Grundlagen der Mobile Forensics

Mobilforensik ist die Disziplin, digitale Beweismittel auf Smartphones, Tablets und Wearables forensisch korrekt wiederherzustellen. Anders als bei der Datenträgerforensik sind Mobilgeräte ständig eingeschaltet, synchronisieren fortlaufend und sind stark verschlüsselt.

• Beweismittel befinden sich im Flash-Speicher (NAND), im RAM, auf der SIM-Karte und in Cloud-Backups.
• Geräte sind standardmäßig gesperrt, verschlüsselt und per Fernzugriff löschbar.
• Ziel ist es, Daten ohne sie zu verändern zu extrahieren und anschließend ihre Integrität vor Gericht nachzuweisen.

Fachleute müssen die technische Extraktion mit einer strengen rechtlichen Befugnis (Durchsuchungsbeschluss, Einwilligung oder Unternehmensrichtlinie) in Einklang bringen.

Erfassen Sie die flüchtigsten Daten zuerst, da sie am schnellsten verschwinden. Mobilgeräte verfügen über besondere flüchtige Datenquellen.

• RAM / laufende Prozesse – gehen beim Ausschalten verloren.
• Netzwerkstatus, Mobilfunkverbindungen – ändern sich ständig.
• Nicht synchronisierte App-Daten – können überschrieben werden.
• Permanenter Flash-Speicher – am wenigsten flüchtig.

Ein laufendes Gerät kann Nachrichten automatisch löschen, Protokolle rotieren oder eine Fernlöschung empfangen. Schnelles Handeln bei flüchtigen Datenquellen bewahrt Beweismittel, die andernfalls verloren gingen.

Die erste physische Maßnahme ist die Funkisolation. Ein mit dem Mobilfunknetz oder WLAN verbundenes Gerät kann per Fernzugriff gesperrt oder gelöscht werden, bevor Sie ein Abbild davon erstellen.

• Verwenden Sie eine Faraday-Tasche oder ein abgeschirmtes Gehäuse, um sämtliche RF-Signale zu blockieren.
• Wenn eine Isolation nicht möglich ist, aktivieren Sie den Flugmodus und dokumentieren Sie jedes Tippen.
• Schalten Sie ein Telefon, das Sie noch nicht untersucht haben, niemals aus – beim Start kann eine Verschlüsselung ruhender Daten aktiviert werden, die Sie später nicht umgehen können.

Halten Sie das Gerät geladen in der Tasche. Ein leerer Akku kann einen Kaltstartzustand erzwingen, bei dem Beweismittel im RAM verloren gehen.

Beweismittel sind nur dann nützlich, wenn ihre Handhabung lückenlos dokumentiert ist. Die Beweismittelkette hält fest, wer das Gerät wann und warum in Verwahrung hatte.

• Dokumentieren Sie Sicherstellungszeitpunkt, Ort und Gerätezustand (ein-/ausgeschaltet, gesperrt/entsperrt).
• Protokollieren Sie jede Übergabe mit Unterschriften und Zeitstempeln.
• Fotografieren Sie den Bildschirm, die IMEI und sichtbare Schäden.

Dokumentieren Sie die Identifikatoren vor der Extraktion. Beispielhafte Felder, die Sie bei der Beweismittelaufnahme erfassen sollten:

Bei der Tiefe der Extraktion gibt es ein Spektrum mit unterschiedlichen Abwägungen zwischen Vollständigkeit und Eingriffsintensität.

• Manuell – die analysierende Person navigiert durch die laufende Benutzeroberfläche und fotografiert Bildschirme. Schnell und ohne Tools, verändert jedoch den Zustand.
• Logisch – ruft Dateien und Datenbanken über Geräte-APIs ab (Backup, ADB, AFC). Gelöschte Daten werden nicht erfasst.
• Dateisystem – vollständiger Verzeichnisbaum einschließlich App-Sandboxen und SQLite-WAL-Dateien.
• Physisch – bitgenaues Abbild des NAND einschließlich nicht zugewiesenem und gelöschtem Speicherbereich. Am vollständigsten, auf modernen verschlüsselten Geräten jedoch am schwierigsten zu erlangen.

Wählen Sie die am wenigsten eingreifende Methode, die den Anforderungen der Untersuchung genügt.

Um nachzuweisen, dass ein Abbild nicht verändert wurde, berechnen Sie bei der Erfassung einen kryptografischen Hashwert und überprüfen Sie ihn vor der Analyse erneut.

• Verwenden Sie SHA-256 (MD5 ist nur für Abgleiche mit älteren Systemen akzeptabel).
• Der Hashwert muss bei jeder Kopie und jeder Übergabe übereinstimmen.
• Analysieren Sie immer eine Arbeitskopie, niemals das Original.

