Handy- und Smartphone-Forensik

Nachrichten, Anruflisten und Kontakte

Erfasst werden Nachrichten, Anruflisten und Kontaktdaten, soweit sie lokal auf dem Gerät gespeichert sind. Inhalte, die ausschließlich serverseitig liegen, gehören nicht dazu.

App-Daten und lokale Datenbanken

Anwendungen legen Verläufe und Inhalte in eigenen Datenbanken ab. Darin können auch gelöschte, aber noch nicht überschriebene Einträge enthalten sein.

Fotos, Videos und Metadaten

Medien werden zusammen mit ihren Metadaten und Speicherpfaden betrachtet. Daraus ergeben sich Hinweise auf Entstehungszeitpunkt und Herkunft einer Datei, soweit die Angaben vorhanden und unverändert sind.

Standort- und Bewegungsdaten

Standort- und Bewegungsdaten stammen aus System- und App-Quellen. Ein solcher Datensatz belegt die Position eines Geräts, nicht die einer bestimmten Person.

WLAN- und Bluetooth-Verbindungen

Verbindungsdaten zu WLAN, Bluetooth und gekoppelten Geräten zeigen, mit welchen Netzen und Geräten ein Telefon verbunden war. Sie eignen sich vor allem zur zeitlichen Einordnung.

Backups und synchronisierte Daten

Backups auf Rechnern oder in Herstellerdiensten werden einbezogen, sofern Zugriff und Berechtigung bestehen. Sie enthalten häufig ältere Stände als das Gerät selbst.

Logische Sicherung

Eine logische Sicherung umfasst im Wesentlichen jene Daten, die das Gerät selbst für ein Backup bereitstellt. Sie ist häufig möglich, deckt aber nicht alle auf dem Gerät vorhandenen Bereiche ab.

Full-File-System-Extraktion bei unterstützten Geräten

Bei geeigneten Smartphones und Tablets können wir eine Full-File-System-Extraktion (FFS) durchführen. Dabei werden die mit dem eingesetzten Verfahren zugänglichen Dateisystemdaten gesichert. Abhängig von Gerät und Datenlage können darunter App-Datenbanken, Systemdateien, Protokolle und weitere technische Spuren sein.

Ob diese Methode möglich ist, hängt unter anderem von Gerätemodell, Betriebssystem, Sicherheitsstand, Verschlüsselung und Zugriffsmöglichkeit ab. Eine FFS-Extraktion ist nicht gleichbedeutend mit einem bitgenauen physischen Speicherabbild und garantiert weder Zugriff auf sämtliche Inhalte noch die Wiederherstellung aller gelöschten Daten. Die Sicherungstiefe und etwaige Einschränkungen werden im Untersuchungsbericht dokumentiert.

Eine forensische Extraktion ist etwas anderes als ein gewöhnlicher Dateiexport vom Gerät und auch etwas anderes als eine Spyware-Prüfung mit dem MEFF M3-PRO.

Grenzen bei gesperrten und verschlüsselten Geräten

Bei aktuellen iOS- und Android-Versionen ist der Zugriff durch Hardware-Verschlüsselung begrenzt. Ohne Code oder Entsperrmöglichkeit bleibt der Datenbestand vieler Geräte unlesbar. Diese Einschätzung wird vor Beginn mitgeteilt, damit kein Aufwand entsteht, der zu keinem Ergebnis führen kann.

Gelöschte Datenbankeinträge

Je nach Anwendung, Datenbankstruktur und weiterer Nutzung des Geräts können als gelöscht markierte Einträge noch technisch zugänglich sein. Ob eine Rekonstruktion möglich ist, muss am konkreten Datenbestand geprüft werden.

Überschriebene Speicherbereiche

Wird der Speicherbereich durch neue Daten belegt, ist der frühere Inhalt endgültig verloren. Weitere Nutzung des Geräts nach dem Löschen verringert die Aussicht auf Rekonstruktion.

Aussagekraft unvollständiger Datenfragmente

Rekonstruierte Fragmente werden im Gutachten als solche gekennzeichnet. Ein Textrest ohne zugehörigen Zeitstempel wird nicht so dargestellt, als sei die zeitliche Einordnung gesichert.

Fragestellung und Berechtigung klären

Im ersten Gespräch werden Fragestellung, Gerät und vorhandene Zugänge eingegrenzt. Vor Beginn wird die Berechtigung für die Untersuchung geklärt.

Geräteübergabe und Datensicherung

Danach werden Untersuchungsumfang, Übergabe und ein geeigneter Untersuchungsort vereinbart. Neben den zentralen Untersuchungsräumen in Krefeld steht für technisch geeignete gerätebezogene Untersuchungen das Forensiklabor in Vaterstetten bei München zur Verfügung; Vor-Ort-Arbeiten kommen bei geeigneten technischen und organisatorischen Voraussetzungen in Betracht.

Die Sicherung und die verwendeten Verfahren werden dokumentiert.

Auswertung und Erläuterung der Ergebnisse

Die Auswertung erfolgt soweit möglich an gesicherten Datenbeständen. Sind für die Untersuchung weitere Zugriffe am Mobilgerät erforderlich, werden diese und ihre Auswirkungen festgehalten. Die Ergebnisse werden anschließend auf die vereinbarte Fragestellung bezogen erläutert.