Mögliche Arbeitsergebnisse
Erstbefund, Quelleninventar und priorisierte Untersuchungsempfehlung.
LEISTUNGEN
Digitale Beweise.
Strukturierte technische Prüfung.
Sechs Untersuchungsmodule für digitale Beweise: Erstprüfung, Rekonstruktion, Aktenanalyse, Metadaten, Kanzlei-Zuarbeit und Incident Analysis.
01 · R&A FORENSIC AUDIT
Technische Erstprüfung
Digitale Beweismittel sichten, Quellenumfang und Integritätsangaben erfassen sowie technische Auffälligkeiten und priorisierte Prüffragen benennen.
Aussagegrenzen
Die Erstprüfung gilt für den vereinbarten Umfang; fehlende Originale werden ausdrücklich benannt.
02 · R&A EVIDENCE RECONSTRUCTION
Digitale Ereignisse rekonstruieren
Dokumentierte Ereignisse, Logdaten und Dateistände zu einer nachvollziehbaren Chronologie verbinden und abweichende Angaben mit unabhängigen Quellen abgleichen.
Mögliche Arbeitsergebnisse
Ereignis- und Beweischronologie mit Fundstellen, Quellenabhängigkeiten und offenen Zeitfenstern.
Aussagegrenzen
Zeitliche Nähe allein belegt keine Kausalität. Unbekannte Zeitzonen und Systemuhrabweichungen begrenzen die Zuordnung.
03 · R&A DOCUMENT INTELLIGENCE
Komplexe Akten erschließen
Umfangreiche Dokumentenbestände strukturieren, Versionen vergleichen, Aussagen ihren Fundstellen zuordnen und dokumentierte Widersprüche sichtbar machen.
Mögliche Arbeitsergebnisse
Dokumentenindex, Versionsvergleich, Quellen- und Widerspruchsmatrix.
Aussagegrenzen
Eine fehlende Fundstelle ist kein Nachweis, dass ein Ereignis nicht stattgefunden hat. Unlesbare oder fehlende Dokumente werden ausgewiesen.
04 · R&A METADATA FORENSICS
Metadaten und Zeitstempel prüfen
Datei- und Exportmetadaten mit ihrem Entstehungskontext untersuchen; Zeitangaben, Formate und technische Herkunftshinweise kreuzvalidieren.
Mögliche Arbeitsergebnisse
Metadatenmatrix, Zeitstempelvergleich und dokumentierte Herkunfts- und Integritätsfragen.
Aussagegrenzen
Kopieren, Synchronisieren und Exportieren können Metadaten verändern. Ein Metadatenwiderspruch allein belegt keine Manipulation.
05 · R&A LEGAL EVIDENCE SUPPORT
Technische Ergebnisse für Kanzleien
Digitale Sachverhalte und technische Beweisfragen für anwaltliche Prüfungen aufbereiten; Befund, Interpretation und offene Hypothese getrennt dokumentieren.
Mögliche Arbeitsergebnisse
Technischer Prüfbericht, belegte Sachverhaltsübersicht und Fragenkatalog zur anwaltlichen Prüfung.
Aussagegrenzen
Juristische Würdigung, Rechtsberatung und Vertretung verbleiben bei den hierfür beruflich befugten Personen.
06 · R&A INCIDENT ANALYSIS
Dokumentierte IT-Vorfälle untersuchen
Vorhandene Systemartefakte, Logs und Konfigurationsstände zu einem beschriebenen Sicherheitsvorfall untersuchen; gesicherte Beobachtungen und alternative Erklärungen abgleichen.
Mögliche Arbeitsergebnisse
Artefaktübersicht, technischer Ereignisverlauf und priorisierter weiterer Prüfbedarf.
Aussagegrenzen
Eine Auffälligkeit beweist für sich keinen Angriff oder bestimmten Urheber. Aussagekraft und Untersuchungsumfang hängen von der verfügbaren Quellenlage ab.
Technische Schwerpunkte
MOBILE / CLOUD
iOS, macOS und CKKS
Sysdiagnose, Systemlogs, Berechtigungs- und Synchronisationsartefakte mit Geräte- und Versionskontext.
DATENBANKEN
SQLite, WAL und SHM
Schemas, Frames, Datensätze und Exportstände vergleichen; Teilrekonstruktionen nachvollziehbar dokumentieren.
