[et_pb_section fb_built=“1″ fullwidth=“on“ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_fullwidth_image src=“https:\/\/lancologne.de\/wp-content\/uploads\/2026\/08\/01_mobile-forensik_hero_2560x800.jpg“ alt=“Forensische Sicherung eines Smartphones im Labor von LanCologne“ title_text=“Mobile Forensik \u2013 forensische Sicherung eines Smartphones“ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][\/et_pb_fullwidth_image][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.27.4″ _module_preset=“default“ background_color=“#9b2242″ custom_padding=“30px|0px|30px|0px|false|false“ global_colors_info=“{}“][et_pb_row _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_text _builder_version=“4.27.4″ _module_preset=“default“ text_orientation=“center“ background_layout=“dark“ global_colors_info=“{}“]<\/p>\n
Unser Forensik-Team ist unter 0221 64306610 erreichbar. Schildern Sie uns Ihre Fragestellung.<\/strong><\/p>\n [\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_row _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_text _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“]<\/p>\n Smartphones und Tablets geh\u00f6ren zu den informationsreichsten Beweismitteln, die in einer Untersuchung vorkommen k\u00f6nnen. Entscheidend ist dabei nicht, m\u00f6glichst viele Daten aus einem Ger\u00e4t zu holen. Entscheidend ist, die f\u00fcr die Beweisfrage relevanten Spuren kontrolliert zu sichern, sie im Zusammenhang zu bewerten und nachvollziehbar zu dokumentieren – einschlie\u00dflich der Stellen, an denen eine technische Aussage nicht mehr tr\u00e4gt.<\/p>\n LanCologne untersucht mobile Ger\u00e4te als Sachverst\u00e4ndigenb\u00fcro mit eigenem forensischem Labor in K\u00f6ln. Weil wir auch die \u00fcbrigen Bereiche der IT-Forensik und die Datenrekonstruktion abdecken, lassen sich mobile Ger\u00e4te bei Bedarf mit weiteren digitalen Beweismitteln in Beziehung setzen, statt sie isoliert zu betrachten. Die fachliche Grundlage ist eine vom T\u00dcV Rheinland gepr\u00fcfte Qualifikation f\u00fcr Mobilger\u00e4te- und Windows-Forensik, \u00f6ffentlich einsehbar in der Zertifikatsdatenbank Certipedia unter der Pr\u00fcfzeichennummer 0000067863.<\/p>\n [\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.27.4″ _module_preset=“default“ custom_padding=“0px|0px|20px|0px|false|false“ global_colors_info=“{}“][et_pb_row _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_text _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“]<\/p>\n Verdacht auf Spyware, Stalkerware oder Malware auf einem Smartphone?<\/strong> Wir untersuchen iOS- und Android-Ger\u00e4te forensisch auf Anzeichen einer Kompromittierung – mit dokumentiertem Vorgehen, nachvollziehbaren Befunden und einer klaren Einordnung dessen, was sie aussagen und was nicht. Zur Kompromittierungspr\u00fcfung<\/a><\/p>\n<\/div>\n [\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_row column_structure=“1_2,1_2″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_column type=“1_2″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_image src=“https:\/\/lancologne.de\/wp-content\/uploads\/2026\/08\/02_mobile-forensik_beweissicherung-labor_1800x1200.jpg“ alt=“Kontrollierte Beweissicherung eines Smartphones mit Dokumentation“ title_text=“Kontrollierte Beweissicherung eines Smartphones mit Dokumentation“ _builder_version=“4.27.4″ _module_preset=“default“ border_radii=“on|10px|10px|10px|10px“ global_colors_info=“{}“][\/et_pb_image][\/et_pb_column][et_pb_column type=“1_2″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_text _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“]<\/p>\n Mobile Forensik umfasst die Sicherung, Extraktion, Analyse und Bewertung digitaler Informationen aus Smartphones, Tablets und den damit verbundenen Datenquellen. Sie beantwortet technische Fragen: Welche Daten sind auf dem Ger\u00e4t vorhanden? Wann wurden sie erzeugt, ge\u00e4ndert oder empfangen? Lassen sich Abl\u00e4ufe rekonstruieren? Welche Aussagekraft haben die gefundenen Spuren?