Handy-Forensik: Ablauf, Beweissicherung und Methoden (2025)
CyberLord Forensics Team Autorenprofil
In unserer Hosentasche tragen wir unser ganzes Leben spazieren. E-Mails, Chatverläufe, GPS-Standorte, Fotos – ein Smartphone ist heute das wichtigste Beweisstück bei fast jedem Kriminalfall oder zivilrechtlichen Streit.
Doch was passiert, wenn man genau diese Beweise benötigt, sie aber "gelöscht" wurden?
Hier kommt die Mobile IT-Forensik ins Spiel. Anders als im Fernsehen, wo ein Nerd in 30 Sekunden "drin" ist, ist echte Forensik eine Wissenschaft. Sie erfordert spezialisierte Hardware, juristisches Know-how und strikte Prozesse, damit die Beweise vor Gericht (oder im Scheidungsverfahren) Bestand haben.
Dieser Leitfaden erklärt, was 2025 technisch möglich ist, wie eine Untersuchung abläuft und welche rechtlichen Hürden in Deutschland gelten.
Was ist Mobile Forensik eigentlich?
Mobile Forensik ist der Prozess der Sicherung, Analyse und Dokumentation von digitalen Beweisen auf mobilen Endgeräten (Smartphones, Tablets, GPS-Geräte).
Der entscheidende Unterschied zur "Datenrettung" ist die Gerichtsverwertbarkeit.
- Ein Datenretter will Ihnen nur Ihre Urlaubsfotos zurückgeben.
- Ein Forensiker muss beweisen: Wann wurde das Foto gemacht? Mit welchem Gerät? Wurde es nachträglich manipuliert? Wer hat es versendet?
Die 3 Goldenen Regeln der Forensik
- Verändere niemals direkt das Original: Es wird immer eine exakte Kopie (Image) erstellt.
- Dokumentiere jeden Schritt: Wer hat das Gerät wann berührt? (Chain of Custody).
- Reproduzierbarkeit: Ein anderer Experte muss mit den gleichen Methoden zum gleichen Ergebnis kommen.
Welche Daten können (wirklich) wiederhergestellt werden?
Die Technologie 2025 ermöglicht uns tiefe Einblicke. Selbst wenn ein Nutzer auf "Löschen" drückt, sind die Daten oft noch da.
1. Gelöschte Kommunikation
- WhatsApp / Telegram / Signal: Wir analysieren die lokalen
SQLite-Datenbanken auf dem Gerät. Oft finden wir sogenannte "tote Datensätze" (gelöscht, aber noch nicht überschrieben) im freien Speicherplatz. - SMS & Anruflisten: Diese sind oft am einfachsten wiederherzustellen, da sie tief im System verankert sind.
2. Standortdaten (Geotracking)
Auch wenn GPS ausgeschaltet war, speichert das Telefon oft Standorte:
- WLAN-Verbindungen: Das Telefon merkt sich, wo es zuletzt eingeloggt war.
- Foto-Metadaten (EXIF): Jedes Foto hat meist einen Geotag.
- Systemprotokolle: Apple iOS und Android protokollieren im Hintergrund "Signifikante Orte".
3. Multimedia
- Gelöschte Fotos und Videos (auch aus dem "Zuletzt gelöscht" Ordner).
- Sprachnachrichten.
4. Internetaktivität
- Browserverlauf (auch Inkognito-Spuren im RAM oder Cache).
- Google-Suchanfragen.
- App-Nutzungszeiten (Wann wurde Tinder geöffnet?).
Die 3 Stufen der Extraktion
Nicht jede Untersuchung ist gleich tief. Je nach Gerätetyp (iPhone vs. Android) und Budget gibt es drei Methoden.
Level 1: Logische Extraktion (Schnell)
Hierbei "fragt" die Forensik-Software das Betriebssystem höflich nach den Daten.
- Was man bekommt: Kontakte, SMS, vorhandene Bilder.
- Was fehlt: Gelöschte Daten.
- Dauer: 2-4 Stunden.
