IT-Forensik · Linux

Partitionstabellen (GPT/MBR) unter Linux forensisch analysieren – Grundlegende Datenträgerstruktur rekonstruieren

GPT und das ältere MBR-Schema definieren, wie ein Datenträger in Partitionen unterteilt ist. Unter Linux kommen beide Schemata je nach Systemalter, Hardware und Bootverfahren (BIOS oder UEFI) vor.

Wysyłaj zapytanie bez zobowiązań

Eine beschädigte oder absichtlich veränderte Partitionstabelle kann dazu führen, dass Partitionen scheinbar fehlen, obwohl die zugrunde liegenden Daten physisch noch vorhanden sind. Die forensische Rekonstruktion setzt daher eine sorgfältige Low-Level-Analyse voraus.

Dlaczego LanCologne?

Od momentu powstania firma LanCologne zajmuje się przede wszystkim profesjonalną kryminalistyką informatyczną. Nasi pracownicy posiadają wieloletnie doświadczenie w dziedzinie technologii informacyjnych i wspierają przedsiębiorstwa, prawników, osoby prywatne, a także regularnie sądy w technicznym wyjaśnianiu złożonych spraw związanych z technologiami cyfrowymi.

Die Untersuchung erfolgt grundsätzlich ausschließlich auf einer forensischen Kopie beziehungsweise einem forensischen Abbild oder einer technisch gleichwertig beweissicher erfassten Datenquelle. Das Originalbeweismittel bleibt unverändert und wird beweissicher verwahrt.

Nasze usługi

Wir werten die vorhandene Partitionstabelle aus, rekonstruieren bei Beschädigung die ursprüngliche Partitionsstruktur anhand von Dateisystem-Signaturen und stellen sicher, dass keine Partition bei der weiteren Analyse übersehen wird.

Typowe obszary zastosowań

•Rekonstruktion beschädigter Partitionsstrukturen
•Untersuchung nach gezielter Manipulation der Partitionstabelle
•Auffinden versteckter oder nicht gemounteter Partitionen
•Vorbereitung der Dateisystemanalyse auf komplexen Datenträgern
•Incident Response auf Linux-Systemen
•Ekspertyzy sądowe i pozasądowe

So läuft die Analyse einer Partitionstabelle ab

Nach der Sicherung des vollständigen Rohabbilds wird zunächst geprüft, ob eine gültige GPT- oder MBR-Struktur vorliegt. Bei Beschädigung wird der Datenträger anhand bekannter Dateisystem-Signaturen systematisch nach vorhandenen Partitionen durchsucht, um die ursprüngliche Struktur zu rekonstruieren.

Warum ist die Analyse der Partitionstabelle forensisch relevant?

Eine unvollständig erkannte Partitionsstruktur kann dazu führen, dass relevante Datenbereiche bei der Untersuchung vollständig übersehen werden. Die korrekte Rekonstruktion ist deshalb ein notwendiger erster Schritt jeder Datenträgeranalyse.

Bei Verdacht auf gezielte Manipulation der Partitionstabelle, etwa zur Verschleierung von Daten, wird die Analyse besonders sorgfältig dokumentiert, um spätere Schlussfolgerungen nachvollziehbar zu belegen.

Najczęściej zadawane pytania

Was ist der Unterschied zwischen GPT und MBR?+
MBR ist das ältere Partitionsschema mit begrenzter Partitionsanzahl und Volumengröße, GPT ist der modernere Nachfolger mit deutlich höheren Grenzen und zusätzlicher Redundanz.
Kann eine beschädigte Partitionstabelle rekonstruiert werden?+
In vielen Fällen ja, anhand von Dateisystem-Signaturen und bekannten Strukturmerkmalen. Der Erfolg hängt vom Ausmaß der Beschädigung ab.
Können Partitionen absichtlich versteckt werden?+
Ja, durch Manipulation der Partitionstabelle können Partitionen dem Betriebssystem gegenüber verborgen werden, obwohl die Daten physisch vorhanden bleiben.

🔗 Powiązane tematy

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „Partitionstabellen (GPT/MBR) unter Linux forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Skontaktuj się z nami już teraz