Skip to content
Disk Image Parser

Datenträger-Forensik im Browser

Datenträgerabbild-Forensik, im Browser.

Lege ein Datenträgerabbild ab, um seine MBR/GPT-Partitionstabelle zu lesen und jedes Dateisystem zu identifizieren — NTFS, FAT, exFAT, ext. Lokale Analyse in WebAssembly; das Abbild verlässt dein Gerät nie.

Synthetische 1,7-MB-Festplatte eines fiktiven Einbruchs (FIN-WKS-07) — keine echten Daten. Tipp: Unter Dateien grenzt die Zeitraum-Vorgabe „Letzte Stunde“ den Einbruch ein.

So kommen Sie an Ihre Daten

Noch nie ein Datenträger-Image erstellt? Wählen Sie den einfachsten passenden Weg: jeweils ein einziger Befehl oder wenige Klicks, und am Ende steht eine Datei, die diese Seite öffnet.

  1. SichernImage des Datenträgers, der VM oder der benötigten Dateien erstellen.
  2. Hier ablegenDie Datei oder alle Segmente eines Satzes auf einmal.
  3. Bleibt im BrowserLokal in WebAssembly ausgewertet, nie hochgeladen.

Windows: FTK Imager (E01)Empfohlen

Voraussetzungen: FTK Imager als Administrator gestartet und ein externes Laufwerk mit genug freiem Platz für das Image.

  1. File › Create Disk Image… › Physical Drive, dann das Laufwerk wählen.
  2. Add… › E01 › Next, dann die Falldaten eintragen (optional).
  3. Image Destination Folder: ein Ordner auf dem externen Laufwerk (z. B. E:\triage), Image Filename: disk01 › Finish.
  4. „Verify images after they are created“ angehakt lassen und auf Start klicken.

Ergebnis: disk01.E01 (plus .E02, .E03…, falls in Fragmente aufgeteilt): alle markieren und gemeinsam ablegen.

Linux: dd (Raw-Image)

Voraussetzungen: sudo. Gerät mit lsblk ermitteln und sdX dadurch ersetzen (z. B. sdb). ~/triage muss auf einem anderen Datenträger mit genug freiem Platz liegen.

lsblk -o NAME,SIZE,MODEL,SERIAL
mkdir -p ~/triage && sudo dd if=/dev/sdX of=$HOME/triage/disk.dd bs=4M status=progress

Ergebnis: ~/triage/disk.dd, ein Raw-Image, bereit zum Ablegen.

macOS: dd (Raw-Image)

Voraussetzungen: Ein Administratorpasswort (sudo). N durch die Datenträgernummer aus diskutil list ersetzen (rdiskN ist der schnellere Raw-Knoten). Strg+T zeigt den Fortschritt.

diskutil list external
diskutil unmountDisk /dev/diskN
mkdir -p ~/triage && sudo dd if=/dev/rdiskN of=$HOME/triage/disk.dd bs=1m

Ergebnis: ~/triage/disk.dd, ein Raw-Image, bereit zum Ablegen.

Stolperfallen

  • dd und ewfacquire schreiben genau dorthin, wohin Sie sie schicken: das Quellgerät doppelt prüfen und das Image nie auf dem Datenträger speichern, den Sie gerade sichern.
  • Das Image eines BitLocker-verschlüsselten Laufwerks bleibt hier verschlüsselt (BitLocker wird erkannt, nicht entschlüsselt). Auf einem laufenden, entsperrten Windows-Rechner stattdessen das Logical Drive (C:) in FTK Imager sichern.
  • VM-Prüfpunkte und Snapshots: dem Basisdatenträger fehlen die neuesten Schreibvorgänge, und Delta-Datenträger (.avhdx, -000001.vmdk) lassen sich nicht allein öffnen. Zuerst auf einer Kopie zusammenführen.
hochgeladen, niemals
0 Bytes
Image-Formate
10
Dateisystem-Familien
8
Triage-Sammlungen
35

Funktionen

Eine Forensik-Werkbank, ohne Installation.

Die tägliche Arbeit eines Imagers und eines Dateisystem-Browsers, in einem Tab.

Jeder Beweiscontainer

EnCase E01, Ex01 und SMART (mehrteilig), AccessData AD1, AFF4, VMDK, VHD und VHDX, Raw und geteiltes Raw. Mehrere GB große Images werden über ihre Blocktabellen bei Bedarf von der Festplatte gelesen, nie komplett geladen.

Container
  • E01 · Ex01 · S01
  • AD1 · AFF4
  • VMDK
  • VHD · VHDX
  • RAW · 001
Dateisysteme
  • NTFS
  • FAT
  • exFAT
  • ext2/3/4
  • XFS
  • HFS+
  • APFS
  • ISO 9660
  • UDF

Jedes Dateisystem

NTFS mit alternativen Datenströmen und gelöschten MFT-Einträgen, FAT, exFAT, ext2/3/4, XFS, HFS+ und APFS, mit MACB-Zeitstempeln. LUKS-Volumes lassen sich mit Passphrase oder Volume-Schlüssel entsperren; BitLocker wird markiert.

