Unser Forensik-Team ist unter 0221 64306610 erreichbar. Schildern Sie uns Ihre Fragestellung.
Mobile Forensik – digitale Beweissicherung und Analyse von Smartphones
Smartphones und Tablets gehören zu den informationsreichsten Beweismitteln, die in einer Untersuchung vorkommen können. Entscheidend ist dabei nicht, möglichst viele Daten aus einem Gerät zu holen. Entscheidend ist, die für die Beweisfrage relevanten Spuren kontrolliert zu sichern, sie im Zusammenhang zu bewerten und nachvollziehbar zu dokumentieren – einschließlich der Stellen, an denen eine technische Aussage nicht mehr trägt.
LanCologne untersucht mobile Geräte als Sachverständigenbüro mit eigenem forensischem Labor in Köln. Weil wir auch die übrigen Bereiche der IT-Forensik und die Datenrekonstruktion abdecken, lassen sich mobile Geräte bei Bedarf mit weiteren digitalen Beweismitteln in Beziehung setzen, statt sie isoliert zu betrachten. Die fachliche Grundlage ist eine vom TÜV Rheinland geprüfte Qualifikation für Mobilgeräte- und Windows-Forensik, öffentlich einsehbar in der Zertifikatsdatenbank Certipedia unter der Prüfzeichennummer 0000067863.
Verdacht auf Spyware, Stalkerware oder Malware auf einem Smartphone? Wir untersuchen iOS- und Android-Geräte forensisch auf Anzeichen einer Kompromittierung – mit dokumentiertem Vorgehen, nachvollziehbaren Befunden und einer klaren Einordnung dessen, was sie aussagen und was nicht. Zur Kompromittierungsprüfung
Was mobile Forensik leistet – und was sie nicht leistet
Mobile Forensik umfasst die Sicherung, Extraktion, Analyse und Bewertung digitaler Informationen aus Smartphones, Tablets und den damit verbundenen Datenquellen. Sie beantwortet technische Fragen: Welche Daten sind auf dem Gerät vorhanden? Wann wurden sie erzeugt, geändert oder empfangen? Lassen sich Abläufe rekonstruieren? Welche Aussagekraft haben die gefundenen Spuren?
Sie beantwortet keine rechtlichen Fragen. Ob ein Befund für ein Verfahren erheblich ist, entscheiden Gericht oder Auftraggeber – nicht der Sachverständige. Und sie liefert keine Garantie: Ob eine bestimmte Information rekonstruierbar ist, hängt von Gerätemodell, Betriebssystemversion, Verschlüsselung, Gerätezustand und der weiteren Nutzung nach dem fraglichen Ereignis ab.
Verdacht auf Spyware, Stalkerware oder Malware
Ein erheblicher Teil der Anfragen in der mobilen Forensik beginnt mit einem Verdacht: Jemand kennt Informationen, die er nicht kennen kann. Ein Gerät war zeitweise nicht unter eigener Kontrolle. Eine Trennungssituation eskaliert. Oder ein dienstliches Smartphone verhält sich nach einem Phishing-Vorfall auffällig.
Für solche Fälle führen wir eine forensische Kompromittierungsprüfung durch. Sie ist kein Virenscan und arbeitet nicht mit Signaturen, sondern untersucht das Gerät auf Spuren, die eine Manipulation oder Überwachung hinterlassen würde.
Was dabei untersucht wird
- installierte Anwendungen, ihre Herkunft und die ihnen erteilten Berechtigungen
- Konfigurations- und Profileinstellungen, Geräteverwaltung und Zertifikate
- System- und Startartefakte sowie Mechanismen, die einen dauerhaften Verbleib auf dem Gerät ermöglichen
- Netzwerk- und Verbindungsartefakte, einschließlich ungewöhnlicher Zielverbindungen
- Diagnose-, Absturz- und Protokolldaten, die auf unerwartete Prozessaktivität hindeuten können
- Konten, Kopplungen und synchronisierte Zugriffe auf verbundenen Geräten
Was ein Ergebnis aussagt
Wir unterscheiden konsequent zwischen einem technischen Nachweis, einem Hinweis, einem unbestätigten Verdacht und einem fehlenden Nachweis. Werden keine Auffälligkeiten gefunden, bedeutet das nicht, dass mit Sicherheit nichts vorliegt – es bedeutet, dass sich mit den vorhandenen Daten und Methoden keine Anhaltspunkte feststellen ließen. Diese Unterscheidung schreiben wir in den Bericht, weil sie für die weitere Entscheidung des Auftraggebers den Unterschied macht.
