MOBILE FORENSICS

Digitale Metadaten professionell untersuchen lassen

TYPICAL QUESTIONS

When is this analysis required?

• ✔Gehört eine Nachricht technisch zu dem dargestellten Chat?

• ✔Ist eine Mediendatei mit einem konkreten Nachrichtendatensatz verknüpft?

• ✔Welche Zeitwerte wurden für Erstellung, Versand, Empfang oder Statusänderung gespeichert?

• ✔Gibt es Datenbankbeziehungen, die einen Screenshot bestätigen oder relativieren?

• ✔Sind Lücken durch Löschung, Synchronisation, Datenmigration oder App-Verhalten erklärbar?

• ✔Lassen sich Nachrichten-IDs oder Thread-Bezüge mit weiteren Geräten oder Sicherungen vergleichen?

Eine automatische Tool-Ausgabe ist dabei nicht mit einer abschließenden Bewertung gleichzusetzen. Datenbankschemata und Feldbedeutungen können sich zwischen App-Versionen ändern. Deshalb sind manuelle Prüfung, Validierung und dokumentierte Interpretation unverzichtbar.

Das Dateisystem verwaltet nicht nur die Inhalte einer Datei, sondern auch technische Eigenschaften wie Name, Pfad, Größe, Attribute und verschiedene Zeitwerte. Abhängig vom Betriebssystem und Dateisystem können weitere Informationen vorhanden sein. Diese Daten helfen, den Speicherort einer Datei, mögliche Kopierprozesse und den Zusammenhang mit einer App zu untersuchen.

Dateisystemzeiten dürfen jedoch nicht mit der inhaltlichen Entstehungszeit gleichgesetzt werden. Wird ein Foto aus einem Messenger exportiert, kann die neue Datei einen späteren Erstellungszeitpunkt erhalten, obwohl das Bild selbst älter ist. Umgekehrt können beim Wiederherstellen aus einem Backup ursprüngliche Zeitwerte teilweise übernommen werden. Die korrekte Einordnung hängt daher vom konkreten Speicher- und Übertragungsweg ab.

Standortinformationen können direkt in Medien, in App-Datenbanken, in Karten- oder Navigationsdaten, in WLAN-Bezügen oder in anderen Systemartefakten vorkommen. GPS-Koordinaten in einem Bild sind nur eine mögliche Quelle. Andere Artefakte können Orte, Bewegungen, Routensuchen, gespeicherte Positionen oder Netzwerkbezüge abbilden.

Standortdaten benötigen besondere Vorsicht. Ein gespeicherter Ort kann den Standort des Geräts, den Zielort einer Suche, den Ort einer aufgenommenen Datei oder lediglich eine aus anderen Daten abgeleitete Position beschreiben. Auch Genauigkeit, Messmethode und Zeitbezug sind zu prüfen. Ein einzelner Ortswert sollte daher nie ohne Kontext als Anwesenheitsnachweis dargestellt werden.

Weitere relevante Begleitspuren betreffen das Gerät und die installierten Anwendungen. Dazu können Modell- und Systeminformationen, App-Paketkennungen, Installations- oder Updatebezüge, Berechtigungen, Kontokennungen, Synchronisationsstatus und Backupinformationen zählen. Solche Daten helfen beispielsweise, zu prüfen, ob eine bestimmte Anwendung im relevanten Zeitraum vorhanden war oder ob Daten über mehrere Geräte und Cloud-Dienste synchronisiert worden sein könnten.

Auch diese Informationen müssen zeitlich eingeordnet werden. Der aktuelle Installationsstatus beweist nicht zwangsläufig, dass eine App zu einem früheren Zeitpunkt aktiv genutzt wurde. Umgekehrt können Artefakte einer früher installierten App erhalten bleiben, obwohl sie später entfernt wurde.

Viele mobile Anwendungen speichern Daten in SQLite-Datenbanken. Neben den sichtbaren Nutzdaten enthalten diese Datenbanken häufig technische Felder, IDs, Statuswerte und Beziehungen zwischen Tabellen. Im WAL-Modus können zusätzliche oder noch nicht in die Hauptdatenbank übernommene Seiten in einer zugehörigen WAL-Datei vorhanden sein. Die SHM-Datei unterstützt die Verwaltung des WAL-Betriebs.

Für eine fachgerechte Untersuchung sollten Hauptdatenbank, WAL und SHM gemeinsam gesichert und dokumentiert werden, soweit sie vorhanden sind. Dennoch gilt: Nicht jeder in einer WAL-Datei gefundene Datensatz ist automatisch gelöscht, älter oder beweiserheblich. Seine Position, Transaktion, Seitenzuordnung und der Zustand der Datenbank müssen fachlich bewertet werden.

