 |
Mobile IT-Forensik
|
|||||||||
Site
Broschüre Mobile IT-Forensik (PDF) Keywords Links BSI Öffentliche Netze - Sicherheit Aktualisierung: 08.02.2012 © 2011
|
Motivation Mobilfunkgeräte wie Handys, Smartphones, PDAs oder Tablet-PCs (letztlich fallen auch Laptops bzw. Notebooks in diese Kategorie) sind feste Bestandteile unseres Alltags geworden. Durch den rasanten technologischen Fortschritt entwickeln sie sich immer mehr von reinen Telefonen hin zum zentralen Alltagsgegenstand. Wir organisieren unsere Termine und Kontakte mit ihnen, machen Fotos und Videos, schreiben SMS/MMS und E-Mails und können inzwischen gewaltige Datenmengen auf ihnen speichern, darunter auch sehr persönliche. Nahezu täglich kommen neue Geräte auf den Markt, der diese Technik geradezu "gierig" aufnimmt. Heute sind statistisch gesehen über 60 % der Weltbevölkerung mit Mobiltelefonen ausgestattet. Dies weckt Begehrlichkeiten aus allen Richtungen und ist auch von datenschutzrechtlicher Relevanz (nicht zuletzt Brisanz). Mobiltelefone, speziell deren wachsende Möglichkeiten, sind eine darüber hinaus relativ junge Erscheinung, die bisher nicht umfassend von der klassischen IT-Forensik abgedeckt wird. Es gibt z.Z. nur wenige Sachverständige, die sich dieses Themas angenommen haben. Besonders Smartphones sind heute beliebtes Accessoire für Kriminelle. Es ist ein ideales Werkzeug, um Fotos oder Informationen aufzunehmen, sei es für Erpressungszwecke, zur Datenspionage oder einfach um mit ihren Aktivitäten anzugeben, also aus bloßem Spaß heraus. Diese Umstände machen mobile Endgeräte aber auch für Strafermittler, Revisoren oder sonstige mit forensischen Analysen Betraute zu begehrten, potentiellen Beweisstücken. Forensiker können mit den sichergestellten (GPS) Daten mitunter aussagekräftige Persönlichkeits- und Bewegungsprofile erstellen. Damit gelangen auch immer mehr Unternehmensdaten auf diese Gerätschaften, da mobile Endgeräte in jeder Form zur Grundausstattung eines jeden Mitarbeiters gehören und die Mitarbeiter auch von außen auf zahlreiche Geschäftsprozesse zugreifen können, die Teil interner Netzwerke sind. Die Kommunikationsgewohnheiten verlagern sich zudem zunehmend von schnurgebundenen Anwendungen hin zu drahtlosen Technologien. Zu wissen, was sich von diesen Systemen und Anwendungen auf "unorthodoxen Wegen" und ohne Einbezug und Hilfe ihres Besitzers auslesen lässt, ist sowohl für die Einschätzung des Gefahrenpotenzials im Verlustfall, als auch für Zwecke der Datenrettung und mögliche interne Ermittlungen bedeutsam. Forensische Analysen können somit auch durchaus prospektiv, ohne Vorliegen eines aktuellen Sicherheitsvorfalls zum Einsatz kommen. Sie bilden somit eine empirische, belastbare Grundlage sowohl für die Anklage, als auch für die Verteidigung. Dabei ist nahe liegend, dass auch mobile Geräte gezielt zur Spionage, wirtschaftskriminelle Handlungen, Erpressungen und allerlei weitere Straftaten genutzt werden und sei es nur unterstützend. Mit den hierbei verfügbaren Funktionen ist es grundsätzlich möglich, kritische Informationen unauffällig aus Unternehmen, Behörden und Organisationen zu schaffen. Damit werden gleichsam auch die Themen IT-Sicherheit und Datenschutz berührt. Um Verdachtsfälle und Vorkommnisse dieser Art aufklären zu können, biete ich Ihnen explizit die Dienstleistung Mobile IT-Forensik an (als Teilgebiet der IT-Forensik). Wenn Sie an Details dieses neuartigen Sachgebietes interessiert sind und wissen wollen, wie Ihnen das von Nutzen sein kann, lesen Sie bitte weiter ... Mobile IT-Forensik - Auswertung mobiler Endgeräte
Meine Leistungen als IT-Sachverständiger im Bereich Mobile IT-Forensik:
Worin bestehen die besonderen Herausforderungen der Mobilen IT-Forensik?