<\/p>\n Sie beantwortet keine rechtlichen Fragen. Ob ein Befund f\u00fcr ein Verfahren erheblich ist, entscheiden Gericht oder Auftraggeber – nicht der Sachverst\u00e4ndige. Und sie liefert keine Garantie: Ob eine bestimmte Information rekonstruierbar ist, h\u00e4ngt von Ger\u00e4temodell, Betriebssystemversion, Verschl\u00fcsselung, Ger\u00e4tezustand und der weiteren Nutzung nach dem fraglichen Ereignis ab.<\/p>\n [\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.27.4″ _module_preset=“default“ background_color=“#faf7f8″ global_colors_info=“{}“][et_pb_row _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_text _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“]<\/p>\n Ein erheblicher Teil der Anfragen in der mobilen Forensik beginnt mit einem Verdacht: Jemand kennt Informationen, die er nicht kennen kann. Ein Ger\u00e4t war zeitweise nicht unter eigener Kontrolle. Eine Trennungssituation eskaliert. Oder ein dienstliches Smartphone verh\u00e4lt sich nach einem Phishing-Vorfall auff\u00e4llig.<\/p>\n F\u00fcr solche F\u00e4lle f\u00fchren wir eine forensische Kompromittierungspr\u00fcfung<\/strong> durch. Sie ist kein Virenscan und arbeitet nicht mit Signaturen, sondern untersucht das Ger\u00e4t auf Spuren, die eine Manipulation oder \u00dcberwachung hinterlassen w\u00fcrde.<\/p>\n Wir unterscheiden konsequent zwischen einem technischen Nachweis<\/strong>, einem Hinweis<\/strong>, einem unbest\u00e4tigten Verdacht<\/strong> und einem fehlenden Nachweis<\/strong>. Werden keine Auff\u00e4lligkeiten gefunden, bedeutet das nicht, dass mit Sicherheit nichts vorliegt – es bedeutet, dass sich mit den vorhandenen Daten und Methoden keine Anhaltspunkte feststellen lie\u00dfen. Diese Unterscheidung schreiben wir in den Bericht, weil sie f\u00fcr die weitere Entscheidung des Auftraggebers den Unterschied macht.<\/p>\n Hinzu kommt, dass Angriffe auf mobile Ger\u00e4te darauf ausgelegt sein k\u00f6nnen, m\u00f6glichst wenige dauerhafte Spuren zu hinterlassen. Auch deshalb l\u00e4sst sich aus dem Ausbleiben von Auff\u00e4lligkeiten kein sicherer Ausschluss ableiten – wohl aber eine belastbare Aussage dar\u00fcber, was gepr\u00fcft wurde und was sich dabei nicht gezeigt hat.<\/p>\n Jeder Untersuchungsschritt wird dokumentiert: was gepr\u00fcft wurde, mit welchem Verfahren, mit welchem Ergebnis und wo die Aussagekraft endet. Ausf\u00fchrlich beschreiben wir das Verfahren auf der Seite Mobile Threat & Malware Check<\/a>.<\/p>\n [\/et_pb_text][et_pb_button button_url=“https:\/\/lancologne.de\/mobile-threat-malware-check\/“ button_text=“Ger\u00e4t auf Kompromittierung pr\u00fcfen lassen“ button_alignment=“left“ _builder_version=“4.27.4″ _module_preset=“default“ custom_button=“on“ button_text_color=“#FFFFFF“ button_bg_color=“#9b2242″ button_border_radius=“0px“ button_font=“|700|||||||“ global_colors_info=“{}“][\/et_pb_button][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_row _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_text _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“]<\/p>\n Am Anfang steht die Frage, die beantwortet werden soll – nicht das Ger\u00e4t. Aus der Beweisfrage ergibt sich, welche Datenquellen \u00fcberhaupt relevant sind, welche Sicherungsmethode geeignet ist und welcher Untersuchungsumfang angemessen ist. Eine unscharfe Fragestellung f\u00fchrt zu einem unscharfen Ergebnis.