Hinzu kommt, dass Angriffe auf mobile Geräte darauf ausgelegt sein können, möglichst wenige dauerhafte Spuren zu hinterlassen. Auch deshalb lässt sich aus dem Ausbleiben von Auffälligkeiten kein sicherer Ausschluss ableiten – wohl aber eine belastbare Aussage darüber, was geprüft wurde und was sich dabei nicht gezeigt hat.
Jeder Untersuchungsschritt wird dokumentiert: was geprüft wurde, mit welchem Verfahren, mit welchem Ergebnis und wo die Aussagekraft endet. Ausführlich beschreiben wir das Verfahren auf der Seite Mobile Threat & Malware Check.
Der Untersuchungsablauf
Auftrag und Beweisfrage
Am Anfang steht die Frage, die beantwortet werden soll – nicht das Gerät. Aus der Beweisfrage ergibt sich, welche Datenquellen überhaupt relevant sind, welche Sicherungsmethode geeignet ist und welcher Untersuchungsumfang angemessen ist. Eine unscharfe Fragestellung führt zu einem unscharfen Ergebnis.
Beweissicherung und Gerätezustand
Ein Smartphone ist ein dynamisches System. Es empfängt Nachrichten, synchronisiert Konten, protokolliert Ereignisse und räumt Datenbanken auf – auch dann, wenn niemand es bedient. Jede Minute, die ein Gerät nach dem fraglichen Ereignis weiterläuft, kann relevante Spuren verändern.
Deshalb werden Eingang, Zustand und Identifikation des Geräts dokumentiert und unnötige Veränderungen vermieden. Wo es der Sachverhalt erfordert, führen wir die forensische Sicherung vor Ort durch, statt das Gerät zu transportieren.
Extraktion
Aus dem gesicherten Gerät werden die Daten in einer für die Analyse geeigneten Form gewonnen. Welche Verfahren zur Verfügung stehen, ist geräte- und versionsabhängig. Bei geschützten oder gesperrten Geräten kann – abhängig von Modell, Betriebssystemversion und Zustand – eine Entsperrung oder Entschlüsselung möglich sein. Eine allgemeine Zusage lässt sich daraus nicht ableiten; das prüfen wir fallbezogen.
Analyse und Korrelation
Hier entsteht der eigentliche Erkenntniswert. Einzelne Artefakte werden im Zusammenhang betrachtet: Eine Datenbank wird gegen Systemprotokolle gehalten, ein Zeitstempel gegen eine unabhängige Quelle, ein Standortartefakt gegen den Kontext seiner Entstehung. Widersprüche zwischen Quellen sind dabei kein Störfaktor, sondern oft der eigentliche Befund.
Bewertung und Dokumentation
Am Ende steht eine Einordnung, die zwischen technisch feststellbarer Tatsache, fachlich vertretbarer Schlussfolgerung, bloßem Hinweis und nicht belegbarer Annahme unterscheidet – und die benennt, wo die Aussagekraft endet.
Sicherungsarten
Die gebräuchlichen Verfahren unterscheiden sich in Umfang und Voraussetzungen:
- Logische Sicherung – greift auf Daten zu, die das Betriebssystem über definierte Schnittstellen bereitstellt. Breit einsetzbar, aber auf das beschränkt, was das System herausgibt.
- Dateisystembasierte Sicherung – erfasst Strukturen des Dateisystems und damit häufig auch Datenbankreste, Zwischenspeicher und Nebenstrukturen, die eine logische Sicherung nicht liefert.
- Gerätespezifische Verfahren – erweiterte Zugriffe, deren Verfügbarkeit stark von Modell, Betriebssystemversion und Sicherheitsstand abhängt.
Der Begriff „physikalische Sicherung“ wird in der Praxis uneinheitlich verwendet. Bei mobilen Geräten liefert er in aller Regel kein unverändertes Bitstream-Abbild wie bei einer klassischen Festplatte. Wir verwenden ihn deshalb nur dort, wo er technisch zutrifft – und nicht als Qualitätsversprechen.
iOS und Android – unterschiedliche Ausgangslagen
Die Möglichkeiten unterscheiden sich erheblich. Eine pauschale Gleichsetzung beider Plattformen führt in die Irre.
iPhone und iPad
Apple-Geräte sind stark standardisiert, zugleich durch Hardware-gestützte Verschlüsselung und einen eng geführten Systemzugriff geschützt. Was zugänglich ist, hängt maßgeblich von Modellgeneration, iOS-Version und Gerätezustand ab. Ausgewertet werden unter anderem Kommunikationsdaten, Mediendateien mit ihren Metadaten sowie System- und Nutzungsartefakte. Details zur Plattform behandeln wir auf der Seite zur forensischen Untersuchung von iPhones.
