Zum Hauptinhalt
AQON INTELLIGENCE
SSD und Festplatte über einen Schreibschutzadapter mit einem Arbeitsplatzrechner verbundenKI-generiert

Leistung

Windows-Forensik: NTFS, Registry und Ereignisprotokolle

Windows protokolliert Nutzung an vielen Stellen gleichzeitig. Gerade diese Redundanz macht die Auswertung belastbar: Wird ein Vorgang nur in einer einzigen Quelle sichtbar, ist Vorsicht geboten. Bestätigen ihn mehrere unabhängige Artefakte, wird die Aussage tragfähig.
Erstgespräch buchenAlle Leistungen

Kurz erklärt: Windows-Forensik

Untersucht werden NTFS-Spuren, Ereignisprotokolle, Registry-Auswertung zu verbundenen Geräten, Programmausführungen sowie Verknüpfungs- und Sprunglisten. Die Untersuchung dient dazu, einzelne Funde zu einer belastbaren Zeitachse zusammenzuführen und Fragestellungen wie einen möglichen Datenabfluss nachvollziehbar zu beantworten. Grenzen bestehen, wenn Protokolle überschrieben wurden oder sich einzelne Spuren nicht durch weitere Quellen bestätigen lassen. Auswertungen erfolgen an gesicherten Kopien in den Untersuchungsräumen in Krefeld und werden im Gutachten dokumentiert.

Welche digitalen Spuren lassen sich unter Windows auswerten?

Unter Windows sind vor allem NTFS-Metadaten, Registry-Einträge, Ereignisprotokolle, Prefetch-Spuren, Verknüpfungen und Sprunglisten sowie Papierkorb und Schattenkopien aussagekräftig. Weil dieselbe Nutzung an mehreren Stellen zugleich protokolliert wird, lassen sich Befunde gegeneinander prüfen.

NTFS-Metadaten und Dateisystemspuren

NTFS führt mehrere Zeitstempelsätze je Datei. Weichen sie voneinander ab, kann das auf Manipulation hinweisen und wird gesondert beschrieben.

Windows Registry

Die Registry enthält Einträge zu verbundenen Geräten, geöffneten Dateien und ausgeführten Programmen. Sie ist damit eine der dichtesten Quellen für Nutzungsspuren.

Ereignisprotokolle und Anmeldungen

Ereignisprotokolle dokumentieren Anmeldungen, Dienste, Fernzugriffe und Systemänderungen. Ihr Umfang ist begrenzt, ältere Einträge werden überschrieben.

Prefetch und Programmausführung

Prefetch- und andere Ausführungsspuren können Hinweise darauf liefern, ob und wann ein Programm ausgeführt wurde. Die konkrete Aussagekraft hängt vom jeweiligen Artefakt und Systemzustand ab.

Verknüpfungen und Sprunglisten

Verknüpfungen und Sprunglisten verweisen auf Pfade und Wechseldatenträger. Daraus ergeben sich Hinweise auf Dateien, die von externen Medien geöffnet wurden.

Schattenkopien und Papierkorbeinträge

Papierkorbeinträge und Schattenkopien früherer Systemzustände können Inhalte enthalten, die im laufenden System nicht mehr sichtbar sind. Ob sie vorliegen, hängt von der Systemkonfiguration ab.

Wie lässt sich ein möglicher Datenabfluss unter Windows untersuchen?

Bei Verdacht auf Abfluss von Unterlagen wird nicht ein einzelner Weg betrachtet, sondern die Gesamtheit: angeschlossene Wechseldatenträger, Synchronisation mit Cloud-Ablagen, E-Mail-Versand an externe Adressen, Druckaufträge und Fernzugriffssitzungen.

USB-Datenträger und angeschlossene Geräte

Erfasst wird, welches Wechselmedium wann verbunden war. Ein angeschlossener USB-Stick belegt für sich genommen keinen Kopiervorgang.

Cloud-Synchronisation und E-Mail-Versand

Geprüft werden Synchronisationsordner, Versandspuren an externe Adressen sowie Druck- und Fernzugriffsspuren. Auch hier gilt: Eine einzelne Spur trägt selten allein.

Zusammenhang von Anschlusszeitpunkt und Dateizugriff

Erst wenn Anschlusszeitpunkt, Dateizugriffe und Verknüpfungsspuren zeitlich zusammenpassen, entsteht ein belastbarer Zusammenhang. Wo diese Übereinstimmung fehlt, wird das im Gutachten ausdrücklich vermerkt.

Mehrere Festplatten-Platinen mit Bauteilen und Kennzeichnungen

Wie werden Zeitstempel und Ereignisse unter Windows eingeordnet?

Windows speichert Zeitstempel in unterschiedlichen Bezugssystemen. Zeitzone, Sommerzeit und manuell verstellte Systemuhren führen zu Abweichungen, die vor der Auswertung geklärt werden müssen. Alle Zeitangaben im Gutachten werden mit ihrer Bezugszeit ausgewiesen.

Wie bereiten Sie eine Windows-Forensik vor?

Beschreiben Sie zunächst, welche Frage die Untersuchung beantworten soll und welcher Zeitraum relevant ist. Hilfreich sind Angaben zum Computer, zur installierten Windows-Version und zum aktuellen Gerätezustand. Teilen Sie uns auch mit, ob weitere Datenträger oder Sicherungen vorhanden sind.

Gemeinsam klären wir, welche Geräte und Daten benötigt werden und wie die Übergabe erfolgt. Bei verschlüsselten Datenträgern besprechen wir die vorhandenen, berechtigten Zugriffsmöglichkeiten. Passwörter und Wiederherstellungsschlüssel gehören nicht in das Kontaktformular.

