Seminar iLEAPP Vertiefung: iOS-Apps, Plists, SQLite und Timeline-Analyse

Dieses Seminar vertieft die Auswertung typischer iOS-Artefakte mit iLEAPP. Behandelt werden App-Daten, Plist-Strukturen, SQLite-Datenbanken, Zeitstempel und Ereignisfolgen. Ziel ist ein technisches Verständnis dafür, wie aus einzelnen Fundstellen belastbare Zusammenhänge entstehen und wo automatisierte Berichte fachlich geprüft werden müssen.

Inhaltsverzeichnis

• iOS-Artefaktgruppen und App-Strukturen
• Plist-Dateien und strukturierte Eigenschaften
• SQLite-Datenbanken und Tabellenbeziehungen
• Zeitstempel, Zeitzonen und Ereignisfolgen
• Timeline-orientierte Auswertung
• Plausibilität und technische Dokumentation

Seminarprofil

Die Auswertung mobiler Geräte besteht selten aus einer einzigen Fundstelle. Dieses Seminar zeigt, wie iLEAPP-Ausgaben mit technischem Verständnis gelesen werden. Plists werden als strukturierte Eigenschaftsdateien behandelt, SQLite-Datenbanken als relationale Datenquellen und Timelines als Arbeitsmittel für Ereigniszusammenhänge. Die Interpretation bleibt dabei eng an der Datenquelle.

Zielgruppe

Das Seminar richtet sich an Personen, die über den Grundlagenkurs hinaus iOS-Daten fachlich tiefer analysieren möchten. Geeignet ist es für Forensik, Incident Response, Ermittlungsunterstützung, technische Gutachten und Qualitätskontrolle.

Voraussetzungen

Erforderlich sind Grundkenntnisse in iLEAPP und sicherer Umgang mit Tabellen. Hilfreich sind erste Erfahrungen mit iOS-Strukturen, Datenbanken oder Logdateien.

Seminarinhalte

• Einordnung von App-Containern, Systembereichen und Artefaktkategorien
• Lesen und Bewerten von Plist-Strukturen
• Grundlagen forensischer SQLite-Auswertung
• Zusammenhang zwischen Parserausgabe und zugrunde liegender Quelle
• Zeitstempeltypen, Umrechnung und chronologische Sortierung
• Aufbau einer fallbezogenen Timeline
• Abgleich von Ereignissen über mehrere Artefaktgruppen
• Dokumentation von Unsicherheiten, Lücken und alternativen Erklärungen

Praxisübungen

Die Teilnehmenden arbeiten mit vorbereiteten iLEAPP-Berichten und ausgewählten Rohdatenstrukturen. Dabei werden Plist-Werte, SQLite-Auszüge und Zeitlinien verglichen. Eine Abschlussübung führt mehrere Artefakte zu einer technischen Ereignisdarstellung zusammen.

Didaktik und Arbeitsweise

Der Kurs verbindet Werkzeugausgabe und Datenquellenarbeit. Die praktische Arbeit erfolgt kontrolliert und schrittweise. So wird vermieden, dass aus einer hübschen Tabelle vorschnell eine falsche Geschichte gebaut wird.