FIRMWARE
IPSW und Kernelcache
Container, Metadaten, Komponentenlisten, Prelink-Einträge und statische Suchbefunde aufbereiten.
DIGITAL FORENSIC CASE INTELLIGENCE
Von der digitalen Spur zum prüfbaren Befund.
Komplexe Akten werden durch nachvollziehbare Prüfschritte erschlossen: Ereignisketten rekonstruieren, Metadaten auswerten, widersprüchliche Unterlagen abgleichen und digitale Artefakte ihrem Quellenkontext zuordnen.
- SicherungHerkunft, Umfang und Ausgangszustand des Untersuchungsmaterials dokumentieren; Originale und Arbeitskopien unterscheiden.
- AnalyseDateien, Metadaten, Protokolle und digitale Ereignisse mit dokumentierten Verfahren untersuchen.
- KreuzvalidierungUnabhängige Quellen zu Zeitangaben, Ereignissen und technischen Zusammenhängen abgleichen. Übernommene Angaben sind keine unabhängige Bestätigung.
- RekonstruktionEine Ereignis- und Beweischronologie mit Fundstellen, Zeitzonen, Versionsständen und erkennbaren Lücken erstellen.
- BewertungBestätigte Befunde, technische Indizien, Interpretationen und nicht verifizierte Hypothesen ausdrücklich unterscheiden.
- BerichterstattungErgebnisse mit Quellenangaben, Prüfmethoden, Reproduktionshinweisen und Aussagegrenzen übergeben.
R&A EVIDENCE TRACEABILITY STANDARD
Jede Feststellung braucht einen überprüfbaren Bezug.
Unser Dokumentationsschema verbindet jede wesentliche Feststellung nach Möglichkeit mit fünf Elementen. Fehlende Nachweise oder nicht ausführbare Prüfschritte werden als Lücke ausgewiesen. Der Standard ist eine eigene Arbeitsmethodik, keine externe Zertifizierung.
| Element | Dokumentation im Bericht |
|---|---|
| 01 · Ursprungsquelle und Fundstelle | Quellenkennung, Herkunft, Dateistand sowie Seite, Zeile, Datensatz oder Logposition. |
| 02 · Artefakt oder Dokument | Eindeutig bezeichnetes Untersuchungsobjekt mit Format, Umfang und gegebenenfalls SHA-256-Prüfsumme. |
| 03 · Untersuchungsmethode | Werkzeug und Version, Parameter, Zeitzone sowie relevante Verarbeitungsschritte. |
| 04 · Reproduzierbares Prüfergebnis | Beobachtung und Ergebnisdaten mit nachvollziehbaren Reproduktionsschritten; nicht wiederholbare Teile gesondert kennzeichnen. |
| 05 · Bewertung und Unsicherheiten | Tragweite, alternative Erklärungen, fehlende Primärdaten und konkreter weiterer Prüfbedarf. |
BEFUND
Was beobachtet wurde
Ein direkt feststellbares Merkmal der untersuchten Quelle, etwa eine Bytefolge, ein Datensatzwert oder eine Versionsabweichung.
INTERPRETATION
Wie es eingeordnet wird
Eine begründete technische Deutung mit Voraussetzungen und alternativen Erklärungen.
OFFENE HYPOTHESE
Was noch zu prüfen ist
Eine mögliche Erklärung, für die zusätzliche Quellen oder reproduzierbare Prüfungen benötigt werden.
Eine Prüfsumme dokumentiert eine bestimmte Bytefolge. Sie belegt allein weder die ursprüngliche Herkunft noch die Wahrheit eines Inhalts. Das Dokumentationsschema ersetzt keine vollständige Beweismittelkette und nimmt keine gerichtliche Entscheidung über die Verwertbarkeit vorweg.
PROJEKTBEZOGENE BEAUFTRAGUNG
Ein Prüfauftrag. Ein klarer Leistungsumfang.
Technische Erstprüfung, vertiefte Untersuchung oder technischer Prüfbericht: Umfang, Arbeitsprodukt, Zeitplanung und Vergütung werden vor Beginn schriftlich vereinbart. Das Angebot richtet sich nach Datenmenge, Formaten, Quellenlage und Untersuchungstiefe.
Für zeitkritische Anliegen steht ergänzend die vereinbarte 48H-Ersttriage zur Verfügung.