Spurensuche Fremdzugriff

[cartridge_case]

Nein, ohne Passwort kommt niemand auf dein Windows.

Naja, das ist pauschal natürlich falsch.

Und ihm ging es ja eher um die Daten. Und klar, da kommt man direkt dran.

 

[brianmolko]

Und klar, da kommt man direkt dran.

Und wie ohne Passwort?

 

[cartridge_case]

https://www.computerbase.de/forum/threads/spurensuche-fremdzugriff.2054487/post-26284692

…

 

[brianmolko]

Sorry, hatte falsch gelesen. Dachte auf Windows zugreifen , obwohl Passwort vergeben.

 

[cartridge_case]

Das lässt sich auch immer noch zurücksetzen. Nur fällt das dann natürlich anschließend auf.

 

[chrigu]

Wenn man die Rechte einer Festplatte ändert wird beim starten genau dies gemeldet.
Passwort zurücksetzen, natürlich, aber auch hier merkt man dass das alte passe nicht mehr geht

 

[cartridge_case]

Wenn man die Rechte einer Festplatte ändert wird beim starten genau dies gemeldet.

Die muss man nicht ändern.

 

[GEEMAN]

Dein Rechner wird sicher nicht von MS „fernaktiviert“. Aber Windows Update weckt den Rechner in bestimmten Zeitabständen automatisch aus dem Standby um nach Updates zu schauen und installiert die dann auch.
In Deinem Log war auch ein Wiederherstellungspunkt, das spricht dafür.
Schau mal in den Windows Updateverlauf ob zu besagtem Datum Updates installiert wurden, ggf. auch nur für Signaturen für Windows Defender.

Ergänzung (24. November 2021)

Hier noch ein Link wegen des “Nvidia USB-C port policy controllers“
https://www.nvidia.com/en-us/geforc...port-policy-controller-on-rtx-2070-super-alw/

es sind keine updates zu dem datum zu finden

Ergänzung (24. November 2021)

Nein, ohne Passwort kommt niemand auf dein Windows. 30minuten könnte in etwa hinhauen mit pc starten, ein paar Passwörter versuchen und genervt abstellen. Auf der aus- und wieder eingebauten Festplatte würde zumindest im Cache Ordner von Windows Datum und Uhrzeit stehen die zu deiner Abwesenheit passen würde.

in beiden temp ordnern ist nichts unter dem datum zu finden

Ergänzung (24. November 2021)

Was war denn nun genau, war der Rechner nur im Standby oder richtig ausgeschaltet?

vermutlich standby. wenn ich windows herunter fahre, findet sich in den logs der eintrag "sleep". hat scheinbar was mit der windows schnellstart funktion zu tun, ist also kein richtiges herunterfahren.

 

[chrigu]

Dann wird es wohl beim Versuch geblieben sein.
Nächster Schritt wäre die komplette Verschlüsselung der Festplatte mit dem Windows eigenen Tool. Vorsicht! Verlierst du den Schlüssel oder verliert die Festplatte altersbedingt an Sektoren oder Blöcke, ist ein wiederherstellen unwahrscheinlich.

 

[TomH22]

es sind keine updates zu dem datum zu finden

Dann gab es an dem Tag keine, oder es gab keine Verbindung zum Internet. Nochmal: Das kurzzeitige Hochfahren eines Rechners aus dem Standby taugt nicht ansatzweise als Hinweis auf einen unberechtigten Zugriff. Zumal auch, falls nicht deaktiviert, eine leichte Bewegung der Maus zum Hochfahren reichen kann. Hast Du denn andere Anhaltspunkte, z.B. auch einen konkreten Verdacht, der Dich das glauben lässt? Oder geht es nur um diesen Eventeintrag?
Du spekulierst über das temporäre Ausbauen der SSD, zwecks auslesen. Das sind ja aufwändige Methoden, die nur bei „wertvollen“ Zielen eingesetzt werden, und nicht von neugierigen Nachbarn der zum Blumengießen kommt. Also hast Du einen Anhaltspunkt für jemanden so ein Ziel zu sein?

