IT-kriminalteknik · Linux

Partitionstabellen (GPT/MBR) unter Linux forensisch analysieren – Grundlegende Datenträgerstruktur rekonstruieren

GPT und das ältere MBR-Schema definieren, wie ein Datenträger in Partitionen unterteilt ist. Unter Linux kommen beide Schemata je nach Systemalter, Hardware und Bootverfahren (BIOS oder UEFI) vor.

Uforpligtende forespørgsel

Eine beschädigte oder absichtlich veränderte Partitionstabelle kann dazu führen, dass Partitionen scheinbar fehlen, obwohl die zugrunde liegenden Daten physisch noch vorhanden sind. Die forensische Rekonstruktion setzt daher eine sorgfältige Low-Level-Analyse voraus.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Wir werten die vorhandene Partitionstabelle aus, rekonstruieren bei Beschädigung die ursprüngliche Partitionsstruktur anhand von Dateisystem-Signaturen und stellen sicher, dass keine Partition bei der weiteren Analyse übersehen wird.

Typiske anvendelsesområder

•Rekonstruktion beschädigter Partitionsstrukturen
•Untersuchung nach gezielter Manipulation der Partitionstabelle
•Auffinden versteckter oder nicht gemounteter Partitionen
•Vorbereitung der Dateisystemanalyse auf komplexen Datenträgern
•Incident Response auf Linux-Systemen
•Retslige og udenretslige ekspertudtalelser

So läuft die Analyse einer Partitionstabelle ab

Nach der Sicherung des vollständigen Rohabbilds wird zunächst geprüft, ob eine gültige GPT- oder MBR-Struktur vorliegt. Bei Beschädigung wird der Datenträger anhand bekannter Dateisystem-Signaturen systematisch nach vorhandenen Partitionen durchsucht, um die ursprüngliche Struktur zu rekonstruieren.

Warum ist die Analyse der Partitionstabelle forensisch relevant?

Eine unvollständig erkannte Partitionsstruktur kann dazu führen, dass relevante Datenbereiche bei der Untersuchung vollständig übersehen werden. Die korrekte Rekonstruktion ist deshalb ein notwendiger erster Schritt jeder Datenträgeranalyse.

Bei Verdacht auf gezielte Manipulation der Partitionstabelle, etwa zur Verschleierung von Daten, wird die Analyse besonders sorgfältig dokumentiert, um spätere Schlussfolgerungen nachvollziehbar zu belegen.

Ofte stillede spørgsmål

Was ist der Unterschied zwischen GPT und MBR?+
MBR ist das ältere Partitionsschema mit begrenzter Partitionsanzahl und Volumengröße, GPT ist der modernere Nachfolger mit deutlich höheren Grenzen und zusätzlicher Redundanz.
Kann eine beschädigte Partitionstabelle rekonstruiert werden?+
In vielen Fällen ja, anhand von Dateisystem-Signaturen und bekannten Strukturmerkmalen. Der Erfolg hängt vom Ausmaß der Beschädigung ab.
Können Partitionen absichtlich versteckt werden?+
Ja, durch Manipulation der Partitionstabelle können Partitionen dem Betriebssystem gegenüber verborgen werden, obwohl die Daten physisch vorhanden bleiben.

🔗 Relaterede emner

LanCologne – Linux-forensik i Köln

Sie benötigen eine professionelle forensische Untersuchung zu „Partitionstabellen (GPT/MBR) unter Linux forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Kontakt os nu