Erzeugen und überprüfen Sie den Hashwert eines extrahierten Abbilds:

Moderne Telefone verschlüsseln den Speicher standardmäßig, wodurch physische Abbilder ohne die Schlüssel unbrauchbar sind.

• Android File-Based Encryption (FBE) leitet Schlüssel aus den Benutzeranmeldedaten und dem hardwaregestützten Keystore ab.
• iOS Data Protection bindet Dateischlüssel an den Gerätecode und die Secure Enclave.
• In einem Gerät im Zustand BFU (Before First Unlock) wurden die meisten Schlüssel aus dem Speicher entfernt; AFU (After First Unlock) hält viele Schlüssel im Arbeitsspeicher.

Erfassen Sie das Gerät, sofern rechtlich zulässig und möglich, im AFU-Zustand – dadurch lassen sich wesentlich mehr Daten entschlüsseln.

Wenn Sie die Sperrzustände verstehen, wissen Sie, welche Daten Sie wiederherstellen können.

• BFU (Before First Unlock): Das Gerät wurde gestartet, aber seit dem Einschalten noch nie entsperrt. Fast alles ist verschlüsselt; nur minimale Metadaten sind zugänglich.
• AFU (After First Unlock): Die Benutzerin oder der Benutzer hat das Gerät mindestens einmal entsperrt. Dateischlüssel befinden sich im RAM, daher liefern logische und Dateisystemextraktionen umfangreiche Daten, selbst wenn das Gerät derzeit gesperrt ist.

Praktische Regel: Halten Sie ein sichergestelltes Gerät eingeschaltet und starten Sie es nicht neu. Durch einen Neustart fällt es in den BFU-Zustand zurück, wodurch der Zugriff auf die durch den Gerätecode geschützten Schlüssel verloren gehen kann.

Das Mobilgerät ist nicht die einzige Datenquelle. Zwei angrenzende Datenquellen sind häufig entscheidend.

• SIM-Karte: ICCID, IMSI, gespeicherte Kontakte und manchmal SMS. Lesen Sie sie mit einem speziellen SIM-Lesegerät aus, damit Sie das Telefon nicht bedienen müssen.
• Cloud-Backups: iCloud, Google und anwendungsspezifische Backups (WhatsApp, Signal). Sie enthalten oft Daten, die vom Gerät gelöscht wurden.

Für die Cloud-Akquisition benötigen Sie eine separate rechtliche Befugnis (Durchsuchungsbeschluss/Vorladung) und die entsprechenden Zugangsdaten – greifen Sie niemals auf ein Konto zu, für das Sie keine Berechtigung haben.

Fachleute kombinieren kommerzielle Suiten mit Open-Source-Tools zur gegenseitigen Validierung.

• Kommerziell: Cellebrite UFED, Magnet AXIOM, MSAB XRY – breite Geräteunterstützung und automatisierte Auswertung.
• Open Source: Android Debug Bridge (ADB), libimobiledevice, ALEAPP/iLEAPP, autopsy.

Ein logischer Abruf von einem für Debugging aktivierten Android-Gerät könnte mit ADB beginnen:

Jede Maßnahme muss von einer dritten Person reproduziert werden können. Zeitnahe Notizen machen aus rohen Extraktionen beweiskräftige Daten.

• Dokumentieren Sie Name und Version des Tools sowie die exakt verwendeten Befehle.
• Vermerken Sie Zeitstempel in UTC und jede Abweichung vom Verfahren.
• Unterscheiden Sie zwischen Fakten (was die Daten zeigen) und Interpretation.

Wenn Sie nicht erklären können, wie ein Datenelement in Ihren Bericht gelangt ist, sollte es nicht darin enthalten sein.

Ein sichergestelltes Android-Telefon kommt eingeschaltet an. Es wurde früher am Tag einmal entsperrt und zeigt jetzt einen Sperrbildschirm. Warum sollten Sie es nicht neu starten?

Sie verfügen nun über das grundlegende Denkmodell für eine fundierte Mobilforensik.

• Isolieren Sie das Gerät (Faraday-Tasche), um eine Fernlöschung zu verhindern.
• Beachten Sie die Reihenfolge der Flüchtigkeit und vermeiden Sie Neustarts von Geräten im AFU-Zustand.
• Halten Sie eine lückenlose Beweismittelkette ein und versehen Sie jedes Abbild mit einem SHA-256-Hashwert.
• Wählen Sie die am wenigsten eingreifende Akquisition, die den Anforderungen des Falls genügt.
• Die Verschlüsselung (FBE / Data Protection) und der BFU- bzw. AFU-Zustand bestimmen, welche Daten wiederherstellbar sind.
• Dokumentieren Sie Tools, Versionen, Befehle und UTC-Zeitstempel, damit die Vorgehensweise reproduzierbar bleibt.

Als Nächstes: praktische Erfassung und Analyse von Android-Daten.