Level 2: Dateisystem-Extraktion (Mittel)
Wir nutzen Sicherheitslücken im Betriebssystem (Exploits), um vollen Lesezugriff auf alle Dateien zu bekommen.
- Was man bekommt: Datenbanken von Apps (WhatsApp), Systemlogs.
- Vorteil: Man sieht auch versteckte Dateien.
Level 3: Physikalische Extraktion (Tief)
Die Königsklasse. Wir kopieren den rohen Speicherchip (Bit-für-Bit).
- Was man bekommt: ALLES. Auch Fragmente von Daten, die vor Monaten gelöscht wurden.
- Nachteil: Sehr zeitaufwendig und technisch bei modernen iPhones (aufgrund starker Verschlüsselung) oft unmöglich, wenn der PIN-Code unbekannt ist.
Rechtliche Aspekte in Deutschland (DSGVO & Co.)
Technisch können wir vieles. Aber dürfen wir es auch?
Fall A: Das Handy gehört Ihnen
Sie haben das volle Recht, Ihr eigenes Eigentum untersuchen zu lassen, egal ob Sie gelöschte Fotos suchen oder wissen wollen, ob Spyware installiert ist.
Fall B: Firmentelefon (Mitarbeiterüberwachung)
Hier wird es heikel.
- Private Nutzung verboten? Wenn im Arbeitsvertrag steht, dass das Handy ausschließlich beruflich genutzt werden darf, darf der Arbeitgeber (bei Verdacht auf Straftaten) oft zugreifen.
- Private Nutzung erlaubt? Dann gilt das Fernmeldegeheimnis. Der Arbeitgeber darf nicht einfach E-Mails oder Chats lesen, selbst wenn das Gerät der Firma gehört. Das wäre eine Straftat (§ 206 StGB).
- Lösung: Sie brauchen die schriftliche Einwilligung des Mitarbeiters oder müssen die Betriebsvereinbarung genau prüfen.
Fall C: Partner / Ehegatte
Einen Partner "heimlich" forensisch zu untersuchen, um Ehebruch zu beweisen, ist in Deutschland illegal (Ausspähen von Daten, § 202a StGB). Wir führen solche Aufträge ohne Eigentumsnachweis nicht durch.
Ablauf einer Untersuchung bei Cyberlord
Wenn Sie uns ein Gerät zur Analyse übergeben, folgt der Prozess strikten Standards.
- Vorgespräch: Was suchen wir? (Betrug, Malware, Untreue-Beweise legaler Art?).
- Chain of Custody (Beweiskette): Das Gerät wird eingecheckt, fotografiert und in einen "Faraday-Beutel" (blockiert Funksignale) gepackt, damit niemand von außen Daten löschen kann (Remote Wipe).
- Klonen: Wir erstellen eine 1:1 Kopie. Die Analyse findet an der Kopie statt, das Original bleibt unberührt.
- Analyse: Unsere zertifizierten Experten (Cellebrite / Oxygen Certified) durchsuchen den Datensatz.
- Bericht: Sie erhalten einen verständlichen Abschlussbericht (PDF) und auf Wunsch alle extrahierten Daten auf einem USB-Stick.
Wann lohnt sich eine Forensik?
Professionelle Forensik kostet Geld (oft ab 1.500 € aufwärts). Wann ist es das wert?
- Wirtschaftsspionage: Ein Mitarbeiter verlässt die Firma und nimmt Kundenlisten mit zu Konkurrenz. Forensik kann beweisen, wann er die Daten auf einen USB-Stick kopiert hat.
- Stalking / Cybermobbing: Beweissicherung von Drohnachrichten für eine polizeiliche Anzeige.
- Erbstreitigkeiten: Klärung des digitalen Nachlasses.
- Malware-Verdacht: Wenn Sie glauben, dass Ihr Handy mit professioneller Spyware (z.B. Pegasus) infiziert ist. Virenscanner finden diese oft nicht, Forensiker schon.
