IT-Forensik durch PROOF-MANAGEMENT

Mobile Forensic (Mobile Device Forensics) oder Smartphone Forensik bezeichnet ein Teilgebiet der digitalen Forensik, das sich mit der sicheren und gerichtsfesten Sicherung, Wiederherstellung, Analyse und Auswertung digitaler Spuren von mobilen Endgeräten wie Smartphones, Tablets oder GPS-Geräten beschäftigt.

Laut dem National Institute of Standards and Technology (NIST), Special Publication 800-101 Rev. 1, ist Mobile Forensics „die Wissenschaft, digitale Beweismittel von einem mobilen Gerät unter forensisch einwandfreien Bedingungen und unter Verwendung anerkannter Methoden wiederzugewinnen“ („Mobile device forensics is the science of recovering digital evidence from a mobile device under forensically sound conditions using accepted methods.“ – NIST SP 800-101 Rev. 1).

Dabei ist es Ziel, die Integrität der Beweismittel zu wahren, Veränderungen an den Originaldaten zu vermeiden und die Erkenntnisse gerichtsverwertbar zu dokumentieren. Anwendungen finden sich typischerweise in strafrechtlichen, arbeitsrechtlichen oder zivilrechtlichen Ermittlungen, aber auch in internen Compliance-Verfahren.

Computer-Forensik (auch: Digital Computer Forensics) ist ein Teilbereich der digitalen Forensik und beschäftigt sich mit der Identifikation, Sicherung, Analyse und Dokumentation von digitalen Spuren auf IT-Systemen, insbesondere Computern und Servern. Ziel ist es, gerichtlich verwertbare Erkenntnisse über sicherheitsrelevante Vorfälle wie Datenmanipulation, unbefugte Zugriffe oder den Einsatz von Schadsoftware zu gewinnen.

Nach der Definition der European Network and Information Security Agency (ENISA) umfasst Computer-Forensik: „die Anwendung bewährter Untersuchungsmethoden und Techniken, um digitale Beweise von Computersystemen zu sammeln, zu analysieren und zu sichern – mit dem Ziel, Sachverhalte aufzuklären und gegebenenfalls vor Gericht zu verwenden.“ (Quelle: ENISA, Good Practice Guide for Incident Management, 2007, S. 20)

Zentrale Grundsätze sind dabei die Nachvollziehbarkeit der Untersuchungsschritte, die Integrität der gesicherten Daten sowie der Einsatz forensisch anerkannter Werkzeuge und Methoden. Typische Anwendungsfelder liegen in der Aufklärung von Cybercrime, internen Unternehmensuntersuchungen, Wirtschaftskriminalität sowie Datenschutzverstößen.

Welche Software wird typischerweise bei der forensischen Auswertung von Handys bzw. Smartphones eingesetzt? Bei der professionellen Handyforensik kommen spezialisierte Softwarelösungen zum Einsatz, die darauf ausgelegt sind, digitale Spuren sicher, vollständig und gerichtsfest zu extrahieren.

Zwei der bekanntesten und weltweit etablierten Programme sind:

• Cellebrite UFED (Universal Forensic Extraction Device) Cellebrite ist eines der führenden Tools in der mobilen Forensik. Es ermöglicht physikalische, logische und Datei-System-Extraktionen von einer Vielzahl mobiler Geräte. Neben der Datenextraktion bietet Cellebrite umfassende Analysefunktionen für Anruflisten, Nachrichten (auch gelöschte), GPS-Daten, App-Inhalte u. v. m. Cellebrite wird von Strafverfolgungsbehörden, Militär und Sachverständigen auf der ganzen Welt verwendet.

• MOBILedit Forensic / MOBILedit Forensic Express Dieses Tool wird vor allem für die Analyse von Mobiltelefonen in zivilen, unternehmerischen und juristischen Kontexten eingesetzt. Es bietet eine schnelle Extraktion, Analyse und übersichtliche Berichterstellung. Besonders geschätzt wird MOBILedit für seine Benutzerfreundlichkeit und die Möglichkeit, auch ältere Geräte oder SIM-Karten auszuwerten.

Übrigens: Wir gehören zu den wenigen IT-Forensik-Unternehmen, die mit der MOBILedit Forensic ULTRA Version arbeiten und -abhängig vom Fall und Kundenwunsch- gegen Aufpreis mit Cellebrite UFED.

Weitere Programme, die in spezialisierten Fällen verwendet werden, sind etwa Oxygen Forensic Detective, XRY (MSAB) oder Elcomsoft Mobile Forensic Bundle. Die Auswahl des Tools hängt von Gerätetyp, Betriebssystem, Sicherheitsniveau und dem gewünschten Untersuchungsziel ab.

