IT Forensics · macOS
Significant Locations forensisch analysieren – Bedeutende Orte unter macOS fachgerecht einordnen
macOS kann im Rahmen der Location Services Orte erkennen, die für den Benutzer bedeutsam sind. Apple beschreibt Significant Locations als Funktion, mit der ein Mac solche Orte identifizieren und für kontextbezogene Informationen in Apps wie Maps, Calendar und Reminders verwenden kann. Apple weist zugleich darauf hin, dass Significant Locations verschlüsselt sind und von Apple nicht gelesen werden können.
Für die Forensik kann die Funktion als möglicher Standortkontext relevant sein. Die tatsächliche Verfügbarkeit auswertbarer Daten hängt jedoch von macOS-Version, Gerätekonfiguration, Apple-Account-Synchronisierung, Verschlüsselung und dem Zustand der gesicherten Daten ab. Es darf nicht vorausgesetzt werden, dass eine vollständige oder dauerhaft erhaltene Standortchronik vorhanden ist.
Why LanCologne?
Since its foundation, LanCologne has specialised in professional IT forensics. Our staff have decades of experience in the field of information technology and assist companies, solicitors, private individuals and, on a regular basis, the courts in the technical investigation of complex digital matters.
The examination is, as a matter of principle, carried out exclusively on a forensic copy, a forensic image or a data source captured in a technically equivalent manner that preserves the integrity of the evidence. The original evidence remains unchanged and is stored in a manner that preserves its integrity.
Our services
Wir prüfen, ob auf der beweissicher erfassten Datenquelle technisch verwertbare Informationen zu Significant Locations oder damit verbundenen Standortdiensten vorhanden sind. Soweit zugänglich, werden Zeit- und Ortsbezüge mit weiteren Artefakten aus Maps, Calendar, Reminders, Location Services und anderen fallbezogenen Datenquellen abgeglichen.
Fehlende oder nicht zugängliche Daten werden ausdrücklich als Einschränkung dokumentiert. Es werden keine Aufenthaltsorte aus bloßen Konfigurationseinträgen oder aus der allgemeinen Funktionsbeschreibung abgeleitet.
Typical areas of application
This is how the forensic investigation is carried out
Nach der beweissicheren Sicherung wird zunächst festgestellt, welche Location-Services- und Significant-Locations-bezogenen Informationen im konkreten macOS-System vorhanden und zugänglich sind. Anschließend werden verwertbare Einträge nach Quelle, Zeitbezug und Ortsinformation strukturiert.
Die Ergebnisse werden mit unabhängigen Datenquellen korreliert. Dabei berücksichtigen wir, dass Apple das Löschen der Significant-Locations-Historie ermöglicht und dass standortbezogene Informationen verschlüsselt beziehungsweise geräte- oder accountbezogen synchronisiert sein können.
Why is this area of investigation relevant to forensics?
Significant Locations kann in geeigneten Fällen einen zusätzlichen Kontext für die räumliche Einordnung digitaler Ereignisse liefern. Die Funktion ist jedoch nicht mit einer garantierten, lückenlosen GPS-Historie gleichzusetzen.
Gerade bei gerichtlichen Fragestellungen ist entscheidend, zwischen einem gespeicherten Standortbezug, einer vom System gelernten „bedeutenden“ Position und dem sicheren Nachweis der Anwesenheit einer bestimmten Person zu unterscheiden. Letzterer benötigt regelmäßig zusätzliche Beweismittel.
Frequently Asked Questions
🔗 Related topics
LanCologne – macOS Forensics in Cologne
Sie benötigen eine professionelle Untersuchung von Significant Locations oder anderen Standortspuren eines Mac? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung und der vorsichtigen, technisch belastbaren Einordnung.