<\/p>\n Ein Smartphone ist ein dynamisches System. Es empf\u00e4ngt Nachrichten, synchronisiert Konten, protokolliert Ereignisse und r\u00e4umt Datenbanken auf – auch dann, wenn niemand es bedient. Jede Minute, die ein Ger\u00e4t nach dem fraglichen Ereignis weiterl\u00e4uft, kann relevante Spuren ver\u00e4ndern.<\/p>\n Deshalb werden Eingang, Zustand und Identifikation des Ger\u00e4ts dokumentiert und unn\u00f6tige Ver\u00e4nderungen vermieden. Wo es der Sachverhalt erfordert, f\u00fchren wir die forensische Sicherung vor Ort durch, statt das Ger\u00e4t zu transportieren.<\/p>\n Aus dem gesicherten Ger\u00e4t werden die Daten in einer f\u00fcr die Analyse geeigneten Form gewonnen. Welche Verfahren zur Verf\u00fcgung stehen, ist ger\u00e4te- und versionsabh\u00e4ngig. Bei gesch\u00fctzten oder gesperrten Ger\u00e4ten kann – abh\u00e4ngig von Modell, Betriebssystemversion und Zustand – eine Entsperrung oder Entschl\u00fcsselung m\u00f6glich sein. Eine allgemeine Zusage l\u00e4sst sich daraus nicht ableiten; das pr\u00fcfen wir fallbezogen.<\/p>\n Hier entsteht der eigentliche Erkenntniswert. Einzelne Artefakte werden im Zusammenhang betrachtet: Eine Datenbank wird gegen Systemprotokolle gehalten, ein Zeitstempel gegen eine unabh\u00e4ngige Quelle, ein Standortartefakt gegen den Kontext seiner Entstehung. Widerspr\u00fcche zwischen Quellen sind dabei kein St\u00f6rfaktor, sondern oft der eigentliche Befund.<\/p>\n Am Ende steht eine Einordnung, die zwischen technisch feststellbarer Tatsache, fachlich vertretbarer Schlussfolgerung, blo\u00dfem Hinweis und nicht belegbarer Annahme unterscheidet – und die benennt, wo die Aussagekraft endet.<\/p>\n [\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_row column_structure=“1_2,1_2″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_column type=“1_2″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_text _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“]<\/p>\n Die gebr\u00e4uchlichen Verfahren unterscheiden sich in Umfang und Voraussetzungen:<\/p>\n Der Begriff „physikalische Sicherung“ wird in der Praxis uneinheitlich verwendet. Bei mobilen Ger\u00e4ten liefert er in aller Regel kein unver\u00e4ndertes Bitstream-Abbild wie bei einer klassischen Festplatte. Wir verwenden ihn deshalb nur dort, wo er technisch zutrifft – und nicht als Qualit\u00e4tsversprechen.<\/p>\n [\/et_pb_text][\/et_pb_column][et_pb_column type=“1_2″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_image src=“https:\/\/lancologne.de\/wp-content\/uploads\/2026\/08\/03_mobile-forensik_extraktionsverfahren_1800x1200.jpg“ alt=“Forensische Extraktion von Daten aus einem mobilen Ger\u00e4t“ title_text=“Forensische Extraktion von Daten aus einem mobilen Ger\u00e4t“ _builder_version=“4.27.4″ _module_preset=“default“ border_radii=“on|10px|10px|10px|10px“ global_colors_info=“{}“][\/et_pb_image][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_row _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_text _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“]<\/p>\n Die M\u00f6glichkeiten unterscheiden sich erheblich. Eine pauschale Gleichsetzung beider Plattformen f\u00fchrt in die Irre.