Metadaten können Widersprüche sichtbar machen. Ein angeblich direkt mit einem Smartphone aufgenommenes Foto kann beispielsweise Softwareangaben enthalten, die auf eine spätere Verarbeitung hindeuten. Ein Chat-Screenshot kann zeitlich oder strukturell nicht zu den vorhandenen Datenbankeinträgen passen. Eine Datei kann im Dateisystem zu einem anderen Zeitpunkt angelegt worden sein als der in ihr gespeicherte Aufnahmezeitpunkt.

Solche Abweichungen sind jedoch zunächst nur Prüfhinweise. Sie können auch durch legitime Vorgänge wie Export, Cloud-Synchronisation, Weiterleitung, Bearbeitung, Zeitzonenänderung oder Wiederherstellung aus einem Backup entstehen. Eine seriöse Untersuchung unterscheidet deshalb zwischen:

• ✔einer technisch festgestellten Abweichung,

• ✔einer plausiblen technischen Erklärung,

• ✔einem belastbaren Hinweis auf nachträgliche Veränderung und

• ✔einem tatsächlich nachweisbaren Manipulationsvorgang.

Forensische Neutralität: Der Untersuchungsauftrag darf nicht darauf ausgerichtet sein, eine gewünschte Behauptung zu bestätigen. Maßgeblich sind die objektiv vorhandenen Spuren und die daraus vertretbaren Schlussfolgerungen.

Fragestellung präzisieren: Welche Aussage soll technisch geprüft werden?

Beweismittel dokumentieren: Gerät, Zustand, Identifikationsmerkmale und Übergabe werden festgehalten.

Daten forensisch sichern: Die geeignete Sicherungsmethode wird anhand des Geräts und des Auftrags gewählt.

Integrität dokumentieren: Dateien und Exporte werden – soweit sinnvoll – mit Hashwerten und nachvollziehbaren Arbeitskopien abgesichert.

Relevante Quellen identifizieren: Medien, Datenbanken, Dateisystem, Protokolle, Cloud- und App-Artefakte werden eingegrenzt.

Formate und Bedeutungen prüfen: Zeitformat, Zeitzone, Datenbankfeld und technische Semantik werden validiert.

Metadaten korrelieren: Einzelspuren werden mit unabhängigen Quellen abgeglichen.

Alternative Erklärungen prüfen: Synchronisation, Export, Migration, Backup und Softwareverhalten werden berücksichtigt.

Ergebnisse reproduzierbar dokumentieren: Arbeitsschritte, Werkzeuge, Versionen, Abfragen und Grenzen werden festgehalten.

Befund und Bewertung trennen: Technische Feststellung und sachverständige Schlussfolgerung werden klar unterschieden.

• ✔Ein einzelner Zeitstempel wird ohne Prüfung als „Erstellungsdatum“ bezeichnet.

• ✔UTC, lokale Zeit und Sommerzeit werden miteinander verwechselt.

• ✔Dateisystemzeit und inhaltliche Aufnahmezeit werden gleichgesetzt.

• ✔Fehlende EXIF-Daten werden automatisch als Manipulationshinweis gewertet.

• ✔GPS-Daten werden ohne Prüfung ihrer Bedeutung als Anwesenheitsbeweis dargestellt.

• ✔Automatisch geparste Tool-Ausgaben werden ohne manuelle Validierung übernommen.

• ✔App-Versionen und unterschiedliche Datenbankschemata werden nicht berücksichtigt.

• ✔Eine Kopie oder ein Export wird wie die ursprüngliche Datei behandelt.

• ✔Widersprüche werden nicht mit möglichen Synchronisations- oder Backupvorgängen abgeglichen.

• ✔Das Fehlen einer Spur wird als Beweis dafür interpretiert, dass ein Ereignis nicht stattgefunden hat.

Metadaten können entfernt, verändert, überschrieben oder durch normale Systemvorgänge neu erzeugt werden. Manche Anwendungen speichern nur wenige Informationen; andere verwenden verschlüsselte oder proprietäre Datenstrukturen. Moderne Betriebssysteme schränken den Zugriff auf bestimmte Bereiche ein. Zudem können hochentwickelte Manipulationen oder unbekannte Softwarefehler die Auswertung erschweren.

Eine seriöse Analyse verspricht daher nicht, jeden Vorgang zweifelsfrei rekonstruieren zu können. Sie beschreibt vielmehr, welche Datenquellen vorlagen, welche Methoden eingesetzt wurden, welche Befunde reproduzierbar sind und wo technische Unsicherheiten verbleiben.

• ✔Prüfung der Echtheit oder zeitlichen Einordnung von Fotos und Videos,

• ✔Untersuchung behaupteter Chatmanipulationen,

• ✔Rekonstruktion von Kommunikations- und Ereignisabläufen,

• ✔Prüfung von Dateiherkunft, Export oder Bearbeitung,

• ✔Analyse von Standort- und Bewegungsbezügen,

• ✔interne Untersuchungen und Incident Response,

• ✔Vorbereitung eines Privat- oder Gerichtsgutachtens,

• ✔Plausibilitätsprüfung digitaler Beweismittel.