 

[GEEMAN]

Dann gab es an dem Tag keine, oder es gab keine Verbindung zum Internet. Nochmal: Das kurzzeitige Hochfahren eines Rechners aus dem Standby taugt nicht ansatzweise als Hinweis auf einen unberechtigten Zugriff. Zumal auch, falls nicht deaktiviert, eine leichte Bewegung der Maus zum Hochfahren reichen kann. Hast Du denn andere Anhaltspunkte, z.B. auch einen konkreten Verdacht, der Dich das glauben lässt? Oder geht es nur um diesen Eventeintrag?
Du spekulierst über das temporäre Ausbauen der SSD, zwecks auslesen. Das sind ja aufwändige Methoden, die nur bei „wertvollen“ Zielen eingesetzt werden, und nicht von neugierigen Nachbarn der zum Blumengießen kommt. Also hast Du einen Anhaltspunkt für jemanden so ein Ziel zu sein?

ja, ich habe einen konkreten verdacht, auch abseits der eventeinträge. dieser verdacht wurde dadurch eben nur bestätigt. in den augen dieser person bin ich ein "wertvolles" ziel gewesen. nur sehe ich nicht genau, ob das kurze ausbauen einer ssd und anschließen an einen anderen rechner besonders aufwändig wären. ich stelle mir darunter eine sache von wenigen minuten vor + die zeit des rumschnüffelns.

Ergänzung (24. November 2021)

Dann wird es wohl beim Versuch geblieben sein.
Nächster Schritt wäre die komplette Verschlüsselung der Festplatte mit dem Windows eigenen Tool. Vorsicht! Verlierst du den Schlüssel oder verliert die Festplatte altersbedingt an Sektoren oder Blöcke, ist ein wiederherstellen unwahrscheinlich.

die ungewissheit, ob es nur beim versuch blieb ist dennoch da. ich überlege mir, ob ein verschlüsseln sinn macht, denn wahrscheinlich wird so eine situation nie wieder bei mir vorkommen.

 

[TomH22]

nur sehe ich nicht genau, ob das kurze ausbauen einer ssd und anschließen an einen anderen rechner besonders aufwändig wären.

Probier' es aus, nimmt die Werkzeug und eine Stoppuhr.

Also ich würde mal sagen, mit etwas Übung reichen 30 Minuten. Es ist nur ein deutlich höheres Level an krimineller Energie erforderlich um sowas durchzuziehen.

ich überlege mir, ob ein verschlüsseln sinn macht, denn wahrscheinlich wird so eine situation nie wieder bei mir vorkommen.

Verschlüsseln stellt kein Risiko dar, ein Backup Deiner Daten musst Du sowieso regelmäßig machen, zu hoffen dass Du ohne Verschlüsselung darauf verzichten kannst, ist Quatsch.

 

[Rappei]

ob die Festplatte ausgebaut wurde, kann man doch meist nach schauen?
Gehäuse öffnen und schauen wie dick die aktuelle Staubschicht ist und dann prüfen, ob auf der Festplatte ebenfalls eine geschlossene Schicht ist. Wenn ja, wurde sie eher nicht bewegt, wenn nein kann es sein. Sollte man eindeutige Bewegungs/Griffspuren finden weis man was los ist.

 

[Lextor]

wenn deine platte in einem anderen pc zum booten eingebaut wurde, sind dann im gerätemanager jede menge grau unterlegte treiber-hardware leichen zu finden. mind. 20 ! chipsatztreiber-grafiktreiber etc.
die SSD musste sich ja auf dem anderen system HW-mässig "anpassen"!
beim hin+her bleiben die über.
auch per "deviceremover" zu erkennen .
https://device-remover.de.uptodown.com/windows

gibt noch "lastactivityview" mit übersicht der letzten pc-aktionen !

https://www.nirsoft.net/utils/computer_activity_view.html

oder
ExecutedProgramsList
https://www.nirsoft.net/utils/executed_programs_list.html


info:
https://www.gyoumagazine.com/article/list_all_recently_run_programs_on_a_windows_pc

 

[Scientist]

Warum sollte man von der Plate booten?