EvidLockV2

Forensic Evidence Tool für Windows

Sichere Arbeitmit digitalem Beweismaterial

EvidLock sichert, analysiert und dokumentiert digitales Beweismaterial in einer einzigen Umgebung — von der ersten Prüfsumme bis zum fertigen Bericht. Alles lokal: keine Cloud, kein Konto, keine Übertragung nach außen.

Ausgaben ansehen Sehen, was in die Akte kommt

KORRELATIONSGRAPH — LIVE

15 REGELN — jede Kante trägt eine Regel, eine Sicherheitsstufe und ihre benannten Einschränkungen

0 Byte

werden nach außen gesendet

15 Regeln

nachvollziehbarer Beweiskorrelation

8 Module

Player · View · Commander · Carver · Voice · Tracker · Network · Sandbox

SHA-256

in jedem Arbeitsschritt

Für wen

Für Ermittlungsbehörden entwickelt. Offen für alle, die mit digitalen Beweisen arbeiten.

Wiederholbare Abläufe, eine nachvollziehbare Prüfspur und ein belegbarer Zusammenhang zwischen Ergebnis und Quelle — das verlangt das Strafverfahren. Dieselben Anforderungen gelten für Sachverständige, Incident-Response-Teams, Prüfer und Studierende, die die Methodik erst erlernen.

Ermittlungsbehörden

Sicherung von Datenträgern, wiederholbarer Ablauf und aktenfertige Dokumentation.

Sachverständige und Kanzleien

Gutachten auf Grundlage überprüfbarer Prüfsummen, mit offen benannten Auslegungsgrenzen.

IT-Sicherheitsteams

Incident Response und Artefaktanalyse, ohne Daten aus der Organisation zu tragen.

Revision und Compliance

Bestandsaufnahme des Materials, Integritätskontrolle und Berichte für interne Verfahren.

Ermittler und Gutachter

Eine vollständige Werkbank auf einem Notebook, auch ganz ohne Netzzugang.

Studierende im Cyber-Bereich

Cybersicherheit, IT-Forensik und Technikrecht — die volle Werkbank auf dem eigenen Notebook.

Hochschulen und Schulungen

Eine Umgebung für Lehrveranstaltungen zur Datenträgersicherung und zum Aufbau von Zeitstrahlen, ohne Netzzugang.

CTF-Teams und Forschung

Carving, Speicheranalyse, YARA-Regeln und Korrelationsgraph an einem Ort.

Module

Acht eigenständige Werkbänke in einer Anwendung

Jedes Modul öffnet sich als eigenes Fenster und arbeitet am selben Fallmaterial — ohne Zwischenexporte und ohne Pfade zu kopieren.

ElPlayer

Überwachungsaufnahmen, Bild für Bild

Ein Player für Beweismaterial: präziser CFR- und VFR-Zeitstrahl, Von-Bis-Markierungen, Mehrkameraunterstützung und geteilter Bildschirm.

Einzelbilder als JPG und Export eines gewählten Bereichs
Analyseformular mit Anmerkungen direkt bei der Aufnahme
Tastenkürzel für die Arbeit Bild für Bild

ElPlayer — Wiedergabefenster mit Zeitstrahl, Von-Bis-Markierungen und Werkzeugleiste

ElCommander

Zweispaltige Bestandsaufnahme im Beweismodus

Ein Dateimanager, der Prüfsummen im Lauf berechnet und warnt, wenn der Datenträger beschreibbar ist — bevor ein Fehler passiert.

Verzeichnisvergleich und Erkennung von Unterschieden
SHA-256 für ausgewählte Dateien und ganze Bäume
Archive als ZIP AES-256, 7Z und TAR.GZ sowie Sicherung in den Fall

ElCommander — zwei Dateibereiche, Beweismodus und Prüfsummenleiste

ElCarver

Wiederherstellung gelöschter Dateien

Zwei Betriebsarten: schnelle logische Wiederherstellung auf NTFS, FAT32 und exFAT sowie tiefes Signatur-Carving. Die Quelle wird ausschließlich lesend geöffnet.

