Sachverständigenbüro Ralf Marquis › Privatgutachten › Digitale Forensik

Digitale Forensik: Gutachten zu Computern, Smartphones, Logs und gelöschten Daten

Wenn digitale Vorgänge später beweisbar rekonstruiert werden sollen, reichen Screenshots oder einzelne Dateikopien oft nicht aus. Entscheidend können Dateisysteme, Metadaten, Logdateien, Browserdaten, Geräteinformationen, Sicherungen und zeitliche Zusammenhänge sein.

Typischer Fall: Eine Datei, Nachricht oder Benutzerhandlung soll zu einem bestimmten Zeitpunkt stattgefunden haben. Gleichzeitig ist unklar, ob Daten gelöscht, verändert, synchronisiert oder nur auf einem anderen Gerät bzw. in einem anderen Benutzerprofil gespeichert wurden.

Gelöschte Dateien und Nachrichten

Gelöschte Daten können je nach System weiterhin in Dateisystemstrukturen, Sicherungen, lokalen Datenbanken, Cloud-Synchronisationen oder Anwendungen nachweisbar sein. Ob eine Wiederherstellung möglich ist, hängt vom konkreten Datenträger, Dateisystem, Überschreibungszustand und verwendeten System ab.

Smartphone- und Computerforensik

Untersuchungsgegenstände können Windows-, macOS-, Linux-, Android- oder iOS-Systeme sowie externe Datenträger sein. Relevante Spuren können unter anderem Benutzerkonten, installierte Programme, App-Daten, Kommunikationsdaten, Dokumente, Zeitstempel, Gerätekonfigurationen und Verbindungsinformationen betreffen.

Logdateien und technische Zeitlinien

System-, Anwendungs-, Webserver-, Mailserver- und Sicherheitsprotokolle können helfen, technische Abläufe zeitlich zu rekonstruieren. Dabei ist zu prüfen, welche Uhrzeitbasis verwendet wurde, ob Zeitzonen oder Sommerzeit berücksichtigt wurden und ob verschiedene Protokollquellen überhaupt direkt vergleichbar sind.

Browserhistorie und Webnutzung

Je nach Fragestellung können Browser-Verläufe, Downloads, Cookies, Cache-Daten, lokale Speicherbereiche und weitere Browserartefakte Hinweise auf aufgerufene Seiten, Downloads, Sitzungen und Zeitpunkte liefern. Solche Daten sind stets im Zusammenhang mit dem jeweiligen Gerät und Benutzerprofil zu bewerten.

Manipulationsverdacht

Bei Verdacht auf nachträgliche Veränderungen können Dateiversionen, Hashwerte, Metadaten, Protokolle, Sicherungen und unterschiedliche Kopien miteinander verglichen werden. Dabei ist zu unterscheiden zwischen tatsächlicher Manipulation, normaler Systemverarbeitung und Änderungen, die durch Kopieren, Exportieren oder Konvertieren entstehen.

Beweissicherung vor Veränderungen

Vor Neuinstallation, Reparatur, Zurücksetzen eines Geräts oder weiterem produktiven Betrieb sollte geprüft werden, welche Daten zunächst gesichert werden müssen. Eine forensische Sicherung soll den vorhandenen Zustand so dokumentieren, dass spätere Untersuchungen nachvollziehbar bleiben.

Typische Such- und Streitfragen

IT-Beweissicherung / HardwareE-Mail-GutachtenOnline-Banking und AutorisierungIT-PrivatgutachtenKontakt