Hauptseite

2026-06-27T13:40:05Z

St251308: Link AFU (After First Unlock) hinzugefügt

Willkommen auf dem IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur aktuell ==
[[Bianca Robotka]]: '''Entwicklung eines Konzepts zur IT-forensischen Untersuchung von Cloud-Speichern auf Windows 11 PC-Systemen'''. Master Thesis, Hochschule Wismar, Dezember 2025

[[Stephan Siebenrock]]: '''Automatisierte forensische Analyse von Datenträgerabbildern täterseitiger Infrastruktur im polizeilichen Kontext'''. Master Thesis, Hochschule Wismar, September 2025

== Literatur Übersichten ==

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Projektarbeiten]]

[[Forensik in DB]]

Antje Raab-Düsterhöft: [https://www.amazon.de/Forensik-Ein-Grundkurs-Antje-Raab-D%C3%BCsterh%C3%B6ft/dp/3662690896/ref=sr_1_1?crid=3R1C68K8I9D7G&dib=eyJ2IjoiMSJ9.uiOyjCoCVNBEDxYi_UywKURV45hgfjLaOTGRLZmHb3vTptUnwBld6SqiBl8NXzOVGk9f43125KCwp7Gnnf2gf8pTQI1Kis9kH_dZvoE4j1kz8G9RvagRT IT-Forensik - Ein Grundkurs. Springer Verlag, November 2024], ([https://link.springer.com/book/10.1007/978-3-662-69090-1 digitale Version])

[[Christian Peter (MT)]]: '''Einsatz von Open Source Software für die forensische Sicherung und Analyse von iOS und dessen Derivaten auf verschiedenen Apple-Geräten'''. Master Thesis, Hochschule Wismar, Mai 2025

Artikel [https://t3n.de/news/digitale-verbrechen-was-macht-eigentlich-ein-it-forensiker-1629195/?utm_source=rss&utm_medium=feed&utm_campaign=t3n-news "Digitale Verbrechen: Was macht eigentlich ein IT-Forensiker?"] 10.6.2024

== Stichworte IT-Forensik ==
=== A ===
[[ACPO]]

[[Adware]]

[[AFU (After First Unlock)]]

[[Aggregation]]

[[AmCache]]

[[Angriffe auf Forensik-Software]]

[[Anti-Forensik]]

[[Anwendungsarchitektur]]

[[Arbeitsspeicher]]

[[Asset Relocation]]

[[APT]]

[[Autopsy]]

[[Alternative Data Stream (ADS)]]

=== B ===
[[BBED]]

[[Betriebssystem]]

[[Bitlocker]]

[[Blacklisting]]

[[BLOB]]

[[BlockchainForensik|Blockchain Forensik]]

[[Blockchainbasierte Datenbank]]

[[Broken Authentication]]

[[Brute Force]]

[[BSI-Vorgehensmodell]]

[[Bundesdatenschutzgesetz (BDSG)]]

[[BurpSuite]]

=== C ===
[[Cache]]

[[Canarytoken]]

[[CERT-Taxonomie]]

[[Chain of Custody]]

[[Cheat Engine]]

[[Checkliste IT-Forensik für Unternehmen]]

[[Chip-Off]]

[[Clickjacking]]

[[Cloud Log Forensik]]

[[Cold Backup]]

[[Command-and-Control-Server]]

[[Computer Sabotage]]

[[Containervirtualisierung]]

[[Cookies]]

[[Cross Site Request Forgery (CSRF)]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

[[CSA - Cloud Security Alliance]]

[[CTI - Cyber Threat Intelligence]]

[[CVE - Common Vulnerabilities and Exposures]]

[[Cybercrime]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbank Firewall]]

[[Datenbankausführungsplan]]

[[Datenbankforensik]]

[[Datenreduktion]]

[[Datensammlung]]

[[Datenschutz in der IT-Forensik]]

[[Datenvernichtung]]

[[Datenverschleierung]]

[[DDL & DML]]

[[Deep Packet Inspection]]

[[Deep Web]]

[[Diamond-Modell]]

[[Wörterbuchangriff|Dictionary Attack]]

[[Diff]]

[[Digitale Artefakte]]

[[Digitale Forensik]]

[[DLL (.dll Dateien)]]

[[DLP]]

[[DNS-Spoofing]]

[[DNS-Tunneling]]

[[Dokumentation]]

[[DoS & DDoS]]

[[Doxing]]

[[.DS-Store]]

[[Dual Use Software]]

[[Dumpster Diving]]

[[Dynamische Analyse]]

=== E ===
[[E-Mail-Header]]

[[E-Mail-Verschlüsselung und Signatur in der IT-Forensik]]

[[eDiscovery]]

[[Egg Hunting]]

[[ENISA]]

[[Ermittlungsprozess]]

[[Error Based SQL Injection]]