Bilder, Aufnahmen, Dokumente, Archive und Büroformate
physische Datenträger sowie RAW-, E01- und AFF4-Abbilder
Prüfung der wiederhergestellten Dateien, die Fehltreffer verwirft

ElCarver — Auswahl von Quelle, Suchmodus und wiederherzustellenden Formaten

ElView

Sichtung und Sicherung von Fotografien

Sichtung von Bildmaterial mit Zuschnitt, Auslesen der EXIF- und HEIC-Metadaten und Sicherung jeder Datei mit einer SHA-256-Prüfsumme.

interaktive Berichte mit Markierungen auf den Fotografien
Bild- und Kameradatenanalyse
direkte Übernahme der Ergebnisse aus ElCarver

Analyse eines Einzelbildes: EXIF-Metadaten, SHA-256 und Bewertung der Echtheit

ELVoice

Sprachaufnahmen: Beschreibung und Vergleich

Analyse von Tonproben vollständig auf Ihrem Arbeitsplatz. Wellenform, Spektrogramm und ein Vergleich zweier Aufnahmen mit offen genannter Methode.

zwanzig Audio- und Videoformate, darunter AMR, Opus und die Tonspur einer MP4
Wellenform und Spektrogramm als Dateien für den Bericht gespeichert
Vergleichsergebnis mit sprachlicher Stufe und benannten Einschränkungen

Beispielbericht von ELVoice ansehen

ELVoice Forensics — Fenster der Sprachprobenanalyse mit Wellenform und Spektrogramm

ELTracker

Mobile Spuren aus mehreren gesicherten Quellen

Lokale Analyse von iOS-Backups, Android-Verzeichnissen, gemeinsamem Speicher, backup.ab und Google Takeout, ohne die Quelle zu verändern.

Aufnahmen und Transkripte der Sprachaktivität
Kontakte, Konten, SIM-Daten, Chrome-Suchbegriffe und Autofill
HTML-, PDF-, XLSX-, CSV- und JSON-Berichte mit SHA-256-Manifest

ELNetwork

Ein Mitschnitt, zwei Engines gleichzeitig

PCAP-Analyse mit Suricata und Zeek in einem Durchlauf. Der Mitschnitt bleibt unverändert und jeder Durchlauf erhält ein eigenes Manifest.

Alarme, Verbindungen, DNS, HTTP, TLS und Dateien in einer Übersicht
Ergebnisse beider Engines zusammengeführt und zeitlich geordnet
Export als CSV und HTML sowie SHA-256 des Mitschnitts und der Regeln

ELSandbox

Eine unbekannte Datei läuft außerhalb Ihres Systems

Eine kontrollierte Sitzung in der nativen Windows-Sandbox. In den Gast gelangt ausschließlich eine mit SHA-256 geprüfte Kopie des Materials, nur lesbar — der Fallordner wird nie eingebunden.

Zwischenablage, Mikrofon, Kamera, Drucker und vGPU deaktiviert
Netzwerk offline, direkt oder über einen Proxy — standardmäßig offline
HTML-Bericht mit SHA-256 der Kopien und Ergebnisse sowie dem Sitzungsjournal

ELSandbox — Windows-Sandbox-Diagnose, Sitzungssteuerung, Netzprofil und Ereignisjournal

Isolationsmodell

Sehen Sie, was in die Sandbox gelangt — und was nie

Richten Sie die Sitzung so ein, wie Sie es im Modul täten. Schema und .wsb-Konfiguration darunter ändern sich genau so, wie ELSandbox sie ändert — es sind dieselben Entscheidungen, keine Veranschaulichung.

Netzwerkmodus Offline Direkt Über Proxy

Werkzeuge in der Sandbox Process Monitor Wireshark

Sitzungseinstellungen Dauerhafter Ergebnisordner Verhaltensüberwachung erfordert einen dauerhaften Ergebnisordner

Der Standard und der empfohlene Modus für eine unbekannte Datei. Der Gast hat kein Netz, das untersuchte Programm erreicht also weder einen Steuerserver noch lädt es den Rest seiner Nutzlast nach.

Der Gast nutzt das von der Windows-Sandbox bereitgestellte Netz. Verkehr des untersuchten Programms verlässt den Rechner — dieser Modus ergibt nur Sinn, wenn Sie diese Verbindungen bewusst beobachten wollen.

Der Proxy ist eine Einstellung im Gast — WinINET, WinHTTP und Umgebungsvariablen — und kein von außen erzwungener Filter. Das untersuchte Programm kann sie übergehen, ein anderes Protokoll wählen oder direkt verbinden. Kontrolle des Verkehrs verlangt Netzsegmentierung auf der Infrastrukturseite.