<\/p>\n Apple-Ger\u00e4te sind stark standardisiert, zugleich durch Hardware-gest\u00fctzte Verschl\u00fcsselung und einen eng gef\u00fchrten Systemzugriff gesch\u00fctzt. Was zug\u00e4nglich ist, h\u00e4ngt ma\u00dfgeblich von Modellgeneration, iOS-Version und Ger\u00e4tezustand ab. Ausgewertet werden unter anderem Kommunikationsdaten, Mediendateien mit ihren Metadaten sowie System- und Nutzungsartefakte. Details zur Plattform behandeln wir auf der Seite zur forensischen Untersuchung von iPhones<\/a>.<\/p>\n Android ist stark fragmentiert: Hersteller, Chipsatz, Android-Version, Sicherheits-Patchstand und Verschl\u00fcsselungszustand variieren erheblich. Das erweitert einerseits die Bandbreite m\u00f6glicher Verfahren, andererseits ist der Befund weniger gut vorhersagbar als bei iOS. Vertiefend dazu: Android-Forensik im Detail<\/a>.<\/p>\n [\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_row column_structure=“1_4,1_4,1_4,1_4″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_column type=“1_4″ _builder_version=“4.27.4″ _module_preset=“default“ custom_padding=“0px|0px|0px|0px|false|false“ global_colors_info=“{}“][et_pb_blurb title=“iPhone-Forensik“ url=“https:\/\/lancologne.de\/mobile-forensik\/iphone-forensik\/“ alt=“Forensische Untersuchung eines iPhone“ _builder_version=“4.27.4″ _module_preset=“default“ header_level=“h3″ header_font=“|700|||||||“ header_font_size=“20px“ header_line_height=“1.3em“ body_font=“|300|||||||“ body_font_size=“15px“ use_background_color_gradient=“on“ background_color_gradient_stops=“#4c5866 0%|#000000 100%“ background_color_gradient_start=“#4c5866″ background_color_gradient_end=“#000000″ background_image=“https:\/\/lancologne.de\/wp-content\/uploads\/2026\/08\/05_mobile-forensik_kachel-iphone-ios_1200x1200.jpg“ background_blend=“overlay“ text_orientation=“center“ background_layout=“dark“ min_height=“380px“ custom_padding=“120px|22px|35px|22px|false|true“ animation=“off“ border_radii=“on|10px|10px|10px|10px“ box_shadow_style=“preset1″ global_colors_info=“{}“]<\/p>\n Modellgeneration, iOS-Version und Ger\u00e4tezustand bestimmen die m\u00f6glichen Verfahren.<\/p>\n [\/et_pb_blurb][\/et_pb_column][et_pb_column type=“1_4″ _builder_version=“4.27.4″ _module_preset=“default“ custom_padding=“0px|0px|0px|0px|false|false“ global_colors_info=“{}“][et_pb_blurb title=“Android-Forensik“ url=“https:\/\/lancologne.de\/mobile-forensik\/android-forensik\/“ alt=“Forensische Untersuchung eines Android-Smartphones“ _builder_version=“4.27.4″ _module_preset=“default“ header_level=“h3″ header_font=“|700|||||||“ header_font_size=“20px“ header_line_height=“1.3em“ body_font=“|300|||||||“ body_font_size=“15px“ use_background_color_gradient=“on“ background_color_gradient_stops=“#4c5866 0%|#000000 100%“ background_color_gradient_start=“#4c5866″ background_color_gradient_end=“#000000″ background_image=“https:\/\/lancologne.de\/wp-content\/uploads\/2026\/08\/06_mobile-forensik_kachel-android_1200x1200.jpg“ background_blend=“overlay“ text_orientation=“center“ background_layout=“dark“ min_height=“380px“ custom_padding=“120px|22px|35px|22px|false|true“ animation=“off“ border_radii=“on|10px|10px|10px|10px“ box_shadow_style=“preset1″ global_colors_info=“{}“]<\/p>\n Hersteller, Chipsatz, Version und Patchstand f\u00fchren zu sehr unterschiedlichen Ausgangslagen.