Spurensuche Fremdzugriff

[GEEMAN]

hey,
mein rechner mit windows 11 stand 4 wochen unbeaufsichtigt, als ich nicht zu hause war und ich weiß, dass jemand in dieser zeit mindestens ein mal versucht hat, zugriff ins system zu erlangen (diese person war in meiner wohnung).

im ereignisprotokoll von windows konnte ich bereits sehen, dass es aktivitäten von ca. 30 minuten gab, als ich nicht da war.

ich habe ein benutzerpasswort beim windows-login, doch glaube nicht, dass dies ein große hürde darstellt.

angenommen meine ssd wurde ausgebaut und in einem anderen system eingebaut, so kann doch sehr einfach auf diese zugegriffen werden...sehe ich das richtig?

gibt es irgendeine möglichkeit, dass ich nachvollziehen kann, ob meine datenträger aus und wieder eingebaut wurden? kann man sehen, wann auf die anderen beiden datenträger im system zugegriffen wurde? oder sonstige spuren nachvollziehen, ob externe geräte angeschlossen wurden etc?

ich möchte irgendwie sehen, was passiert ist, doch das ereignisprotokoll gibt kaum nachvollziehbare informationen darüber.

danke für eure hilfe

 

[Keylan]

Also ob der Datenträger ausgebaut und in einem anderen System gelesen wurde kannst du nicht ohne weiteres Feststellen. Was man damit anfangen kann hängt in erster Linie davon ab, ob du Verschlüsselung nutzt.

 

[Ltcrusher]

Wenn sich jemand an deinem Rechner zu schaffen gemacht hat, die Platte ausgebaut wurde und dann als zweit oder dritt Platte an einem anderen bestehenden System genutzt wurde, hast du an sich keine Rückmeldung auf deinem System / auf dieser Platte, wenn andere Geräte angekoppelt wurden...

...denn es wurde ja nicht von deinem System gestartet.

Das, was du machen kannst: bei den Dateien, wo du vermutest, daß sie geöffnet worden sein könnten, kannst du den letzten Zugriff in den Dateieigenschaften sehen. Ebenso die letzte Änderung. Heißt wenn die betreffende Person, die ggf. auf deine Word Dateien zugegriffen hat, so "blöd" war und aus reiner Gewohnheit auf Speichern drückte, ist das als letzte Änderung vermerkt.

Und vor allem solltest du dir Gedanken um deinen Umgang / dein Umfeld und genauer auch noch um die Personen machen, die Zugang zu deinen Räumlichkeiten haben.

Nachtrag: @GEEMAN und für die Zukunft: speichere wichtige Daten nur noch auf externe Medien. Wenn du weißt, daß du länger weg bist, wäre ein Gespräch mit einer Bank gut, wo du dann für den Zeitraum ein Schließfach mietest.

 

[seyfhor]

Ich würd den PC mit einem Linux Stick gestartet haben um dir deine belastenden Selfies zu klauen. Wüßte nicht ob/wie man das erkennen könnte. Würde ja nichts verändert sein.

 

[cartridge_case]

Maximal über die Betriebsstunden, falls du das mitloggst.

 

[NameHere]

Man boote ein Live-Linux und greife auf die Windows Partition zu solange die nicht verschlüsselt ist.

Edit: War abgelenkt von der Apple Domination über die Windows-Welt^^
Man könnte es von aussen auch mit einem Live-Linux nachvollziehen, in dem die Zeitstempel von zuletzt veränderten/benutzeten Dateien sich anschaut. Die Zeitstempel aus der Zeit wo du nicht da warst wären ein Indiz für einen Fremdzugriff.

 

[cartridge_case]

Man boote ein Live-Linux und greife auf die Windows Partition zu solange die nicht verschlüsselt ist.

Völlig am Thema vorbei.

 

[DuckDuckStop]

Wenn die Person in deiner Wohnung war scheint sie ja Familie oder wenigstens befreundet zu sein.

Wie wäre es zu fragen was sie dort gemacht/gesucht hat?

 

[NameHere]

Völlig am Thema vorbei.

DIe Apple Domina sitzt mir noch tief in den Knochen. Hab mein Ryzen Notebook gestreichelt und KDE gesagt "Heute machst du mindestens 10 Stunden"

Hab den vorrigen Beitrag editiert^^

 

[Harry Bo]

Wenn die Person in deiner Wohnung war, scheint sie ja Familie oder wenigstens befreundet zu sein.

Der Computer Forensiker müsste die Datenträger (Festplatte, Solid State Disks (SSD), Hauptspeicher (RAM) und Caches) untersuchen, um digitale Spuren zu finden. Wenn Du das sicher klären willst, brauchst Du externe Hilfe.

 

[GEEMAN]

hier ist mal der log aus lastactivityview
ganz unten "sleep" war der zeitpunkt, als ich den rechner ausgeschaltet habe. alles danach ist nicht von mir. wie würdet ihr das deuten? es fand scheinbar kein login statt, aber warum wurden so viele dienste ausgeführt? der oberste eintrag war dann wieder ich, als ich mich eingeloggt habe.

so ist der erste eintrag beschrieben:
"Das System wurde aus einem Standbymodus reaktiviert."
"Reaktivierungsquelle: 5NVIDIA USB Type-C Port Policy Controller"

wie soll ich das deuten und was hat der nvidia usb-c controller damit zu tun? oder sind solche system-aktivitäten im standby modus möglich?