Die Konfiguration ElSandbox_secure.wsb für diese Einstellungen

<Configuration>
  <VGpu>Disable</VGpu>
  <Networking>DisableEnableEnable</Networking>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>%LOCALAPPDATA%\EvidLock\ElSandbox\sessions\20260827_014522_9f3ac1b8\input</HostFolder>
      <SandboxFolder>C:\EvidLock\Input</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
    <MappedFolder>
      <HostFolder>%LOCALAPPDATA%\EvidLock\ElSandbox\sessions\20260827_014522_9f3ac1b8\control</HostFolder>
      <SandboxFolder>C:\EvidLock\Control</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
    <MappedFolder>
      <HostFolder>D:\Sprawy\PR-2-Ds-114-2026\ElSandbox_Output_20260827_014522_9f3ac1b8</HostFolder>
      <SandboxFolder>C:\EvidLock\Output</SandboxFolder>
      <ReadOnly>false</ReadOnly>
    </MappedFolder>
    <MappedFolder>
      <HostFolder>C:\Program Files\Sysinternals</HostFolder>
      <SandboxFolder>C:\EvidLock\Tools\procmon</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
    <MappedFolder>
      <HostFolder>C:\Program Files\Wireshark</HostFolder>
      <SandboxFolder>C:\EvidLock\Tools\wireshark</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>
  <LogonCommand>
    <Command>powershell.exe -NoLogo -NoProfile -ExecutionPolicy Bypass -File C:\EvidLock\Control\bootstrap.ps1</Command>
  </LogonCommand>
  <AudioInput>Disable</AudioInput>
  <VideoInput>Disable</VideoInput>
  <PrinterRedirection>Disable</PrinterRedirection>
  <ClipboardRedirection>Disable</ClipboardRedirection>
  <ProtectedClient>Enable</ProtectedClient>
  <MemoryInMB>4096</MemoryInMB>
</Configuration>

Zeitstrahl und Beweisgraph

Tausende Ereignisse fügen sich zu einer Geschichte

Die Aktivitätsprofilierung führt EVTX-Ereignisse, Registry, Prefetch, LNK, Jump Lists, ShellBags, USBSTOR, Amcache, ShimCache, SRUM, Prozesse, Netzwerkverbindungen und Browser in einem einzigen UTC-Zeitstrahl zusammen.

Deterministische Korrelation

Es ist immer nachvollziehbar, warum etwas verknüpft wurde

Über den normalisierten Datensätzen arbeitet ein lokaler Graph mit 15 offengelegten Korrelationsregeln. Ein Klick auf eine Kante zeigt die Regel, die Sicherheitsstufe, die Erläuterung, die Einschränkungen und die Beweiskennungen.

Bereich „Warum wurde verknüpft?“ bei jeder Beziehung
versionierte MITRE-ATT&CK-19.1-Zuordnung
Export als JSON, eigenständiges HTML, XLSX und SHA-256-Prüfsummendatei

Zeitstrahl und Beweisgraph mit dem Bereich zur Erläuterung der Korrelationsregel

Plaso

Vollständiger Zeitstrahl aus einem Datenträgerabbild

Sie wählen ein Abbild aus, und EvidLock erstellt daraus einen vollständigen Zeitstrahl und lädt ihn unmittelbar in den Beweisgraphen. Ohne Dateien zwischen Werkzeugen zu verschieben.

die Quelle wird ausschließlich lesend geöffnet
der Fortschritt ist laufend sichtbar
das Ergebnis erscheint sofort im Zeitstrahl und im Graphen

Fenster zur Erstellung des Plaso-Zeitstrahls mit laufendem Fortschritt

Plaso-Integration. Der Zeitstrahl entsteht vollständig an Ihrem Arbeitsplatz, das Quellmaterial bleibt unangetastet. Die Funktion steht unabhängig von der gewählten Installationsvariante zur Verfügung.

Arbeitsspeicher

Was mit dem Trennen der Stromversorgung verschwindet

Schlüssel, offene Verbindungen, laufende Prozesse und Inhalte, die nie auf die Festplatte gelangt sind, existieren ausschließlich im Arbeitsspeicher. Seine Sicherung ist ein Schritt, der sich nicht wiederholen lässt.

Sicherung und Analyse

WinPmem und Volatility 3 in einem Fenster

Speicherabbild mit WinPmem, mit sichtbarem Fortschritt und sofort berechneter SHA-256-Prüfsumme. Die Analyse läuft unmittelbar auf dem gewonnenen Abbild.

fertige Plugins: Prozesse, Netzwerk, Befehlszeilen, Malfind, Modulliste
optionale Sicherung von pagefile.sys, swapfile.sys und hiberfil.sys
Berichte als TXT, CSV, XLSX, HTML und PDF

Speichermodul: WinPmem-Sicherung, SHA-256-Prüfsumme und Volatility-3-Plugins

HEX-Ansicht

Zwanzig Gigabyte, ohne sie in den Speicher zu laden

Seitenweise HEX-Ansicht des Abbildes — es wird nie vollständig eingelesen, sodass eine Datei von mehreren Dutzend Gigabyte sofort öffnet.

