Eine breite Artefaktlandschaft präzise korrelieren
Windows-Systeme speichern relevante Ereignisse an vielen Stellen: in NTFS-Strukturen, Registry-Hives, Ereignisprotokollen, Nutzungsdaten und zentralen Verwaltungsdiensten. Erst die gemeinsame Auswertung kann nachvollziehbar zeigen, wann ein Konto verwendet, ein Programm ausgeführt, eine Datei verändert oder ein externer Datenträger angeschlossen wurde.
Vor der Analyse werden Systemzustand, TPM- und BitLocker-Konfiguration, UEFI-/Secure-Boot-Bezug sowie vorhandene Sicherungen erfasst. Physische, logische oder Live-Erhebungen werden nach Beweisfrage und Betriebszustand gewählt. Abbilder werden mit Prüfsummen verifiziert und Auswertungen an kontrollierten Arbeitskopien durchgeführt.
System-, Nutzer- und Dateisystemspuren zusammenführen
Registry, EVTX, Prefetch, Amcache, SRUM, LNK-Dateien und Jump Lists werden mit NTFS-Metadaten, USN Journal, Volume Shadow Copies und $MFT korreliert. Dienste, geplante Aufgaben, WMI, Defender-Ereignisse und Kontenaktivitäten können Hinweise auf Programmausführung, Persistenz oder sicherheitsrelevante Veränderungen liefern.
Werkzeuge und Auswertungsbereiche
- Cellebrite Digital Collector und Cellebrite Inspector für kontrollierte Erhebung und Analyse
- X-Ways Forensics und Belkasoft Evidence Center X für Datenträger- und Artefaktauswertung
- Registry-, EVTX-, NTFS-, Programmausführungs- und Kontenspuren
- USB-, Datei-, Browser-, E-Mail- und sicherheitsrelevante Aktivitäten
- Bericht oder Gutachten mit überprüfbarer Methodik und Aussagegrenzen
Wichtig: Verschlüsselung, fehlende Protokollierung, Löschungen und nachträgliche Systemnutzung können die Aussagekraft begrenzen. Der Bericht weist Datenlücken und technisch nicht entscheidbare Fragen ausdrücklich aus.
Weitere Informationen zur Leistung
Windows-Systeme hinterlassen in NTFS, Registry, Ereignisprotokollen und Nutzerprofilen zahlreiche Spuren. QUINTEGO sichert diese Artefakte kontrolliert und verknüpft sie zu einer technisch belastbaren Ereigniszeitleiste. Ist der Rechner Teil eines größeren Vorfalls im Unternehmensnetz, ordnet die IT-Forensik nach einem Sicherheitsvorfall die Befunde in den Gesamtablauf ein.
Häufige Fragen
Was ist Windows-Forensik?
Die Untersuchung von Windows-Arbeitsplatzrechnern und Servern anhand von Dateisystem, Registry, Logs und Nutzeraktivitäten.
Welche Daten sind besonders wertvoll?
NTFS-$LogFile, Registry-Hives, Ereignisprotokolle, Prefetch, Jumplists, Browser- und E-Mail-Artefakte.
Können gelöschte Dateien wiederhergestellt werden?
Oft ja, sofern die Daten nicht überschrieben wurden und eine schnelle Sicherung erfolgt.
Regionale Verfügbarkeit
Windows-Forensik bieten wir unter anderem in München, Berlin, Hamburg und Frankfurt am Main an. Eine Übersicht aller Städte und Länder finden Sie unter Einsatzorte. Kontaktieren Sie uns für eine vertrauliche Erstberatung.