IT-Forensik · macOS

Mac-Triage mit SUMURI RECON ITR durchführen

Eine Triage beantwortet eine andere Frage als eine Akquisition. Nicht „Wie sichere ich diesen Mac vollständig?“, sondern: Welcher von mehreren Macs, welches Benutzerkonto und welcher Zeitraum ist für den Fall relevant – und was muss zuerst gesichert und ausgewertet werden? Die Triage ist damit ein Entscheidungsinstrument für Fälle, in denen mehrere Geräte vorliegen, die Zeit drängt oder der Untersuchungsumfang bewusst begrenzt werden soll.

Unverbindlich anfragen

Technischer Hintergrund

SUMURI RECON ITR ist für Imaging und Triage ausgelegt; auf dieser Seite geht es ausschließlich um die Triage – Sicherungsmethoden und Gerätegenerationen behandelt die Seite zur Akquisition. Eine Triage sichtet ausgewählte Artefaktgruppen und bereitet sie schnell auf. Sie ist bewusst unvollständig: Was in der Triage nicht auftaucht, ist damit nicht ausgeschlossen. Deshalb werden Auswahlkriterien, Umfang und Zeitpunkt dokumentiert – damit später nachvollziehbar bleibt, warum ein Gerät priorisiert oder zurückgestellt wurde.

Relevante Spuren und Datenquellen

  • Welche Benutzerkonten waren im fraglichen Zeitraum aktiv?
  • Wurden externe Datenträger angeschlossen oder Cloud-Dienste genutzt?
  • Gibt es Treffer zu festgelegten Dateien, Programmen oder Kommunikationspartnern (Stichwort- und Hashlisten)?
  • Welches von mehreren Geräten trägt voraussichtlich die relevanten Spuren?

Warum LanCologne?

LanCologne untersucht Apple-Computer nicht nach einem pauschalen Standardschema, sondern anhand der konkreten Hardware- und Sicherheitsarchitektur. Unsere Mitarbeiter verfügen über jahrzehntelange Erfahrung in der Informationstechnologie und langjährige praktische Erfahrung in der IT-Forensik.

So gehen wir vor

  • Fragestellung, Zeitraum und Suchkriterien vorab mit dem Auftraggeber festlegen.
  • Triage ausgewählter Artefaktgruppen; Auswahl und jede Zustandsänderung am Gerät werden protokolliert.
  • Entscheidung je Gerät: vollständige Sicherung, gezielte logische Sicherung oder Zurückstellung – jeweils mit Begründung.
  • Relevante Triage-Treffer werden in der anschließenden Auswertung an den Originalartefakten validiert.

Grenzen

  • Eine Triage ist keine Auswertung: Ein fehlender Treffer belegt nicht, dass keine Spuren vorhanden sind.
  • Eine Triage am laufenden System verändert dessen Zustand; die Änderungen werden dokumentiert, lassen sich aber nicht vermeiden.
  • Welche Daten bei aktuellen Macs überhaupt zugänglich sind, hängt vom Gerätezustand ab (siehe Seite zur Akquisition).

Mögliche Ergebnisse

  • Triage-Protokoll mit Auswahlkriterien, Umfang und Zeitpunkten
  • Priorisierte Geräte- und Auswertungsliste mit Begründung
  • Empfehlung zum weiteren Sicherungsumfang

Häufige Fragen

Wann reicht eine Triage, wann braucht es eine vollständige Akquisition?
Eine Triage, wenn schnell entschieden werden muss, welche Geräte und Daten relevant sind, oder wenn der Umfang begrenzt werden soll. Eine vollständige Akquisition, wenn ein Gerät als beweiserheblich feststeht oder gelöschte Daten und Zeitlinien umfassend untersucht werden müssen.
Ersetzt die Triage die spätere Auswertung?
Nein. Sie priorisiert. Belastbare Befunde entstehen erst durch die Validierung an den Originalartefakten.
Kann eine Triage den Untersuchungsumfang begrenzen, etwa aus Datenschutzgründen?
Ja, wenn Zeitraum und Suchkriterien vorab festgelegt und dokumentiert werden. Ob die Begrenzung rechtlich ausreicht, klärt der Auftraggeber mit seiner Rechtsberatung.

Weiterführende Themen

LanCologne – macOS-Forensik in Köln

Sie benötigen eine professionelle Untersuchung zu „Mac-Triage mit SUMURI RECON ITR durchführen“? LanCologne unterstützt Sie bei der beweissicheren Sicherung, mehrstufigen Auswertung und nachvollziehbaren Dokumentation. Entscheidend ist dabei nicht, möglichst viele automatische Treffer zu erzeugen, sondern technisch belastbare und überprüfbare Beweise zu sichern.

Jetzt Kontakt aufnehmen