IT-Forensik – Windows

Forensische analyse van Windows Volume Shadow Copies – Eerdere bestandsversies en systeeminformatie achterhalen

Windows erstellt abhängig von Systemkonfiguration und Nutzung sogenannte Volume Shadow Copies. Diese Schattenkopien können frühere Versionen von Dateien und Verzeichnissen enthalten und liefern in vielen Fällen wertvolle Anhaltspunkte für die Rekonstruktion digitaler Ereignisse.

Vrijblijvend informeren

Im Rahmen einer professionellen IT-forensischen Untersuchung werden vorhandene Schattenkopien strukturiert ausgewertet und mit weiteren Windows-Artefakten korreliert. Erst die Gesamtauswertung ermöglicht eine belastbare technische Bewertung.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt uitsluitend plaats op basis van een forensische kopie of een forensische afspiegeling. Het originele bewijsmateriaal blijft ongewijzigd en wordt op een bewijsveilige manier bewaard.

Onze diensten

Analyse van bestaande Volume Shadow Copies, vergelijking van eerdere bestandsversies, reconstructie van verwijderde of gewijzigde gegevens, correlatie met register-, bestandssysteem- en gebeurtenislogboeken, evenals volledige documentatie van alle onderzoeksstappen.

Typische toepassingsgebieden

•Herstel van verwijderde bestanden
•Incidentrespons
•Onderzoek naar ransomware
•Analyse van systeemmanipulaties
•Arbeidsrechtelijke procedures
•Gerechtelijke deskundigenrapporten

So läuft die Analyse ab

Nadat er een forensische kopie is gemaakt, worden bestaande schaduwkopieën geïdentificeerd en geanalyseerd. De verkregen bevindingen worden vervolgens samen met andere digitale sporen technisch geëvalueerd.

Warum sind Volume Shadow Copies wichtig?

Ze kunnen eerdere toestanden van bestanden en systeemonderdelen vastleggen en zo helpen bij het chronologisch reconstrueren van gebeurtenissen. Hun bewijskracht vloeit echter pas voort uit de algehele beoordeling van alle relevante artefacten.

Häufige Fragen

Enthält jedes Windows-System Schattenkopien?+
Nein. Das hängt von Windows-Version, Konfiguration und Nutzung des Systems ab.
Können gelöschte Daten in Schattenkopien enthalten sein?+
Je nach Datenlage können frühere Dateiversionen oder andere historische Informationen vorhanden sein.
Wird mit dem Originaldatenträger gearbeitet?+
Nein. Die Untersuchung erfolgt ausschließlich auf einer forensischen Kopie beziehungsweise einem forensischen Abbild.
Reichen Volume Shadow Copies allein für ein Gutachten aus?+
Nein. Sie werden stets gemeinsam mit weiteren Windows-Artefakten ausgewertet.

🔗 Verwandte Themen

LanCologne – Windows-Forensik in Köln

Heeft u behoefte aan een professionele analyse van Windows Volume Shadow Copies of andere Windows-artefacten? LanCologne ondersteunt u bij het maken van een rechtsgeldige back-up van digitaal bewijsmateriaal en bij de objectieve analyse van complexe Windows-systemen.

Nu contact opnemen