Digitale Spuren erfordern eine plattformgerechte Methodik
IT-Forensik, Mobile Forensik und Computerforensik folgen denselben Grundsätzen des Beweiserhalts, arbeiten jedoch mit unterschiedlichen Datenmodellen, Schutzmechanismen und Artefakten. Bei Smartphones bestimmen Gerätezustand, App-Sandboxing, Kontensynchronisation und die jeweilige Extraktionsmöglichkeit den Untersuchungsweg. Auf Macs, Windows-Rechnern und in Unternehmensumgebungen stehen dagegen Dateisysteme, Systemprotokolle, Benutzer- und Administratoraktivitäten, Persistenzmechanismen, Identitätsdienste und hardwaregebundene Verschlüsselung im Mittelpunkt.
QUINTEGO behandelt IT-Forensik, Mobile Forensik, Mac-Forensik, Windows-Forensik und die Spyware-Prüfung auf mobilen Endgeräten als klar abgegrenzte Leistungen. Incident-Untersuchungen sind Bestandteil der IT-Forensik und verbinden Beweiserhalt, technische Triage und die Rekonstruktion eines Sicherheitsvorfalls. Welche Leistung fachlich angezeigt ist, richtet sich nach Beweisfrage, Plattform, Gerätezustand und der nachweisbaren Berechtigung zur Untersuchung.
Beweisfrage und Plattform bestimmen den Sicherungsweg
Am Anfang stehen Beweisfrage, maßgeblicher Zeitraum, Geräte- und Kontobezug sowie die nachweisbare Berechtigung zur Untersuchung. Modell, Betriebssystem, Verschlüsselung, aktueller Betriebszustand und vorhandene Zugangsmittel werden vor jeder technischen Maßnahme erfasst. Ein Zurücksetzen, Bereinigen oder unkontrolliertes Neustarten sollte bis zur Erstbewertung vermieden werden, weil dadurch flüchtige Daten, Protokolle oder Zugriffsmöglichkeiten verloren gehen können.
Der Sicherungsweg wird anschließend plattformbezogen festgelegt. Geeignete Datenträger werden schreibgeschützt erfasst, forensische Abbilder mit kryptografischen Prüfsummen verifiziert und nur an kontrollierten Arbeitskopien ausgewertet. Bei laufenden oder mobilen Systemen lassen sich Zustandsänderungen technisch nicht immer vollständig vermeiden; sie werden dann mit Ursache und Zeitpunkt dokumentiert. Relevante Befunde werden anhand ihrer Originalartefakte, Zeitbezüge und – soweit möglich – eines zweiten Analysewegs verifiziert.
Was eine belastbare Untersuchung auszeichnet
- Präzise Auftrags- und Beweisfrage mit eindeutig begrenztem Untersuchungsumfang
- Dokumentierte Übernahme, Geräteidentifikation und nachvollziehbare Übergabekette
- Plattformgerechte Akquisition mit Prüfsummen und kontrollierten Arbeitskopien
- Zeitachsenbasierte Auswertung mit technischer Verifikation relevanter Befunde
- Klare Trennung zwischen Feststellung, Indiz, Bewertung und technischer Grenze
Sechs Untersuchungsbereiche mit eigener Methodik
Die fachliche Trennung verhindert, dass unterschiedliche Beweisfragen, Plattformgrenzen und Sicherungsprioritäten vermischt werden. Incident-Untersuchungen werden innerhalb der IT-Forensik bearbeitet. Die Spyware-Prüfung auf mobilen Endgeräten wird als eigenständige Leistung beauftragt und gezielt auf die konkrete Verdachtslage abgestimmt. Smartwatch-Forensik ergänzt die mobile Analyse, wenn Wearable-, Gesundheits-, Standort- oder Synchronisationsdaten für die Beweisfrage relevant sind.