Android
Android ist stark fragmentiert: Hersteller, Chipsatz, Android-Version, Sicherheits-Patchstand und Verschlüsselungszustand variieren erheblich. Das erweitert einerseits die Bandbreite möglicher Verfahren, andererseits ist der Befund weniger gut vorhersagbar als bei iOS. Vertiefend dazu: Android-Forensik im Detail.
Forenzična analiza iPhona
Modellgeneration, iOS-Version und Gerätezustand bestimmen die möglichen Verfahren.
Forenzika sistema Android
Hersteller, Chipsatz, Version und Patchstand führen zu sehr unterschiedlichen Ausgangslagen.
Preverjanje kompromisa
Untersuchung auf Spuren von Spyware, Stalkerware und Malware – mit klarer Einordnung der Befunde.
Forenzična analiza iClouda
Konten, Backups und synchronisierte Inhalte können Informationen enthalten, die auf dem Gerät fehlen.
Zentrale Artefaktfelder
Messenger und Kommunikation
Nachrichten, Anhänge, Kontakte, Gruppen- und Zeitinformationen sowie die zugehörigen Metadaten gehören zu den am häufigsten untersuchten Daten. Wichtig ist die Unterscheidung zwischen dem, was eine App auf dem Bildschirm anzeigt, und dem, was in ihren Datenstrukturen tatsächlich hinterlegt ist. Eine Bildschirmaufnahme eines Chats ist keine forensische Auswertung. Mehr dazu unter Forenzika aplikacije Messenger.
App-Datenbanken, SQLite, WAL und SHM
Viele Anwendungen speichern ihre Daten in SQLite-Datenbanken. Neben der eigentlichen Datenbankdatei existieren dabei häufig Nebenstrukturen – insbesondere Write-Ahead-Log (WAL) und Shared-Memory-Datei (SHM). Sie können Einträge enthalten, die in der Hauptdatenbank bereits nicht mehr sichtbar sind. Bei beweisrelevanten Befunden prüfen wir diese Strukturen auf Rohdatenebene, statt uns auf die aufbereitete Darstellung eines Werkzeugs zu verlassen. Siehe dazu die WAL- und SHM-Analyse.
Gelöschte Daten
Eine Wiederherstellungsgarantie gibt es nicht. Moderne Geräte verschlüsseln standardmäßig; Flash-Speicher werden im Hintergrund bereinigt; Datenbanken räumen sich selbst auf. Sind die zugehörigen Schlüssel verworfen oder die Bereiche überschrieben, ist eine Rekonstruktion technisch ausgeschlossen.
Häufig existieren jedoch Sekundärspuren: Einträge in Nebenstrukturen von Datenbanken, Zwischenspeicher, Vorschaubilder, Benachrichtigungsverläufe, Backups oder synchronisierte Kopien auf verbundenen Geräten. Umgekehrt gilt: Dass sich eine Information nicht mehr rekonstruieren lässt, belegt nicht, dass sie nie existiert hat.
Standort- und Bewegungsdaten
Mögliche Quellen sind Metadaten von Fotos, Karten- und Navigationsdaten, App- und Systemartefakte sowie Netzwerk- und Cloud-Bezüge. Bei der Bewertung ist Zurückhaltung geboten: Ein Standortartefakt belegt eine Geräteaktivität, nicht den Aufenthaltsort einer bestimmten Person. Wer das Gerät zum fraglichen Zeitpunkt bei sich trug, ist keine technische, sondern eine Beweisfrage.
Zeitstempel und Ereignisrekonstruktion
Zeitangaben sind eine der häufigsten Fehlerquellen. Zeitzonen und Formate unterscheiden sich, und dieselbe Datei kann mehrere Zeitwerte tragen, die Unterschiedliches bedeuten: Erstellung, Änderung, Empfang, Versand, Synchronisation, Datenbankeintrag oder Anzeige. Ein einzelner Wert trägt deshalb selten allein. Wo möglich, korrelieren wir ihn mit unabhängigen Quellen – etwa mit Android-Geräteprotokollen.
