IT-Forensik · macOS

Time-Machine-Snapshots forensisch analysieren – Frühere Dateizustände unter macOS untersuchen

Time Machine kann auf APFS-formatierten Macs lokale Snapshots des Startvolumes anlegen. Apple dokumentiert, dass diese ungefähr stündlich erzeugt und typischerweise für etwa 24 Stunden aufbewahrt werden. Zusätzlich kann ein Snapshot des letzten erfolgreichen Time-Machine-Backups bis zum nächsten Speicherplatzbedarf bestehen bleiben; seit macOS High Sierra wird außerdem vor der Installation eines macOS-Updates ein weiterer Snapshot angelegt.

Demande sans engagement

Für die Forensik können solche lokalen Snapshots frühere Dateizustände oder Versionen zugänglich machen. Ihre Existenz und ihr Inhalt sind jedoch nicht garantiert. Snapshots können automatisch entfernt werden, insbesondere wenn Speicherplatz benötigt wird.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

Die Untersuchung erfolgt grundsätzlich ausschließlich auf einer forensischen Kopie beziehungsweise einem forensischen Abbild oder einer technisch gleichwertig beweissicher erfassten Datenquelle. Das Originalbeweismittel bleibt unverändert und wird beweissicher verwahrt.

Nos services

Wir identifizieren vorhandene lokale Time-Machine-Snapshots, dokumentieren deren Zeitbezug und ordnen sie dem betreffenden APFS-Volume zu. Soweit technisch zugänglich, vergleichen wir relevante Dateien und Verzeichnisse mit dem aktuellen Datenbestand und weiteren vorhandenen Snapshots.

Die Untersuchung unterscheidet ausdrücklich zwischen lokalen APFS-Snapshots und externen beziehungsweise netzwerkbasierten Time-Machine-Backups. Aussagen werden nur zu tatsächlich vorhandenen und ausgewerteten Datenbeständen getroffen.

Domaines d'application typiques

•Vergleich früherer und aktueller Dateiversionen
•Untersuchung gelöschter oder veränderter Dateien
•Rekonstruktion zeitlicher Systemzustände
•Analyse vor oder nach macOS-Updates
•Prüfung von Manipulationsvorwürfen
•Ergänzung einer APFS-Dateisystemanalyse
•Expertises judiciaires et extrajudiciaires

So läuft die forensische Untersuchung ab

Nach der beweissicheren Erfassung werden vorhandene APFS-Snapshots inventarisiert und darauf geprüft, ob sie Time Machine oder einem anderen Systemzweck zugeordnet werden können. Relevante Snapshots werden zeitlich eingeordnet und anschließend mit dem aktuellen Dateisystemzustand verglichen.

Dabei wird berücksichtigt, dass lokale Time-Machine-Snapshots automatisch verwaltet und entfernt werden können. Ein fehlender Snapshot ist daher kein Beweis dafür, dass Time Machine zu einem bestimmten Zeitpunkt nicht aktiv war. Ergebnisse werden mit APFS-Metadaten, FSEvents und weiteren macOS-Artefakten korreliert.

Warum ist dieses Artefakt forensisch relevant?

Lokale Time-Machine-Snapshots können einen früheren Zustand von Dateien bereitstellen, obwohl das externe Backup-Volume gerade nicht verfügbar ist. Dadurch können sie in geeigneten Fällen eine zusätzliche historische Datenquelle darstellen.

Ihre forensische Aussagekraft hängt von der tatsächlichen Snapshot-Verfügbarkeit und dem untersuchten Zeitraum ab. Sie bilden keine unbegrenzt vollständige Historie und dürfen nicht mit einer dauerhaften, externen Time-Machine-Sicherung gleichgesetzt werden.

Foire aux questions

Wie häufig erzeugt Time Machine lokale Snapshots?+
Apple gibt an, dass ungefähr stündlich ein Snapshot des Startvolumes gespeichert und typischerweise etwa 24 Stunden aufbewahrt wird.
Werden lokale Snapshots dauerhaft gespeichert?+
Nein. Sie werden automatisch verwaltet und können unter anderem entfernt werden, wenn Speicherplatz benötigt wird.
Benötigen lokale Time-Machine-Snapshots APFS?+
Ja. Apple beschreibt lokale Time-Machine-Snapshots für Datenträger mit Apple File System (APFS).
Kann ein fehlender Snapshot beweisen, dass Time Machine nicht aktiv war?+
Nein. Snapshots können automatisch gelöscht werden; das Fehlen allein erlaubt keinen sicheren Rückschluss auf die frühere Konfiguration.

LanCologne – macOS-Forensik in Köln

Sie benötigen eine professionelle Untersuchung vorhandener Time-Machine-Snapshots? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung und der nachvollziehbaren Auswertung früherer Dateizustände.

Nous contacter dès maintenant