Mobile Daten entstehen auf Gerät, Konto und in synchronisierten Diensten
Smartphones bündeln Kommunikation, Bilder, App-Daten, Standortbezüge und Kontositzungen. Welche Informationen verfügbar sind, hängt von Modell, Betriebssystem, Verschlüsselung, Gerätezustand, Zugangsmitteln und vorhandenen Sicherungen ab. Deshalb beginnt eine belastbare Untersuchung nicht mit einem pauschalen Export, sondern mit der dokumentierten Erfassung des Ausgangszustands.
Je nach technischer Möglichkeit und nachgewiesener Berechtigung kommen logische Sicherungen, Backups, Dateisystemextraktionen oder weitergehende Akquisitionswege in Betracht. App-Datenbanken, Metadaten, Systemereignisse und Synchronisationsbezüge werden quellenkritisch ausgewertet; gelöschte Inhalte können nur einbezogen werden, wenn sie technisch noch verfügbar sind.
Professionelle Werkzeugkette statt Ein-Klick-Auswertung
Abhängig von Plattform und Beweisfrage setzen wir unter anderem Cellebrite UFED, Cellebrite Physical Analyzer, MOBILedit Forensic ULTRA und Belkasoft Evidence Center X ein. Automatisierte Ergebnisse werden nicht ungeprüft übernommen, sondern anhand von Originalartefakten, Zeitbezügen und – soweit möglich – einem zweiten Analyseweg verifiziert.
Untersuchungsfelder der Smartphone-Forensik
- Geräteidentität, Softwarestand, Verschlüsselung und Sicherungsquellen
- Kommunikation, Medien, App-Datenbanken und relevante Metadaten
- Standort-, Konto-, Bluetooth- und Synchronisationsereignisse
- Kontrollierte zeitliche Korrelation mit Backups und gekoppelten Geräten
- Bericht oder Gutachten mit Befunden und klar benannten Grenzen
Auswertung durch hochqualifizierte Experten
Die Auswertung erfolgt durch hochqualifizierte Experten mit fundierter Erfahrung in der Mobile Forensik. Technische Funde werden überprüft, in ihren Datenkontext eingeordnet und verständlich dokumentiert. Auf Wunsch und bei entsprechender Beauftragung erstellt der Sachverständige ein Gutachten zu Sicherungsweg, Methodik, Befunden und Aussagegrenzen.
Wichtig: Ein unauffälliger Befund gilt nur für die verfügbaren Daten und eingesetzten Verfahren. Überschriebene, verschlüsselte oder ausschließlich kontobasierte Inhalte können außerhalb der technischen Nachweisbarkeit liegen.