 

[Scientist]

Wenn er nur in Stand-By war, kann er auch versehentlich aktiviert worden sein oder MS war der Ansicht den mal fuer irgendetwas zu reaktivieren.

 

[GEEMAN]

30 minuten liegen zwischen erstem und letztem log. sieht eher nicht nach versehentlichem aktivieren aus. ich wage zu bezweifeln, dass MS den rechner selbst startet. die frage ist nur, ob so ein log im ausgeschalteten zustand entstehen kann.

 

[Scientist]

Ich habe frueher regelmaeßig in den Logs gesehen, dass MS mein Surface fuer irgendetwas aus dem Stand-By holt (WLAN Verbindung und eine Verbindung nach außen wird aufgebaut).
Ist aber schon einige Monate her, dass ich das kontrolliert habe.
Ich musste auch feststellen, dass mein Bildschirm unnuetzerweise ab und an aus dem Stand-By geholt wird, obwohl keine Nutzinteraktion stattfindet.

Das einfachste ist, du fragst die Person einfach oder gehst davon aus, dass dein Rechner kompromittiert ist und machst ihn Platt.

 

[Ltcrusher]

Das einfachste ist, du fragst die Person einfach oder gehst davon aus, dass dein Rechner kompromittiert ist und machst ihn Platt.

Vielleicht sogar beides.

Sollte ggf. die Partnerin / der Partner die Person sein, die sonst eventuell nie den Rechner nutzt, sollte man sich vielleicht vor dem Gespräch noch selbst hinterfragen, ob man irgendwelche Anlässe zur Spionage gegeben oder vielleicht wirklich Mist gebaut hat - oder ob es bei Unschuld nicht besser wäre, sich zu trennen.

Bei Freunden und Bekannten oder gar WG-Mitbewohnern würde ich selbst kein Blatt vor den Mund nehmen.

 

[rpsch1955]

Bei Freunden und Bekannten oder gar WG-Mitbewohnern würde ich selbst kein Blatt vor den Mund nehmen.

Bei der Einstellung solltest du nicht viele haben

 

[Ltcrusher]

Bei der Einstellung solltest du nicht viele haben

WG-Mitbewohner? Habe ich keine. Wohne mit meiner Freundin zusammen in einer 3-Zimmer Wohnung. Und wenn sie wollte, könnte sie jederzeit an meinen Rechner, da ich keine Geheimnisse vor ihr habe.

Was meine Freunde, Bekannte und Familienmitglieder anbelangt, brauche ich da keine Sorgen haben, daß jemand "mal eben so" an meinen Rechner muss. Und wenn doch, fragen diese Personen mich vorher.

Wenn man "Schiss" hat, seine Freunde auch mal etwas unbequemes zu fragen, dann sollte man sich lieber überlegen, welchem Umgang man pflegt. Echte Freunde werden nämlich unter Erklärung der Situation vernünftig reagieren.

Wenn du dies in deinem Kreis nicht könntest, dann tut es mir leid.

Nachtrag: da der TE ja keinerlei Andeutungen macht, um was für potentielle Personen und / oder potentielle Daten es sich dreht (was er ja auch nicht muss), kann man auch nur spekulieren.

Wie er potentiell vorgehen kann, um was rauszufinden, wurde genannt.

 

[TomH22]

30 minuten liegen zwischen erstem und letztem log. sieht eher nicht nach versehentlichem aktivieren aus. ich wage zu bezweifeln, dass MS den rechner selbst startet. die frage ist nur, ob so ein log im ausgeschalteten zustand entstehen kann.

Dein Rechner wird sicher nicht von MS „fernaktiviert“. Aber Windows Update weckt den Rechner in bestimmten Zeitabständen automatisch aus dem Standby um nach Updates zu schauen und installiert die dann auch.
In Deinem Log war auch ein Wiederherstellungspunkt, das spricht dafür.
Schau mal in den Windows Updateverlauf ob zu besagtem Datum Updates installiert wurden, ggf. auch nur für Signaturen für Windows Defender.

Ergänzung (24. November 2021)

Hier noch ein Link wegen des “Nvidia USB-C port policy controllers“
https://www.nvidia.com/en-us/geforc...port-policy-controller-on-rtx-2070-super-alw/

 

[DannyA4]

Was war denn nun genau, war der Rechner nur im Standby oder richtig ausgeschaltet?

 

[chrigu]

Nein, ohne Passwort kommt niemand auf dein Windows. 30minuten könnte in etwa hinhauen mit pc starten, ein paar Passwörter versuchen und genervt abstellen. Auf der aus- und wieder eingebauten Festplatte würde zumindest im Cache Ordner von Windows Datum und Uhrzeit stehen die zu deiner Abwesenheit passen würde.