[[Exchangeable Image File Format (EXIF)]]

[[Exploit]]

=== F ===
[[File Carving]]

[[Fileless Malware]]

[[Fingerprinting (Browser)]]

[[Fingerprinting (Betriebssystem)]]

[[Flash Speicher]]

[[Flüchtige Daten]]

[[Footprinting]]

[[Forensik]]

[[Forensic Data Mining]]

[[Forensic Readiness]]

[[Forensische Duplikation]]

[[Forensischer Koffer]]

[[Fragmentierung]]

[[Fuzzing]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

[[Google Hacking]]

[[GrapheneOS]]

=== H ===
[[Hackback]]

[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Hashwert]]

[[hiberfil.sys]]

[[Hilfstatort]]

[[Honeypot]]

[[Human Interface Device (HID)]]

=== I ===
[[ICMP - Internet Control Message Protocol]]

[[Identitätsanbieter]]

[[IDS - Intrusion Detection System]]

[[Image]]

[[Imaging]]

[[IMSI-Catcher]]

[[Incident-Response-Team]]

[[Indicator of Compromise]]

[[Inline (Queries) SQL Injection]]

[[Integrität]]

[[IT-Forensik]]

[[IT-Forensiker]]

[[IT-Forensisches Gutachten]]

[[IPS - Intrusion Prevention System]]

=== J ===
[[Jailbreak]]

[[John the Ripper]]

[[Journaling-Dateisystem]]

[[Juice Jacking]]

[[Jump Lists]]

=== K ===

[[Installieren eines Live-Kali-Linux-System auf USB-Stick|Kali-Linux-Live-System auf USB-Stick installieren]]

[[Kaltstartattacke]]

[[Kausalität in der Forensik]]

[[Key Derivation Function]]

[[Kerberos]]

[[Keystroke Injection Attack Tool]]

[[Korrelation]]

[[Keylogger]]

=== L ===
[[Lateral Movement]]

[[LDAP-Injection]]

[[Litigation Hold]]

[[Live-Forensik]]

[[Local file inclusion]]

[[Locard'sche Regel]]

[[Lockheed Martin Cyber Kill Chain]]

[[Log-File]]

[[LogMining]]

[[Logical Volume Manager (LVM)]]

=== M ===
[[MACtime]] (Modification, Access, Change)

[[Magnet Axiom]]

[[Makrovirus]]

[[Malware]]

[[Malware-Klassen]]

[[MariaDB-Audit-Plugin|MariaDB Audit Plugin]]

[[Memory Forensics]]

[[Metadaten]]

[[Mobiltelefon-Forensik]]

[[Metadata Carving]]

=== N ===
[[Netcat]]

[[Netflow]]

[[Never-Touch-Original]]

[[Nmap]]

[[NTFS]]

[[Nutzdaten]]

=== O ===
[[OCR]]

[[Online-Forensik]]

[[Offline-Forensik]]

[[Ontologie & Semantik]]

[[Oracle DB]] (Forensische Aspekte)

[[Order of Volatility]]

[[OSINT]]

[[OSINT-Werkzeug]]

[[Out-of-Band]]

=== P ===
[[Pass-the-Hash-Attack]]

[[Passwortsicherheit]]

[[Payload]]

[[Partition]]

[[PCMCIA]]

[[Penetrationstest]]

[[PhotoDNA]]

[[Public Key Infrastructure (PKI)|PKI]]

[[Plausible Deniability]]

[[PostgreSQL Command Execution]]

[[Post-Mortem-Analyse]]

[[Prepared Statement]]

[[Privilege Escalation]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[Public Key Infrastructure (PKI)|Public Key Infrastructure]]

[[Purview eDiscovery (Microsoft)]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

[[PIC]]

=== Q ===

[[Query Log]]

[[QRT: Quick Reaction Team]]

[[QRT: Quick Response Team]]

=== R ===

[[Radare 2 - Reverse Engineering Framework]]

[[Rainbow Table]]

[[Ransomware]]

[[Privilege_Escalation|Rechteausweitung]]

[[Redo Logs]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Replay Attack]]

[[Reverse Engineering]]

[[Rogue Access Point & Evil Twin]]

[[Rootkit]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Schwachstelle]]

[[Security Information and Event Management (SIEM)]]

[[Security Operations Center (SOC)]]

[[Seitenkanalattacke]]

[[Semantik]]

[[Server Side Request Forgery]]

[[Shellbags]]

[[ShimCache]]

[[Sigma]]

[[Skimming]]

[[Skript-Kiddie]]

[[Slack Space]]

[[Sleuthkit]]

[[Smishing]]

[[Sparse Image]]

[[Stack-basierte Buffer-Overflow Angriffe in Microsoft Windows]]

[[Statische Analyse]]

[[Sniffing]]

[[Sealbag]]