Was kostet eine Windows-Forensik?

Der Aufwand richtet sich nach der konkreten Fragestellung, der Anzahl der Geräte und Datenträger sowie der Zugänglichkeit und Menge der Daten. Auch der zu untersuchende Zeitraum und der gewünschte Umfang der Dokumentation beeinflussen die Kosten.

Nach der ersten Abstimmung legen wir mit Ihnen den Untersuchungsumfang und die Vergütung fest. So ist vor der Beauftragung geklärt, welche Leistungen vorgesehen sind.

Welche Ergebnisse erhalten Sie?

Die Ergebnisdokumentation erläutert die untersuchte Fragestellung, die ausgewerteten Datenquellen und das Vorgehen. Relevante Befunde werden nachvollziehbar beschrieben und, soweit möglich, zeitlich eingeordnet.

Technisch festgestellte Tatsachen werden von ihrer fachlichen Bewertung unterschieden. Ebenso benennen wir fehlende Daten, Unsicherheiten und Fragen, die sich anhand der vorhandenen Spuren nicht beantworten lassen. Form und Umfang eines Gutachtens vereinbaren wir vorab.

Welche Grenzen bestehen bei BitLocker und überschriebenen Protokollen?

Verschlüsselte Volumes und begrenzte Protokollgrößen sind die häufigsten Grenzen einer Windows-Untersuchung.

  • Ereignisprotokolle haben eine begrenzte Größe und überschreiben ältere Einträge.
  • Prefetch und vergleichbare Spuren können durch Systemkonfiguration deaktiviert sein.
  • Zeitstempel lassen sich mit entsprechendem Aufwand verändern; Hinweise darauf werden gesucht, sind aber nicht immer erkennbar.
  • Ohne Wiederherstellungsschlüssel bleibt ein mit BitLocker verschlüsseltes Volume unzugänglich.

Untersuchungsort

Je nach Untersuchungsart kann die Untersuchung in den zentralen Untersuchungsräumen in Krefeld, bei technischer Eignung im Forensiklabor in Vaterstetten bei München oder beim Auftraggeber durchgeführt werden. Geräteannahme, Untersuchungsort und Umfang werden vorab abgestimmt.

Umgang mit Daten

Die Verarbeitung erfolgt zweckgebunden nach den anwendbaren Datenschutzvorgaben und bleibt auf den vereinbarten Untersuchungsauftrag begrenzt. Datenträger und Geräte werden kontrolliert behandelt, Sicherungs- und Bearbeitungsschritte samt Werkzeugversionen dokumentiert. Nach Abschluss werden Kopien gelöscht oder entsprechend Auftrag und rechtlichen Vorgaben zurückgegeben.

Sie möchten den Untersuchungsumfang für Ihren Fall vorab klären? Schildern Sie uns kurz die Ausgangslage – wir melden uns zur fachlichen Einordnung.

Direkt zum Kontaktformular

HÄUFIGE FRAGEN

Häufige Fragen zur Windows-Forensik

Alle Fragen und Antworten
Mehr im Wissensbereich: Verfahren, Hashwerte, Geräte und Entscheidungshilfen →

Weiterführend

Untersuchungen, die häufig zusammengehören

Schreibschutzadapter mit angeschlossener Festplatte vor einem Bildschirm mit DateisystemanalyseKI-generiert
IT-ForensikComputer, Server, Datenträger und ProtokolldatenZur Leistung
Von unten geöffnetes Notebook mit sichtbarem SSD-Modul auf einer ArbeitsmatteKI-generiert
Mac-ForensikAPFS, FileVault, Apple Silicon und Unified LogsZur Leistung
Geöffnete Festplatte mit freiliegender Magnetscheibe und Schreib-Lese-Arm
DatenrettungGelöschte, beschädigte und nicht mehr lesbare DatenträgerZur Leistung

Diese Leistung wird überregional erbracht. Unternehmenssitz und feste Untersuchungsräume befinden sich am Standort Krefeld; Anfragen aus weiteren Regionen ordnet die Übersicht der Einsatzorte ein. Für ein erstes Gespräch kann direkt ein Termin vereinbart werden.

Kontakt

Vertraulich Kontakt aufnehmen

Schildern Sie kurz Ihr Anliegen, die betroffenen Geräte oder Systeme und mögliche Fristen. Im kostenfreien Erstgespräch klären wir die passende Untersuchung. Umfang und Vergütung werden vor der Beauftragung vereinbart.

Erreichbarkeit
Montag bis Freitag, 9 bis 19 Uhr

Mit * gekennzeichnete Felder sind Pflichtfelder.

Bei Kontakt per E-Mail ist die Telefonnummer optional. Für einen Rückruf geben Sie bitte Ihre Nummer mit Vorwahl an, etwa 030 12345678 oder +49 30 12345678.

Vorausgewählt: Windows-Forensik

Die Angabe dient der regionalen Einordnung Ihrer Anfrage.

Bevorzugte Kontaktart

Bitte beschreiben Sie Ihr Anliegen zunächst ohne Passwörter, Zugangsdaten oder sensible Beweisinhalte. Die geeignete Übergabe von Geräten und Daten stimmen wir gesondert mit Ihnen ab.

Hilfreich sind das betroffene Gerät oder System, Ihre konkrete Frage und mögliche Fristen. Mindestens 20, maximal 4.000 Zeichen.

AnrufenAnfrageTermin