Was ist bei mobilen Geräten von Interesse? Was ist möglich bei der Analyse von mobilen Geräten? Wo gibt es Einschränkungen?
Es lassen sich im Grundsatz 2 Faktoren bei der Analyse und Identifikation von mobilen Endgeräten und Mobiltelefonen heranziehen:
Für die forensische Untersuchung eines Mobiltelefons ist zunächst von großem Interesse, ob eine SIM-Karte vorhanden ist oder nicht. Die SIM-Karte ist eine entfernbare Karte, die in ein Mobiltelefon oder ein mobiles Endgerät (wie z.B. ein Tablet-PC wie das iPad) gesteckt wird und speziell für den Einsatz in GSM-Netzen spezifiziert wurde (im Gegensatz zu CDMA-Netzen). Ohne SIM-Karte kann ein Mobiltelefon im GSM-Netz nicht funktionieren. Die Funktionen der SIM werden direkt vom mobilen Endgerät übernommen. Die SIM macht es möglich, alle Transaktionen auf Seiten des Providers nachvollziehbar zu machen. Die SIM-Karte verfügt u.a. auch über internen Speicherplatz, der dann auch für forensische Untersuchungen von Relevanz ist. Die SIM ist i.d.R. durch einen 4-stelligen Code vor unerwünschtem Zugriff geschützt. Diese Sperre kann im Normalfall nur durch einen 8-stelligen PUK-Code, der vom Provider vergeben wird, umgangen werden. Mittels entsprechender Werkzeuge ist es aber ebenso möglich, diese Sperre zu umgehen. Die IMEI erfüllt die Aufgabe, das eigentliche mobile Endgerät identifizierbar zu machen. Mitunter sind auf den sichergestellten Mobiltelefonen keine Typkennzeichen ausfindig zu machen, wohl aber kann mittels Code die IMEI identifiziert werden. Die IMEI nutzt der Forensiker wiederum, um das Mobiltelefon genau zu spezifizieren, um die Daten mit entsprechenden Werkzeugen korrekt auslesen zu können. Mobilfunkprovider prüfen darüber hinaus bei Datenübertragungen jeweils die IMEI, um gegebenenfalls ein Gerät zu blockieren (z.B. bei Diebstahl, Verlust), auch wenn eine neue SIM eingesetzt wurde.
Abhängig von der genauen Fragestellung sind bei der Analyse mobiler Endgeräte u.a. folgende Fragen und deren Antworten von Interesse:
Allgemein
Bei Mobiltelefonen zusätzlich
Zusätzlich können auch noch Abgleiche mit den bei den Mobilfunkprovidern vorliegenden Daten vorgenommen werden. Dazu ist allerdings ein richterlicher Beschluss notwendig.
Prozess der Mobilfunkuntersuchung Der Ablauf einer jeden Mobilfunkuntersuchung bzw. forensischen Analyse mobiler Endgeräte lässt sich allgemein wie folgt beschreiben:
Basis ist dabei stets die bekannte Regel der Computer-Forensik "Sichern-Analysieren-Präsentieren" (SAR-Modell).
Eingesetze Tools bei der Analyse mobiler Endgeräte Zur Auswertung mobiler Endgeräte können verschiedenste Tools zum Einsatz kommen. Teilweise kann man zum Auslesen von Speicherkarten, die gleichen Tools einsetzen, die auch bei der klassischen IT-Forensik zum Einsatz kommen, z.B. EnCase™ oder X-Ways-Forensics™. Speziell zur Untersuchung von Mobiltelefonen existieren softwaregestützte Werkzeuge wie z.B. die Oxygen Forensic-Suite™ sowie frei zugängliche Werkzeuge. Ich selbst nutzte im Regelfall einen "Koffer" mit einem speziellen Device der Firma Cellebrite™ (UFED Ultimate Ruggedized™), zum Auslesen von Daten aus mobilen Endgeräten, die überwiegend auf der Flash-Technologie basieren. Selbstverständlich steht auch die entsprechende Software zur Analyse und Aufbereitung der ausgelesenen Daten zur Verfügung. Der Koffer bietet den zusätzlichen Vorteil, dass auch sämtliche erforderliche Kabel und sonstige nützliche Hardware sowie Accessoires enthalten sind, was sich besonders im Feldeinsatz (am Tatort) bewährt. Häufig ist schnelle Reaktion erforderlich, und die ist mit einem solchen Kit sicher leichter zu realisieren, als mit einem stationären Forensik-Lab (das natürlich weiterhin seine Berechtigung hat). Selbst Clone-SIMs können erstellt werden. Der Koffer wird in Deutschland fast ausschließlich von einigen Ermittlungsbehörden verwendet. Ich dürfte z.Z. einer der wenigen IT-Sachverständigen in DE sein, der Ihnen diesen Service (auch zur Erstellung von Privatgutachten oder unabhängiger Gerichtsgutachten) bieten kann. Eigenschaften und Möglichkeiten des UFED-Ultimate™ im Einzelnen
Nachfolgend gebe ich Ihnen eine kleine Einführung in die Möglichkeiten forensischer Analysen sowie die von mir diesbezüglich eingesetzten Werkzeuge. Sie können sich dann sicher besser ein Bild davon machen, was möglich ist und was nicht, und wie ich Ihnen helfen kann.