Gelöschte Daten

Gelöschte Einträge, File Slack und der nicht zugeordnete Speicher als exportierbare Datei, dazu Signatur-Carving über das ganze Image.

Triage mit einem Klick

Registry-Hives, Ereignisprotokolle, $MFT, Browserverlauf, Persistenz, Bootloader und mehr, jeweils als ZIP mit SHA-256-Manifest.

Prüfen und hashen

MD5 und SHA-1 über das Image, abgeglichen mit den im E01 gespeicherten Hashes; Hashes pro Datei und eine CSV-Verzeichnisliste.

Exportieren

Als E01 neu kodieren, in Raw oder VHD umwandeln, logische AD1-Images erstellen oder ausgewählte Dateien als ZIP packen.

So funktioniert’s

Drei Schritte, null Uploads.

  1. 01

    Image ablegen

    Zieh ein E01-, VMDK-, AD1- oder Raw-Image auf die Seite. Bei geteilten Sätzen wählst du alle Segmente auf einmal.

  2. 02

    Analyse auf deinem Rechner

    Eine WebAssembly-Engine in einem Hintergrund-Worker liest Partitionen und Dateisysteme. Große Images werden bei Bedarf direkt von der Festplatte gelesen.

  3. 03

    Sammeln und exportieren

    Dateien durchsuchen, ansehen und hashen, eine Triage-Sammlung starten oder als E01, AD1 oder ZIP exportieren.

Datenschutz durch Architektur

Die Beweise verlassen nie deinen Rechner.

Es gibt keine serverseitige Verarbeitung. Die abgelegte Datei wird von Code gelesen, der in deinem Tab läuft, und keines ihrer Bytes wird irgendwohin gesendet. Das hält die Beweiskette einfach, und du kannst sensible Fälle auf jedem Rechner mit Browser bearbeiten.

  • Kein Upload, kein Konto
  • Läuft in einem isolierten Web Worker
  • Liest Images mit mehreren GB von der Festplatte
  • Prüf es selbst im Netzwerk-Tab

FAQ

Fragen, beantwortet.

Wird mein Festplatten-Image irgendwohin hochgeladen?

Nein. Die Analyse läuft mit WebAssembly in deinem Browser-Tab, und die Bytes der Datei verlassen deinen Rechner nie. Du kannst das im Netzwerk-Tab deines Browsers prüfen, während ein Image geöffnet ist.

Welche Image-Formate kann es öffnen?

EnCase E01 und Ex01 (auch mehrteilige Sätze) und SMART S01, AccessData AD1, AFF4, VMware VMDK (flat, sparse und geteilt), Microsoft VHD und VHDX sowie Raw/dd-Images, auch geteilte .001-Sätze, und optische Disc-Images (.iso).

Welche Dateisysteme werden unterstützt?

NTFS, FAT12/16/32, exFAT, ext2/3/4, XFS (V4 und V5), HFS+, APFS sowie die Dateisysteme optischer Discs ISO 9660 (mit Joliet und Rock Ridge) und UDF. LUKS1-/LUKS2-Volumes lassen sich im Browser mit Passphrase oder Volume-Schlüssel entsperren und dann wie jede Partition durchsuchen; BitLocker-Volumes werden erkannt, aber noch nicht entschlüsselt.

Wie groß darf ein Image sein?

Alle Datenträger-Container werden bei Bedarf von der Festplatte gelesen – Raw und geteiltes Raw, E01/Ex01, VHD, VHDX und VMDK (auch geteilte Sätze) –, daher funktionieren Images mit Dutzenden oder Hunderten Gigabyte. Logische AD1-Images werden in den Arbeitsspeicher geladen, den Browser auf etwa 2 GB begrenzen.

Ist es kostenlos? Brauche ich ein Konto?

Die Nutzung ist kostenlos, ohne Konto und ohne Registrierung.

Kann es FTK Imager ersetzen?

Zum Öffnen, Durchsuchen, Hashen und Exportieren aus Images oft ja, auf jedem Rechner mit Browser. Es erstellt keine Abbilder physischer Datenträger und entschlüsselt keine BitLocker-Volumes (LUKS-Volumes kann es entsperren).

Verwandte Tools

MFT Parser
Die aus dem Image exportierte $MFT parsen: alle Dateien, gelöschte Einträge und beide Zeitstempelsätze.
USN Parser
$UsnJrnl:$J aus demselben Image parsen, um Dateiänderungen in Reihenfolge zu sehen.

Öffne dein erstes Image in Sekunden.

Keine Installation, kein Upload, kein Konto. Image ablegen und loslegen.

Festplatten-Image öffnen