IT-Forensik und Incident-Untersuchung
Bei Sicherheitsvorfällen werden betroffene Systeme, Konten und verfügbare Protokollquellen nach ihrer Flüchtigkeit und Beweisrelevanz priorisiert. Endpunkt-, Identitäts-, E-Mail-, EDR-/SIEM-, Netzwerk- und Cloud-Artefakte werden zu einer belastbaren Ereigniszeitleiste zusammengeführt, ohne betriebliche Eingriffe oder technisch unvermeidbare Veränderungen zu verschweigen.
- Incident-Triage, Beweisfrage und Sicherungsreihenfolge festlegen
- Flüchtige Daten, Datenträger, Konten- und Cloud-Protokolle sichern
- Erstzugriff, Persistenz, Berechtigungsnutzung und Datenbewegung rekonstruieren
- Befunde, Datenlücken sowie Eindämmungs- und Härtungsmaßnahmen dokumentieren
Mobile Forensik
Smartphones und Tablets enthalten Kommunikations-, App-, Standort-, Konto- und Gerätespuren, deren Verfügbarkeit stark vom aktuellen Zustand, der Betriebssystemversion und der Verschlüsselung abhängt. Die Sicherung wird deshalb gerätebezogen geplant und kann – je nach technischer Möglichkeit und Berechtigung – logisch, über Backups, dateisystembezogen oder in weitergehender Form erfolgen.
- Geräteidentität, Betriebszustand, Konten und Sicherungen erfassen
- App-Datenbanken, Kommunikation, Medien und Metadaten auswerten
- Standort-, Synchronisations- und Systemereignisse zeitlich korrelieren
- Gelöschte oder historische Inhalte nur bei technischer Verfügbarkeit einbeziehen
Spyware-Prüfung auf mobilen Endgeräten
Eine seriöse Spyware-Prüfung ist kein bloßer Virenscan. Auffällige Symptome werden mit Konfigurationsprofilen, Zertifikaten, Berechtigungen, Persistenzmechanismen, Netzwerk- und Kontoindikatoren sowie bekannten Indicators of Compromise abgeglichen. Ein einzelner automatisierter Treffer gilt erst nach technischer Einordnung als belastbarer Befund.
- MDM- und Konfigurationsprofile, Zertifikate, VPN und Proxy prüfen
- Ungewöhnliche Apps, Dienste, Autostarts und privilegierte Rechte untersuchen
- Domains, IP-Adressen, Hashwerte und weitere Bedrohungsindikatoren korrelieren
- Kontositzungen, Anmeldeereignisse und sicherheitsrelevante Änderungen einordnen
Mac-Forensik
Mac-Forensik erfordert eine native Betrachtung von APFS, FileVault und der Sicherheitsarchitektur moderner Apple-Hardware. Neben Benutzerdateien sind insbesondere Apple-spezifische Metadaten, System- und Dateisystemereignisse, Ausführungs- und Persistenzspuren sowie lokale oder gesicherte Systemzustände von Bedeutung.
- APFS-Volumes, Snapshots, FileVault und Time-Machine-Bezüge analysieren
- Apple Silicon, T2-Chip und Secure-Enclave-Abhängigkeiten berücksichtigen
- Unified Logs, FSEvents, Spotlight, Plist- und Quarantäne-Daten auswerten
- LaunchAgents, LaunchDaemons, Login-Objekte und Benutzeraktivitäten prüfen
Windows-Forensik
Windows-Systeme stellen eine breite Artefaktlandschaft aus NTFS-Strukturen, Registry, Ereignisprotokollen und Nutzungsdaten bereit. Ihre gemeinsame Auswertung kann Programme, Anmeldungen, Dateiaktivitäten, externe Datenträger, Persistenz und sicherheitsrelevante Veränderungen in einer belastbaren Zeitachse zusammenführen.
- Registry, EVTX-Ereignisprotokolle und Kontenaktivitäten untersuchen
- Prefetch, Amcache, SRUM, LNK-Dateien und Jump Lists korrelieren
- NTFS-Metadaten, USN Journal, Volume Shadow Copies und $MFT einbeziehen
- Dienste, geplante Aufgaben, WMI, Defender und BitLocker-Status prüfen
Smartwatch-Forensik
Smartwatches verteilen relevante Spuren häufig auf Uhr, Smartphone-App und Herstellerkonto. Aktivitäts-, Gesundheits-, Standort-, Benachrichtigungs- und Synchronisationsdaten werden deshalb quellenbezogen gesichert und zeitlich korreliert.
