Der Weg des Gerätes: was die Sicherung nicht zeigt

Was ist mit einem Gerät zwischen Sicherstellung und Auswertung geschehen? Diese Frage beantwortet nicht die Sicherung, sondern die Dokumentation des Weges.

Zwei Angaben, die eine Sicherung nicht hergibt

Auf die Inhalte im Abbild hat das keinen Einfluss. Zwei Angaben lassen sich aber aus einer Sicherung nicht gewinnen: die Zeitspanne zwischen Sicherstellung und Sicherung, und wie oft und wann auf das Gerät zugegriffen wurde.

Ob man sie braucht, hängt von der Fragestellung ab. Wie eng das Zeitfenster sein kann, in dem sich der Zustand eines Gerätes verändert, zeigt der Beitrag zum 72-Stunden-Fenster zwischen AFU und BFU.

Was teilweise in der Sicherung steht

Manches lässt sich je nach Artefaktart in der Sicherung prüfen, weil Entsperrvorgänge und Änderungen Spuren hinterlassen können. Je nach System kann dabei auch die verwendete Entsperrmethode erfasst sein, etwa eine biometrische Entsperrung.

Weshalb das nicht verlässlich ist

Verlässlich ist das nicht: solche Einträge müssen nicht entstehen, sie können bereits gelöscht sein, und was vorliegt, hängt von Modell, Version und Extraktionsart ab. Wer es für ein bestimmtes Gerät genau wissen will, muss es an einem gleichen Modell mit derselben Version nachprüfen.

Braucht es diese Angaben und fehlen sie, wird die Feststellung im Bericht zu einem Vorbehalt.