<\/p>\n [\/et_pb_blurb][\/et_pb_column][et_pb_column type=“1_4″ _builder_version=“4.27.4″ _module_preset=“default“ custom_padding=“0px|0px|0px|0px|false|false“ global_colors_info=“{}“][et_pb_blurb title=“Kompromittierungspr\u00fcfung“ url=“https:\/\/lancologne.de\/mobile-threat-malware-check\/“ alt=“Forensische Untersuchung eines Smartphones auf Anzeichen einer Kompromittierung“ _builder_version=“4.27.4″ _module_preset=“default“ header_level=“h3″ header_font=“|700|||||||“ header_font_size=“20px“ header_line_height=“1.3em“ body_font=“|300|||||||“ body_font_size=“15px“ use_background_color_gradient=“on“ background_color_gradient_stops=“#4c5866 0%|#000000 100%“ background_color_gradient_start=“#4c5866″ background_color_gradient_end=“#000000″ background_image=“https:\/\/lancologne.de\/wp-content\/uploads\/2026\/08\/iPhone-android.jpg“ background_blend=“overlay“ text_orientation=“center“ background_layout=“dark“ min_height=“380px“ custom_padding=“120px|22px|35px|22px|false|true“ animation=“off“ border_radii=“on|10px|10px|10px|10px“ box_shadow_style=“preset1″ global_colors_info=“{}“]<\/p>\n Untersuchung auf Spuren von Spyware, Stalkerware und Malware – mit klarer Einordnung der Befunde.<\/p>\n [\/et_pb_blurb][\/et_pb_column][et_pb_column type=“1_4″ _builder_version=“4.27.4″ _module_preset=“default“ custom_padding=“0px|0px|0px|0px|false|false“ global_colors_info=“{}“][et_pb_blurb title=“iCloud-Forensik“ url=“https:\/\/lancologne.de\/mobile-forensik\/icloud-forensik\/“ alt=“Auswertung von Cloud-Daten und verbundenen Ger\u00e4ten“ _builder_version=“4.27.4″ _module_preset=“default“ header_level=“h3″ header_font=“|700|||||||“ header_font_size=“20px“ header_line_height=“1.3em“ body_font=“|300|||||||“ body_font_size=“15px“ use_background_color_gradient=“on“ background_color_gradient_stops=“#4c5866 0%|#000000 100%“ background_color_gradient_start=“#4c5866″ background_color_gradient_end=“#000000″ background_image=“https:\/\/lancologne.de\/wp-content\/uploads\/2026\/08\/07_mobile-forensik_kachel-cloud-geraete_1200x1200.jpg“ background_blend=“overlay“ text_orientation=“center“ background_layout=“dark“ min_height=“380px“ custom_padding=“120px|22px|35px|22px|false|true“ animation=“off“ border_radii=“on|10px|10px|10px|10px“ box_shadow_style=“preset1″ global_colors_info=“{}“]<\/p>\n Konten, Backups und synchronisierte Inhalte k\u00f6nnen Informationen enthalten, die auf dem Ger\u00e4t fehlen.<\/p>\n [\/et_pb_blurb][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_row _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_text _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“]<\/p>\n Nachrichten, Anh\u00e4nge, Kontakte, Gruppen- und Zeitinformationen sowie die zugeh\u00f6rigen Metadaten geh\u00f6ren zu den am h\u00e4ufigsten untersuchten Daten. Wichtig ist die Unterscheidung zwischen dem, was eine App auf dem Bildschirm anzeigt, und dem, was in ihren Datenstrukturen tats\u00e4chlich hinterlegt ist. Eine Bildschirmaufnahme eines Chats ist keine forensische Auswertung. Mehr dazu unter Messenger-Forensik<\/a>.<\/p>\n Viele Anwendungen speichern ihre Daten in SQLite-Datenbanken. Neben der eigentlichen Datenbankdatei existieren dabei h\u00e4ufig Nebenstrukturen – insbesondere Write-Ahead-Log (WAL) und Shared-Memory-Datei (SHM). Sie k\u00f6nnen Eintr\u00e4ge enthalten, die in der Hauptdatenbank bereits nicht mehr sichtbar sind. Bei beweisrelevanten Befunden pr\u00fcfen wir diese Strukturen auf Rohdatenebene, statt uns auf die aufbereitete Darstellung eines Werkzeugs zu verlassen. Siehe dazu die WAL- und SHM-Analyse<\/a>.<\/p>\n Eine Wiederherstellungsgarantie gibt es nicht. Moderne Ger\u00e4te verschl\u00fcsseln standardm\u00e4\u00dfig; Flash-Speicher werden im Hintergrund bereinigt; Datenbanken r\u00e4umen sich selbst auf. Sind die zugeh\u00f6rigen Schl\u00fcssel verworfen oder die Bereiche \u00fcberschrieben, ist eine Rekonstruktion technisch ausgeschlossen.