewertung.

Integrität digitaler Beweismittel

Bei einer beweisorientierten Untersuchung muss nachvollziehbar bleiben, auf welcher Datenbasis die Analyse erfolgt. Dazu gehört je nach Beweismittel eine geeignete Sicherung und Dokumentation des relevanten Datenbestands.

Hashwerte können verwendet werden, um die Integrität eines definierten Datenbestands zu kontrollieren. Sie ermöglichen den technischen Vergleich, ob sich genau diese Daten gegenüber einem dokumentierten Referenzzustand verändert haben.

Ein Hashwert beweist jedoch weder die Wahrheit eines Inhalts noch automatisch die Urheberschaft oder Vollständigkeit einer Extraktion. Die verschiedenen Aspekte müssen voneinander getrennt bewertet werden.

Eine ausführliche Erklärung finden Sie unter Integrität digitaler Beweismittel.

Chain of Custody und nachvollziehbare Beweismittelkette

Die Chain of Custody dokumentiert den Umgang mit einem digitalen Beweismittel. Sie kann insbesondere festhalten, wann ein Gerät übernommen wurde, wie es identifiziert und gesichert wurde und welche relevanten Bearbeitungsschritte oder Übergaben erfolgt sind.

Die Beweismittelkette erfüllt damit eine andere Aufgabe als ein Hashwert. Während der Hashwert einen definierten Datenbestand technisch vergleichen kann, dokumentiert die Chain of Custody den organisatorischen Umgang mit dem Untersuchungsobjekt.

Weitere Hintergründe erläutern wir im Fachartikel Chain of Custody in der digitalen Forensik.

Wie läuft eine forensische Untersuchung ab?

Fragestellung und Zeitraum festlegen

Am Anfang steht eine möglichst konkrete technische Frage. Gleichzeitig wird festgelegt, welcher Zeitraum für die Untersuchung relevant ist.

Datenquellen priorisieren

Nicht jedes vorhandene Gerät muss automatisch untersucht werden. Smartphone, Computer, Datenträger, Backup oder Cloud-Daten werden anhand ihrer Bedeutung für den Sachverhalt bewertet.

Technischen Ausgangszustand dokumentieren

Gerätemodell, Betriebssystem, Sicherheitszustand, Verschlüsselung und vorhandene Zugangsmöglichkeiten können Einfluss auf die geeignete Sicherungsmethode haben.

Relevante Daten sichern

Die technische Sicherung wird an das jeweilige Beweismittel angepasst. Soweit sinnvoll, erfolgt die spätere Analyse auf Grundlage eines definierten gesicherten Datenbestands.

Artefakte gezielt analysieren

Dateien, Datenbanken, Kommunikationsdaten und Systeminformationen werden anhand der vorher festgelegten Untersuchungsfrage ausgewertet.

Spuren miteinander korrelieren

Wenn mehrere unabhängige Artefakte denselben Vorgang betreffen, können sie zeitlich und sachlich miteinander verglichen werden. Dadurch lässt sich ein technischer Ablauf häufig genauer einordnen.

Befund und Interpretation trennen

Eine nachvollziehbare Dokumentation unterscheidet zwischen unmittelbar festgestellten Daten und den daraus gezogenen fachlichen Schlussfolgerungen. Ebenso werden technische Grenzen benannt, wenn der vorhandene Datenbestand keine eindeutige Aussage ermöglicht.

Wuppertal und das regionale Umfeld

Wuppertal ist das größte urbane Zentrum des Bergischen Landes und eng mit den Wirtschafts- und Ballungsräumen an Rhein und Ruhr verbunden. Digitale Untersuchungen können deshalb sowohl private Geräte als auch geschäftlich genutzte Systeme und standortübergreifende Datenquellen betreffen.

Zum unmittelbaren regionalen Umfeld gehören unter anderem Remscheid, Solingen, Velbert, Mettmann, Schwelm, Ennepetal, Hattingen und Sprockhövel. Auch Essen, Düsseldorf und weitere Städte des Rhein-Ruhr-Raums können bei überregionalen Sachverhalten relevant sein.

Die genannten Städte dienen ausschließlich der geografischen Einordnung. Sie werden an dieser Stelle nicht als Niederlassungen von LB Forensik dargestellt.

Bereits veröffentlichte regionale Informationen finden Sie beispielsweise zur IT-Forensik Düsseldorf und zur IT-Forensik Duisburg.

