Zum Hauptinhalt
AQON INTELLIGENCE
Von unten geöffnetes Notebook mit sichtbarem SSD-Modul auf einer ArbeitsmatteKI-generiert

Leistung

Mac-Forensik unter macOS

AQON INTELLIGENCE untersucht Macs und MacBooks zu einer konkreten Fragestellung: etwa zur Nutzung von Dateien, zu Anmeldungen oder zu Geräteverbindungen. Technisch zugängliche macOS-Spuren und vorhandene Time-Machine-Sicherungen werden gesichert, ausgewertet und nachvollziehbar dokumentiert. Zugriffsgrenzen durch FileVault sowie Umfang, Übergabe und Vergütung werden vor der Beauftragung geklärt.
Erstgespräch buchenAlle Leistungen

Kurz erklärt: Mac-Forensik

Untersucht werden APFS-Snapshots, Unified Logs, Spotlight-Metadaten, Property-List-Dateien sowie Kopplungen zu iPhones und iCloud-Synchronisationen. Die macOS-Forensik dient dazu, frühere Systemzustände zu rekonstruieren und eine klare Fragestellung anhand technisch zugänglicher Daten zu beantworten. Grenzen bestehen bei aktivem FileVault ohne Kennwort oder Wiederherstellungsschlüssel sowie bei zyklisch überschriebenen Protokollen. Auswertungen erfolgen an gesicherten Kopien in den Untersuchungsräumen in Krefeld und münden in ein dokumentiertes Gutachten.

Wann ist eine Mac-Forensik sinnvoll?

Eine Mac-Forensik kann helfen, frühere Dateistände, Anmeldungen, Programmnutzung oder Verbindungen zu anderen Geräten zeitlich einzuordnen. Bei einem Verdacht auf Überwachungssoftware werden die dazu passenden System- und Anwendungsspuren betrachtet. Welche Frage beantwortet werden kann, hängt von den vorhandenen Daten und dem Zustand des Macs ab.

Im ersten Gespräch werden die Fragestellung, der betroffene Zeitraum und die verfügbaren Geräte und Sicherungen eingegrenzt. Anschließend werden Untersuchungsumfang, Übergabe und Dokumentation abgestimmt. Die technische Prüfung richtet sich nach diesem vereinbarten Auftrag.

Sicherung bei Apple Silicon

Auf Rechnern mit Apple Silicon liegt der Speicher fest verlötet und ist an den Secure Enclave-Prozessor gebunden. Ein einfacher Ausbau der SSD führt zu nichts. Gesichert wird deshalb über kontrollierte Startmodi mit administrativer Anmeldung oder über einen Zielmodus, jeweils mit dokumentiertem Vorgehen.

Ist FileVault aktiv, wird für die Sicherung ein Kennwort, ein Wiederherstellungsschlüssel oder eine hinterlegte Verwaltungsinformation benötigt. Fehlen diese, bleibt der Datenträger verschlüsselt und unlesbar; daran ändert auch zusätzlicher Aufwand nichts.

Arbeitsplatz mit Mac-Rechner, Tastatur und Maus in ruhiger Umgebung

Auswertungsschwerpunkte

  • APFS-Snapshots und Time-Machine-Sicherungen als Blick auf frühere Systemzustände
  • Unified Logs mit Hinweisen zu Prozessstarts, Anmeldungen und Gerätekopplungen
  • Spotlight-Metadaten mit Angaben zu Herkunft und früheren Speicherorten von Dateien
  • Quarantäneinformationen zu heruntergeladenen Dateien einschließlich Bezugsquelle
  • Property-List-Dateien und Anwendungsdatenbanken zu Nutzung und Einstellungen
  • Kopplungen zu iPhones und iPads sowie Verläufe aus iCloud-Synchronisation

Ein praktischer Vorteil

Snapshots sind bei APFS-Systemen häufig die ergiebigste Quelle. Sie enthalten den Zustand des Dateisystems zu einem früheren Zeitpunkt und ermöglichen den Vergleich, welche Dateien zwischen zwei Momenten hinzugekommen, verändert oder entfernt wurden. Ob ein passender Snapshot vorliegt, hängt allerdings von der Konfiguration des Systems ab.

Was wird vor der Untersuchung benötigt?

Für die erste Einordnung sind das Mac-Modell, die macOS-Version soweit bekannt, der aktuelle Gerätezustand und der zu untersuchende Zeitraum hilfreich. Teilen Sie auch mit, ob eine Time-Machine-Sicherung oder weitere relevante Datenträger vorhanden sind. Welche Geräte und Sicherungen tatsächlich benötigt werden, wird vor der Übergabe geklärt.

Bei verschlüsselten Datenbeständen ist vorab zu klären, ob ein berechtigter Zugang, ein Kennwort oder ein FileVault-Wiederherstellungsschlüssel verfügbar ist. Übermitteln Sie Passwörter und Wiederherstellungsschlüssel nicht über das Kontaktformular. Die Übergabe gegebenenfalls benötigter Zugangsdaten wird gesondert abgestimmt.