Analyse statt Werkzeugbericht
Forensische Software kann sichern, extrahieren, strukturieren und Hinweise liefern. Der automatisch erzeugte Bericht eines Werkzeugs ist damit aber noch keine sachverständige Interpretation.
Werkzeuge treffen Annahmen: Sie ordnen Einträge zu, deuten Zeitwerte und stellen Zusammenhänge dar, die im Einzelfall nicht zutreffen müssen. Beweisrelevante Befunde plausibilisieren wir deshalb auf Artefakt- und Rohdatenebene, soweit dies erforderlich und technisch möglich ist. Zur übergeordneten Einordnung siehe unsere IT-forensischen Sachverständigenleistungen.
Cloud-Konten und verbundene Geräte
Ein Gerät steht selten für sich. Konten, Backups, synchronisierte Inhalte und weitere Geräte desselben Nutzers können relevante Informationen enthalten – manchmal auch dann, wenn sie auf dem untersuchten Gerät nicht mehr vorhanden sind. Solche Quellen werden ausschließlich im Rahmen des erteilten Untersuchungsauftrags und der vorhandenen rechtlichen und technischen Berechtigungen einbezogen.
Ergebnisoffenheit, Dokumentation und Chain of Custody
Untersuchungen werden ergebnisoffen geführt. Relevante Artefakte werden ausgewertet, unabhängig davon, ob sie eine Arbeitshypothese stützen oder ihr widersprechen. Auch bei Beauftragung durch eine Partei bleibt die technische Untersuchung neutral. Ein Nichtnachweis ist ein fachlich korrektes Ergebnis und wird als solches benannt.
Dokumentiert werden Eingang, Zustand und Identifikation des Geräts, Übergaben, Bearbeitungsschritte, die gewählte Sicherungsmethode, eingesetzte Werkzeuge und Versionen, die Analyseschritte sowie die Grenzen der Untersuchung. Integritäts- beziehungsweise Hashwerte werden gebildet, soweit sie technisch anwendbar sind – bei mobilen Geräten ist das nicht in jedem Verfahren und nicht auf jeder Ebene der Fall.
Ergebnisformen: Dokumentation, Bericht, Gutachten
Der Umfang richtet sich nach Auftrag, Beweisfrage und Verwendungszweck:
- Technische Dokumentation – strukturierte Aufbereitung der gesicherten und extrahierten Daten, damit der Auftraggeber selbst weiterarbeiten kann.
- Forensischer Untersuchungsbericht – vollständige Auswertung mit Befunden, Einordnung, Aussagekraft und benannten Grenzen.
- IT-forensisches Sachverständigengutachten – gutachterliche Beantwortung einer konkreten Beweisfrage, aufbereitet für die Verwendung in einem Verfahren.
Welche Form angemessen ist, klären wir vor Beginn der Untersuchung.
Für wen wir untersuchen
Die technische Untersuchung ist in allen Konstellationen dieselbe; es unterscheiden sich die typischen Fragestellungen.
Sodišča benötigen eine neutrale, nachvollziehbare Beantwortung einer konkreten Beweisfrage. Odvetniki in zagovorniki v kazenskih zadevah lassen häufig vorliegende Untersuchungsergebnisse technisch überprüfen. Strafverfolgungsbehörden beauftragen Sicherung und Auswertung als ergänzende sachverständige Leistung. Družba untersuchen interne Vorfälle, möglichen Datenabfluss oder die Rekonstruktion konkreter Abläufe. Zavarovanja benötigen die technische Klärung von Schadenfällen und die Prüfung digitaler Nachweise. Zasebniki wenden sich mit Fragen zu eigenen Geräten an uns und benötigen zusätzlich eine verständliche Erläuterung der Befunde.
Technische Grenzen
Die Untersuchungsmöglichkeiten werden begrenzt durch Gerätemodell und Betriebssystemversion, Sicherheitsupdates und Verschlüsselung, den Sperr- und Gerätezustand, erfolgte Löschungen und Datenbankbereinigungen, die weitere Nutzung nach dem fraglichen Ereignis, Synchronisationsvorgänge sowie durch Defekte und physische Beschädigungen.
Eine besondere Rolle spielt dabei, ob ein Gerät seit dem letzten Einschalten bereits einmal entsperrt wurde. Vor der ersten Entsperrung liegen weite Teile der Daten verschlüsselt vor und sind technisch nicht zugänglich; nach einer Entsperrung befinden sich mehr Bereiche in einem entschlüsselten Zustand. Dieser Unterschied kann darüber entscheiden, welche Untersuchung überhaupt möglich ist – und er ist ein Grund, ein Gerät nach einem relevanten Ereignis nicht unnötig neu zu starten.