<\/p>\n H\u00e4ufig existieren jedoch Sekund\u00e4rspuren: Eintr\u00e4ge in Nebenstrukturen von Datenbanken, Zwischenspeicher, Vorschaubilder, Benachrichtigungsverl\u00e4ufe, Backups oder synchronisierte Kopien auf verbundenen Ger\u00e4ten. Umgekehrt gilt: Dass sich eine Information nicht mehr rekonstruieren l\u00e4sst, belegt nicht, dass sie nie existiert hat.<\/p>\n M\u00f6gliche Quellen sind Metadaten von Fotos, Karten- und Navigationsdaten, App- und Systemartefakte sowie Netzwerk- und Cloud-Bez\u00fcge. Bei der Bewertung ist Zur\u00fcckhaltung geboten: Ein Standortartefakt belegt eine Ger\u00e4teaktivit\u00e4t, nicht den Aufenthaltsort einer bestimmten Person. Wer das Ger\u00e4t zum fraglichen Zeitpunkt bei sich trug, ist keine technische, sondern eine Beweisfrage.<\/p>\n Zeitangaben sind eine der h\u00e4ufigsten Fehlerquellen. Zeitzonen und Formate unterscheiden sich, und dieselbe Datei kann mehrere Zeitwerte tragen, die Unterschiedliches bedeuten: Erstellung, \u00c4nderung, Empfang, Versand, Synchronisation, Datenbankeintrag oder Anzeige. Ein einzelner Wert tr\u00e4gt deshalb selten allein. Wo m\u00f6glich, korrelieren wir ihn mit unabh\u00e4ngigen Quellen – etwa mit Android-Ger\u00e4teprotokollen<\/a>.<\/p>\n [\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_row column_structure=“1_2,1_2″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_column type=“1_2″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_image src=“https:\/\/lancologne.de\/wp-content\/uploads\/2026\/08\/04_mobile-forensik_auswertung-dokumentation_1800x1200.jpg“ alt=“Auswertung und Dokumentation forensischer Befunde am Arbeitsplatz“ title_text=“Auswertung und Dokumentation forensischer Befunde am Arbeitsplatz“ _builder_version=“4.27.4″ _module_preset=“default“ border_radii=“on|10px|10px|10px|10px“ global_colors_info=“{}“][\/et_pb_image][\/et_pb_column][et_pb_column type=“1_2″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_text _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“]<\/p>\n Forensische Software kann sichern, extrahieren, strukturieren und Hinweise liefern. Der automatisch erzeugte Bericht eines Werkzeugs ist damit aber noch keine sachverst\u00e4ndige Interpretation.<\/p>\n Werkzeuge treffen Annahmen: Sie ordnen Eintr\u00e4ge zu, deuten Zeitwerte und stellen Zusammenh\u00e4nge dar, die im Einzelfall nicht zutreffen m\u00fcssen. Beweisrelevante Befunde plausibilisieren wir deshalb auf Artefakt- und Rohdatenebene, soweit dies erforderlich und technisch m\u00f6glich ist. Zur \u00fcbergeordneten Einordnung siehe unsere IT-forensischen Sachverst\u00e4ndigenleistungen<\/a>.<\/p>\n Ein Ger\u00e4t steht selten f\u00fcr sich. Konten, Backups, synchronisierte Inhalte und weitere Ger\u00e4te desselben Nutzers k\u00f6nnen relevante Informationen enthalten – manchmal auch dann, wenn sie auf dem untersuchten Ger\u00e4t nicht mehr vorhanden sind. Solche Quellen werden ausschlie\u00dflich im Rahmen des erteilten Untersuchungsauftrags und der vorhandenen rechtlichen und technischen Berechtigungen einbezogen.<\/p>\n [\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_row _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_text _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“]<\/p>\n Untersuchungen werden ergebnisoffen gef\u00fchrt. Relevante Artefakte werden ausgewertet, unabh\u00e4ngig davon, ob sie eine Arbeitshypothese st\u00fctzen oder ihr widersprechen. Auch bei Beauftragung durch eine Partei bleibt die technische Untersuchung neutral. Ein Nichtnachweis ist ein fachlich korrektes Ergebnis und wird als solches benannt.