IT-kriminalteknik – Windows

Forensisk analyse af Windows-volumen-skyggekopier – Gengivelse af tidligere filtilstande og systemoplysninger

Windows erstellt abhängig von Systemkonfiguration und Nutzung sogenannte Volume Shadow Copies. Diese Schattenkopien können frühere Versionen von Dateien und Verzeichnissen enthalten und liefern in vielen Fällen wertvolle Anhaltspunkte für die Rekonstruktion digitaler Ereignisse.

Uforpligtende forespørgsel

Im Rahmen einer professionellen IT-forensischen Untersuchung werden vorhandene Schattenkopien strukturiert ausgewertet und mit weiteren Windows-Artefakten korreliert. Erst die Gesamtauswertung ermöglicht eine belastbare technische Bewertung.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages udelukkende på en retsmedicinsk kopi eller et retsmedicinsk aftryk. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets bevismæssige værdi.

Vores tjenester

Analyse af eksisterende Volume Shadow Copies, sammenligning af tidligere filversioner, rekonstruktion af slettede eller ændrede oplysninger, sammenholdelse med registreringsdatabasen, filsystemet og hændelseslogfiler samt fuldstændig dokumentation af alle undersøgelsestrin.

Typiske anvendelsesområder

•Gendannelse af slettede filer
•Håndtering af sikkerhedshændelser
•Undersøgelser af ransomware
•Analyse af systemmanipulationer
•Arbejdsretlige sager
•Retsmedicinske udtalelser

Sådan foregår analysen

Efter oprettelsen af et retsmedicinsk billede identificeres og analyseres eksisterende skyggekopier. De indhøstede oplysninger vurderes derefter teknisk sammen med andre digitale spor.

Warum sind Volume Shadow Copies wichtig?

De kan dokumentere tidligere tilstande for filer og systemområder og dermed bidrage til den tidsmæssige rekonstruktion af hændelser. Deres beviskraft fremgår dog først af den samlede vurdering af alle relevante artefakter.

Ofte stillede spørgsmål

Enthält jedes Windows-System Schattenkopien?+
Nein. Das hängt von Windows-Version, Konfiguration und Nutzung des Systems ab.
Können gelöschte Daten in Schattenkopien enthalten sein?+
Je nach Datenlage können frühere Dateiversionen oder andere historische Informationen vorhanden sein.
Arbejdes der med det originale datamedie?+
Nej. Undersøgelsen foregår udelukkende på en retsmedicinsk kopi eller et retsmedicinsk aftryk.
Reichen Volume Shadow Copies allein für ein Gutachten aus?+
Nej. De analyseres altid sammen med andre Windows-artefakter.

🔗 Relaterede emner

LanCologne – Windows-forensik i Köln

Har du brug for en professionel analyse af Windows Volume Shadow Copies eller andre Windows-artefakter? LanCologne hjælper dig med at sikre digitale bevismidler på en måde, der kan bruges i retten, samt med en objektiv analyse af komplekse Windows-systemer.

Kontakt os nu