IT-forensisch onderzoek · macOS

Forensische analyse van belangrijke locaties – Belangrijke locaties op macOS vakkundig classificeren

macOS kann im Rahmen der Location Services Orte erkennen, die für den Benutzer bedeutsam sind. Apple beschreibt Significant Locations als Funktion, mit der ein Mac solche Orte identifizieren und für kontextbezogene Informationen in Apps wie Maps, Calendar und Reminders verwenden kann. Apple weist zugleich darauf hin, dass Significant Locations verschlüsselt sind und von Apple nicht gelesen werden können.

Vrijblijvend informeren

Für die Forensik kann die Funktion als möglicher Standortkontext relevant sein. Die tatsächliche Verfügbarkeit auswertbarer Daten hängt jedoch von macOS-Version, Gerätekonfiguration, Apple-Account-Synchronisierung, Verschlüsselung und dem Zustand der gesicherten Daten ab. Es darf nicht vorausgesetzt werden, dass eine vollständige oder dauerhaft erhaltene Standortchronik vorhanden ist.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie, een forensische afspiegeling of een technisch gelijkwaardige, op bewijsveilige wijze vastgelegde gegevensbron. Het originele bewijsmateriaal blijft ongewijzigd en wordt op bewijsveilige wijze bewaard.

Onze diensten

Wir prüfen, ob auf der beweissicher erfassten Datenquelle technisch verwertbare Informationen zu Significant Locations oder damit verbundenen Standortdiensten vorhanden sind. Soweit zugänglich, werden Zeit- und Ortsbezüge mit weiteren Artefakten aus Maps, Calendar, Reminders, Location Services und anderen fallbezogenen Datenquellen abgeglichen.

Fehlende oder nicht zugängliche Daten werden ausdrücklich als Einschränkung dokumentiert. Es werden keine Aufenthaltsorte aus bloßen Konfigurationseinträgen oder aus der allgemeinen Funktionsbeschreibung abgeleitet.

Typische toepassingsgebieden

•Untersuchung möglicher Aufenthalts- und Ortsbezüge
•Korrelation mit Maps-, Kalender- und Erinnerungsdaten
•Prüfung standortbezogener Systemkonfiguration
•Rekonstruktion räumlich-zeitlicher Zusammenhänge
•Benutzeraktivitäts- und Incident-Response-Untersuchungen
•Bewertung gelöschter beziehungsweise synchronisierter Standortinformationen
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

Zo verloopt het forensisch onderzoek

Nach der beweissicheren Sicherung wird zunächst festgestellt, welche Location-Services- und Significant-Locations-bezogenen Informationen im konkreten macOS-System vorhanden und zugänglich sind. Anschließend werden verwertbare Einträge nach Quelle, Zeitbezug und Ortsinformation strukturiert.

Die Ergebnisse werden mit unabhängigen Datenquellen korreliert. Dabei berücksichtigen wir, dass Apple das Löschen der Significant-Locations-Historie ermöglicht und dass standortbezogene Informationen verschlüsselt beziehungsweise geräte- oder accountbezogen synchronisiert sein können.

Waarom is dit onderzoeksgebied forensisch relevant?

Significant Locations kann in geeigneten Fällen einen zusätzlichen Kontext für die räumliche Einordnung digitaler Ereignisse liefern. Die Funktion ist jedoch nicht mit einer garantierten, lückenlosen GPS-Historie gleichzusetzen.

Gerade bei gerichtlichen Fragestellungen ist entscheidend, zwischen einem gespeicherten Standortbezug, einer vom System gelernten „bedeutenden“ Position und dem sicheren Nachweis der Anwesenheit einer bestimmten Person zu unterscheiden. Letzterer benötigt regelmäßig zusätzliche Beweismittel.

Veelgestelde vragen

Was sind Significant Locations?+
Apple beschreibt damit Orte, die ein Gerät als für den Benutzer bedeutsam erkennt und für kontextbezogene Funktionen verwenden kann.
Kann Apple diese Orte lesen?+
Apple gibt an, dass Significant Locations verschlüsselt sind und von Apple nicht gelesen werden können.
Kann die Historie gelöscht werden?+
Ja. Apple stellt eine Funktion zum Löschen der Significant-Locations-Historie bereit.
Beweist ein Significant-Location-Eintrag die Anwesenheit einer bestimmten Person?+
Nicht automatisch. Ein Geräte- oder Standortbefund muss von der personenbezogenen Zuordnung getrennt und mit weiteren Beweismitteln korreliert werden.

🔗 Gerelateerde onderwerpen

LanCologne – macOS-forensisch onderzoek in Keulen

Sie benötigen eine professionelle Untersuchung von Significant Locations oder anderen Standortspuren eines Mac? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung und der vorsichtigen, technisch belastbaren Einordnung.

Nu contact opnemen