Vorgehen
Ein festgelegter Ablauf, der sich später überprüfen lässt
Eine Untersuchung ist nur so viel wert wie ihre Nachvollziehbarkeit. Deshalb folgt jeder Auftrag demselben Ablauf: erst die Frage, dann die gesicherte Kopie, dann die Auswertung – und am Ende ein Gutachten, das beschreibt, wie ein Ergebnis zustande kam.
Fachlich geprüft: Armin Bender · Stand: 12.09.2026
Eine forensische Untersuchung verläuft in fünf Schritten: Erstgespräch mit Eingrenzung der Fragestellung, dokumentierte Übergabe und Identifizierung des Materials, Sicherung des Datenbestands mit Prüfsummen, Auswertung an der Arbeitskopie und ein Gutachten, das Methodik, Befunde, Bewertung und Grenzen trennt. Die dokumentierte Übergabekette wird als Chain of Custody bezeichnet.
Der Ablauf gilt unabhängig davon, ob es um ein Smartphone, einen defekten Datenträger, ein Fahrzeug-Steuergerät oder eine Untersuchung von Räumen auf technische Abhöreinrichtungen geht. Unterschiede liegen in den Methoden, nicht in der Systematik.
Ablauf
Fünf Schritte
- 01
Erstgespräch und Eingrenzung
Im ersten Gespräch wird der Sachverhalt aufgenommen: Welche Geräte oder Datenträger sind betroffen, welche Frage soll beantwortet werden, welche Fristen bestehen. Bereits hier wird gesagt, welche Fragen technisch beantwortbar sind und welche nicht. Das Erstgespräch ist kostenfrei.
- 02
Übergabe und Identifizierung
Geräte und Datenträger werden am vereinbarten Untersuchungsort entgegengenommen, einzeln erfasst und mit Kennung, Zustand und Zubehör dokumentiert. Die Übergabe wird schriftlich festgehalten, damit der Verbleib jederzeit nachvollziehbar bleibt.
- 03
Sicherung des Datenbestands
Untersucht wird nach Möglichkeit nicht das Original, sondern eine Kopie. Sicherungen werden mit Prüfsummen versehen, sodass sich später belegen lässt, dass der ausgewertete Bestand unverändert ist. Wo eine physikalische Sicherung nicht möglich ist, werden das Verfahren und seine Reichweite im Gutachten benannt.
- 04
Auswertung
Die Auswertung folgt der vorab abgestimmten Fragestellung. Feststellungen, Auffälligkeiten und Bewertungen werden getrennt geführt: Ein Befund beschreibt, was in den Daten vorliegt; eine Bewertung ordnet ein, was daraus folgen kann – und mit welcher Unsicherheit.
- 05
Gutachten durch den Sachverständigen
Der Sachverständige erstellt ein Gutachten, das die Fragestellung, den Untersuchungsumfang, die angewandten Methoden, die eingesetzten Werkzeuge und die festgestellten Ergebnisse dokumentiert. Technische Befunde, fachliche Bewertungen und bestehende Einschränkungen werden klar voneinander getrennt.
Grundsätze
Was in jedem Auftrag gilt
Diese Punkte sind nicht verhandelbar, weil sie darüber entscheiden, ob ein Ergebnis belastbar ist.
Geeigneter Untersuchungsort
Der Unternehmenssitz und die zentralen Untersuchungsräume von AQON INTELLIGENCE befinden sich in Krefeld. Für geeignete gerätebezogene Untersuchungen steht zusätzlich das Forensiklabor in Vaterstetten bei München zur Verfügung. Gemeinsam wird vorab festgelegt, welcher Untersuchungsort für den jeweiligen Auftrag sinnvoll ist. Technische Lauschabwehr wird unmittelbar in den zu untersuchenden Räumen oder Bereichen durchgeführt. Smartphone- und Tablet-Forensik, Spyware-Prüfungen, Fahrzeugforensik und Fahrzeug-Screenings können bei geeigneten technischen und organisatorischen Voraussetzungen ebenfalls beim Auftraggeber erfolgen.
