Maxi Brückner

• Instant Messenger gehören zu den am häufigsten verwendeten Applikationen auf mobilen Endgeräten. Sie werden von nahezu allen Altersgruppen genutzt, dabei verwenden eine Vielzahl der Nutzer diese täglich zum Austausch von textuellen Nachrichten, Sprachnachrichten oder multimedialer Dateien. Die Anzahl der Nutzer nimmt seit Jahren kontinuierlich zu. Einer der verbreitetsten Anwendungen ist „Threema“, welche von 22 Prozent der Befragten in Deutschland genutzt wird. Weltweit beträgt die Anzahl der Nutzer elf Millionen. Im Kontext forensischer Untersuchungen wird die Bedeutung der Rekonstruktion von Artefakten von Instant Messenger-Diensten immer größer, da über diese auch ein Austausch von Informationen durch Täter, Opfer und Zeugen von Straftaten stattfindet. Solche Artefakte umfassen Bild- und Videomaterial sowie Standorte oder Textnachrichten. Diese können hilfreich sein, um den Tathergang zu rekonstruieren. In der vorliegenden Bachelorarbeit werden die Artefakte der Instant Messengers „Threema“ anhand von Beispieldaten aufbereitet und ausgewertet. Dabei stehen Chatverläufe, ausgetauschte Standorte und Kontaktinformationen im Fokus, wobei sie keine Entschlüsselung der Daten oder Rekonstruktion von multimedialen Daten oder gelöschte Daten umfasst. Die Untersuchungen ergaben, dass die Daten in den SQLite- Datenbanken ThreemaData.sqlite und Threema.sqlite-wal abgelegt werden.
• Instant messengers are among the most frequently used applications on mobile devices. They are used by almost all age groups, and a large number of users use them daily to exchange text messages, voice messages or multimedia files. The number of users has been increasing continuously for years. One of the most widespread applications is “Threema”, which is used by 22 percent of respondents in Germany. Worldwide, the number of users is eleven million. In the context of forensic investigations, the recon- struction of artefacts from instant messenger services is becoming increasingly im- portant, as they are also used by perpetrators, victims and witnesses of crimes to ex- change information. Such artefacts include images and video footage as well as loca- tions or text messages. These can be helpful in reconstructing the course of events. In this bachelor thesis, the artefacts of the instant messenger "Threema" are processed and evaluated using sample data. The focus is on chat histories, exchanged locations and contact information, although it does not include any decoding of the data or recon- struction of multimedia data or deleted data. The research revealed that the data is stored in the SQLite databases ThreemaData.sqlite and Threema.sqlite-wal.