Technologie
X-Ways Forensics
Aufgabe des Systems
Das System unterstützt die Sicherung, Sichtung und Analyse digitaler Datenträger. Im Mittelpunkt stehen nicht nur sichtbare Dateien, sondern auch Dateisystemstrukturen, Metadaten, nicht zugeordnete Bereiche und technische Zusammenhänge zwischen Fundstellen.
Forensische Abbilder und Arbeitskopien
Vor einer inhaltlichen Analyse wird ein geeigneter Datenträger möglichst nachvollziehbar gesichert. Prüfsummen helfen festzustellen, ob Abbild und spätere Arbeitskopie unverändert geblieben sind. Analyseschritte werden auf der Arbeitskopie durchgeführt, damit das Ausgangsmaterial geschützt bleibt.
Technische Möglichkeiten
- Dateisystem-, Verzeichnis- und Metadatenstrukturen auswerten
- Zeitstempel aus unterschiedlichen Quellen vergleichen
- Vorhandene gelöschte Einträge und nicht zugeordnete Bereiche prüfen
- Dateien und Fragmente anhand technischer Merkmale suchen und filtern
- Artefakte über Fundort, Zeitbezug und weitere Merkmale korrelieren
Einsatz im konkreten Auftrag
Die Auswahl der Suchbegriffe, Dateitypen, Zeiträume und Filter folgt der Fragestellung. Auffällige Ergebnisse werden anschließend in der Rohstruktur geprüft. Dadurch lässt sich unterscheiden, ob ein Fund aus einer aktiven Datei, einem gelöschten Verzeichniseintrag, einer Sicherung oder einem fragmentierten Rest stammt.
Ergebnisse und fachliche Einordnung
Mögliche Befunde sind Dateien, Datenreste, Dateisystemeinträge, Metadaten oder zeitliche Beziehungen. Ein technischer Zeitstempel belegt für sich allein weder eine konkrete Handlung noch die Identität eines Nutzers. Seine Bedeutung ergibt sich erst aus Quelle, Systemverhalten und weiteren Spuren.
Zusammenspiel mit weiteren Verfahren
Ergebnisse können mit Betriebssystemprotokollen, Anwendungsdaten, mobilen Sicherungen oder einer zweiten Analysesoftware abgeglichen werden. Dateifragmente ohne verlässlichen Kontext werden ausdrücklich als solche gekennzeichnet.
Gutachtenerstellung durch einen Sachverständigen
Der Sachverständige erstellt ein nachvollziehbares Gutachten. Darin werden Auftrag, Methodik, Prüfschritte, technische Befunde und Ergebnisse verständlich dokumentiert. Festgehalten werden Abbild, Prüfsummen, Softwareversion, Filter, Suchschritte, Fundstellen und die Grenzen der Rekonstruktion.
Passende Leistungen
Technik im fachlichen Untersuchungsauftrag
Die eingesetzten Werkzeuge richten sich nach Fragestellung, Datenquelle und technisch erreichbarem Untersuchungsumfang.
HÄUFIGE FRAGEN
Fragen zu X-Ways Forensics
Es ist eine nachvollziehbar erzeugte Kopie der relevanten Speicherbereiche. Prüfsummen dienen dazu, die Übereinstimmung zwischen Ausgangsmaterial, Abbild und Arbeitskopie zu kontrollieren.
Nein. Sind Speicherbereiche tatsächlich überschrieben, stehen die früheren Daten dort nicht mehr zur Rekonstruktion bereit. Vorhandene Reste können nur ausgewertet werden, soweit sie noch lesbar sind.
Ein Zeitstempel beschreibt zunächst einen technischen Eintrag. Seine Bedeutung hängt vom Dateisystem, der Anwendung, Zeitzoneneinstellungen und möglichen Systemänderungen ab und muss im Zusammenhang bewertet werden.
Prüfsummen ermöglichen einen reproduzierbaren Vergleich von Datenständen. Stimmen sie überein, spricht dies dafür, dass der geprüfte Datenbestand seit der Sicherung nicht verändert wurde.
Nicht zwingend. Entscheidend sind Fundort, Vollständigkeit, Metadaten und Bezug zu weiteren Spuren. Fragmentierte oder signaturbasierte Funde werden entsprechend eingeschränkt eingeordnet.
Technische Quellen
Offizielle Herstellerunterlagen
Funktionsangaben wurden mit öffentlich zugänglichen Herstellerinformationen abgeglichen. Herstellerangaben ersetzen keine unabhängige Bewertung.
Weitere Systeme
Ergänzende Werkzeuge und Messtechnik
Ein Erstgespräch klärt, was technisch möglich ist
Im Gespräch wird der Sachverhalt aufgenommen, der sinnvolle Untersuchungsumfang eingegrenzt und offen gesagt, wo die Grenzen liegen. Erst danach entsteht ein Auftrag.