[[Secure Erase]]

[[Server Side Request Forgery]]

[[SpiderFoot]]

[[Spuren]]

[[SQL Injection]]

[[SQL Stored Procedures]]

[[SQLite Datenbanken auslesen mittels Python]]

[[Sqlmap]]

[[SSL Inspection]]

[[Steganographie]]

[[Steghide]]

[[Supply Chain Attack]]

[[Systeme zur Angriffserkennung]]

=== T ===
[[Tatort]]

[[Team Win Recovery Project]]

[[Threat Intelligence]]

[[Thumbnail Cache unter Windows]]

[[Thunderspy]]

[[Timeline]]

[[Triage]]

[[Trigger in DBMS]]

[[Trugspur]]

[[Tsurugi-Linux]]

[[Totmannschalter]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]<br>
[[UNION Based SQL Injection]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Vertraulichkeit in Datenbanksystemen]]

[[VPN]]

[[Volume Shadow Copies]]

[[Vorsorge für die IT-Forensik]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Warm-Boot-Angriff]]

[[Watering-Holes]]

[[Web-Application-Firewall]]

[[Whitelisting]]

[[Why-Because-Analyse (WBA)]]

[[Windows-RAM auslesen]]

[[Windows-Papierkorb]]

[[Windows-Prefetch]]

[[Wiping]]

[[Wireshark]]

[[Write Blocker]]

[[Wörterbuchangriff]]

[[Worm]]

=== X ===
[[Xmount]]

[[X-Ways]]

=== Y ===
[[Yara Regeln]]

=== Z ===
[[Zeit]]

[[Zeitstempel]]

[[Zeitbasierte SQL Injection Attacken]]

[[Zenmap]]

[[Zero-Day-Exploit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://www.wings.hs-wismar.de/de/fernstudium_bachelor/it_forensik IT-Forensik, Bachelor]

[https://www.wings.hs-wismar.de/de/fernstudium_master/it_sicherheit_und_forensik/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

AFU (After First Unlock)

2026-06-27T13:25:17Z

St251308: AFU (After First Unlock)

== Grundbegriff ==
Der Begriff „AFU“ steht als Abkürzung für „After First Unlock“, dt. in etwa „nach der ersten Entsperrung“. Es ist ein vornehmlich in der Mobilgeräteforensik angewandter Begriff für den Status eines (Mobil)-Gerätes, kann als Konzept jedoch prinzipiell auch auf andere Geräte angewandt werden.

== Definition und Erklärung für Mobilgeräte ==
Bei heutigen Mobilgeräten ist im persistenten Flash-Speicher i.d.R. die Nutzerdatenpartition mit sog. FBE (File-based-Encryption) verschlüsselt. Diese Verschlüsselung wird z.B. über Hardware-Coprozessor-Subsysteme realisiert, so dass Schlüssel nicht ausgelesen werden können. Vereinfacht lässt sich der Zustand folgendermaßen beschreiben: Wurde das Gerät hochgefahren, ohne die PIN bzw. den Entsperrcode einzugeben, hat es lediglich Zugriff auf die eigene Systempartition, da diese keine sensitiven Nutzerdaten enthält. Das Gerät enthält erst durch die korrekte Eingabe des Entsperrcodes Zugriff auf die eigene Nutzerdatenpartition. Folglich können auch die meisten Applikationen erst nach der erstmaligen Eingabe des Sperrcodes nach einem Neustart auf ihre Sandbox-Datenbereiche zugreifen. Nach dem erstmaligen korrekten eingeben des Sperrcodes nach dem Hochfahren befindet sich das Mobilgerät im AFU-Zustand, bis es das nächste Mal neugestartet wird.

Im AFU-Zustand befindet sich der Schlüssel bzw. die Schlüsselkette zur Entschlüsselung von Nutzerdaten im Hauptspeicher. Aus Usability-Gründen wird das Schlüsselmaterial dort vorgehalten, damit z.B. Applikationen ihre Hintergrundaufgaben ausführen können, ohne dass der Nutzer wiederholt seinen Entsperrcode eingeben muss.

== Relevanz für die IT-Forensik ==
In der IT-Forensik sind die Nutzerdaten eines Mobilgerätes von hohem Wert. Bei Geräten im AFU-Zustand ist demnach eine Sicherung von entschlüsselten Nutzerdaten (ggf. ohne Kenntnis des Entsperrcodes) möglich, sofern sich Zugriff zum Betriebssystem und dem Hauptspeicher verschafft wird. Dieser Zugriff kann bspw. durch Ausnutzung von Sicherheitslücken geschehen. Dadurch werden aufwändige bzw. technisch nicht realisierbare Entschlüsselungsversuche der extrahierten Daten vermieden.

IT-Forensik Wiki - Benutzerbeiträge [de]

Hauptseite

AFU (After First Unlock)