Eine Zusage auf Vollständigkeit oder Erfolg ist deshalb nicht möglich. Was im konkreten Fall erreichbar ist, lässt sich erst nach Sichtung des Geräts und der Fragestellung belastbar einschätzen. Liegt ein physischer Defekt vor oder steht die Rekonstruktion von Daten im Vordergrund, ist unter Umständen die Obnovitev podatkov der passendere Weg.
Forensische Technologien und Werkzeuge
Für Sicherung, Extraktion und Auswertung kommen etablierte forensische Werkzeuge sowie ergänzende eigene Auswertungsschritte zum Einsatz. Die Auswahl richtet sich nach Gerät, Datenquelle und Fragestellung – nicht umgekehrt.
Fachliche Eignung ergibt sich nicht aus Softwarebesitz, Partnerlogos oder Herstellernamen, sondern aus der methodischen Prüfung der Ergebnisse. Werkzeugausgaben werden bei beweisrelevanten Befunden verifiziert und nicht ungeprüft übernommen.
Häufige Fragen zur mobilen Forensik
Wie läuft eine mobilforensische Untersuchung ab?
Beweisfrage klären, Gerät kontrolliert sichern, Daten extrahieren, Artefakte analysieren und korrelieren, Befunde einordnen und dokumentieren. Der Umfang der einzelnen Schritte richtet sich nach der Fragestellung.
Kako dolgo traja pregled?
Das hängt von Gerät, Datenmenge, Sicherungsverfahren und Untersuchungsumfang ab. Eine belastbare Einschätzung geben wir nach Sichtung – eine pauschale Dauer wäre unseriös.
Ali je mogoče izbrisana sporočila obnoviti?
Manchmal. Ob eine Rekonstruktion gelingt, hängt von Verschlüsselung, Speicherverwaltung, Zeitablauf und weiterer Nutzung ab. Häufig existieren Sekundärspuren in Nebenstrukturen von Datenbanken, Zwischenspeichern oder Backups. Eine Garantie gibt es nicht.
Kann ein gesperrtes Gerät untersucht werden?
Abhängig von Modell, Betriebssystemversion und Gerätezustand kann eine Entsperrung oder Entschlüsselung möglich sein. Ob das im konkreten Fall zutrifft, prüfen wir vorab.
Worin unterscheiden sich iPhone und Android?
iOS ist stark standardisiert und eng abgesichert, Android sehr heterogen. Beides wirkt sich unmittelbar darauf aus, welche Sicherungsverfahren zur Verfügung stehen und wie vorhersehbar der Befund ist.
Werden Hashwerte gebildet?
Ja, soweit technisch anwendbar. Bei mobilen Geräten liefert nicht jedes Verfahren ein Abbild, für das ein Hashwert dieselbe Aussagekraft hat wie bei einem klassischen Datenträger. Wir dokumentieren, was gebildet wurde und worauf es sich bezieht.
Was ist der Unterschied zwischen Bericht und Gutachten?
Ein Untersuchungsbericht dokumentiert Befunde und deren Einordnung. Ein Sachverständigengutachten beantwortet darüber hinaus eine konkrete Beweisfrage in einer für ein Verfahren geeigneten Form.
Kann festgestellt werden, ob ein Gerät überwacht wurde?
System-, App- und Netzwerkartefakte können Hinweise liefern. Ein Nachweis ist möglich, ein sicherer Ausschluss nicht: Werden keine Auffälligkeiten gefunden, bedeutet das, dass sich mit den vorhandenen Daten keine Anhaltspunkte feststellen ließen.
Weitere Fragen beantworten wir gesammelt unter alle Fragen und Antworten zur mobilen Forensik.
Mobile-forensische Untersuchung anfragen
Schildern Sie uns die Fragestellung und den Zustand des Geräts – wir sagen Ihnen, was technisch möglich ist und was nicht.
Hilfreich für eine erste Einschätzung sind Gerätemodell, Betriebssystemversion, aktueller Zustand (eingeschaltet, gesperrt, beschädigt), die Zugänglichkeit des Geräts und eine kurze Beschreibung der Fragestellung. Eine Zusage, dass eine Extraktion oder Wiederherstellung gelingt, können wir vorab nicht geben.