- Geräteidentität, Modell, Softwarestand und Kopplung erfassen
- Aktivitäts-, Trainings-, Standort- und App-Artefakte prüfen
- Zeitzonen und Synchronisationsverzug transparent einordnen
- Besonders sensible Gesundheitsdaten eng und zweckgebunden behandeln
Originalzustand erhalten und einen sauberen Kommunikationsweg nutzen
Ein vorschnelles Zurücksetzen, Aktualisieren oder Installieren vermeintlicher Bereinigungssoftware kann Protokolle, flüchtige Daten und Zugriffsmöglichkeiten verändern. Notieren Sie Auffälligkeiten mit Zeitpunkt, trennen Sie Beobachtung von Vermutung und nehmen Sie den Erstkontakt möglichst über ein zweites, vertrauenswürdiges Gerät auf.
- Verdächtige Meldungen, Kontowarnungen und Geräteverknüpfungen mit Zeitbezug dokumentieren
- Keine unbekannten Profile, Apps oder Zertifikate eigenständig löschen
- Gekoppelte Geräte, Smartwatches, Backups und Cloud-Sitzungen in die Erstbewertung einbeziehen
- Bei akuter persönlicher Gefahr zuerst Polizei und geeignete Beratungsstellen einschalten
Ein unauffälliger Befund ist immer auf Datenstand, Zeitraum und Verfahren begrenzt. Gelöschte, inaktive oder ausschließlich kontobasierte Angriffe können auch nach sorgfältiger Untersuchung außerhalb der technischen Nachweisbarkeit liegen.
Mac-Forensik und Windows-Forensik: gleiche Sorgfalt, andere Artefaktwelt
Die Anforderungen an Integrität, Dokumentation und Nachvollziehbarkeit sind identisch. Unterschiedlich sind jedoch die Orte, an denen digitale Spuren entstehen, die technischen Voraussetzungen ihrer Sicherung und die Aussagegrenzen einzelner Artefakte.
Bei macOS prägen APFS, Apple-spezifische Metadaten und eine eng mit der Hardware verzahnte Verschlüsselungsarchitektur den Untersuchungsweg. Windows bietet typischerweise eine breitere Kombination aus Registry-, Ereignis- und NTFS-Artefakten und ist häufig tiefer in Unternehmensidentitäten und zentrale Verwaltungsstrukturen eingebunden.
Mac-Forensik
Native Auswertung des Apple-Ökosystems
- Datenträger
- APFS-Container, Volumes, Snapshots und FileVault
- Hardware-Schutz
- Apple Silicon oder T2-Chip mit Secure-Enclave-Bezug
- Typische Spuren
- Unified Logs, FSEvents, Spotlight, Plists, Quarantäne- und Launch-Artefakte
- Sicherung
- Zustandsabhängige Live-, Triage- oder Image-Akquisition; native Bearbeitung mit SUMURI RECON
- Externe Daten
- iCloud und Time Machine nur bei gesonderter technischer und rechtlicher Freigabe
Windows-Forensik
Korrelation von System-, Nutzer- und Dateisystemspuren
- Datenträger
- NTFS, Volume Shadow Copies und BitLocker
- Hardware-Schutz
- TPM, UEFI und Secure-Boot-Konfiguration
- Typische Spuren
- Registry, EVTX, Prefetch, Amcache, SRUM, LNK, Jump Lists, USN Journal und $MFT
- Sicherung
- Physische, logische oder Live-Erhebung je nach Systemzustand; Datenträgeranalyse mit X-Ways
- Externe Daten
- OneDrive, Microsoft 365 oder Entra ID nur innerhalb einer separaten Berechtigung
Werkzeugkette nach Plattform und Sicherungsziel
Kein einzelnes Produkt deckt alle Gerätegenerationen, Betriebssystemversionen und Spurenarten zuverlässig ab. QUINTEGO kombiniert spezialisierte Werkzeuge nach Beweisfrage, Systemzustand und zulässigem Zugriff. Automatisierte Ergebnisse werden mit Rohartefakten und Zeitachsen abgeglichen, soweit dies technisch möglich ist. Zum eingesetzten Softwarebestand gehören unter anderem Cellebrite UFED, Cellebrite Physical Analyzer, Cellebrite Digital Collector, Cellebrite Inspector, MEFF M3-PRO, MOBILedit Forensic ULTRA, X-Ways Forensics, Belkasoft Evidence Center X und SUMURI RECON.
