Die Datei fehlt.
Was bleibt?

Ein BLOB ist ein gespeicherter Block binärer Daten. In einem kontrollierten Versuch wurde ein solcher Wert zunächst als unbekanntes Binärformat eingeordnet. Unsere entwickelte Analysestufe untersuchte seinen Inhalt weiter und schrieb drei eingebettete Artefakte getrennt heraus: PNG, PDF und ZIP.

Der Erkenntnisgewinn liegt in der zusätzlichen Untersuchungsebene: Eine äußere Klassifikation kann den interessanten Inhalt verdecken. Die Analyse muss deshalb auch innerhalb eines rekonstruierten Objekts ansetzen können.

SQLite organisiert Daten in Seiten. Je nach Betriebsart halten Begleitdateien geänderte Seiten oder frühere Seiteninhalte fest. Ein WAL enthält geschriebene Seitenstände; ein Rollback Journal unterstützt das Zurücksetzen einer Transaktion. Solche Dateien können für die Einordnung eines Datenbankzustands entscheidend sein. SQLite Dateiformat ↗

Unsere Versuchsreihe untersuchte diese Strukturen gezielt. Im Versuch mit einer WAL Datei wurde ein vorbereiteter Textmarker in einem untersuchten Frame erkannt. Beim Journalversuch wurde ein Datensatzbereich ausgewertet; der erwartete Marker erschien sowohl im Arbeitsspeicher als auch in der geschriebenen Ausgabe.

Weitere Entwicklungsstufen behandelten freie Bereiche innerhalb von Seiten, ausgelagerte Inhalte auf zusätzlichen Seiten und das Auslesen gespeicherter Werte. Daraus entstand ein Ansatz, der unterschiedliche Fundorte innerhalb und neben einer Datenbank getrennt erschließt.

ZIP Archive enthalten Strukturen für einzelne Einträge und ein übergeordnetes Verzeichnis. Unsere Entwicklung untersucht auch Bestandteile über ihre lokalen Eintragsköpfe. Damit richtet sich die Analyse auf erhaltene innere Strukturen eines beschädigten Containers. Technische ZIP Spezifikation ↗

Die kontrollierte Versuchsreihe umfasste unvollständige Archiveinträge, nachgelagerte Größeninformationen, ZIP64 sowie teilweise beschädigte komprimierte Inhalte. In einem Versuch wurden erhaltene XML Bestandteile gewonnen und das Ergebnis ausdrücklich als unvollständiges Dokument eingeordnet.

Das ist eine wesentliche Entwicklungsaufgabe: Das Verfahren muss verwertbare Bestandteile ausgeben und zugleich ihre Grenzen erhalten. Ein sauber gekennzeichneter Teilfund kann eine Untersuchung weiterbringen, ohne Vollständigkeit vorzutäuschen.

Unsere Rekonstruktionsarbeit verbindet kontrollierte Testdaten mit Versuchen an realen Datenträgern. Definierte Marker machen im Labor sichtbar, ob ein erwarteter Inhalt ankommt. Reale Medien stellen zusätzliche Anforderungen an Adressierung, Datenmenge und Auswahl der Funde.

Ein abgebrochener Datenträgerversuch machte eine unkontrollierte Ausgabemenge sichtbar. Daraus entstanden gezielte Prüfungen für Ausgabebegrenzung und scheinbar leere Blöcke. Im anschließenden Kontrollversuch wurden vor dem Überspringen Signaturen geprüft: 14 Blöcke wurden ausgelassen, zwei relevante Blöcke untersucht und eine Bildausgabe kontrolliert begrenzt.

Die Forschungsfrage dahinter reicht über Geschwindigkeit hinaus: Wie reduziert ein Verfahren irrelevante Ausgabe, ohne interessante Strukturen vorschnell auszusortieren? Genau dafür werden Filterverhalten und Rekonstruktion getrennt beobachtet.

Zum Entwicklungsbestand gehört eine eigene Arbeitsoberfläche für Forensik Tablets. Untersuchungskontext, Szenarien und lokale Arbeitshilfen werden auf dem Gerät zusammengeführt. Ein eingebundenes Arbeitsbuch erschließt Werkzeugkarten, Vorgehensweisen und bekannte Fehlerbilder.

Die dokumentierten Gerätetests bestätigen den lokalen Abruf dieser Inhalte und ausgewählte Bedienabläufe. Der Forschungsfokus liegt auf dem Weg vom Untersuchungsszenario zum passenden Werkzeug und zu einer nachvollziehbaren Ausgabe.

Hier trifft Softwareentwicklung auf eine praktische Anforderung: Auch unter wechselnden Arbeitsbedingungen müssen Untersuchende erkennen können, welchen Schritt sie ausführen und worauf sich dessen Ergebnis bezieht.

Für eine eigene Wissensplattform wurden Texte erschlossen, katalogisiert und über eine Leseansicht zugänglich gemacht. Eine erste Suche übergibt gefundene Textauszüge an ein lokales Sprachmodell. Der dokumentierte Importstand umfasste 382 nutzbare Dokumente.

Eine gesonderte Versuchsreihe prüfte Antworten anhand nummerierter Quellzeilen. Der entscheidende Bezug ist dabei die konkrete Passage, aus der eine Aussage abgeleitet wird. Die Entwicklung untersucht, wie Dokumentauswahl, Kontext und Antwort zusammenwirken.

So ergänzen sich Rekonstruktion und Wissenserschließung: Die eine Arbeit gewinnt Inhalte aus Datenstrukturen, die andere macht vorhandenes Fachwissen für die Untersuchung zugänglich.