{"id":395466,"date":"2026-08-10T14:49:36","date_gmt":"2026-08-10T13:49:36","guid":{"rendered":"https:\/\/lancologne.de\/it-forensik\/linux-forensik\/last-lastlog-forensik\/"},"modified":"2026-08-15T19:57:15","modified_gmt":"2026-08-15T18:57:15","slug":"last-lastlog-forensik","status":"publish","type":"page","link":"https:\/\/lancologne.de\/en\/it-forensik\/linux-forensik\/last-lastlog-forensik\/","title":{"rendered":"last- und lastlog-Protokolle forensisch analysieren \u2013 Anmeldehistorien nachvollziehbar auswerten"},"content":{"rendered":"

[et_pb_section fb_built=“1″ background_color=“#0A0814″ custom_padding=“60px|0|60px|0″]
\n[et_pb_row custom_padding=“0|0|0|0″][et_pb_column type=“4_4″][et_pb_text]<\/p>\n

IT-Forensik \u00b7 Linux<\/p>\n

last- und lastlog-Protokolle forensisch analysieren \u2013 Anmeldehistorien nachvollziehbar auswerten<\/h1>\n

Die Dateien wtmp und lastlog protokollieren Anmeldehistorien einzelner Benutzerkonten, einschlie\u00dflich Zeitpunkt, Terminal und teilweise Herkunft der Anmeldung. Sie bilden die Datengrundlage f\u00fcr Befehle wie last und lastlog.<\/p>\n

Unverbindlich anfragen<\/a>
\n[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#ffffff“ custom_padding=“40px|0|10px|0″]
\n[et_pb_row][et_pb_column type=“4_4″][et_pb_text]<\/p>\n

F\u00fcr die forensische Auswertung werden diese Dateien nicht \u00fcber die Standardbefehle des laufenden Systems ausgewertet, sondern direkt aus der gesicherten Kopie extrahiert, um Manipulationen am laufenden System auszuschlie\u00dfen.<\/p>\n

[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″]
\n[et_pb_row][et_pb_column type=“4_4″][et_pb_text]<\/p>\n

Warum LanCologne?<\/h2>\n

Seit der Gr\u00fcndung besch\u00e4ftigt sich LanCologne schwerpunktm\u00e4\u00dfig mit der professionellen IT-Forensik. Unsere Mitarbeiter verf\u00fcgen \u00fcber jahrzehntelange Erfahrung im Bereich der Informationstechnologie und unterst\u00fctzen Unternehmen, Rechtsanw\u00e4lte, Privatpersonen sowie regelm\u00e4\u00dfig auch Gerichte bei der technischen Aufkl\u00e4rung komplexer digitaler Sachverhalte.<\/p>\n

Die Untersuchung erfolgt grunds\u00e4tzlich ausschlie\u00dflich auf einer forensischen Kopie beziehungsweise einem forensischen Abbild oder einer technisch gleichwertig beweissicher erfassten Datenquelle. Das Originalbeweismittel bleibt unver\u00e4ndert und wird beweissicher verwahrt.<\/p>\n

[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″]
\n[et_pb_row][et_pb_column type=“4_4″][et_pb_text]<\/p>\n

Unsere Leistungen<\/h2>\n

Wir extrahieren wtmp- und lastlog-Daten direkt aus dem gesicherten Abbild, rekonstruieren die vollst\u00e4ndige Anmeldehistorie und gleichen sie mit weiteren Authentifizierungsprotokollen ab.<\/p>\n

[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″]
\n[et_pb_row][et_pb_column type=“4_4″][et_pb_text]<\/p>\n

Typische Einsatzgebiete<\/h2>\n
\u2022<\/span>Rekonstruktion von Anmeldezeiten und -herkunft<\/span><\/div>\n
\u2022<\/span>Nachweis unautorisierter Zugriffe auf Benutzerkonten<\/span><\/div>\n
\u2022<\/span>Untersuchung ungew\u00f6hnlicher Anmeldemuster<\/span><\/div>\n
\u2022<\/span>Abgleich mit SSH- und PAM-Protokollen<\/span><\/div>\n
\u2022<\/span>Incident Response auf Linux-Systemen<\/span><\/div>\n
\u2022<\/span>Gerichtliche und au\u00dfergerichtliche Gutachten<\/span><\/div>\n

