Auslesen der Systemstarts

[timo82]

Hi,

ich möchte gerne wissen, ob es möglich ist, auszulesen, wann ein PC hochgefahren bzw aus dem Energiesparmodus geholt wurde.

Ob das mit WIN7 oder übers BIOS am besten geht weiß ich nicht.

Der Grund für mein Interesse liegt darin, dass ich gestern den ganzen Tag weg war und jemand anders Zugang zu dem PC hatte und am abend davor gefragt hat, ob bzw. wann ich den Tag über zuhause bin. Da ich weggefahren bin konnte er sich sicher sein, dass ich nicht zurückkomme.

Als ich dann zurück war habe ich festgestellt, dass beim BIOS von AHCI auf IDE umgestellt war, meine SSD einen Kratzer hatte und hier eine weitere Verpackung von meiner SSD rumliegt...

Kann ich rausfinden, ob da manipuliert wurde?

 

[toebsi]

normalerweise kannst du in den systemereignissen nachschauen wann der hoch bzw runter gefahren wurde

 

[computerede]

Ereignisprotokoll überprüfen.
Da steht drin ob der PC gestartet ist. Mit Datum und Uhrzeit.

 

[Shadowlike]

Windows-Ereignisanzeige ist dein Freund =)

Kontrolliere einfach da die Zeiten wann etwas gemacht wurde und ob du zu dem Zeitpunkt da warst ^^.

 

[DerKleine49]

@
wer sollst in deiner Wohnung Zugang zu deinen ausgeschalteden PC haben? Sollte diese eine WG sein, Anzeige erstatten. Fertig.

 

[timo82]

Wo finde ich denn die Systemereignisse bzw das Ereignisprotokoll?

Was ist, wenn die SSD nur abgeklemmt wurde, als der PC aus war?
Kann ich dann irgendwas rausfinden?

 

[azereus]

im ereignisprotokoll steht "ziemlich" viel.
im anhang siehst du wann ich meinen laptop gestern heruntergefahren habe und wann heute gestartet.
diese einträge musst du suchen.


(ich hab nie gewusst welche einträge das sind und du weist/wusstest es vll auch nicht)

/edit: windowstaste drücke und - ereignis anfangen eintippen. der zeigt dir das richtige schon

/edit2: für die zukunft: truecrypt. festplatte verschlüsseln. ist mit einer ssd zwar blöd wegen schreibzyklen aber wenn du das nicht öfter als einmal machst sollte nicht viel passieren.
ps: wobei ich nichtmal weiß ob die ssd's nicht sowieso hardwareverschlüsselung haben. das müsste dann jemand anderes wissen. hab keine.

 

[timo82]

Ich habe eher Bedenken, die SSD in nen anderen PC eingebaut oder getauscht wurde. Meine hatte keinen Kratzer.
Allerdings habe ich die Tage ein Tool gestartet, um die Betriebszeit auszulesen. Die passt auch heute noch...

 

[toebsi]

vll einfach mal mit der "person" ein wörtchen reden?

 

[Visceroid]

Frag einfach den Typen der das gemacht haben könnte?

Wenn eine Platte im ausgeschalteten Zustand aus und wieder eingebaut wird, kannst du genau nichts feststellen. Außer einen Kratzer.. wobei ich nicht wüsste welche meiner Festplatten einen Kratzer hat oder nicht

 

[BustaFiles]

Sich unbefugt Zugang zu einen Computer zu verschaffen ist schon ein starkes Stück.
Meinst Du das evt die SSD getauscht wurden oder hab ich das jetzt falsch gelesen.
Die Seriennummer kannst ansonsten mit deinem Karton/Rechnung vergleichen.

 

[miac]

im ereignisprotokoll steht "ziemlich" viel.
im anhang siehst du wann ich meinen laptop gestern heruntergefahren habe und wann heute gestartet.
diese einträge musst du suchen.

Etwas einfacher ist es im Ereignisprotokoll "Sicherheit". Dort sind alle Anmeldevorgänge.

 

[timo82]

Ich schreibe jetzt nochmal alles auf:

Ich bin gestern nach Hause gekommen und habe in einem anderen Thread gelesen, wie man bei einem ASUS Board den IDE Controller deaktivert.
Deshalb habe ich an dem, bei dme ich vermute, dass da jemand dran war, auch im BIOS nachgeschaut, ob das deaktiviert ist.

Dabei ist mir aufgefallen, dass SATA nicht als AHCI, sondern als IDE eingestellt war. Ausserdem war ASUS Express Gate an und die CPU Lüfterdrehzahl nicht auf ignore. Das habe ich alles mal eingestellt.