Möglichkeiten forensischer Untersuchungen im Rahmen der Mobilen IT-Forensik
Auch mittels der Lösung UFED Ultimate™ können selbstverständlich nicht alle Geräte analysiert werden. Es gibt, wie in vielen anderen Disziplinen der Analyse, auch hier gewisse Grenzen, letztlich auch hinsichtlich Aufwand und Kosten. Dazu ist der Markt auch zu schnelllebig. Aus diesem Grunde wird die Lösung in regelmäßigen Abständen aktualisiert, es werden regelmäßige Updates aufgespielt. Sollte es mit dieser Lösung einmal nicht funktionieren, nutze ich die angesprochenen rein softwaregestützten Methoden. Aber auch dann ist es immer noch möglich, dass ein bestimmtes Gerät nicht ausgelesen und damit forensisch analysiert werden kann. Mitunter hilft dann nur noch ein Auslöten des Chips und ein Auswerten auf noch spezielleren Geräten, weshalb man sich dann genau überlegen sollte, ob man eine derartige Analyse dann noch in Auftrag geben sollte. Der Aufwand dafür ist sehr groß und kann den Nutzen um ein Vielfaches übersteigen. Hier wird man dann ein Spezial-Labor einschalten müssen. Sollte ich einmal ein Gerät nicht analysieren können, werde ich Ihnen dass natürlich sagen und selbstverständlich auch nicht in Rechnung stellen. Fazit: Inzwischen ist es sehr gut möglich, Daten auf mobilen Endgeräten sicherzustellen. Eine pauschale Lösung gibt es dabei jedoch nicht. Vorrangig muss für forensische Analysen, wie üblich, gewährleistet sein, dass keine Daten auf den Geräten verändert werden. Der fachliche und monetäre Aufwand zur forensischen Untersuchung eines mobilen Endgerätes hängt stark vom vorliegenden System und den zur Verfügung stehenden Werkzeugen ab, sowie dem Aufwand, den man bereit ist einzugehen. Gerade im innovationsfreudigen Mobilfunkmarkt muss notwendiges Wissen nicht selten durch zeitintensives und kostenträchtiges Reverse Engineering gesammelt werden. Verfügbare Werkzeuge & Methoden sind daher nicht für alle Modelle nutzbar. Es hat sich für mich jedoch gezeigt, dass man durch Verwendung kommerzieller Werkzeuge, mit einer Vielzahl von Modellen zurechtkommt, vor allem, wenn die Updates regelmäßig installiert werden. Schwierigkeiten ergeben sich häufig auf dem Gebiet der "Wegwerfhandys" (und nicht nur dort). Überall dort, wo kaum Software und Informationen von den Herstellern zur Verfügung gestellt werden. Dieser Mangel birgt die Gefahr in sich, dass forensische Analysen im Bereich der Mobilen IT-Forensik entweder nicht ordnungsgemäß durchgeführt werden können oder grundlegende Regeln forensischer Analysen gebrochen werden, ohne, dass dies einem Ermittler bewusst werden muss. Dieses Risiko kann jedoch durch Verwendung leistungsfähiger Hard- und Software minimiert werden. Gleichzeitig zeigen meine Erfahrungen aber auch, wie schlecht sensitive Daten in mobilen Endgeräten vor unbefugtem Zugriff geschützt sind. Es ist daher dringend anzuraten, auch auf solchen Geräten bei entsprechendem Schutzbedarf (vor allem bei Firmenhandys/Smartphones) zusätzliche Sicherheitssysteme einzusetzen, wie es im Falle stationärer Systeme schon lange Usus sein sollte, jedoch leider noch immer nicht durchgängig praktiziert wird. Explizit sind hier die Themen IT-Sicherheit, Mobile-Security und Datenschutz angesprochen. Zielgruppen der Mobilen IT-Forensik
Wie Sie sehen, sind zahlreiche Anwendungsmöglichkeiten der Mobilen IT-Forensik denkbar, so unterschiedlich sind die Situationen, bei denen sie zum Einsatz kommen kann. Angefangen bei strafrechtlichen Verfahren, bei denen es sowohl um die Belastung, aber auch die Entlastung eines Beschuldigten gehen kann, über privatrechtliche Ermittlungen z.B. im Rahmen der großen Themen "Kriminalität am Arbeitsplatz" oder "Wirtschaftskriminalität", der Klärung und Verhinderung von Sicherheitsvorfällen, Wirtschafts-/Datenspionage, Computerbetrug und steuer-/wirtschaftsprüfungsrelevanter Fragestellungen, bis hin zu zivilrechtlichen Auseinandersetzungen wie z.B. Scheidungsverfahren. Diese Aufzählung lässt sich leicht fortsetzen.
