IT-Forensik und Beweissicherung für Unternehmen, Kanzleien und Behörden

Grundsätzlich ist das möglich, aber nicht voraussetzungslos. Es kommt auf den Anlass an, auf die Regelung zur Privatnutzung, auf die Verhältnismäßigkeit und gegebenenfalls auf die Beteiligung des Betriebsrats.

Diese Punkte berücksichtigen wir bei der Planung der Untersuchung und stimmen sie auf Wunsch mit Ihrem Anwalt ab, damit das Ergebnis später verwendet werden kann.

Das Gerät nicht neu aufsetzen und nicht selbst hineinsehen, Konten sperren statt löschen und die Frist für eine fristlose Kündigung im Blick behalten. Danach sollte das Gerät forensisch gesichert werden.

Welche Spuren sich auswerten lassen, etwa angeschlossene USB-Datenträger oder Kopiervorgänge, klären wir im ersten Gespräch.

Das hängt vom Verfahren ab. In einem Teil der Fälle reicht die Aufbereitung aus dem XPRESS-CHECK IT bereits aus. Reicht sie nicht, erstellen unsere IT-Gutachter ein ausführliches IT-Gutachten.

Was in Ihrem Fall erforderlich ist, besprechen wir vorher mit Ihnen.

Mobile Forensic (Mobile Device Forensics) oder Smartphone Forensik bezeichnet ein Teilgebiet der digitalen Forensik, das sich mit der sicheren und gerichtsfesten Sicherung, Wiederherstellung, Analyse und Auswertung digitaler Spuren von mobilen Endgeräten wie Smartphones, Tablets oder GPS-Geräten beschäftigt.

Laut dem National Institute of Standards and Technology (NIST), Special Publication 800-101 Rev. 1, ist Mobile Forensics „die Wissenschaft, digitale Beweismittel von einem mobilen Gerät unter forensisch einwandfreien Bedingungen und unter Verwendung anerkannter Methoden wiederzugewinnen“ („Mobile device forensics is the science of recovering digital evidence from a mobile device under forensically sound conditions using accepted methods.“, NIST SP 800-101 Rev. 1).

Dabei ist es Ziel, die Integrität der Beweismittel zu wahren, Veränderungen an den Originaldaten zu vermeiden und die Erkenntnisse gerichtsverwertbar zu dokumentieren. Anwendungen finden sich typischerweise in strafrechtlichen, arbeitsrechtlichen oder zivilrechtlichen Ermittlungen, aber auch in internen Compliance-Verfahren.

Computer-Forensik (auch: Digital Computer Forensics) ist ein Teilbereich der digitalen Forensik und beschäftigt sich mit der Identifikation, Sicherung, Analyse und Dokumentation von digitalen Spuren auf IT-Systemen, insbesondere Computern und Servern. Ziel ist es, gerichtlich verwertbare Erkenntnisse über sicherheitsrelevante Vorfälle wie Datenmanipulation, unbefugte Zugriffe oder den Einsatz von Schadsoftware zu gewinnen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) versteht unter IT-Forensik die methodisch vorgenommene Datenanalyse auf Datenträgern und in Computernetzen zur Aufklärung von IT-Vorfällen (Quelle: BSI, Leitfaden IT-Forensik).

Zentrale Grundsätze sind dabei die Nachvollziehbarkeit der Untersuchungsschritte, die Integrität der gesicherten Daten sowie der Einsatz forensisch anerkannter Werkzeuge und Methoden. Typische Anwendungsfelder liegen in der Aufklärung von Cybercrime, internen Unternehmensuntersuchungen, Wirtschaftskriminalität sowie Datenschutzverstößen.

Bei der professionellen Handyforensik kommen spezialisierte Softwarelösungen zum Einsatz, die darauf ausgelegt sind, digitale Spuren sicher, vollständig und gerichtsfest zu extrahieren.

Zwei der bekanntesten und weltweit etablierten Programme sind:

• Cellebrite UFED (Universal Forensic Extraction Device): Cellebrite ist eines der führenden Tools in der mobilen Forensik. Es ermöglicht physikalische, logische und Datei-System-Extraktionen von einer Vielzahl mobiler Geräte. Neben der Datenextraktion bietet Cellebrite umfassende Analysefunktionen für Anruflisten, Nachrichten (auch gelöschte), GPS-Daten, App-Inhalte u. v. m. Cellebrite wird von Strafverfolgungsbehörden, Militär und Sachverständigen auf der ganzen Welt verwendet.
• MOBILedit Forensic (früher MOBILedit Forensic Express): Dieses Tool wird vor allem für die Analyse von Mobiltelefonen in zivilen, unternehmerischen und juristischen Kontexten eingesetzt. Es bietet eine schnelle Extraktion, Analyse und übersichtliche Berichterstellung. Besonders geschätzt wird MOBILedit für seine Benutzerfreundlichkeit und die Möglichkeit, auch ältere Geräte oder SIM-Karten auszuwerten.