Cellebrite UFED
Cellebrite UFED unterstützt – abhängig von Gerät, Betriebssystem, Lizenzumfang und nachgewiesener Berechtigung – den kontrollierten Zugriff und die forensische Erfassung digitaler Daten aus iOS- und Android-Geräten sowie weiteren unterstützten mobilen Quellen. Sicherungsprotokolle und Extraktionsergebnisse werden fallbezogen geprüft und nachvollziehbar dokumentiert.
Offizielle ProduktinformationCellebrite Physical Analyzer
Cellebrite Physical Analyzer dient der Dekodierung und Auswertung forensisch erfasster Mobil-, App- und Cloud-Daten. Such-, Filter-, Zeitachsen- und Berichtsfunktionen unterstützen die strukturierte Untersuchung; relevante Treffer werden mit den zugrunde liegenden Artefakten und dem Fallkontext abgeglichen.
Offizielle ProduktinformationCellebrite Digital Collector
Cellebrite Digital Collector unterstützt die forensische Sichtung, Live-Datenerfassung, zielgerichtete Sammlung und Image-Erstellung auf Windows- und Mac-Systemen. Auswahl, Sicherungsweg, Zielmedium und kryptografische Prüfsummen werden dokumentiert; die anschließende Auswertung erfolgt an kontrollierten Arbeitskopien.
Offizielle ProduktinformationCellebrite Inspector
Cellebrite Inspector ergänzt die Computerforensik um die Analyse von Windows- und Mac-Daten. Erweiterte Suche, Filterung und Artefaktauswertung unterstützen unter anderem die Prüfung von Browser-, Standort-, Registry-, APFS-Snapshot- und Time-Machine-Spuren; Befunde werden quellenbezogen verifiziert.
Offizielle ProduktinformationX-Ways Forensics
X-Ways Forensics wird für forensische Images, Dateisystemanalyse, Wiederherstellung, Hash-Prüfung und Zeitachsen eingesetzt. Die integrierte Schreibschutzlogik unterstützt einen kontrollierten Untersuchungsablauf; neben Windows-Dateisystemen lassen sich auch HFS+ und APFS aus Mac-Sicherungen analysieren, ohne das Originalmedium für die laufende Auswertung zu verändern.
Offizielle ProduktbeschreibungBelkasoft Evidence Center X
Belkasoft Evidence Center X ergänzt die Werkzeugkette bei der Akquisition und Analyse von Computer-, Mobilgeräte-, Arbeitsspeicher- und Cloud-Daten. Automatisch extrahierte Artefakte, Verknüpfungen und Zeitachsen werden nicht isoliert übernommen, sondern gegen die zugrunde liegenden Quellen und den konkreten Fallkontext geprüft.
Offizielle ProduktbeschreibungMOBILedit Forensic ULTRA
MOBILedit Forensic ULTRA ergänzt die mobile Sicherung um logische, dateisystembezogene und – bei geeigneten Geräten und rechtlicher Autorisierung – weitergehende Akquisitionsmethoden. App-Daten, gelöschte Inhalte und gerätespezifische Artefakte werden in den Gesamtbefund eingeordnet.
Herstellerinformation öffnenMEFF M3-PRO
MEFF M3-PRO dient als ergänzende Bedrohungsanalyse für iOS- und Android-Geräte. Hinweise auf Malware, Spyware, auffällige Systemzustände und relevante Verkehrsindikatoren werden nicht isoliert übernommen, sondern mit weiteren Artefakten und der Fallzeitachse korreliert.
