Leistung
Untersucht werden Nachrichten, Anruflisten, App-Datenbanken, Medien sowie Standort- und Verbindungsdaten auf iPhone- und Android-Geräten im Rahmen der mobilen Forensik. Die Auswertung dient dazu, eine klare Fragestellung anhand technisch zugänglicher Daten zu beantworten und Funde nachvollziehbar zu dokumentieren. Grenzen ergeben sich bei gesperrten, verschlüsselten Geräten und bei Inhalten, die ausschließlich serverseitig gespeichert sind. Auswertungen finden an gesicherten Kopien in den Untersuchungsräumen in Krefeld statt, bei geeigneten Voraussetzungen auch beim Auftraggeber.
Eine Nachricht, ein strittiger Zeitraum oder die Nutzung eines Geräts: Am Anfang einer Handyforensik steht die Frage, die geklärt werden soll. AQON INTELLIGENCE untersucht dafür technisch zugängliche Daten auf Smartphones und Tablets. Vor Beginn werden die Berechtigung, die verfügbaren Datenquellen und der Untersuchungsumfang abgestimmt.
Soll vorhandene Kommunikation gesichert werden? Geht es um die zeitliche Einordnung einer Aktivität oder um Gerätespuren zu einem bestimmten Vorfall? Solche Fragen können Anlass für eine Untersuchung sein. Ob die vorhandenen Daten eine Antwort ermöglichen, hängt vom konkreten Gerät und seinem Zustand ab.
Bei Verdacht auf Überwachungssoftware kann eine gezielte Spyware-Prüfung sinnvoll sein. Steht dagegen die Wiederherstellung verlorener Dateien im Vordergrund, kommt eine Datenrettung in Betracht. Welche Untersuchung zum Anliegen passt, wird vorab geklärt.
Ausgewertet werden in der Regel lokal gespeicherte Nachrichten, Anruflisten und Kontakte, App-Datenbanken, Medien mit ihren Metadaten sowie Standort-, Verbindungs- und Backup-Daten. Welche dieser Quellen tatsächlich zugänglich sind, hängt von Modell, Betriebssystemstand und Verschlüsselung ab.
Erfasst werden Nachrichten, Anruflisten und Kontaktdaten, soweit sie lokal auf dem Gerät gespeichert sind. Inhalte, die ausschließlich serverseitig liegen, gehören nicht dazu.
Anwendungen legen Verläufe und Inhalte in eigenen Datenbanken ab. Darin können auch gelöschte, aber noch nicht überschriebene Einträge enthalten sein.
Medien werden zusammen mit ihren Metadaten und Speicherpfaden betrachtet. Daraus ergeben sich Hinweise auf Entstehungszeitpunkt und Herkunft einer Datei, soweit die Angaben vorhanden und unverändert sind.
Standort- und Bewegungsdaten stammen aus System- und App-Quellen. Ein solcher Datensatz belegt die Position eines Geräts, nicht die einer bestimmten Person.
Verbindungsdaten zu WLAN, Bluetooth und gekoppelten Geräten zeigen, mit welchen Netzen und Geräten ein Telefon verbunden war. Sie eignen sich vor allem zur zeitlichen Einordnung.
Backups auf Rechnern oder in Herstellerdiensten werden einbezogen, sofern Zugriff und Berechtigung bestehen. Sie enthalten häufig ältere Stände als das Gerät selbst.
Vor der Auswertung steht die Sicherung. Möglich sind je nach Gerät eine logische Sicherung oder eine vollständige Sicherung des Dateisystems; welche Variante in Betracht kommt, entscheidet sich am konkreten Gerät und nicht an der Fragestellung.
Eine logische Sicherung umfasst im Wesentlichen jene Daten, die das Gerät selbst für ein Backup bereitstellt. Sie ist häufig möglich, deckt aber nicht alle auf dem Gerät vorhandenen Bereiche ab.
Eine Sicherung des Dateisystems erfasst deutlich mehr Bereiche als ein Backup. Zwischen beiden Verfahren liegen erhebliche Unterschiede im auswertbaren Umfang.
Bei aktuellen iOS- und Android-Versionen ist der Zugriff durch Hardware-Verschlüsselung begrenzt. Ohne Code oder Entsperrmöglichkeit bleibt der Datenbestand vieler Geräte unlesbar. Diese Einschätzung wird vor Beginn mitgeteilt, damit kein Aufwand entsteht, der zu keinem Ergebnis führen kann.
Teilweise. Gelöschte Nachrichten sind nicht automatisch verloren, weil viele Anwendungen Einträge in ihrer Datenbank zunächst nur als entfernt markieren. Ob sie noch rekonstruierbar sind, hängt davon ab, wie intensiv das Gerät danach genutzt wurde.
Je nach Anwendung, Datenbankstruktur und weiterer Nutzung des Geräts können als gelöscht markierte Einträge noch technisch zugänglich sein. Ob eine Rekonstruktion möglich ist, muss am konkreten Datenbestand geprüft werden.