MEFF M3 PRO

Der M3 PRO dient nicht primär der Datenextraktion, sondern der technischen Sicherheitsanalyse mobiler Endgeräte. Er wird von uns zusätzlich eingesetzt, wenn geprüft werden soll, ob ein Smartphone kompromittiert wurde oder Hinweise auf Hacking, Spyware, Malware, Trojaner oder verdeckte Systemeingriffe vorliegen. Analysiert werden dabei insbesondere der Systemzustand, laufende Prozesse, Konfigurationen sowie auffälliges Kommunikationsverhalten, nicht jedoch private Inhalte wie Chats oder Fotos. Die Auswertung orientiert sich an international anerkannten Prüfmethoden, unter anderem am Mobile Verification Toolkit (MVT) sowie an den von Amnesty International entwickelten Analyse- und Dokumentationsstandards. Der M3 PRO wird daher insbesondere in Fällen eingesetzt, in denen eine belastbare sicherheitstechnische Einschätzung erforderlich ist, etwa bei Verdacht auf Überwachung, Industriespionage oder gezielte Angriffe auf mobile Endgeräte.

PROOF-MANAGEMENT ist das erste IT-Forensik-Unternehmen in Deutschland, das dieses fortschrittliche Analysesystem bei Verdacht auf Smartphone-Hacking einsetzt. Damit zählen wir zu den Vorreitern in einem der zentralen Bereiche der IT-Forensik.

Die digitale Forensik an Computern – ob unter Windows oder macOS – erfordert spezialisierte Softwarelösungen, die eine rechtssichere Sicherung, Analyse und Auswertung von Daten ermöglichen.

Für Windows-Systeme gelten z.B. folgende Tools als zielführend:

• X-Ways Forensics: Oft als Goldstandard in der Windows-Forensik bezeichnet. Die Software bietet extrem effiziente und tiefgehende Analysefunktionen bei gleichzeitig geringem Ressourcenverbrauch – anerkannt in Behörden, Kanzleien und spezialisierten Forensikunternehmen.

• Belkasoft Evidence Center: Ebenfalls weit verbreitet und stark auf die automatisierte Erkennung und Korrelation von digitalen Spuren (Chats, Passwörter, Artefakte) ausgelegt.

• ITR Forensics Suite: Besonders im deutschsprachigen Raum etabliert, bietet modulare Analysewerkzeuge für verschiedene Dateisysteme, Images und Protokolle.

Für macOS-Forensik hat sich insbesondere Software von Sumuri etabliert:

• RECON LAB: Der Goldstandard für die tiefgehende, strukturierte Analyse von macOS-Systemen – inklusive Time-Machine-Backups, Spotlight- und APFS-Metadaten, Benutzerprofilen, Logfiles und mehr.

• RECON ITR (Incident Triage & Response): Ideal für den schnellen Vor-Ort-Einsatz. Ermöglicht erste Bewertungen, ohne ein vollständiges Image erstellen zu müssen. Durch den Einsatz dieser Werkzeuge lassen sich digitale Spuren gerichtsfest rekonstruieren, Datenmanipulationen nachweisen und zeitliche Abläufe rekonstruieren – sowohl im unternehmerischen Kontext als auch bei Strafverfahren.

Die digitale Forensik an Computern – ob unter Windows oder macOS – erfordert spezialisierte Softwarelösungen, die eine rechtssichere Sicherung, Analyse und Auswertung von Daten ermöglichen.

Der Logicube Forensic Falcon ist ein dediziertes forensisches Imaging-System – also ein Spezialgerät, das nicht „irgendwie kopiert“, sondern Datenträger beweissicher sichert und die dafür notwendigen Integritätsnachweise gleich mitliefert. Wir setzen den Falcon überall dort ein, wo es darauf ankommt, Daten so zu erfassen, dass sie technisch nachvollziehbar, reproduzierbar und im Streitfall argumentationsfest sind – typischerweise als Grundlage einer späteren Auswertung (z. B. in Ermittlungs-, Compliance- oder Zivilverfahren).

Was das Gerät in der Praxis kann und warum das relevant ist:

1. Forensische 1:1-Sicherung mit Verifikation statt „Kopieren“ Der Falcon erstellt forensische Images und kann diese unmittelbar verifizieren. Dabei unterstützt er gängige Image-Formate wie dd, E01 und Ex01 (neben nativen Kopien und file-based copy; E01/Ex01 auch mit Kompression). Entscheidend ist: Im selben Arbeitsgang werden Hashwerte gebildet und zur Integritätsprüfung genutzt (u. a. MD5, SHA-1, SHA-256, teils auch Dual-Hash). Das ist der technische Kern jeder seriösen Beweissicherung: Man kann später belegen, dass das Image unverändert ist und exakt dem Quellzustand entspricht.

