IT-Forensik · Linux

Partitionstabellen (GPT/MBR) unter Linux forensisch analysieren – Grundlegende Datenträgerstruktur rekonstruieren

GPT und das ältere MBR-Schema definieren, wie ein Datenträger in Partitionen unterteilt ist. Unter Linux kommen beide Schemata je nach Systemalter, Hardware und Bootverfahren (BIOS oder UEFI) vor.

Demande sans engagement

Eine beschädigte oder absichtlich veränderte Partitionstabelle kann dazu führen, dass Partitionen scheinbar fehlen, obwohl die zugrunde liegenden Daten physisch noch vorhanden sind. Die forensische Rekonstruktion setzt daher eine sorgfältige Low-Level-Analyse voraus.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Wir werten die vorhandene Partitionstabelle aus, rekonstruieren bei Beschädigung die ursprüngliche Partitionsstruktur anhand von Dateisystem-Signaturen und stellen sicher, dass keine Partition bei der weiteren Analyse übersehen wird.

Domaines d'application typiques

•Rekonstruktion beschädigter Partitionsstrukturen
•Untersuchung nach gezielter Manipulation der Partitionstabelle
•Auffinden versteckter oder nicht gemounteter Partitionen
•Vorbereitung der Dateisystemanalyse auf komplexen Datenträgern
•Incident Response auf Linux-Systemen
•Expertises judiciaires et extrajudiciaires

So läuft die Analyse einer Partitionstabelle ab

Nach der Sicherung des vollständigen Rohabbilds wird zunächst geprüft, ob eine gültige GPT- oder MBR-Struktur vorliegt. Bei Beschädigung wird der Datenträger anhand bekannter Dateisystem-Signaturen systematisch nach vorhandenen Partitionen durchsucht, um die ursprüngliche Struktur zu rekonstruieren.

Warum ist die Analyse der Partitionstabelle forensisch relevant?

Eine unvollständig erkannte Partitionsstruktur kann dazu führen, dass relevante Datenbereiche bei der Untersuchung vollständig übersehen werden. Die korrekte Rekonstruktion ist deshalb ein notwendiger erster Schritt jeder Datenträgeranalyse.

Bei Verdacht auf gezielte Manipulation der Partitionstabelle, etwa zur Verschleierung von Daten, wird die Analyse besonders sorgfältig dokumentiert, um spätere Schlussfolgerungen nachvollziehbar zu belegen.

Foire aux questions

Was ist der Unterschied zwischen GPT und MBR?+
MBR ist das ältere Partitionsschema mit begrenzter Partitionsanzahl und Volumengröße, GPT ist der modernere Nachfolger mit deutlich höheren Grenzen und zusätzlicher Redundanz.
Kann eine beschädigte Partitionstabelle rekonstruiert werden?+
In vielen Fällen ja, anhand von Dateisystem-Signaturen und bekannten Strukturmerkmalen. Der Erfolg hängt vom Ausmaß der Beschädigung ab.
Können Partitionen absichtlich versteckt werden?+
Ja, durch Manipulation der Partitionstabelle können Partitionen dem Betriebssystem gegenüber verborgen werden, obwohl die Daten physisch vorhanden bleiben.

🔗 Sujets connexes

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „Partitionstabellen (GPT/MBR) unter Linux forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Nous contacter dès maintenant