IT-Forensik · Linux

Partitionstabellen (GPT/MBR) unter Linux forensisch analysieren – Grundlegende Datenträgerstruktur rekonstruieren

GPT und das ältere MBR-Schema definieren, wie ein Datenträger in Partitionen unterteilt ist. Unter Linux kommen beide Schemata je nach Systemalter, Hardware und Bootverfahren (BIOS oder UEFI) vor.

Solicitar información sin compromiso

Eine beschädigte oder absichtlich veränderte Partitionstabelle kann dazu führen, dass Partitionen scheinbar fehlen, obwohl die zugrunde liegenden Daten physisch noch vorhanden sind. Die forensische Rekonstruktion setzt daher eine sorgfältige Low-Level-Analyse voraus.

¿Por qué LanCologne?

Desde su fundación, LanCologne se ha dedicado principalmente a la informática forense profesional. Nuestros empleados cuentan con décadas de experiencia en el ámbito de las tecnologías de la información y prestan apoyo a empresas, abogados, particulares y, con frecuencia, también a los tribunales en la investigación técnica de casos digitales complejos.

Die Untersuchung erfolgt grundsätzlich ausschließlich auf einer forensischen Kopie beziehungsweise einem forensischen Abbild oder einer technisch gleichwertig beweissicher erfassten Datenquelle. Das Originalbeweismittel bleibt unverändert und wird beweissicher verwahrt.

Nuestros servicios

Wir werten die vorhandene Partitionstabelle aus, rekonstruieren bei Beschädigung die ursprüngliche Partitionsstruktur anhand von Dateisystem-Signaturen und stellen sicher, dass keine Partition bei der weiteren Analyse übersehen wird.

Ámbitos de aplicación habituales

•Rekonstruktion beschädigter Partitionsstrukturen
•Untersuchung nach gezielter Manipulation der Partitionstabelle
•Auffinden versteckter oder nicht gemounteter Partitionen
•Vorbereitung der Dateisystemanalyse auf komplexen Datenträgern
•Incident Response auf Linux-Systemen
•Peritajes judiciales y extrajudiciales

So läuft die Analyse einer Partitionstabelle ab

Nach der Sicherung des vollständigen Rohabbilds wird zunächst geprüft, ob eine gültige GPT- oder MBR-Struktur vorliegt. Bei Beschädigung wird der Datenträger anhand bekannter Dateisystem-Signaturen systematisch nach vorhandenen Partitionen durchsucht, um die ursprüngliche Struktur zu rekonstruieren.

Warum ist die Analyse der Partitionstabelle forensisch relevant?

Eine unvollständig erkannte Partitionsstruktur kann dazu führen, dass relevante Datenbereiche bei der Untersuchung vollständig übersehen werden. Die korrekte Rekonstruktion ist deshalb ein notwendiger erster Schritt jeder Datenträgeranalyse.

Bei Verdacht auf gezielte Manipulation der Partitionstabelle, etwa zur Verschleierung von Daten, wird die Analyse besonders sorgfältig dokumentiert, um spätere Schlussfolgerungen nachvollziehbar zu belegen.

Preguntas frecuentes

Was ist der Unterschied zwischen GPT und MBR?+
MBR ist das ältere Partitionsschema mit begrenzter Partitionsanzahl und Volumengröße, GPT ist der modernere Nachfolger mit deutlich höheren Grenzen und zusätzlicher Redundanz.
Kann eine beschädigte Partitionstabelle rekonstruiert werden?+
In vielen Fällen ja, anhand von Dateisystem-Signaturen und bekannten Strukturmerkmalen. Der Erfolg hängt vom Ausmaß der Beschädigung ab.
Können Partitionen absichtlich versteckt werden?+
Ja, durch Manipulation der Partitionstabelle können Partitionen dem Betriebssystem gegenüber verborgen werden, obwohl die Daten physisch vorhanden bleiben.

🔗 Temas relacionados

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „Partitionstabellen (GPT/MBR) unter Linux forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Ponte en contacto con nosotros ahora