2. Schreibgeschützte Quellports – Minimierung des Manipulationsrisikos Der Falcon ist so ausgelegt, dass Quellmedien über write-protected source ports angebunden werden (je nach Portkonfiguration z. B. SAS/SATA, USB, FireWire). Das ist ein wesentlicher Unterschied zu „Software-Imaging am Arbeitsplatzrechner“: Das Risiko, dass beim Anschluss am System ungewollt geschrieben, indiziert oder verändert wird, wird technisch reduziert und ist im Arbeitsablauf klar kontrollierbar.

3. Nachvollziehbarkeit durch Protokolle/Audit-Trail In professionellen Verfahren ist nicht nur das Ergebnis wichtig, sondern auch der Weg dorthin. Der Falcon erzeugt eine saubere Protokollierung der Operationen (Imaging, Hashing/Verifikation usw.). Damit lässt sich der Sicherungsvorgang später transparent darstellen: Wer hat wann welches Medium wie gesichert, mit welchen Einstellungen und welchen Hashwerten.

4. Parallel Imaging und strukturierte Workflows Der Falcon unterstützt „Parallel Imaging“, also die Möglichkeit, aus derselben Quelle parallel in unterschiedliche Ziele/Formate zu sichern – und damit effizient und konsistent zu arbeiten, ohne die Beweiskette zu zerfasern. Auch Funktionen wie das „Pushen“ von Evidence-Files in Netzwerkziele mit Hashing/Verifikation und Log-Erzeugung sind genau auf forensische Prozesssicherheit ausgelegt.

5. Unterstützung spezieller SSD-Medien über PCIe-Kit (je nach Ausstattung) Über das passende PCIe-Kit kann der Falcon – abhängig von Setup/Adapter – auch moderne SSD-Bauformen unterstützen (z. B. M.2 PCIe AHCI/NVMe, M.2 SATA, mPCIe, mSATA). Das ist relevant, weil sich forensische Beweismittel in der Praxis längst nicht mehr auf klassische SATA-HDDs beschränken.

Warum der Einsatz „professionalitätsstiftend“ ist (ohne Marketing-Übertreibung): Wer mit einem Gerät wie dem Falcon arbeitet, zeigt, dass die Datensicherung nicht als Nebentätigkeit, sondern als forensischer Kernprozess verstanden wird: kontrollierter Zugriff, minimierte Veränderungsrisiken, standardisierte Abläufe, Hash-basierte Integritätsnachweise und belastbare Dokumentation. Genau diese Punkte machen in der Praxis den Unterschied zwischen „wir haben mal reingeschaut“ und einer Untersuchung, deren Ergebnisse man gegenüber Polizei, Staatsanwaltschaft, Gericht oder in einer internen Compliance-Auseinandersetzung seriös vertreten kann.

Wenn Datenträger wie Festplatten oder SSDs nicht mehr lesbar sind, führen wir zunächst eine strukturierte technische Ursachenanalyse durch. Ziel ist es festzustellen, ob der fehlende Zugriff auf logische Fehler, firmwarebedingte Probleme oder physische Defekte des Datenträgers zurückzuführen ist.

Sofern herkömmliche Ausleseverfahren nicht ausreichen, setzen wir bei Bedarf hochprofessionelle Spezialtechnik ein. Hierzu gehört unter anderem das System PC-3000 des Herstellers Ace Laboratory, einem international anerkannten Anbieter von professionellen Datenrettungs- und Forensiksystemen. PC-3000 wird weltweit von spezialisierten Datenrettungslaboren, forensischen Sachverständigen und Ermittlungsstellen eingesetzt und gilt als Industriestandard, wenn Datenträger mit konventionellen Methoden nicht mehr zuverlässig auslesbar sind.

PC-3000 ermöglicht einen tiefgehenden technischen Zugriff auf interne Strukturen des Datenträgers, insbesondere auf Firmware- und Service-Bereiche, die über normale Betriebssystem-Schnittstellen nicht erreichbar sind. Dadurch können fehlerhafte Zustände analysiert, instabile Datenträger kontrolliert ausgelesen und – sofern technisch möglich – ein forensisches 1:1-Abbild des Datenträgers erstellt werden.

Alle Maßnahmen erfolgen mit dem Ziel, die Beweismittelintegrität zu wahren und weitere Schäden am Originaldatenträger zu vermeiden. Die weitergehende Auswertung erfolgt ausschließlich auf Basis der erstellten Kopie. Eine vollständige Wiederherstellung aller Daten kann auch bei Einsatz professioneller Systeme wie PC-3000 nicht garantiert werden. Über technische Möglichkeiten, Erfolgsaussichten und Grenzen informieren wir transparent vor weiteren Schritten.