Eine breite Artefaktlandschaft präzise korrelieren
Windows-Systeme speichern relevante Ereignisse an vielen Stellen: in NTFS-Strukturen, Registry-Hives, Ereignisprotokollen, Nutzungsdaten und zentralen Verwaltungsdiensten. Erst die gemeinsame Auswertung kann nachvollziehbar zeigen, wann ein Konto verwendet, ein Programm ausgeführt, eine Datei verändert oder ein externer Datenträger angeschlossen wurde.
Vor der Analyse werden Systemzustand, TPM- und BitLocker-Konfiguration, UEFI-/Secure-Boot-Bezug sowie vorhandene Sicherungen erfasst. Physische, logische oder Live-Erhebungen werden nach Beweisfrage und Betriebszustand gewählt. Abbilder werden mit Prüfsummen verifiziert und Auswertungen an kontrollierten Arbeitskopien durchgeführt.
System-, Nutzer- und Dateisystemspuren zusammenführen
Registry, EVTX, Prefetch, Amcache, SRUM, LNK-Dateien und Jump Lists werden mit NTFS-Metadaten, USN Journal, Volume Shadow Copies und $MFT korreliert. Dienste, geplante Aufgaben, WMI, Defender-Ereignisse und Kontenaktivitäten können Hinweise auf Programmausführung, Persistenz oder sicherheitsrelevante Veränderungen liefern.
Werkzeuge und Auswertungsbereiche
- Cellebrite Digital Collector und Cellebrite Inspector für kontrollierte Erhebung und Analyse
- X-Ways Forensics und Belkasoft Evidence Center X für Datenträger- und Artefaktauswertung
- Registry-, EVTX-, NTFS-, Programmausführungs- und Kontenspuren
- USB-, Datei-, Browser-, E-Mail- und sicherheitsrelevante Aktivitäten
- Bericht oder Gutachten mit überprüfbarer Methodik und Aussagegrenzen
Auswertung durch hochqualifizierte Experten
Die Auswertung erfolgt durch hochqualifizierte Experten mit fundierter Erfahrung in der Windows- und Datenträgerforensik. Befunde werden anhand ihrer Originalartefakte verifiziert und verständlich dokumentiert. Auf Wunsch und bei entsprechender Beauftragung erstellt der Sachverständige ein Gutachten zu Methodik, Feststellungen und fachlicher Aussagekraft.
Wichtig: Verschlüsselung, fehlende Protokollierung, Löschungen und nachträgliche Systemnutzung können die Aussagekraft begrenzen. Der Bericht weist Datenlücken und technisch nicht entscheidbare Fragen ausdrücklich aus.