Wird der Speicherbereich durch neue Daten belegt, ist der frühere Inhalt endgültig verloren. Weitere Nutzung des Geräts nach dem Löschen verringert die Aussicht auf Rekonstruktion.
Rekonstruierte Fragmente werden im Gutachten als solche gekennzeichnet. Ein Textrest ohne zugehörigen Zeitstempel wird nicht so dargestellt, als sei die zeitliche Einordnung gesichert.
Im ersten Gespräch werden Fragestellung, Gerät und vorhandene Zugänge eingegrenzt. Danach werden Untersuchungsumfang, Übergabe und ein geeigneter Untersuchungsort vereinbart. Die festen Untersuchungsräume befinden sich in Krefeld; Vor-Ort-Arbeiten kommen bei geeigneten technischen und organisatorischen Voraussetzungen in Betracht.
Die Sicherung und die verwendeten Verfahren werden dokumentiert. Die Auswertung erfolgt soweit möglich an gesicherten Datenbeständen. Sind für die Untersuchung weitere Zugriffe am Mobilgerät erforderlich, werden diese und ihre Auswirkungen festgehalten. Die Ergebnisse werden anschließend auf die vereinbarte Fragestellung bezogen erläutert.
Die Kosten einer Handyforensik hängen vom konkreten Gerät, den technischen Zugriffsmöglichkeiten, der Fragestellung und dem vereinbarten Untersuchungs- und Dokumentationsumfang ab. Nach der ersten Eingrenzung benennt AQON INTELLIGENCE den voraussichtlichen Aufwand. Untersuchungsumfang und Vergütung werden vor der Beauftragung vereinbart.
Die Dokumentation macht nachvollziehbar, welche Fragestellung untersucht wurde, welche Datenquellen zugänglich waren und welche Methoden eingesetzt wurden. Technische Feststellungen, fachliche Bewertungen und bestehende Aussagegrenzen werden voneinander getrennt dargestellt. Art und Umfang der Dokumentation werden vor der Beauftragung auf die konkrete Fragestellung abgestimmt.
Armin Bender trägt bei AQON INTELLIGENCE die fachliche Verantwortung für die Untersuchungen. Informationen zu seiner Qualifikation und seinem beruflichen Hintergrund finden Sie auf der Über-uns-Seite.
Auswertbar ist nur, was auf dem Gerät technisch zugänglich ist. Vier Einschränkungen sind dabei besonders häufig maßgeblich.
Die Untersuchung kann in den festen Untersuchungsräumen von AQON INTELLIGENCE in Krefeld, nach vorheriger Abstimmung in München oder beim Auftraggeber durchgeführt werden. Vorab wird geprüft, welcher Untersuchungsort fachlich geeignet ist und ob dort die erforderlichen technischen, organisatorischen und datenschutzrechtlichen Voraussetzungen erfüllt sind.
Die Verarbeitung erfolgt zweckgebunden nach den anwendbaren Datenschutzvorgaben und bleibt auf den vereinbarten Untersuchungsauftrag begrenzt. Datenträger und Geräte werden kontrolliert behandelt, Sicherungs- und Bearbeitungsschritte samt Werkzeugversionen dokumentiert. Nach Abschluss werden Kopien gelöscht oder entsprechend Auftrag und rechtlichen Vorgaben zurückgegeben.
Sie möchten den Untersuchungsumfang für Ihren Fall vorab klären? Schildern Sie uns kurz die Ausgangslage – wir melden uns zur fachlichen Einordnung.
Direkt zum KontaktformularHÄUFIGE FRAGEN
Jede Sicherung an einem eingeschalteten Mobilgerät hinterlässt Spuren im System. Die eingesetzten Verfahren und ihre Auswirkungen werden dokumentiert, damit die Veränderungen nachvollziehbar bleiben.
Nur mit entsprechender Berechtigung. Vor jeder Auswertung wird geklärt, ob eine Befugnis für das betroffene Gerät besteht. Ohne diese Klärung wird der Auftrag nicht bearbeitet.
Die reine Sicherung dauert je nach Modell und Speichergröße zwischen einer und mehreren Stunden. Häufig kann das Gerät noch am selben Tag zurückgegeben werden.
Ob ein Gutachten in einem Verfahren verwertet wird und welchen Beweiswert es besitzt, entscheidet das zuständige Gericht beziehungsweise die Ermittlungsbehörde. Unsere Untersuchungen sind auf eine fachlich nachvollziehbare Dokumentation ausgerichtet. Dazu gehören die dokumentierte Übergabe, Prüfsummen der gesicherten Daten, eine Beschreibung der angewandten Methoden sowie die klare Trennung zwischen technischem Befund und fachlicher Bewertung. Eine verbindliche Zusage zur späteren Verwertbarkeit kann nicht gegeben werden.