Funkzellendaten: Was nur die Staatsanwaltschaft beschaffen darf
Ein wichtiger Punkt, der Privatleute oft unterschätzt: Die Auswertung von Funkzellenverbindungsdaten (§ 100g StPO) ist privaten Gutachtern komplett verwehrt. Wer wann mit welchen Mobilfunkmasten verbunden war, liegt ausschließlich bei den Netzbetreibern, und diese geben solche Daten nur auf richterlichen Beschluss an Ermittlungsbehörden heraus. Als Geschädigter können Sie diese Daten daher nicht anfordern – auch nicht über ein Detektivbüro.
Praktisch heißt das: Wenn Ihr Fall auf Bewegungsprofile angewiesen ist – etwa bei Stalking oder Erpressung –, sorgt Ihre Anzeige dafür, dass Ermittler Zeiträume, Rufnummern und vermutete Treffpunkte präzise benennen. Der Ermittler lässt die Verkehrsdaten dann nach § 100g StPO freischalten und ergänzt die Hit-Vervollständigung nach § 113 Abs. 3 TKG. Ein privates Gutachten darf diese Daten später visualisieren und mit den ebenfalls gesicherten Gerätedaten abgleichen – beschaffen kann es sie nie. Wer Ihnen als Privatperson „Standortverläufe aus dem Mobilfunknetz“ verkauft, arbeitet rechtswidrig oder blufft.
Welche Beweiskraft hat ein privates Gutachten vor Gericht?
Zivil- und Strafgerichte bewerten solche Berichte unterschiedlich streng. An vier Prüfpunkten lässt sich die Verwertbarkeit gut einschätzen:
- Unabhängigkeit des Verfassers: Da Sie den Gutachter selbst beauftragt haben, gilt der Bericht formal als Parteigutachten (§ 404a ZPO). Ein Verfasser, der neutral dokumentiert und auch nachteilige Befunde nennt, gewinnt an Gewicht; ein einseitig zugespitzter Bericht hält einer Beweisaufnahme kaum stand.
- Nachvollziehbare Methodik: Das Gutachten muss dokumentieren, welche Tools (beispielsweise Cellebrite UFED, Magnet AXIOM, X-Ways Forensics), welche Versionen und welche Hash-Algorithmen verwendet wurden. Fehlt die Prüfsummen-Dokumentation, kann die Gegenseite Manipulation behaupten.
- Intakte Beweiskette: Zu jedem Hand-off gehört ein Protokoll mit Datum, Person und Kennzeichen des Mediums. Anbieter wie Bachstein oder LexisNexis schulen genau diese Protokollführung – ein Gutachter ohne nachweisbare Chain-of-Custody-Schulung ist ein Risiko.
- Arbeit am Image statt am Original: Wurde im Verfahren mit dem Originalgerät hantiert statt mit einer verifizierten 1:1-Kopie, ist der Befund in der Regel nicht verwertbar.
Kosten im Detail: Was den Preis einer Handy-Forensik tatsächlich bestimmt
Der Einstiegspreis sagt noch wenig über den Endbetrag. Realistisch gliedert sich der Markt 2025 in drei Segmente:
- Triage bzw. Kurzprüfung (etwa 300–800 €): Logische Sicherung, Malware-Schnelltest, knapper Befund von wenigen Seiten. Reicht für klar zugeschnittene Fragen wie „Ist Spyware installiert?“.
- Vollständige Analyse (etwa 1.500–4.000 €): Dateisystem-Extraktion, Decodierung der App-Datenbanken, ausführlicher Abschlussbericht und bei Bedarf Rücksprachestunden mit Ihrem Anwalt.
- Physikalische Extraktion versiegelter Modellgenerationen (ab 3.000 €, oft 5.000–8.000 €): Chip-Off-Auslesung, BGA-Reballing, Beweis von Fernlöschaktionen – nur sinnvoll, wenn der Streitwert diese Investition trägt.
