IT-rikostutkinta · macOS

Screen Time forensisch analysieren – App- und Website-Nutzung unter macOS einordnen

Screen Time ist seit macOS 10.15 Bestandteil von macOS und kann Nutzungsinformationen zu Apps, Websites und weiteren Geräteaktivitäten bereitstellen. Apple beschreibt unter anderem Berichte über App- und Website-Nutzung, Benachrichtigungen und Geräteaktivität. Je nach Konfiguration können Screen-Time-Daten außerdem zwischen Geräten desselben Apple Accounts synchronisiert werden.

Pyydä sitoumukseton tarjous

Für die Forensik können vorhandene Screen-Time-Daten Hinweise auf die Nutzung bestimmter Anwendungen oder Websites innerhalb eines Zeitraums liefern. Sie sind jedoch nicht als lückenloses Aktivitätsprotokoll zu verstehen. Screen Time muss aktiviert beziehungsweise entsprechend konfiguriert sein, Daten können geräteübergreifend zusammengeführt werden und Apple weist darauf hin, dass beim Löschen des Safari-Verlaufs oder einer App zugehörige Nutzungsdaten entfernt werden können.

Miksi LanCologne?

Perustamisestaan lähtien LanCologne on keskittynyt ammattimaiseen IT-rikostutkintaan. Henkilökunnallamme on vuosikymmenten kokemus tietotekniikan alalta, ja he avustavat yrityksiä, asianajajia, yksityishenkilöitä sekä säännöllisesti myös tuomioistuimia monimutkaisten digitaalisten tapausten teknisessä selvittämisessä.

Tutkinta suoritetaan periaatteessa yksinomaan rikosteknologisella kopiolla, rikosteknologisella kuvalla tai teknisesti vastaavalla, todistusvoimaisesti tallennetulla tietolähteellä. Alkuperäinen todistusaineisto säilyy muuttumattomana ja sitä säilytetään todistusvoimaisesti.

Palvelumme

Wir prüfen, ob Screen-Time-Daten auf der forensischen Datenquelle vorhanden und für den relevanten Benutzer beziehungsweise Zeitraum auswertbar sind. Verfügbare Nutzungsinformationen werden nach Anwendung, Website, Zeitraum und Gerätebezug eingeordnet.

Die Ergebnisse werden mit Browserartefakten, Unified Logs, Anwendungsdaten und weiteren zeitbezogenen Spuren abgeglichen. Eine angezeigte Nutzungsdauer wird nicht ohne Prüfung einem bestimmten Benutzerverhalten zugeschrieben, insbesondere wenn Screen Time geräteübergreifend synchronisiert wurde.

Tyypillisiä käyttökohteita

•Rekonstruktion von App- und Website-Nutzung
•Zeitliche Eingrenzung von Benutzeraktivitäten
•Untersuchung von Arbeits- und Nutzungszeiträumen
•Korrelation mit Browser- und Anwendungsartefakten
•Prüfung geräteübergreifender Nutzungshinweise
•Ergänzung bestehender macOS-Timelines
•Oikeudelliset ja oikeuden ulkopuoliset asiantuntijalausunnot

Näin rikostekninen tutkimus etenee

Nach der beweissicheren Sicherung wird zunächst geprüft, ob Screen Time aktiviert war und welche Datenbestände vorhanden sind. Anschließend werden relevante Nutzungsinformationen extrahiert und der jeweiligen App, Website, Zeitspanne und – soweit technisch ableitbar – dem Gerät zugeordnet.

Besondere Aufmerksamkeit gilt der möglichen Synchronisierung über mehrere Apple-Geräte. Apple erlaubt sowohl die Darstellung einzelner Geräte als auch kombinierter Nutzungsstatistiken. Deshalb wird vor einer zeitlichen oder personenbezogenen Schlussfolgerung geprüft, ob der Befund tatsächlich dem untersuchten Mac zugeordnet werden kann.

Miksi tämä tutkimusalue on rikosteknologisesti merkityksellinen?

Screen Time kann eine klassische macOS-Artefaktanalyse um Nutzungsinformationen ergänzen. Gerade bei der Frage, ob eine Anwendung oder Website innerhalb eines bestimmten Zeitfensters genutzt wurde, können vorhandene Daten einen zusätzlichen Anhaltspunkt liefern.

Die Aussagekraft hat klare Grenzen: Screen Time ist kein forensisches Audit-Log, kann deaktiviert sein, Daten können synchronisiert oder entfernt werden. Belastbare Aussagen entstehen daher erst durch Korrelation mit unabhängigen Spuren.

Usein kysyttyjä kysymyksiä

Seit wann gibt es Screen Time auf dem Mac?+
Apple dokumentiert Screen Time für macOS 10.15 und neuer.
Welche Informationen kann Screen Time anzeigen?+
Unter anderem App- und Website-Nutzung sowie – abhängig von Version und Gerät – weitere Nutzungsstatistiken.
Können Screen-Time-Daten von mehreren Geräten stammen?+
Ja. Bei entsprechender Apple-Account-Konfiguration können Nutzungsdaten zwischen Geräten synchronisiert und kombiniert dargestellt werden.
Ist Screen Time ein lückenloses Benutzerprotokoll?+
Nein. Verfügbarkeit, Konfiguration, Synchronisierung und Löschvorgänge müssen bei der forensischen Bewertung berücksichtigt werden.

🔗 Aiheeseen liittyvät aiheet

LanCologne – macOS-rikostutkinta Kölnissä

Sie benötigen eine professionelle Untersuchung von Screen-Time- oder Nutzungsdaten auf einem Mac? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung und der nachvollziehbaren technischen Auswertung.

Ota yhteyttä nyt