Mac Forensik: Apple-Geräte forensisch sichern und auswerten
Immer öfter liegen die entscheidenden Daten auf einem MacBook oder iMac – im Unternehmen, in der Kanzlei oder privat. Apple-Systeme funktionieren technisch grundlegend anders als Windows-Rechner: Methoden der klassischen Computer-Forensik greifen hier nicht, und unbedachte Handgriffe können den Zugang zu den Daten endgültig verschließen. Wir haben uns auf genau diese Systeme spezialisiert.
Dies ist für Sie nützlich, wenn...
ein MacBook oder iMac in einem Streit, einem Verdachtsfall oder einem Verfahren eine Rolle spielt,
Daten auf einem Mac gelöscht wurden und Sie belegen müssen, was wann verschwunden ist,
ein Apple-Gerät nach dem Ausscheiden von Mitarbeiter:innen zurückkommt und der Verdacht auf Datenabfluss besteht,
Sie eine nachvollziehbare, dokumentierte Auswertung eines Apple-Geräts benötigen.
Warum Macs anders sind
Bei modernen Macs ist der Speicher fest mit dem Gerät verbunden und ab Werk vollständig verschlüsselt. Die Schlüssel liegen in einem eigenen Sicherheitschip und verlassen ihn nie. Der jahrzehntelange Standard der IT-Forensik – Datenträger ausbauen und schreibgeschützt kopieren – führt bei diesen Geräten zu nichts: Außerhalb des Macs sind die Daten unlesbar.
Gesichert wird deshalb über das Gerät selbst, und das Benutzerpasswort ist dabei der zentrale Schlüssel. Werkzeuge und Routinen aus der Windows-Forensik lassen sich darauf nicht übertragen. Mac-Forensik ist in der Praxis nach wie vor ein Randgebiet; viele Labors sind auf Windows-Systeme eingerichtet. Wer einen Mac wie einen Windows-Rechner behandelt, riskiert unvollständige Ergebnisse oder den endgültigen Verlust des Zugangs.
Die ersten Minuten entscheiden
Was mit einem Apple-Gerät unmittelbar nach dem Auffinden oder der Sicherstellung geschieht, entscheidet oft über die gesamte Untersuchung:
Läuft das Gerät und ist entsperrt: so belassen. Nicht sperren, nicht zuklappen, nicht ausschalten – mit dem Sperren wird die Verschlüsselung wirksam und der Zugriff hängt wieder am Passwort.
Ist das Gerät ausgeschaltet: ausgeschaltet lassen. Ein MacBook nicht aufklappen und keinen Anmeldeversuch unternehmen – jeder Versuch verändert Spuren.
Passwörter und Recovery-Keys sichern: bekannte Kennwörter notieren; in Unternehmen sind Recovery-Keys oft in der Geräteverwaltung (MDM) hinterlegt.
Nichts ausprobieren: keine „schnelle Sichtung“, keine Kopie „zur Sicherheit“. Jede Aktion am Gerät hinterlässt Spuren.
Im Zweifel: Gerät so belassen, wie es ist, und uns kontaktieren.
Fallbeispiel: das leergeräumte MacBook
Aus unserer Praxis, anonymisiert: Auf einem MacBook war sämtlicher relevanter Inhalt gelöscht. Das Apple-Dateisystem löscht gründlich – die Inhalte selbst waren nicht wiederherstellbar. Aus den Aufzeichnungen des Dateisystems ließen sich jedoch die Namen zahlreicher gelöschter Dateien und die Zeiträume der Löschvorgänge eingrenzen. Für das Verfahren war damit belegbar, dass und wann welche Dateien entfernt wurden – in der Beweiswürdigung oft ebenso wertvoll wie der Inhalt selbst.
Solche Ergebnisse setzen voraus, dass am Gerät vorher nichts verändert wurde. Soll zunächst nur der aktuelle Zustand erhalten bleiben, ist die Seite Beweise forensisch sichern der passende Einstieg.
Nachgewiesene Spezialisierung auf Apple-Systeme
Hinter Skarpa stehen Sachverständige für Digitalforensik, die regelmäßig für Gerichte und Behörden tätig sind. Für Apple-Geräte kommt eine internationale Spezial-Zertifizierung hinzu: Zum Team gehört ein Sachverständiger mit der GIME-Zertifizierung (GIAC iOS and macOS Examiner), dem international anerkannten Spezialnachweis für die forensische Untersuchung von macOS und iOS. Wir arbeiten dabei nach dem Sorgfaltsmaßstab, der für Sachverständige gilt.