Der Preis folgt nicht der Datenmenge, sondern der Anforderung an Gerichtsverwertbarkeit: Je eher der Befund vor Gericht standhalten muss, desto höher der Dokumentationsaufwand. Viele Labore kalkulieren Stundensätze zwischen 120 und 250 € und addieren Nachforderungen für Rückfragen von Gerichten oder Gegengutachten; Honorare gerichtlich bestellter Sachverständiger richten sich nach JVEG. Diese Posten sollten Sie vor Auftragserteilung schriftlich fixieren lassen – andernfalls drohen Posten wie Fahrtkosten für einen Gerichtstermin oder die Nachprüfung durch die Gegenseite zur unliebsamen Überraschung werden.
Häufige Fehler, die Beweise unwiederbringlich vernichten
Meist ruiniert nicht das Gerät die Ausgangslage, sondern der erste Instinkt des Betroffenen:
- Aktualisieren vor der Übergabe: Installieren Sie keine iOS- oder Android-Updates mehr, sobald ein forensischer Verdacht besteht. Updates schließen genau die Sicherheitslücken, die forensische Werkzeuge für die Dateisystem-Extraktion nutzen – danach bleibt manchmal nur noch die teure physikalische Extraktion. Zum Themenfeld Härtung passen unsere Hinweise zum Schutz des iPhone vor Hackern und zur Systematischen Härtung.
- Login-Daten weitergeben: Übergeben Sie iCloud- oder Google-Zugangsdaten nur an ein Labor mit Eigentumsnachweis Ihrerseits. Ein Login aus einer fremden Browser-Sitzung registriert Ihr Gerät und kann – falls die Gegenseite informiert wird – Löschaktionen auslösen.
- Fake-Forensiker: Achten Sie auf nachprüfbare Zertifikate (beispielsweise Cellebrite CCO/CCPA, GIAC GDFP), ein Impressum mit vollständiger Anbieterkennzeichnung und die Grundregel, dass ohne Ihr Gerät keine Gerätedaten existieren. Wer Ihnen „gelöschte Chats“ ohne Gerät verspricht, liefert Ihnen in der Regel gefälschte Chatverläufe.
- Eigenständiges Weiterfummeln: Jede geöffnete App verändert Zeitstempel in den SQLite-WAL-Dateien. Aussagen wie „Wann wurde dieser Chat zuletzt geöffnet?“ verlieren damit ihren Beweiswert.
Checkliste vor der Übergabe an das Labor
Nehmen Sie sich 30 Minuten, bevor Sie das Gerät abgeben:
- PIN, Muster, Passwort sowie iCloud-/Google-Konto und Zugang zum Zwei-Faktor-Verfahren in versiegelten, separat verwahrten Umschlägen notieren – niemals im selben Umschlag wie das Gerät.
- Gerät unverändert in den Flugmodus versetzen, in einen abgedichteten, metallbeschichteten Beutel stecken und den Zustand fotografieren.
- Ladezustand und insbesondere den Einschaltzustand dokumentieren und lassen Sie die Entscheidung über Neustart oder Ausschalten dem Labor: Nach einem Neustart gehen manche Datenbank-Schlüssel verloren.
- Begleitschreiben erstellen mit der konkreten Fragestellung: Wer, was, wann, in welchem Verfahren (Strafsache, Scheidung, Arbeitsrecht). Ein Bericht zur falschen Fragestellung hilft vor Gericht nicht – auch dann, wenn die Daten technisch noch vorhanden waren.
- Sagen Sie dem Labor, ob Gerichtstermine absehbar sind – so kann die Auswertung und ggf. die mündliche Erläuterung vorausschauend geplant werden.
Fazit
Handy-Daten sind flüchtig. Wenn Sie einen Vorfall vermuten:
- Schalten Sie das Gerät in den Flugmodus. (Verhindert Fernlöschung).
- Ändern Sie nichts. Versuchen Sie nicht, selbst "nachzuschauen". Jeder Start einer App verändert Zeitstempel und zerstört Beweise.
- Kontaktieren Sie Experten.
Bei Cyberlord kombinieren wir modernste forensische Tools mit juristischer Expertise, um Ihnen Gewissheit zu verschaffen – diskret und gerichtsfest.
Jetzt unverbindliche Beratung anfordern
Überblick
Wichtige Entscheidungen, Risiken und Umsetzungsmaßnahmen zu diesem Thema.