IT-Forensik in Köln: digitale Beweise von Smartphone, Computer und Datenträger sichern

Auf dem Weg, den wir vorher mit Ihnen besprechen. Die Reihenfolge lautet: erst das Gespräch, dann die Unterlagen, dann der Auftrag, und danach das Gerät. Das schützt Sie: ohne Auftrag ist für Ihr Gerät niemand verantwortlich. Ein unangekündigt eintreffendes Paket können wir deshalb nicht annehmen.

Nicht selbst auf dem Gerät suchen, keine Prüf- oder Aufräum-App installieren und das Gerät nicht zurücksetzen. Den vorgefundenen Zustand kurz notieren, mit Datum und Uhrzeit, und Kennwort, PIN und Wiederherstellungsschlüssel sicher verwahren. Ist das Gerät eingeschaltet und entsperrt, rufen Sie vorher an.

Häufiger, als viele annehmen, und es hängt am Einzelfall: ob die private Nutzung erlaubt ist, welche Anhaltspunkte vorliegen und ob ein Betriebsrat zu beteiligen ist. Die Entscheidung trifft Ihr Unternehmen mit seinen Beratern. Wir sagen Ihnen, was technisch möglich ist und worauf es dabei ankommt, damit Sie auf einer belastbaren Grundlage entscheiden.

Häufig ja. Gelöschte Nachrichten bleiben oft länger im Speicher, als die Oberfläche vermuten lässt, und lassen sich dann rekonstruieren. Wie viel im konkreten Fall zurückkommt, hängt an Gerät, App und Zeitablauf und zeigt sich bei der Sicherung. Deshalb sichern wir zuerst und werten dann aus.

Die gewöhnliche Datenrettung holt Dateien zurück. Die forensische Datenrettung hält zusätzlich fest, aus welchem Ausgangszustand die Daten stammen, wie sie gesichert wurden und welche Aussagekraft sie haben. Sollen die Daten später etwas belegen, führt an der zweiten Form kein Weg vorbei.

Oft ja, und häufig mehr, als erwartet wird. Was möglich ist, hängt am Modell, am Stand des Betriebssystems und daran, welche Zugangsdaten vorliegen. Liegen Kennwort, PIN oder Wiederherstellungsschlüssel vor, ist der Weg deutlich kürzer. Welcher Weg in Ihrem Fall in Betracht kommt und ob er zulässig ist, besprechen wir vorher mit Ihnen.

E-Mail-Bestände können wir sichern und auswerten, ganze Postfächer eingeschlossen. Bei Daten, die ausschließlich beim Anbieter liegen, kommt es darauf an, wer den Zugang erteilen kann; in Unternehmen ist das oft schnell geklärt. Sagen Sie uns, worum es geht, dann sagen wir Ihnen, was davon erreichbar ist.

Sicherer ist eine forensische Kopie. Sie wird mit Prüfsumme gesichert und dokumentiert, so dass sich Herkunft und Unverändertheit belegen lassen. Eine einfache Dateikopie kann das nicht leisten und wird deshalb im Streitfall angreifbar. Der Mehraufwand dafür ist gering, der Unterschied im Verfahren groß.

Er belegt zunächst, wo das Gerät war und wann, und in vielen Fällen ist genau das die Frage. Soll zusätzlich gezeigt werden, wer das Gerät geführt hat, verbinden wir den Befund mit weiteren Feststellungen. Der Bericht hält beide Ebenen auseinander, damit im Verfahren klar ist, was woraus folgt.

Für die meisten Fälle genügt der Bericht: Er hält fest, was gefunden wurde, wie gesichert wurde und was die Befunde aussagen, und damit arbeiten Kanzleien unmittelbar weiter. Ein Gutachten kommt vor allem dann in Betracht, wenn ein Gericht es anordnet. Sprechen Sie uns vorher darauf an, dann richten wir die Dokumentation von Anfang an darauf aus.

Das hängt vom Aufwand ab: wie viele Geräte, welche Art der Sicherung, ob das Gerät verschlüsselt oder beschädigt ist und wie weit die Auswertung gehen soll. Wir nennen Ihnen den Preis, bevor Sie sich entscheiden; er steht im schriftlichen Vertrag. Eine Zahl auf einer Webseite wäre geraten und hülfe Ihnen nicht.

Nein. Wir arbeiten im gesamten Bundesgebiet, und die Besprechung eines Falls läuft ohnehin oft telefonisch oder in einer Videokonferenz. Köln ist der Standort, unter dem Sie uns für dieses Thema erreichen; am Firmensitz in Bergisch Gladbach wird jeder Fall angesehen, bevor ausgewertet wird.