<\/p>\n Dokumentiert werden Eingang, Zustand und Identifikation des Ger\u00e4ts, \u00dcbergaben, Bearbeitungsschritte, die gew\u00e4hlte Sicherungsmethode, eingesetzte Werkzeuge und Versionen, die Analyseschritte sowie die Grenzen der Untersuchung. Integrit\u00e4ts- beziehungsweise Hashwerte werden gebildet, soweit sie technisch anwendbar sind – bei mobilen Ger\u00e4ten ist das nicht in jedem Verfahren und nicht auf jeder Ebene der Fall.<\/p>\n Der Umfang richtet sich nach Auftrag, Beweisfrage und Verwendungszweck:<\/p>\n Welche Form angemessen ist, kl\u00e4ren wir vor Beginn der Untersuchung.<\/p>\n [\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_row _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“][et_pb_text _builder_version=“4.27.4″ _module_preset=“default“ global_colors_info=“{}“]<\/p>\n Die technische Untersuchung ist in allen Konstellationen dieselbe; es unterscheiden sich die typischen Fragestellungen.<\/p>\n Gerichte<\/a> ben\u00f6tigen eine neutrale, nachvollziehbare Beantwortung einer konkreten Beweisfrage. Anw\u00e4lte und Strafverteidiger<\/a> lassen h\u00e4ufig vorliegende Untersuchungsergebnisse technisch \u00fcberpr\u00fcfen. Strafverfolgungsbeh\u00f6rden<\/a> beauftragen Sicherung und Auswertung als erg\u00e4nzende sachverst\u00e4ndige Leistung. Unternehmen<\/a> untersuchen interne Vorf\u00e4lle, m\u00f6glichen Datenabfluss oder die Rekonstruktion konkreter Abl\u00e4ufe. Versicherungen<\/a> ben\u00f6tigen die technische Kl\u00e4rung von Schadenf\u00e4llen und die Pr\u00fcfung digitaler Nachweise. Privatpersonen<\/a> wenden sich mit Fragen zu eigenen Ger\u00e4ten an uns und ben\u00f6tigen zus\u00e4tzlich eine verst\u00e4ndliche Erl\u00e4uterung der Befunde.<\/p>\n Die Untersuchungsm\u00f6glichkeiten werden begrenzt durch Ger\u00e4temodell und Betriebssystemversion, Sicherheitsupdates und Verschl\u00fcsselung, den Sperr- und Ger\u00e4tezustand, erfolgte L\u00f6schungen und Datenbankbereinigungen, die weitere Nutzung nach dem fraglichen Ereignis, Synchronisationsvorg\u00e4nge sowie durch Defekte und physische Besch\u00e4digungen.<\/p>\n Eine besondere Rolle spielt dabei, ob ein Ger\u00e4t seit dem letzten Einschalten bereits einmal entsperrt wurde. Vor der ersten Entsperrung liegen weite Teile der Daten verschl\u00fcsselt vor und sind technisch nicht zug\u00e4nglich; nach einer Entsperrung befinden sich mehr Bereiche in einem entschl\u00fcsselten Zustand. Dieser Unterschied kann dar\u00fcber entscheiden, welche Untersuchung \u00fcberhaupt m\u00f6glich ist – und er ist ein Grund, ein Ger\u00e4t nach einem relevanten Ereignis nicht unn\u00f6tig neu zu starten.<\/p>\nMobile Forensik – digitale Beweissicherung und Analyse von Smartphones<\/h1>\n
Was mobile Forensik leistet – und was sie nicht leistet<\/h2>\n
Verdacht auf Spyware, Stalkerware oder Malware<\/h2>\n
Was dabei untersucht wird<\/h3>\n
\n
Was ein Ergebnis aussagt<\/h3>\n
Der Untersuchungsablauf<\/h2>\n
Auftrag und Beweisfrage<\/h3>\n
Beweissicherung und Ger\u00e4tezustand<\/h3>\n
Extraktion<\/h3>\n
Analyse und Korrelation<\/h3>\n
Bewertung und Dokumentation<\/h3>\n
Sicherungsarten<\/h2>\n
\n
iOS und Android – unterschiedliche Ausgangslagen<\/h2>\n
iPhone und iPad<\/h3>\n
Android<\/h3>\n
Zentrale Artefaktfelder<\/h2>\n
Messenger und Kommunikation<\/h3>\n
App-Datenbanken, SQLite, WAL und SHM<\/h3>\n
Gel\u00f6schte Daten<\/h3>\n
Standort- und Bewegungsdaten<\/h3>\n
Zeitstempel und Ereignisrekonstruktion<\/h3>\n
Analyse statt Werkzeugbericht<\/h2>\n
Cloud-Konten und verbundene Ger\u00e4te<\/h2>\n
Ergebnisoffenheit, Dokumentation und Chain of Custody<\/h2>\n
Ergebnisformen: Dokumentation, Bericht, Gutachten<\/h2>\n
\n
F\u00fcr wen wir untersuchen<\/h2>\n
Technische Grenzen<\/h2>\n