EvidLockV2
PL
EN
DE
CS
FR
Forensic Evidence Tool für Windows
EvidLock sichert, analysiert und dokumentiert digitales Beweismaterial in einer einzigen Umgebung — von der ersten Prüfsumme bis zum fertigen Bericht. Alles lokal: keine Cloud, kein Konto, keine Übertragung nach außen.
KORRELATIONSGRAPH — LIVE
15 REGELN — jede Kante trägt eine Regel, eine Sicherheitsstufe und ihre benannten Einschränkungen
0 Byte
werden nach außen gesendet15 Regeln
nachvollziehbarer Beweiskorrelation8 Module
Player · View · Commander · Carver · Voice · Tracker · Network · SandboxSHA-256
in jedem ArbeitsschrittModule
Jedes Modul öffnet sich als eigenes Fenster und arbeitet am selben Fallmaterial — ohne Zwischenexporte und ohne Pfade zu kopieren.
ElCommander
Ein Dateimanager, der Prüfsummen im Lauf berechnet und warnt, wenn der Datenträger beschreibbar ist — bevor ein Fehler passiert.
VoraussetzungenWindows 10 oder 11, 64-Bit. Komponente 7-Zip. Auto-Blocker erfordert Administratorrechte.
ElNotes
Notizen, an Falldateien geheftet, daneben eine Werkbank für Text, den Sie nicht ausführen wollen: Indikatoren, versteckte Verweise, unsichtbare Zeichen, Dekodierung und Codeansicht. Nichts wird ausgeführt, nichts geht ins Netz.
VoraussetzungenWindows 10 oder 11, 64-Bit. OCR in PDF-Dateien und Bildern erfordert die Komponente Tesseract.
ELTracker
Lokale Analyse von iOS-Backups, Android-Verzeichnissen, gemeinsamem Speicher, backup.ab und Google Takeout, ohne die Quelle zu verändern.
ElView
Sichtung von Bildmaterial mit Zuschnitt, Auslesen der EXIF- und HEIC-Metadaten und Sicherung jeder Datei mit einer SHA-256-Prüfsumme.
VoraussetzungenWindows 10 oder 11, 64-Bit. Keine zusätzlichen Komponenten.
ElPlayer
Ein Player für Beweismaterial: präziser CFR- und VFR-Zeitstrahl, Von-Bis-Markierungen, Mehrkameraunterstützung und geteilter Bildschirm.
VoraussetzungenWindows 10 oder 11, 64-Bit. Komponente FFmpeg; die Transkription nutzt die Komponente Whisper.
ELVoice
Analyse von Tonproben vollständig auf Ihrem Arbeitsplatz. Wellenform, Spektrogramm und ein Vergleich zweier Aufnahmen mit offen genannter Methode.
VoraussetzungenWindows 10 oder 11, 64-Bit. Komponenten FFmpeg und Whisper mit Offline-Modell.
ELSandbox
Eine kontrollierte Sitzung in der nativen Windows-Sandbox. In den Gast gelangt ausschließlich eine per SHA-256 geprüfte Kopie des Materials, schreibgeschützt eingebunden — der Fallordner wird nie gemappt, sodass ihn nicht einmal eine bösartige Datei erreichen kann. Die Sitzung startet mit einem Schutzprofil, in dem Zwischenablage, Mikrofon, Kamera, Drucker und vGPU abgeschaltet sind und der Gast im geschützten Modus läuft. Der Ergebnisordner wird nur auf Wunsch beschreibbar eingebunden und ist das Einzige, was aus der Sandbox an Ihren Arbeitsplatz zurückkommt. Nach dem Ende der Sitzung bleiben ein Bericht mit den Prüfsummen von Kopie und Ergebnissen sowie das Sitzungsprotokoll — das, was in die Akte geht. Vor dem Start prüft ElSandbox, ob die Umgebung das überhaupt zulässt: die Windows-Edition, den Zustand der Sandbox-Funktion und die Virtualisierung in der Firmware — und kann diese Funktion einschalten. Jede Sitzung erhält einen eigenen Arbeitsordner mit getrennten Unterordnern für Eingabe, Steuerung und Ergebnisse.
VoraussetzungenWindows 10 in der Version 1903 (Build 18362) oder neuer, in der Edition Pro, Enterprise oder Education — Home-Editionen haben keine Windows-Sandbox. Erforderlich sind die aktivierte Funktion Containers-DisposableClientVM und Virtualisierung in der Firmware; das Aktivieren erfordert Administratorrechte und einen Neustart.
ElCarverin der Testphase
Wiederherstellung gelöschter Dateien: logischer Modus auf NTFS, FAT32 und exFAT sowie tiefes Signatur-Carving. Die Quelle wird ausschließlich lesend geöffnet.
VoraussetzungenWindows 10 oder 11, 64-Bit. Keine zusätzlichen Komponenten.
ELNetwork
Analyse von PCAP-Mitschnitten mit Suricata und Zeek in einem Durchlauf. Der Mitschnitt bleibt unberührt.
VoraussetzungenWindows 10 oder 11, 64-Bit. Komponente TShark/Wireshark.
EvidLock ordnet und korreliert Artefakte, ordnet Handlungen aber nicht automatisch einer Person zu. Jede Verbindung im Graphen trägt eine offengelegte Regel, eine Sicherheitsstufe und ihre benannten Einschränkungen — die Schlüsse ziehen Sie, und Sie vertreten sie.