Wie ist der Ablauf?
Jede Untersuchung beginnt mit einer kostenpflichtigen Erstberatung. Dabei klären wir Ihre Situation und die Fragestellung, schätzen die Erfolgsaussichten ein und Sie erhalten einen Kostenvoranschlag für den weiteren Aufwand. Eine tatsächliche Beauftragung erfolgt erst danach. Kontaktieren Sie uns für eine Terminvereinbarung.
Wichtiger Hinweis: Für jede Sicherung und Auswertung benötigen wir einen geeigneten Nachweis Ihrer Berechtigung an Gerät und Daten, etwa eine Rechnung mit Ihrem Namen, einen Firmennachweis oder eine Bestätigung der privaten Nutzung.
Häufige Fragen
Was kostet das?
Der Aufwand unterscheidet sich je nach Gerät, Zustand und Fragestellung erheblich. Nach der kostenpflichtigen Erstberatung erhalten Sie einen Kostenvoranschlag für den weiteren Aufwand. Eine tatsächliche Beauftragung erfolgt erst danach.
Der Mac läuft noch – ausschalten oder laufen lassen?
Ist er entsperrt: laufen lassen und keinesfalls sperren oder zuklappen. Ist er bereits aus: ausgeschaltet lassen und keinen Anmeldeversuch unternehmen. In beiden Fällen möglichst rasch Kontakt aufnehmen.
Das Passwort ist nicht bekannt. Geht trotzdem etwas?
Ohne Passwort oder Recovery-Key ist der Datenbestand eines modernen Mac in aller Regel nicht auswertbar. Umso wichtiger sind hinterlegte Recovery-Keys (etwa in der Firmen-Geräteverwaltung), Backups und Cloud-Bestände. Was in Ihrem Fall in Frage kommt, klären wir in der Erstberatung.
Sind gelöschte Dateien am Mac wiederherstellbar?
Die Inhalte oft nicht – das Apple-Dateisystem und die SSD-Technik löschen wirksam. Häufig lässt sich aber belegen, welche Dateien es gab und wann sie gelöscht wurden. Genau das ist in Verfahren oft der entscheidende Punkt. Mitunter können Spuren auch aus Zwischenspeichern (Caches) rekonstruiert werden.
Untersuchen Sie auch iPhones und iPads?
Ja, die Spezialisierung umfasst neben macOS auch iOS. Beim Verdacht auf Überwachung eines Telefons ist die Seite Wird mein Handy überwacht? der passende Einstieg.
Ist das Ergebnis vor Gericht verwertbar?
Wir sichern und dokumentieren nach der Methodik, die auch gerichtlichen Gutachten zugrunde liegt – einschließlich Hashwerten und lückenloser Beweismittelkette. Bei Bedarf kann darauf aufbauend ein Gutachten durch einen gerichtlich zertifizierten Sachverständigen erstellt werden.
Erstberatung anfragen
Schildern Sie uns kurz, um welches Gerät es geht und was Sie klären möchten. Wir besprechen in der kostenpflichtigen Erstberatung, was in Ihrem Fall möglich ist, und nennen Ihnen einen Kostenvoranschlag.
Für Unternehmen und Behörden
Sie klären Ihren Fall im direkten Gespräch mit einem Sachverständigen, wir übermitteln Ihnen in Folge ein schriftliches Angebot. Je nach Situation erfolgen Angebotslegung, Leistungserbringung und Rechnungslegung über Kooperationspartner. Behörden können einen unserer Sachverständigen direkt über eine gerichtliche Bestellung heranziehen.
Für Privatpersonen
Jede Beauftragung beginnt mit einer kostenpflichtigen Erstberatung, in der wir Ihre Situation einordnen und abschätzen, wie wir Ihnen helfen können. Ein konkreter Auftrag kommt erst mit einem schriftlichen Angebot zustande. Erstberatung, Angebot, Leistungserbringung und Rechnungslegung für Privatpersonen erfolgen über unseren Kooperationspartner; Vertragspartei ist damit nicht die Skarpa Digitalforensik GmbH. Für jede Datensicherung ist ein geeigneter Nachweis Ihres Eigentums an den betroffenen Geräten und Konten notwendig (z.B. Rechnung, Einantwortungsurkunde, Verträge...). Wir sichern ausschließlich Daten, welche öffentlich einsehbar sind oder zu welchen Sie nachweislich einen berechtigten Zugang besitzen.