Sprung zu jeder Adresse und seitenweise Navigation
Textsuche als ASCII, UTF-16 LE sowie als HEX-Bytes
Trefferliste mit Adresse, Typ und Kontextvorschau

HEX-Ansicht eines Speicherabbildes mit seitenweisem Lesen und Zeichenkettensuche

Abbildverwaltung

Zwei Abbilder nebeneinander, eine Antwort

Vergleich zweier Speicherabbilder: SHA-256 wird für beide berechnet und unmittelbar gegenübergestellt. So lässt sich belegen, dass eine Kopie dem Original entspricht.

Name, Pfad, Größe und Daten beider Abbilder nebeneinander
Berechnen und Vergleichen der Prüfsummen
Auswahl des Abbildes für die weitere Analyse

Speicherverwaltung: zwei RAM-Abbilder im SHA-256-Vergleich

Das Modul ist als Beta gekennzeichnet. Die Speichersicherung erfordert Administratorrechte und verändert stets den Zustand des untersuchten Systems — sie ist nicht spurlos möglich. Wir sagen das ausdrücklich, denn dieser Umstand gehört in die Dokumentation der Maßnahme.

Berichte und Ereignisprotokoll

Jeder Schritt hinterlässt eine Spur — und schreibt sich selbst in die Dokumentation

Beweisarbeit endet nicht beim Ergebnis, sondern bei der Frage, ob es sich nachvollziehen und belegen lässt. EvidLock hält den Ablauf laufend fest.

Ereignisprotokoll

Fortlaufende Aufzeichnung des Arbeitsablaufs

Jeder Vorgang gelangt mit Zeit, Stufe, laufender Nummer, Modul und Dauer ins Protokoll. Die Aufzeichnung läuft mit, sodass der Bericht keine gesonderte Aufgabe am Tagesende ist.

Filtern nach Inhalt in Echtzeit
interaktiver HTML-Bericht mit Sortierung
Export des Protokolls als PDF und XLSX
Abschlussbericht des Falls über den gesamten Ablauf
Zähler für Dateien, Berichte und Einträge in der Fallübersicht

Beispielbericht als HTML ansehen

Fenster des Ereignisprotokolls: Einträge mit Zeit, Stufe, laufender Nummer und Modul

Windows-Protokolle

Export der Systemprotokolle in die Akte

Ereignisse aus Anwendung, Sicherheit, Setup und System, exportiert mit gewähltem Zeitraum und Datensatzgrenze.

XLSX, EVTX, PDF und TXT in einem Durchgang
SHA-256-Prüfsummen und Schreibschutz auf den Ausgabedateien
Zeitraum von den letzten 24 Stunden bis zu einem eigenen Datumsbereich

Exportoptionen der Systemprotokolle mit SHA-256-Prüfsummen

Die Dokumentation ist unmittelbar aktenfertig — ohne manuelles Ordnen, Abtippen oder das Berechnen von Prüfsummen in einem separaten Werkzeug.

Arbeitsumfang

Von der Sicherung des Datenträgers bis zum Abschlussbericht

Integrität des Materials

SHA-256 für Dateien und Verzeichnisse, deterministische Manifeste, BLAKE3 für die schnelle Bestandsaufnahme, MD5 ausschließlich als Kompatibilitätswert.

One-Click

Ein Klick: Schreibschutz, Verschlüsselungsprüfung, Prüfsummen, Manifest, Bericht und passwortgeschütztes Archiv.

Arbeitsspeicher

Sicherung über WinPmem, optional pagefile, swapfile und hiberfil, Analyse in Volatility 3 und Prüfsummen. Modul im Beta-Stadium.

Datenträgerabbilder

Abbilder von Datenträgern und Volumes als RAW/ISO, Einbinden, Vergleichen sowie Lesen von E01/Ex01 und AFF4.

Fallanalyse

Eine gemeinsame Datenbank für sieben eigenständige Prüfläufe: Dateisignaturen, Verschlüsselung, Hash-Sätze, YARA, SQLite-Journale, Telefonsicherungen und Sleuth Kit.

Browser

Verlauf, Lesezeichen, Downloads, Cookies, Cache und Metadaten gespeicherter Kennwörter, mit Filter für heikle Inhalte.

Registry und Windows-Protokolle

Registry-Export als .hiv, CSV, XLSX, TXT und PDF sowie Systemprotokolle als XLSX, EVTX, PDF und TXT.