Offizielle SysteminformationSUMURI RECON ITR & RECON LAB
RECON ITR unterstützt die forensische Sicherung und Triage moderner Intel-, T2- und Apple-Silicon-Macs einschließlich APFS- und Time-Machine-Bezügen sowie softwaregestütztem Schreibschutz. RECON LAB ergänzt die native macOS-Analyse um Apple-spezifische Metadaten, Artefaktverarbeitung, Filterung und fallbezogene Berichte.
SUMURI RECON ITR ansehenIntegrität der Beweismittel und klare Trennung von Fakt und Bewertung
Der Schutz des Originalzustands hat Vorrang. QUINTEGO dokumentiert – soweit technisch möglich und für die Beweisfrage erforderlich – Geräteidentität, Ausgangszustand, Sicherungsmethode, Tool- und Versionsstand, Zeitzone, kryptografische Prüfsummen und Bearbeitungsschritte. Geeignete Datenträger werden über Write-Blocker oder andere schreibgeschützte Verfahren gesichert und nur an verifizierten Arbeitskopien ausgewertet. Bei Mobilgeräten und laufenden Systemen werden technisch unvermeidbare Veränderungen nicht verschwiegen, sondern nach Art, Zeitpunkt und Ursache protokolliert.
Die Auswertung erfolgt durch hochqualifizierte Experten mit fundierter forensischer Erfahrung und nach dokumentierten Qualitätsanforderungen. Auf Wunsch und bei entsprechender Beauftragung erstellt ein Sachverständiger ein nachvollziehbares Gutachten, das Untersuchungsmethodik, gesicherte Befunde, fachliche Bewertung, alternative Erklärungen und verbleibende Aussagegrenzen transparent zusammenführt. Ob und in welchem Umfang ein Befund in einem konkreten Verfahren verwertbar ist, beurteilen die zuständigen Rechtsbeistände und Gerichte.
- Nachvollziehbare Auftrags- und Beweisfrage statt ungerichteter Vollauswertung
- Sicherungsprotokoll mit Hashwerten, Zeitbezug und dokumentierter Übergabekette
- Toolübergreifende Verifikation relevanter Artefakte und Indikatoren
- Befundklassen für bestätigte Tatsachen, Indizien und offene technische Fragen
- Optional: forensischer Untersuchungsbericht oder strukturiertes Gutachten
Autorisierter Zugriff, Zweckbindung und Verhältnismäßigkeit
Untersucht werden ausschließlich eigene Geräte und Daten oder Systeme, für die eine nachweisbare Einwilligung beziehungsweise andere tragfähige Berechtigung vorliegt. Das Eigentum an einem Gerät bedeutet nicht automatisch, dass auf jedes darin eingebundene fremde Konto oder sämtliche personenbezogenen Inhalte zugegriffen werden darf. Cloud-Konten, Unternehmensumgebungen und Daten Dritter werden deshalb nur erfasst, wenn sie vom dokumentierten Auftrag und einer belastbaren Rechtsgrundlage gedeckt sind. Ein Umgehen von Schutzmaßnahmen außerhalb dieser Befugnis ist ausgeschlossen.
Je nach Sachverhalt können insbesondere §§ 202a, 202b und 202c sowie § 303a StGB berührt sein. Bei personenbezogenen Daten sind unter anderem Zweckbindung, Datenminimierung und eine tragfähige Rechtsgrundlage nach Art. 5 und 6 DSGVO zu beachten. Untersuchungen im Beschäftigungskontext erfordern eine gesonderte Prüfung nach § 26 BDSG; zur Aufdeckung von Straftaten müssen dokumentierte tatsächliche Anhaltspunkte vorliegen, und die Maßnahme darf nicht unverhältnismäßig sein. Datenschutz, Arbeitsrecht, Beteiligungsrechte und Aufbewahrungsfristen sollten vor Beginn mit dem zuständigen Rechtsbeistand geklärt werden. Diese Leistungsbeschreibung ersetzt keine Rechtsberatung.