Ich unterstütze Sie gerne in allen Phasen der computerforensischen Ermittlung, hier der forensischen Analyse mobiler Endgeräte, von der Beweissicherung vor Ort, bis hin zur Analyse und Präsentation der Ergebnisse. Selbstverständlich erstatte ich auch in diesem Bereich qualifizierte Gutachten, sowohl für Privatpersonen, als auch Gerichte.
Mein Baustein Mobile IT-Forensik hilft Ihnen entstandene Schäden aufzuklären, Täter zu ermitteln, Taten aufzuklären und Sicherheits-Vorfällen durch gezielte Maßnahmen vorzubeugen. Zudem werden auch Entlastungen im Falle unrechtmäßiger Beschuldigungen und Ansprüche möglich. Dazu steht ein modernes und leistungsfähiges Arsenal an Werkzeugen zur Verfügung. Diese Dienstleistung können Sie nicht "an jeder Ecke" kaufen. Ich habe keine Kosten und Mühen gescheut, Ihnen diese Leistung anbieten zu können. Deshalb zögern Sie nicht, mich im Fall der Fälle anzusprechen, sinnvollerweise noch bevor ein Sicherheitsvorfall vorliegt, Ermittlungen notwendig werden oder bereits eingeleitet wurden.
Zu dieser Thematik biete ich übrigens auch einen Workshop: "Mobile-IT-Forensik"
Hinweis: Um Missverständnissen vorzubeugen: Das von mir beschriebene UFED Kit ist Gegenstand meiner Leistungen im Bereich der IT-/Mobilen-Forensik und wird von mir entsprechend eingesetzt. Ich bin weder als Wiederverkäufer noch als Handelsvertreter für den Hersteller tätig, noch erhalte ich für meinen Beitrag irgendeine Provision! Eventuelle Anfragen diesbezüglich bleiben unbeantwortet. Die namentliche Nennung des Kits erfolgt lediglich zur Herausstellung meiner individuellen und unabhängigen Leistungen in Bezug auf den Bereich der Mobilen IT-Forensik sowie aus Gründen der Transparenz. Dies gilt gleichermaßen auch für die Nennung anderweitiger Produkte oder Leistungen. Die Verwendung der Produktfotos erfolgt mit freundlicher Genehmigung des Herstellers. Diesem gilt auch an dieser Stelle mein Herzlicher Dank!
Detaillierte Informationen zu meinen Tätigkeitsfeldern finden Sie auf
den jeweiligen Seiten. Selbstverständlich bin ich trotz meiner breiten
Aufstellung nicht allwissend. In einem persönlichen Gespräch und /
oder im Rahmen einer Ortsbesichtigung lässt sich schnell klären, ob ich
auch für Sie sachverständig tätig werden kann. Für darüber hinausgehende
Fragen stehe ich Ihnen gerne telefonisch oder per E-Mail zur Verfügung.
Meine Kontaktmöglichkeiten finden Sie unter dem Menüpunkt "Impressum"
oder nutzen Sie unter dem Menüpunkt
"Kontakt" das Kontaktformular. Gerne rufe ich Sie zurück.
Falls Sie bereits vorab weitere Informationen benötigen, nutzen Sie bitte die Möglichkeit, über das "Anforderungsformular " entsprechende Angebotsunterlagen anzufordern. Sie haben die Möglichkeit, über ein entsprechendes Formular Ihre Anfrage zu spezifizieren. Auch können Sie sich über das zu erwartende Honorar informieren. Damit wird Ihre und meine Zeit optimal genutzt. |