Übrigens: Wir gehören zu den wenigen IT-Forensik-Unternehmen, die mit der ULTRA-Edition von MOBILedit Forensic arbeiten, und setzen Cellebrite UFED in der Regel mit ein, zu einem festen Preis.

Weitere Programme, die in spezialisierten Fällen verwendet werden, sind etwa Oxygen Forensic Detective, XRY (MSAB) oder Elcomsoft Mobile Forensic Bundle. Die Auswahl des Tools hängt von Gerätetyp, Betriebssystem, Sicherheitsniveau und dem gewünschten Untersuchungsziel ab.

MEFF M3 PRO

Der M3 PRO dient nicht primär der Datenextraktion, sondern der technischen Sicherheitsanalyse mobiler Endgeräte. Er wird von uns zusätzlich eingesetzt, wenn geprüft werden soll, ob ein Smartphone kompromittiert wurde oder Hinweise auf Hacking, Spyware, Malware, Trojaner oder verdeckte Systemeingriffe vorliegen. Analysiert werden dabei insbesondere der Systemzustand, laufende Prozesse, Konfigurationen sowie auffälliges Kommunikationsverhalten, nicht jedoch private Inhalte wie Chats oder Fotos. Die Auswertung orientiert sich an international anerkannten Prüfmethoden, unter anderem am Mobile Verification Toolkit (MVT) sowie an den von Amnesty International entwickelten Analyse- und Dokumentationsstandards. Der M3 PRO wird daher insbesondere in Fällen eingesetzt, in denen eine belastbare sicherheitstechnische Einschätzung erforderlich ist, etwa bei Verdacht auf Überwachung, Industriespionage oder gezielte Angriffe auf mobile Endgeräte.

Bei PROOF-MANAGEMENT wird dieses Analysesystem seit Februar 2026 bei Verdacht auf Smartphone-Hacking eingesetzt, nach unserer Kenntnis als erstem Haus in Deutschland.

Die digitale Forensik an Computern, ob unter Windows oder macOS, erfordert spezialisierte Softwarelösungen, die eine rechtssichere Sicherung, Analyse und Auswertung von Daten ermöglichen.

Für Windows-Systeme gelten z.B. folgende Tools als zielführend:

• X-Ways Forensics: Oft als Goldstandard in der Windows-Forensik bezeichnet. Die Software bietet extrem effiziente und tiefgehende Analysefunktionen bei gleichzeitig geringem Ressourcenverbrauch, anerkannt in Behörden, Kanzleien und spezialisierten Forensikunternehmen.
• Belkasoft X (früher Belkasoft Evidence Center): Ebenfalls weit verbreitet und stark auf die automatisierte Erkennung und Korrelation von digitalen Spuren (Chats, Passwörter, Artefakte) ausgelegt.

Für macOS-Forensik hat sich insbesondere Software von Sumuri etabliert:

• RECON LAB: Spezialisiert auf die tiefgehende, strukturierte Analyse von macOS-Systemen, inklusive Time-Machine-Backups, Spotlight- und APFS-Metadaten, Benutzerprofilen, Logfiles und mehr.
• RECON ITR: Für Sicherung und erste Sichtung von Macs, auch vor Ort. Ermöglicht erste Bewertungen, bevor ein vollständiges Image erstellt wird.

Durch den Einsatz dieser Werkzeuge lassen sich digitale Spuren gerichtsfest rekonstruieren, Datenmanipulationen nachweisen und zeitliche Abläufe rekonstruieren, sowohl im unternehmerischen Kontext als auch bei Strafverfahren.

Der Logicube Forensic Falcon ist ein dediziertes forensisches Imaging-System, also ein Spezialgerät, das nicht „irgendwie kopiert“, sondern Datenträger beweissicher sichert und die dafür notwendigen Integritätsnachweise gleich mitliefert. Wir setzen den Falcon überall dort ein, wo es darauf ankommt, Daten so zu erfassen, dass sie technisch nachvollziehbar, reproduzierbar und im Streitfall argumentationsfest sind, typischerweise als Grundlage einer späteren Auswertung (z. B. in Ermittlungs-, Compliance- oder Zivilverfahren).