Nachvollziehbarkeit vor Geschwindigkeit
Jeder Arbeitsschritt wird dokumentiert. Ein Ergebnis, dessen Zustandekommen sich nicht belegen lässt, ist im Streitfall wertlos.
Offen benannte Grenzen
Verschlüsselung, überschriebene Bereiche, defekte Speicherzellen und Herstellersperren begrenzen jede Untersuchung. Diese Grenzen werden vor Auftragsannahme und im Gutachten benannt, statt sie zu übergehen.
Verfahrensauswahl je Auftrag
Welche Sicherungs- und Auswertungsverfahren eingesetzt werden, richtet sich nach Fragestellung, Gerätetyp, Zustand des Materials und den technischen Möglichkeiten. Gerätezustand, Verschlüsselung und Datenlage bestimmen, welcher Untersuchungsumfang erreichbar ist.
Full-File-System-Extraktion bei unterstützten Geräten
Bei geeigneten Smartphones und Tablets können wir eine Full-File-System-Extraktion (FFS) durchführen. Ob sie möglich ist, hängt von Gerätemodell, Betriebssystem, Sicherheitsstand, Verschlüsselung und Zugriffsmöglichkeit ab; sie ist kein bitgenaues physisches Speicherabbild. Sicherungstiefe und Einschränkungen werden im Bericht dokumentiert.
Geprüfte Befunde, dokumentierte Verfahren
Automatisch erzeugte Treffer werden fachlich geprüft, bevor daraus eine Aussage wird; bei kritischen Befunden wird gegengeprüft. Eingesetzte Verfahren, Versionsstände und Prüfsummen werden festgehalten, damit sich eine Auswertung später nachvollziehen lässt.
Datensparsamkeit
Ausgewertet wird der Umfang, der für die Fragestellung erforderlich ist. Zugriffe erfolgen nur auf Systeme, für die eine Berechtigung nachgewiesen ist.
Dauer
Wie lange dauert eine forensische Untersuchung?
Eine allgemein gültige Dauer gibt es nicht. Sie hängt von Gerätetyp, Datenmenge, Sicherungsverfahren, Verschlüsselung und der gestellten Frage ab. Eine belastbare Zeiteinschätzung wird nach der Erstanalyse genannt, bevor ein Auftrag entsteht; bestehende Fristen werden dabei berücksichtigt.
Zeitbestimmend sind meist zwei Schritte: die Sicherung, deren Dauer vom Verfahren und vom Speichervolumen abhängt, und die Auswertung, deren Umfang sich aus der Fragestellung ergibt. Enge Fragestellungen sind schneller zu beantworten als offene Gesamtauswertungen. Zeigt sich während der Arbeit, dass der ursprünglich angenommene Aufwand nicht reicht, wird das vor der Fortsetzung abgestimmt.
Beauftragung
Beauftragung und Kosten
Umfang und Vergütung werden vor der Beauftragung verbindlich vereinbart. Nach der Eingrenzung im Erstgespräch wird der voraussichtliche Aufwand benannt, bevor ein Auftrag entsteht.
Bei einer Heranziehung durch Gerichte, Staatsanwaltschaften oder andere nach § 1 JVEG erfasste Stellen rechnen wir die vergütungsfähigen Leistungen nach den Bestimmungen des Justizvergütungs- und -entschädigungsgesetzes ab. Für sonstige behördliche oder privatrechtliche Aufträge gelten die vor der Beauftragung vereinbarten Konditionen.
Kontakt
Vertraulich Kontakt aufnehmen
Schildern Sie kurz Ihr Anliegen, die betroffenen Geräte oder Systeme und mögliche Fristen. Im kostenfreien Erstgespräch klären wir die passende Untersuchung. Umfang und Vergütung werden vor der Beauftragung vereinbart.
- Telefon
- +49 2151 9967992
- Erreichbarkeit
- Montag bis Freitag, 9 bis 19 Uhr