Digitale Forensik

Gerichtsfeste und revisionssichere Beweismittelsicherung in Form eines forensischen Computerberichts.

• Unterstützung bei der Wiederherstellung, Analyse und Aufbewahrung von Daten sowie bei der Vorbereitung dieser als digitale Beweise für die Verwendung vor Gericht

• Sicherstellung aller notwendigen Dateien, die z.B. für weitere Digital forensische Maßnahmen als Beweise benötigt werden

• Wiederherstellung gelöschter oder versteckter Daten von digitalen Geräten, sofern diese Daten grundsätzlich vorhanden sind mittels File Carving

• Beweismittelaufnahme auf der Basis des Locard‘schen Prinzips für die Ermittlung eines Verdächtigen und eines Motivs

• Dateisicherung unter Einhaltung der Chain of Custody für die Integrität der digitalen Beweise

1.

Die erste Stufe impliziert die Identifizierung von Untersuchungszielen und erforderlichen Ressourcen. Wir identifizieren zuerst die Beweise und die Art der Daten, mit denen wir es zu tun haben, auch die Geräte, auf denen die Daten gespeichert sind. Als Spezialisten für digitale Forensik arbeiten wir mit allen Arten von elektronischen Speichergeräten: Festplatten, Mobiltelefone, PCs, Tablets usw.

2.

In dieser Phase stellen wir sicher, dass die Daten isoliert und fachgerecht aufbewahrt werden. Dies passiert nach dem Never Touch Original Prinzip, sodass die Beweismittel gesichert werden und nur auf Images gearbeitet wird. Die gesicherten Original Geräte bleiben bis zum Ende der Ermittlungen unberührt.

3.

 Die Analysephase umfasst eine gründliche systematische Suche nach relevanten Beweisen. Wir arbeiten sowohl mit System- als auch mit Benutzerdateien und Datenobjekten. Basierend auf den gefundenen Beweisen beginnen wir nun mit Schlussfolgerungen.

4.

 In dieser Phase werden alle gefundenen relevanten Beweise dokumentiert. Es wird eine Why-Because-Analyse zur Verfügung gestellt, welche den Behörden bei der Ermittlung neue Impulse gibt.

Wir verwenden unter anderem folgende Techniken:

Durch das Interpretieren von Zeichenfolgen, dem Untersuchen von Windows-API-Aufrufen oder Identifizieren von gepackter Malware und dem Erkennen von hostbasierten Signaturen verschaffen wir uns einen ersten Überblick. Anschließend bringen wir die Malware in einer kontrollierten Umgebung zur Explosion, um Netzwerksignaturen zu sammeln und bösartige Domänen und Payloads der zweiten Stufe zu identifizieren.

Auch bösartige Dokumente und von Dokumenten bereitgestellte Malware wird von unseren Experten analysiert, einschließlich bösartiger Makros und Remote-Vorlageninjektionen.

Eingebetteter Shellcode kann ebenfalls durch uns identifiziert und herausgearbeitet werden. Identifizierung auch bei skriptgesteuerten oder verschleierten Malware-Bereitstellungstechniken.