[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″]
\n[et_pb_row][et_pb_column type=“4_4″][et_pb_text]<\/p>\n

So l\u00e4uft eine last-\/lastlog-Analyse ab<\/h2>\n

Nach der Sicherung werden die relevanten Bin\u00e4rdateien direkt aus dem forensischen Abbild extrahiert und strukturiert ausgewertet. Die daraus rekonstruierte Anmeldehistorie wird anschlie\u00dfend mit SSH-, PAM- und weiteren Authentifizierungsprotokollen abgeglichen, um ein konsistentes Gesamtbild zu erhalten.<\/p>\n

[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″]
\n[et_pb_row][et_pb_column type=“4_4″][et_pb_text]<\/p>\n

Warum ist diese Analyse forensisch relevant?<\/h2>\n

Anmeldehistorien sind h\u00e4ufig zentraler Ausgangspunkt f\u00fcr die Aufkl\u00e4rung unautorisierter Zugriffe oder ungew\u00f6hnlicher Nutzungsmuster einzelner Benutzerkonten.<\/p>\n

Da diese Dateien grunds\u00e4tzlich manipulierbar sind, wird ihre Aussagekraft stets im Abgleich mit unabh\u00e4ngigen weiteren Quellen wie SSH- oder Auditd-Protokollen bewertet, statt isoliert betrachtet zu werden.<\/p>\n

[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″]
\n[et_pb_row][et_pb_column type=“4_4″][et_pb_text]<\/p>\n

H\u00e4ufige Fragen<\/h2>\n
\nWas ist der Unterschied zwischen wtmp und lastlog?+<\/span><\/summary>\n
wtmp protokolliert eine fortlaufende Historie aller An- und Abmeldungen, lastlog speichert dagegen f\u00fcr jeden Benutzer nur die jeweils letzte Anmeldung.<\/div>\n<\/details>\n
\nK\u00f6nnen diese Dateien manipuliert werden?+<\/span><\/summary>\n
Ja, grunds\u00e4tzlich ist eine Manipulation durch Benutzer mit ausreichenden Rechten m\u00f6glich, weshalb ein Abgleich mit weiteren Quellen erfolgt.<\/div>\n<\/details>\n
\nReicht der last-Befehl f\u00fcr eine forensische Auswertung aus?+<\/span><\/summary>\n
Nein, f\u00fcr eine forensisch belastbare Auswertung werden die zugrunde liegenden Bin\u00e4rdateien direkt aus dem gesicherten Abbild ausgewertet.<\/div>\n<\/details>\n

[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#F8F7F9″ custom_padding=“36px|0|36px|0″]
\n[et_pb_row][et_pb_column type=“4_4″][et_pb_text]<\/p>\n

\ud83d\udd17 Verwandte Themen<\/h3>\n
<\/svg>Linux-Forensik<\/a><\/svg>SSH-Authentifizierungsprotokolle analysieren<\/a><\/svg>btmp-Datei analysieren<\/a><\/svg>sudo-Protokolle analysieren<\/a><\/svg>Linux-Benutzerkonten analysieren<\/a><\/div>\n

[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#9B2242″ custom_padding=“50px|0|50px|0″]
\n[et_pb_row][et_pb_column type=“4_4″][et_pb_text]<\/p>\n

LanCologne \u2013 Linux-Forensik K\u00f6ln<\/h2>\n

Sie ben\u00f6tigen eine professionelle forensische Untersuchung zu \u201elast- und lastlog-Protokolle forensisch analysieren"? LanCologne unterst\u00fctzt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.<\/p>\n

Jetzt Kontakt aufnehmen<\/a>
\n[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section]
\n[et_pb_section fb_built=“1″ _builder_version=“4.16″ custom_padding=“10px||30px||true|false“][et_pb_row _builder_version=“4.16″][et_pb_column type=“4_4″ _builder_version=“4.16″][et_pb_text _builder_version=“4.16″]
\n<\/p>\n

\n

Passend zu diesem Thema<\/p>\n