Was sollte vor einer Untersuchung vermieden werden?

Ein möglicherweise beweisrelevantes Smartphone sollte nicht vorschnell zurückgesetzt werden. Ebenso sollten verdächtige Apps, Dateien oder Benutzerkonten nicht ohne vorherige technische Bewertung gelöscht werden.

Datenrettungs-, Bereinigungs- und sogenannte Anti-Spyware-Programme können neue Dateien und Systemartefakte erzeugen und dadurch den ursprünglichen Zustand verändern.

Ein bereits ausgeschalteter Computer sollte nicht allein zur ersten Sichtung normal gestartet werden. Schon ein regulärer Betriebssystemstart kann Protokolle, Dateien und Zeitinformationen verändern.

Umgekehrt ist das sofortige Ausschalten eines eingeschalteten Geräts ebenfalls nicht in jeder Situation richtig. Insbesondere bei verschlüsselten Systemen kann der aktuelle Gerätezustand Einfluss auf die späteren Sicherungsmöglichkeiten haben.

FAQ zur digitalen Forensik in Wuppertal

Untersucht LB Forensik auch Geräte von Privatpersonen?

Ja. Privatpersonen gehören ausdrücklich zu unseren Auftraggebern. Je nach Fragestellung können Smartphones, Computer, Datenträger, vorhandene Backups und zugängliche Cloud-Daten untersucht werden.

Kann ein iPhone auf mögliche Spyware oder einen Fremdzugriff untersucht werden?

Eine forensische Untersuchung kann nach technisch feststellbaren Hinweisen auf eine mögliche Kompromittierung suchen. Welche Aussage möglich ist, hängt vom Gerät, iOS-Zustand und tatsächlich verfügbaren Datenbestand ab.

Kann eine gelöschte WhatsApp-Kommunikation noch rekonstruiert werden?

Unter bestimmten Voraussetzungen können Datenbankinformationen, Backups, Medien oder weitere Artefakte eine teilweise oder weitergehende Rekonstruktion ermöglichen. Eine vollständige Wiederherstellung kann nicht garantiert werden.

Kann festgestellt werden, ob ein Mitarbeiter Unternehmensdaten kopiert hat?

Je nach Datenlage können USB-Geräte, Dateizugriffe, Cloud-Anwendungen, Browseraktivitäten, E-Mail-Daten und weitere Systemartefakte untersucht werden. Ein einzelner technischer Fund reicht für eine belastbare Schlussfolgerung häufig nicht aus.

Kann überprüft werden, ob digitale Daten verändert wurden?

Je nach Dateityp und Datenquelle können Metadaten, Dateisysteminformationen, interne Dateistrukturen, Backups und korrespondierende Artefakte Hinweise auf Veränderungen liefern. Nicht jede Manipulation lässt sich nachträglich eindeutig rekonstruieren.

Kann ein WhatsApp-Screenshot auf Echtheit untersucht werden?

Ein Screenshot kann technisch betrachtet werden, besitzt allein jedoch begrenzte Aussagekraft. Steht das Originalgerät oder eine geeignete Extraktion zur Verfügung, können zusätzliche App- und Kommunikationsartefakte zum Vergleich herangezogen werden.

Können Smartphone, Computer und Cloud-Daten gemeinsam analysiert werden?

Ja. Wenn mehrere Datenquellen denselben Sachverhalt betreffen, können relevante Informationen miteinander verglichen und zeitlich korreliert werden.

Kann eindeutig festgestellt werden, welche Person ein Gerät benutzt hat?

Nicht automatisch. Digitale Spuren können häufig einem Gerät, Benutzerkonto oder technischen Vorgang zugeordnet werden. Daraus folgt nicht zwingend, welche natürliche Person das betreffende Gerät zu diesem Zeitpunkt tatsächlich bedient hat.

Welche Forensiksoftware verwendet LB Forensik?

Abhängig von Gerät, Datenquelle und Fragestellung kommen unter anderem Cellebrite, X-Ways Forensics, Belkasoft und MOBILedit Forensic zum Einsatz.

Was ist bei einem möglichen digitalen Beweismittel zuerst zu beachten?

Das Gerät sollte möglichst nicht unnötig verändert werden. Vor einem Reset, einer Neuinstallation, der Löschung verdächtiger Anwendungen oder einem Neustart sollte geprüft werden, ob dadurch relevante Spuren verloren gehen könnten.