IT-Forensik – Windows

Analyse judiciaire du système de fichiers NTFS – La base de pratiquement toute enquête sur Windows

Das NTFS-Dateisystem (New Technology File System) bildet seit vielen Jahren die Grundlage moderner Windows-Systeme. Nahezu jede Datei, jeder Ordner und zahlreiche Systeminformationen werden innerhalb dieses Dateisystems verwaltet. Aus IT-forensischer Sicht zählt NTFS deshalb zu den wichtigsten Informationsquellen bei der Untersuchung eines Windows-Computers.

Demande sans engagement

Eine professionelle NTFS-Analyse ermöglicht es, Dateibewegungen nachzuvollziehen, Zeitstempel auszuwerten, gelöschte Einträge zu bewerten und Zusammenhänge mit weiteren Windows-Artefakten herzustellen. Dabei werden nicht einzelne Informationen isoliert betrachtet, sondern stets im Gesamtkontext der Untersuchung bewertet.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

Die Untersuchung von NTFS-Dateisystemen erfolgt ausschließlich auf einer forensischen Kopie beziehungsweise einem forensischen Abbild. Das Originalbeweismittel bleibt unangetastet und wird beweissicher verwahrt.

Nos services

Wir analysieren unter anderem die Master File Table (MFT), Dateiattribute, Zeitstempel, Verzeichnisstrukturen, gelöschte Einträge, Dateizuordnungen sowie weitere NTFS-Metadaten. Ziel ist die objektive Rekonstruktion technischer Abläufe auf Grundlage nachvollziehbarer Artefakte.

Domaines d'application typiques

•Soupçon de suppression de données
•vol de données
•Accusations de manipulation
•Rekonstruktion von Dateibewegungen
•Analyse de supports de données externes
•Unterstützung gerichtlicher Verfahren
•Privat- und Unternehmensgutachten

So läuft eine NTFS-forensische Untersuchung ab

Nach der Erstellung eines forensischen Abbilds werden die relevanten NTFS-Strukturen analysiert. Die gewonnenen Informationen werden mit weiteren Windows-Artefakten wie Registry, Event-Logs oder USB-Spuren korreliert. Erst die Gesamtauswertung ermöglicht belastbare technische Feststellungen. Alle Untersuchungsschritte werden nachvollziehbar dokumentiert.

Warum ist die NTFS-Analyse so wichtig?

Das NTFS-Dateisystem enthält eine Vielzahl von Metadaten, die weit über den sichtbaren Dateibestand hinausgehen. Dadurch lassen sich häufig technische Zusammenhänge erkennen, die bei einer herkömmlichen Betrachtung verborgen bleiben. Eine fachgerechte Auswertung bildet daher einen wesentlichen Bestandteil nahezu jeder Windows-forensischen Untersuchung.

Häufige Fragen

Kann eine gelöschte Datei noch nachgewiesen werden?+
Je nach Einzelfall können NTFS-Metadaten Hinweise auf gelöschte Dateien liefern.
Wird immer das Original untersucht?+
Nein. Analysiert wird ausschließlich eine forensische Kopie beziehungsweise ein forensisches Abbild.
Kann die MFT allein den Sachverhalt beweisen?+
Nein. Die MFT ist ein wichtiges Artefakt, wird jedoch stets zusammen mit weiteren Spuren bewertet.
Ist NTFS auch auf externen Festplatten relevant?+
Ja. Viele externe Datenträger verwenden ebenfalls NTFS.

LanCologne – Windows-Forensik in Köln

Sie benötigen eine professionelle Analyse eines Windows-Systems oder NTFS-Dateisystems? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Dateisystemartefakte.

Nous contacter dès maintenant