Welche Ergebnisse und Kosten sind zu erwarten?

Die Dokumentation beschreibt die vereinbarte Fragestellung, die untersuchten Datenquellen, das Vorgehen und die festgestellten Spuren. Technische Befunde werden von ihrer fachlichen Einordnung getrennt; fehlende Daten und nicht beantwortbare Fragen werden ausdrücklich benannt. Form und Umfang des Gutachtens werden vor der Beauftragung abgestimmt.

Der Aufwand hängt vom Gerätezustand, den Zugriffsmöglichkeiten, den einzubeziehenden Datenbeständen und dem Umfang der Auswertung und Dokumentation ab. Untersuchungsumfang und Vergütung werden vor der Beauftragung vereinbart. Ein bestimmtes Untersuchungsergebnis oder die Wiederherstellung gelöschter Daten kann nicht zugesagt werden.

Fachliche Verantwortung und Qualifikation

Technische Grenzen

  • Ohne Kennwort oder Wiederherstellungsschlüssel bleibt ein FileVault-Volume unlesbar.
  • Unified Logs werden zyklisch überschrieben; ältere Zeiträume fehlen häufig.
  • Die Systempartition ist signiert; Änderungen daran wären erkennbar, ihre Auswertung liefert aber selten Nutzerspuren.
  • iCloud-Inhalte liegen serverseitig und werden nur mit Berechtigung und Zugang einbezogen.

Untersuchungsort

Je nach Untersuchungsart kann die Untersuchung in den zentralen Untersuchungsräumen in Krefeld, bei technischer Eignung im Forensiklabor in Vaterstetten bei München oder beim Auftraggeber durchgeführt werden. Geräteannahme, Untersuchungsort und Umfang werden vorab abgestimmt.

Umgang mit Daten

Die Verarbeitung erfolgt zweckgebunden nach den anwendbaren Datenschutzvorgaben und bleibt auf den vereinbarten Untersuchungsauftrag begrenzt. Datenträger und Geräte werden kontrolliert behandelt, Sicherungs- und Bearbeitungsschritte samt Werkzeugversionen dokumentiert. Nach Abschluss werden Kopien gelöscht oder entsprechend Auftrag und rechtlichen Vorgaben zurückgegeben.

Sie möchten den Untersuchungsumfang für Ihren Fall vorab klären? Schildern Sie uns kurz die Ausgangslage – wir melden uns zur fachlichen Einordnung.

Direkt zum Kontaktformular

HÄUFIGE FRAGEN

Häufige Fragen zu Mac-Forensik

Alle Fragen und Antworten
Mehr im Wissensbereich: Verfahren, Hashwerte, Geräte und Entscheidungshilfen →

Weiterführend

Untersuchungen, die häufig zusammengehören

SSD und Festplatte über einen Schreibschutzadapter mit einem Arbeitsplatzrechner verbundenKI-generiert
Windows-ForensikNTFS, Registry, Ereignisprotokolle und AusführungsspurenZur Leistung
Schreibschutzadapter mit angeschlossener Festplatte vor einem Bildschirm mit DateisystemanalyseKI-generiert
IT-ForensikComputer, Server, Datenträger und ProtokolldatenZur Leistung
Geöffnete Festplatte mit freiliegender Magnetscheibe und Schreib-Lese-Arm
DatenrettungGelöschte, beschädigte und nicht mehr lesbare DatenträgerZur Leistung

Diese Leistung wird überregional erbracht. Unternehmenssitz und feste Untersuchungsräume befinden sich am Standort Krefeld; Anfragen aus weiteren Regionen ordnet die Übersicht der Einsatzorte ein. Für ein erstes Gespräch kann direkt ein Termin vereinbart werden.

Kontakt

Vertraulich Kontakt aufnehmen

Schildern Sie kurz Ihr Anliegen, die betroffenen Geräte oder Systeme und mögliche Fristen. Im kostenfreien Erstgespräch klären wir die passende Untersuchung. Umfang und Vergütung werden vor der Beauftragung vereinbart.

Erreichbarkeit
Montag bis Freitag, 9 bis 19 Uhr

Mit * gekennzeichnete Felder sind Pflichtfelder.

Bei Kontakt per E-Mail ist die Telefonnummer optional. Für einen Rückruf geben Sie bitte Ihre Nummer mit Vorwahl an, etwa 030 12345678 oder +49 30 12345678.

Vorausgewählt: Mac-Forensik

Die Angabe dient der regionalen Einordnung Ihrer Anfrage.

Bevorzugte Kontaktart

Bitte beschreiben Sie Ihr Anliegen zunächst ohne Passwörter, Zugangsdaten oder sensible Beweisinhalte. Die geeignete Übergabe von Geräten und Daten stimmen wir gesondert mit Ihnen ab.

Hilfreich sind das betroffene Gerät oder System, Ihre konkrete Frage und mögliche Fristen. Mindestens 20, maximal 4.000 Zeichen.

AnrufenAnfrageTermin