Was das Gerät in der Praxis kann und warum das relevant ist:

1. Forensische 1:1-Sicherung mit Verifikation statt „Kopieren“: Der Falcon erstellt forensische Images und kann diese unmittelbar verifizieren. Dabei unterstützt er gängige Image-Formate wie dd, E01 und Ex01 (neben nativen Kopien und file-based copy; E01/Ex01 auch mit Kompression). Entscheidend ist: Im selben Arbeitsgang werden Hashwerte gebildet und zur Integritätsprüfung genutzt (u. a. MD5, SHA-1, SHA-256, teils auch Dual-Hash). Das ist der technische Kern jeder seriösen Beweissicherung: Man kann später belegen, dass das Image unverändert ist und exakt dem Quellzustand entspricht.
2. Schreibgeschützte Quellports, Minimierung des Manipulationsrisikos: Der Falcon ist so ausgelegt, dass Quellmedien über write-protected source ports angebunden werden (je nach Portkonfiguration z. B. SAS/SATA, USB, FireWire). Das ist ein wesentlicher Unterschied zu „Software-Imaging am Arbeitsplatzrechner“: Das Risiko, dass beim Anschluss am System ungewollt geschrieben, indiziert oder verändert wird, wird technisch reduziert und ist im Arbeitsablauf klar kontrollierbar.
3. Nachvollziehbarkeit durch Protokolle und Audit-Trail: In professionellen Verfahren ist nicht nur das Ergebnis wichtig, sondern auch der Weg dorthin. Der Falcon erzeugt eine saubere Protokollierung der Operationen (Imaging, Hashing/Verifikation usw.). Damit lässt sich der Sicherungsvorgang später transparent darstellen: Wer hat wann welches Medium wie gesichert, mit welchen Einstellungen und welchen Hashwerten.
4. Parallel Imaging und strukturierte Workflows: Der Falcon unterstützt „Parallel Imaging“, also die Möglichkeit, aus derselben Quelle parallel in unterschiedliche Ziele und Formate zu sichern und damit effizient und konsistent zu arbeiten, ohne die Beweiskette zu zerfasern. Auch Funktionen wie das „Pushen“ von Evidence-Files in Netzwerkziele mit Hashing/Verifikation und Log-Erzeugung sind genau auf forensische Prozesssicherheit ausgelegt.
5. Unterstützung spezieller SSD-Medien über PCIe-Kit (je nach Ausstattung): Über das passende PCIe-Kit kann der Falcon, abhängig von Setup und Adapter, auch moderne SSD-Bauformen unterstützen (z. B. M.2 PCIe AHCI/NVMe, M.2 SATA, mPCIe, mSATA). Das ist relevant, weil sich forensische Beweismittel in der Praxis längst nicht mehr auf klassische SATA-HDDs beschränken.

Warum der Einsatz „professionalitätsstiftend“ ist (ohne Marketing-Übertreibung): Wer mit einem Gerät wie dem Falcon arbeitet, zeigt, dass die Datensicherung nicht als Nebentätigkeit, sondern als forensischer Kernprozess verstanden wird: kontrollierter Zugriff, minimierte Veränderungsrisiken, standardisierte Abläufe, Hash-basierte Integritätsnachweise und belastbare Dokumentation. Genau diese Punkte machen in der Praxis den Unterschied zwischen „wir haben mal reingeschaut“ und einer Untersuchung, deren Ergebnisse man gegenüber Polizei, Staatsanwaltschaft, Gericht oder in einer internen Compliance-Auseinandersetzung seriös vertreten kann.

Wenn Datenträger wie Festplatten oder SSDs nicht mehr lesbar sind, führen wir zunächst eine strukturierte technische Ursachenanalyse durch. Ziel ist es festzustellen, ob der fehlende Zugriff auf logische Fehler, firmwarebedingte Probleme oder physische Defekte des Datenträgers zurückzuführen ist.

Sofern herkömmliche Ausleseverfahren nicht ausreichen, setzen wir bei Bedarf hochprofessionelle Spezialtechnik ein. Hierzu gehört unter anderem das System PC-3000 des Herstellers Ace Laboratory, einem international anerkannten Anbieter von professionellen Datenrettungs- und Forensiksystemen. PC-3000 wird weltweit von spezialisierten Datenrettungslaboren, forensischen Sachverständigen und Ermittlungsstellen eingesetzt und gilt als Industriestandard, wenn Datenträger mit konventionellen Methoden nicht mehr zuverlässig auslesbar sind.

PC-3000 ermöglicht einen tiefgehenden technischen Zugriff auf interne Strukturen des Datenträgers, insbesondere auf Firmware- und Service-Bereiche, die über normale Betriebssystem-Schnittstellen nicht erreichbar sind. Dadurch können fehlerhafte Zustände analysiert, instabile Datenträger kontrolliert ausgelesen und, sofern technisch möglich, ein forensisches 1:1-Abbild des Datenträgers erstellt werden.

Alle Maßnahmen erfolgen mit dem Ziel, die Beweismittelintegrität zu wahren und weitere Schäden am Originaldatenträger zu vermeiden. Die weitergehende Auswertung erfolgt ausschließlich auf Basis der erstellten Kopie. Eine vollständige Wiederherstellung aller Daten kann auch bei Einsatz professioneller Systeme wie PC-3000 nicht garantiert werden. Über technische Möglichkeiten, Erfolgsaussichten und Grenzen informieren wir transparent vor weiteren Schritten.