Inhaltssuche

Mehrfädige Suche nach Wendungen in Namen und im Inneren von Text-, PDF-, Office-, OpenDocument- und EML-Dateien.

Berichte und Protokoll

Berichte als PDF, CSV, TXT und XLSX, Abschlussbericht des Falls sowie Vorgangsprotokoll mit interaktivem HTML-Bericht.

Verschlüsselungserkennung

BitLocker, LUKS, FileVault sowie verschlüsselte Archive, Dokumente und Schlüssel. Container ohne Signatur werden als Verdacht gemeldet, nie als Gewissheit.

Wiederherstellung aus SQLite-Journalen

Adressen, Kontakte und Pfade aus WAL- und Journal-Dateien — aus Schreibvorgängen, die die Datenbank des Browsers oder Messengers noch nicht erreicht haben.

Telefonsicherungen

Erkennung von iTunes/Finder- und adb-Sicherungen: Gerätemodell, Systemversion, Sicherungsdatum, Dateianzahl und Verschlüsselungsstatus.

Sprachanalyse

Beschreibung der Eigenschaften einer Aufnahme und Vergleich zweier Proben mit Wellenform und Spektrogramm. Das Ergebnis ist ein Anhaltspunkt, nie eine Sprechererkennung.

Netzwerkverkehr

PCAP-Mitschnitte, analysiert mit Suricata und Zeek: Alarme, Verbindungen, DNS, HTTP, TLS und Dateien in einer Übersicht, mit Manifest zur Wiederholung der Analyse.

Isolierte Ausführung

Eine unbekannte Datei in der nativen Windows-Sandbox geöffnet: geprüfte Kopie nur lesbar, Netzwerk standardmäßig aus, Fallordner nie eingebunden.

Ausgaben

EvidLock für Windows

Ein Installationsprogramm, drei portable Varianten und vier Module mit eigenem Installationsprogramm. Alle teilen dieselbe Engine und dasselbe Fallformat.

Testphase. EvidLock hat noch keine Produktionsversion — die Tests laufen, und Umfang wie Verhalten der Module können sich noch ändern.

Download ausgesetzt — Die Dateien werden veröffentlicht, sobald die Codesignatur abgeschlossen und die SHA-256-Prüfsummen verfügbar sind.

Hauptanwendung

INSTALL
PORTABLE ONEDIR
PORTABLE ONEFILE
PORTABLE SFX

Module mit eigenem Installationsprogramm

ElCommander + ElFTP
ElNotes
ElVoice
ElPlayer

Details zu den Ausgaben auf evidlock.pl

Installation oder portable Version? Das Installationsprogramm trägt das Programm ins System ein, legt Verknüpfungen an und übernimmt Aktualisierungen. Die portable Version läuft ohne Installation vom USB-Stick — sie startet jedoch merklich langsamer, weil sie sich bei jedem Start entpackt.

Jede kommerzielle Ausgabe erfordert einen ELP1-Schlüssel. Ohne Schlüssel startet das Programm im Demonstrationsmodus mit begrenzter Anzahl an Starts.

Vollständige Beschreibungen, Anforderungen und Prüfsummen finden Sie auf evidlock.pl. Vergleichen Sie vor dem Start die SHA-256-Summe der Datei mit dem bei der Ausgabe angegebenen Wert.

Sicherheit

Die Analyse bleibt lokal

EvidLock verarbeitet das Material auf dem Rechner des Bearbeiters. Der Updateserver liefert ausschließlich Programmdateien, und der ELP1-Aktivierungsserver verwaltet Lizenz und pseudonyme Kennungen — die untersuchten Dateien erreichen ihn nie.

Integrität

Zu den Installationsdateien werden SHA-256-Prüfsummen veröffentlicht. Produktionsupdates verlangen zusätzlich eine gültige Authenticode-Signatur.

Minimierung

Die Aktivierungs-API nimmt nur die Daten entgegen, die zur Prüfung der Geräte- und Startgrenzen nötig sind.

Trennung

Website, Updatedateien und Lizenzkonsole laufen auf getrennten Subdomains.

Audit

Erteilte Verlängerungen und Serverentscheidungen werden in einem kontrollierten Journal festgehalten.

Ehrlich zu den Grenzen des Werkzeugs

EvidLock ordnet und korreliert Artefakte, ordnet Handlungen aber nicht automatisch einer Person zu. Jede Verbindung im Graphen trägt eine offengelegte Regel, eine Sicherheitsstufe und ihre benannten Einschränkungen — die Schlüsse ziehen Sie, und Sie vertreten sie.

Details zu den Ausgaben auf evidlock.pl Kontakt