Informatique légale · macOS

FileVault forensisch analysieren – Verschlüsselungszustand und Zugriffsmöglichkeiten bewerten

FileVault protège les données sur un Mac grâce au chiffrement. Sur les Mac équipés d’Apple Silicon ou de la puce de sécurité Apple T2, les données sont déjà chiffrées au niveau matériel ; FileVault ajoute une couche de protection supplémentaire en conditionnant l’accès à l’utilisation des identifiants de l’utilisateur ou à des mécanismes de récupération appropriés. Sur les anciens Mac Intel sans puce T2, la situation technique est différente et doit être évaluée séparément.

Demande sans engagement

Für die Forensik ist FileVault vor allem deshalb relevant, weil der Verschlüsselungs- und Entsperrzustand unmittelbar beeinflusst, welche Daten auf einem beschlagnahmten oder übergebenen System zugänglich sind. FileVault ist dabei kein Aktivitätsartefakt und erlaubt für sich allein keine Aussage darüber, wer bestimmte Dateien erstellt oder verwendet hat.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Wir dokumentieren den erkennbaren Verschlüsselungszustand, die Hardwareplattform, vorhandene APFS-Strukturen und die für eine beweissichere Erfassung relevanten Zugriffsvoraussetzungen. Benutzer- und Recovery-Kontext werden nur im Rahmen der tatsächlich verfügbaren und rechtmäßig bereitgestellten Informationen bewertet.

Bei laufenden beziehungsweise entsperrten Systemen wird die aktuelle Zugriffssituation besonders sorgfältig dokumentiert, da ein späterer Zustandswechsel die Erfassungsmöglichkeiten erheblich verändern kann.

Domaines d'application typiques

•Bewertung des FileVault- und Verschlüsselungszustands
•Planung forensischer Datenerfassungen
•Analyse des systèmes Apple Silicon, T2 et des anciens systèmes Intel
•Zuordnung verschlüsselter APFS-Volumes
•Incident Response und Beweissicherung
•Dokumentation von Recovery- und Benutzerkontext
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule l'expertise judiciaire

Zunächst werden Modell, Prozessorplattform und Datenträgerstruktur dokumentiert. Danach wird geprüft, welche APFS-Volumes vorliegen und in welchem Zustand sie zugänglich sind. Die Untersuchung erfolgt ohne unnötige Änderungen am Originalsystem.

Die konkrete Vorgehensweise hängt wesentlich davon ab, ob ein Mac ausgeschaltet, gestartet, angemeldet oder bereits entsperrt übergeben wurde. Diese Zustände werden in der Dokumentation strikt getrennt, weil sie die technisch möglichen Sicherungswege beeinflussen.

En quoi ce domaine d'étude présente-t-il un intérêt sur le plan médico-légal ?

FileVault gehört zu den wichtigsten Rahmenbedingungen einer modernen macOS-Beweissicherung. Insbesondere bei Apple Silicon und T2-Systemen müssen hardwaregebundene Schlüsselmechanismen und der aktuelle Gerätezustand berücksichtigt werden.

Forensisch entscheidend ist deshalb nicht nur die Feststellung „FileVault aktiv“, sondern die genaue Dokumentation von Plattform, Verschlüsselungszustand und verfügbarem Zugriff zum Zeitpunkt der Sicherung.

Foire aux questions

Ist ein Apple-Silicon-Mac auch ohne aktiviertes FileVault verschlüsselt?+
Apple beschreibt bei Apple Silicon eine hardwaregestützte Datenverschlüsselung. FileVault ergänzt den Schutz, indem der Zugriff zusätzlich an Benutzer- beziehungsweise Recovery-Anmeldedaten gebunden wird.
Kann FileVault die forensische Sicherung beeinflussen?+
Ja. Der Verschlüsselungs- und Entsperrzustand kann entscheidend dafür sein, welche Daten technisch zugänglich sind.
Sind Intel-, T2- und Apple-Silicon-Macs gleich zu behandeln?+
Nein. Hardwareplattform und Sicherheitsarchitektur müssen bei der Sicherungsstrategie berücksichtigt werden.
Beweist FileVault etwas über Benutzeraktivitäten?+
Nein. FileVault ist primär ein Verschlüsselungs- und Zugriffsschutzmechanismus.

LanCologne – Analyse judiciaire de macOS à Cologne

Sie benötigen eine professionelle forensische Untersuchung eines FileVault-geschützten Mac? LanCologne unterstützt Sie bei der beweissicheren Erfassung und technisch nachvollziehbaren Bewertung.

Nous contacter dès maintenant