Bei der Untersuchung eines Smartphones ist damit dieselbe Art der Untersuchung gemeint: Digitale Daten werden gesichert, ausgewertet und im Zusammenhang mit einer konkreten Fragestellung betrachtet. Dazu können beispielsweise Nachrichten, Anruflisten oder App-Daten gehören. Mobile Forensik ist der weiter gefasste Begriff und umfasst auch andere mobile Geräte, etwa Tablets.
Vermeiden Sie nach Möglichkeit weitere Änderungen am Gerät. Setzen Sie es nicht zurück und starten Sie keine eigenen Lösch-, Bereinigungs- oder Wiederherstellungsversuche. Ob ein eingeschaltetes Gerät ausgeschaltet oder vom Netz getrennt werden sollte, hängt von seinem Zustand und der Untersuchungssituation ab. Stimmen Sie die nächsten Schritte deshalb zeitnah mit der untersuchenden Fachperson ab. Übermitteln Sie keine Passwörter, Zugangscodes oder sensiblen Beweisinhalte über das Kontaktformular. Wie gegebenenfalls benötigte Zugangsdaten und Geräte übergeben werden, stimmen wir gesondert mit Ihnen ab.
Welche Form und welchen Umfang die Dokumentation haben soll, wird vor der Beauftragung vereinbart. Sie beschreibt die Fragestellung, die untersuchten Datenquellen, das Vorgehen und die Ergebnisse. Technische Feststellungen werden von ihrer fachlichen Bewertung getrennt. Auch Einschränkungen und Fragen, die anhand der verfügbaren Daten nicht beantwortet werden können, werden benannt.
Nicht garantiert. Ob gelöschte Nachrichten, Anruflisten oder Chats wiederherstellbar sind, hängt vom Gerät, der Art der Sicherung, der Verschlüsselung und davon ab, ob die betreffenden Speicherbereiche bereits überschrieben wurden. Moderne Smartphones mit dateibasierter Verschlüsselung erschweren die Wiederherstellung erheblich. Möglich ist die Auswertung verbliebener Datenbank-Reste, Sicherungskopien und synchronisierter Bestände. Eine Wiederherstellung kann nie zugesagt, sondern nur im Einzelfall geprüft werden.
Quellen: NIST SP 800-101 Rev. 1 – Guidelines on Mobile Device Forensics
Nein. Eine technische Prüfung kann feststellen, ob definierte Indikatoren – etwa bekannte Spyware-Signaturen, auffällige Profile, ungewöhnliche Berechtigungen oder verdächtige Netzwerkverbindungen – zum Untersuchungszeitpunkt vorliegen. Ein endgültiger Ausschluss ist technisch nicht möglich, weil Verfahren und Gerätegenerationen unterschiedlich weit reichen. Das Ergebnis ist daher immer eine Aussage über die geprüften Indikatoren zum Prüfzeitpunkt, keine Garantie für die Zukunft.
Quellen: NIST SP 800-101 Rev. 1 – Guidelines on Mobile Device Forensics · SWGDE – veröffentlichte Best-Practice-Dokumente
Das Gerät nicht weiter nutzen, keine vermeintlichen Reinigungs- oder Anti-Spyware-Apps installieren, kein Zurücksetzen auf Werkseinstellungen, keine Systemupdates und keine Testanrufe. All das kann Spuren überschreiben oder den Angreifer warnen. Das Gerät sollte vom Heimnetz getrennt, aber nicht ohne Abstimmung ausgeschaltet werden – je nach Modell und Sperrstand ist der ausgeschaltete Zustand für eine spätere Sicherung ungünstiger. Zu notieren sind Zeitpunkt des Verdachts, beobachtete Auffälligkeiten und bisherige Handgriffe.
Quellen: NIST SP 800-101 Rev. 1 – Guidelines on Mobile Device Forensics
Eingesetzte Technik
Sicherung unterstützter Mobilgeräte und Aufbereitung der gewonnenen Daten.
Zweitmeinung und ergänzende Auswertung bei Mobilgeräten und Wearables.
Weiterführend
KI-generiertSpyware-PrüfungBerechtigungen, Profile, IOC- und NetzwerkindikatorenZur Leistung 
KI-generiertSmartwatch-ForensikGekoppelte Geräte, Herstellerkonten und SensordatenZur Leistung 
KI-generiertIT-ForensikComputer, Server, Datenträger und ProtokolldatenZur Leistung Diese Leistung wird überregional erbracht. Unternehmenssitz und feste Untersuchungsräume befinden sich am Standort Krefeld; Anfragen aus weiteren Regionen ordnet die Übersicht der Einsatzorte ein. Für ein erstes Gespräch kann direkt ein Termin vereinbart werden.
Kontakt
Schildern Sie uns kurz, welches Gerät, System oder Ereignis untersucht werden soll. Wir melden uns zur fachlichen Einordnung und besprechen das weitere Vorgehen.