Mich hat das gewundert und ich habe gefragt, ob jemand am PC war. Die Antwort war nein.

Heute morgen musste ich dann eine kleine Reperatur zuhause machen (nicht am PC) und mein Schraubenzieher war nicht im Werkzeugschrank.
Ich habe ihn dann in einem anderen Zimmer vermutet, wo er auch lag. Direkt neben einer Verpackung von der SSD, die ich auch habe.

Mir kam das irgendwie seltsam vor, also bin ich zu meinem PC - die SSD sieht man von außen (Sichtfenster) und da ist mir ein Kratzer aufgefallen.
Ich habe alles selber verbaut, weiß, wo Kratzer sind und wo nicht.
Außerdem habe ich den PC letzte Woche erst komplett gereinigt - da war noch nichts.

Ich habe mit einem SSD Tool geschaut, wie lange die SSD schon lief. Das ist defnitiv meine.
Aber mich beunruhig die Frage, ob ich den Tag komplett weg bin, der Kratzer, die gleiche SSD nebenan und das verstellte BIOS.

Ich frage mich nur, was das alles soll. Es tauscht doch niemand eine neue SSD gegen eine baugleiche alte (und dann wieder zurück).
Was soll der Ausbau überhaupt bringen?
Warum ist das BIOS resettet?

Ich weiß nicht, ob ich eine ehrliche Antwort bekomme, wenn ich nachfrage.
Ein "Beweis" wäre da besser.

Aber wie soll ich festellen, ob die SSD woanders genutzt wurde?

 

[Visceroid]

Ausbau der SSD kann z.B. gemacht worden sein um sie komplett zu clonen.

Ansonsten wirds nicht viel Sinn ergeben und Beweise, sofern das bei ausgeschaltenem PC passiert, wirst du keine finden. Auch sollte sich das Bios durch einen SSD aus/einbau nicht umstellen, sofern nicht dazwischen Eingeschalten wurde oder absichtlich was umgestellt wird.

Den einzigen "Beweis" den du hast ist dein Kratzer. Im Windowsprotokoll siehst du nicht ob deine Festplatte zwischen 2 Systemstarts ausgebaut war.

Zur Rede stellen: Bei meinem PC wurde was verändert, außer dir hat niemand Zugriff dazu, leugnen hilft also nicht.

Wenn er dann immer noch leugnet, mach doch eine Anzeige bzw. sag ihm du machst eine, vielleicht hilft ihm das auf die Sprünge.

 

[timo82]

Ein Clone kann sein, aber wo liegt da der Sinn?
Ich verstehe die Nummer mit dem BIOS überhaupt nicht.
Kann man da auch irgendwie die Starts auslesen?

 

[Visceroid]

Es gibt Bios die haben logs, da musst du aber selbst in deinem Bios nachsehen.

Woher sollen wir wissen was deinem Kollegen das clonen oder überhaupt das ausbauen der SSD gebracht hat? Von uns kannst du nur Vermutungen hören, wissen was in seinem Kopf vorgeht wird nur er (hoffentlich halt)

 

[KMut]

Fingerabdrücke?
Kann der (noch) unbekannte "Täter" mit den Daten deiner Platte etwas anfangen?

 

[timo82]

Die Daten sind alle privat, also Emails und ein paar Bilder. Im Browser sind ein paar Passwörter gespeichert. Eigentlich also nutzlos.
Ein Firmenlaptop lag daneben. Die Daten sind vertraulich, aber nur für ganz wenige Leute von Wert. Da war aber niemand dran.

 

[Visceroid]

Vielleicht will er sich auf manchen Seiten die selben schmutzigen Bilder ansehen wie du und traut sich nicht direkt nach dem Passwort fragen?

Wie schon mehrfach gesagt gibt bis jetzt nichts Aufschluss darüber warum, wenn er es getan hat.

Vielleicht hatte er auch nur ein Problem mit seiner SSD beim Einbau und wollte mit deiner gegen testen? Oder wollte im Laden deine SSD vorzeigen um die selbe zu bekommen?

 

[timo82]

Auf dem PC sind keine Passwörter für Schweineseiten

Die Numemr mit dem Nachkaufen ist auch Unsinn, ein Foto hätte ja gereicht. Der name der SSD steht drauf.

Kann man irgendwie nachschauen, was da transferiert wurde?

Ich habe das Programm "SSD life free", da steht bei gestern:

Data read -
Data written -

Ein Wert würde mir auch nichts nützen, ich müsste schon wissen, was zugegriffen wurde.