Was passiert: Ein Framework für gezielte Datensuche in Forensik-Datenbanken
Forschende haben einen neuen Ansatz zur Lokalisierung von personally identifiable information (PII) in mobilen Forensik-Datenbanken entwickelt. Das Problem ist real und drängend: Bei der Analyse von beschlagnahmten Android- und iOS-Geräten müssen Ermittler Millionen von Datenbankeinträgen durchsuchen, um Beweise wie E-Mail-Adressen, Telefonnummern, Namen oder Postanschriften zu finden. Traditionelle Methoden erfordern exhaustive Suchdurchläufe über alle Daten – ein Prozess, der nicht skaliert und kostspielig ist.
Das neue Framework wird als "hypothesis-driven search" bezeichnet und funktioniert grundlegend anders. Statt alle Daten blind zu durchsuchen, setzt es ein intelligentes Agenten-System ein, das schrittweise Hypothesen bildet, testet und verfeinert. Der Agent analysiert eine Stichprobe von Werten aus Datenbank-Spalten, bewertet die Wahrscheinlichkeit, dass diese PII enthalten, und entscheidet dann, welche Regionen tiefer durchsucht werden sollen. Gewichte und Konfidenzscores aus vorherigen Untersuchungen fließen direkt in die nächsten Hypothesen ein – der Algorithmus lernt also aus seinen Fehlentscheidungen.
Die Evaluation erfolgte auf 25 SQLite-Datenbanken von 10 verschiedenen Android- und iOS-Anwendungen aus der Cellebrite CTF-Kollektion. Das Testziel waren fünf PII-Kategorien: E-Mail-Adressen, Telefonnummern, Domain-Namen, Personennamen und Postanschriften. Der Gesamtbestand an eindeutigen Entitäten lag bei 3.751 Einträgen. Das stärkste getestete Modell – Gemini 2.5 Pro – erzielte einen F1-Score von 94,5 Prozent und reduzierte gleichzeitig die effektive Suchfläche um 79,9 Prozent im Durchschnitt. Der Ansatz wurde gegen 12 verschiedene Modell-Backends getestet, wobei die Leistung stark mit der Modellkapazität korrelierte.
Einordnung: Der Skalierungsproblem mobiler Forensik
Mobile Forensik steht vor einem strukturellen Problem: SQLite-Datenbanken auf Smartphones enthalten komplexe, heterogene Schemata mit hunderten oder tausenden Spalten. Die gesuchten PII-Werte sind nicht strukturiert – sie können in dedizierten Feldern stehen, aber auch in Freitextfeldern, JSON-Strukturen oder anderen semi-strukturierten Formaten versteckt sein. Eine E-Mail-Adresse könnte in einer Spalte namens "email" stehen, aber genauso in einer Spalte namens "metadata", eingebettet in einen Text.
Bisher gab es zwei Extreme: Entweder man führte eine komplette SQL-Abfrage über alle Daten durch, was schnell zu False-Positives führt und rechnerisch aufwendig ist. Oder man nutzte Pattern-Matching-Regeln (Regular Expressions), die zwar schnell sind, aber viele Varianten miss-klassifizieren. Beide Ansätze scheitern bei echten mobilen Datenbanken.
Das hypothesis-driven Framework adressiert dieses Dilemma, indem es Exploration und Extraction trennt. In einer ersten Phase wird nur eine begrenzte Stichprobe von Werten aus vielversprechenden Spalten gezogen und mit Hilfe eines Language Models klassifiziert. Die Ergebnisse werden mit Konfidenzscores dokumentiert. Erst in einer zweiten Phase werden diejenigen Spalten vollständig durchsucht, die hinreichend hohe Evidenz aufweisen. Das ist ein adaptiver, Unsicherheit-getriebener Ansatz, der sich an der Bayesian Optimization anlehnt.
Die Vorgeschichte hier ist wichtig: Language Models wie GPT-4 oder Gemini haben sich als überraschend gut bei der Klassifikation von semi-strukturierten Daten erwiesen. Sie können Kontext nutzen und Varianten erkennen, die Regex-Patterns entwischen würden. Der neue Ansatz nutzt diese Fähigkeit, setzt sie aber strategisch ein, um Zeit und Kosten zu sparen.
Was das bedeutet: Skalierbare forensische Analyse als Standardprozess
Der zentrale Mehrwert liegt nicht in einer Verbesserung der Erkennungsgenauigkeit um einige Prozentpunkte – 94,5 % F1 ist gut, aber nicht radikal besser als gut kalibrierte Pattern Matcher. Der Mehrwert liegt in der 80-prozentigen Reduktion der Suchfläche. Das bedeutet konkret: Forensische Analysten können bei der Untersuchung von mobilen Geräten deutlich schneller arbeiten, weniger Fehlalarme verwalten und die Kosten pro Fall senken. Für größere Organisationen (Strafverfolgungsbehörden, Unternehmensforensik) wird Datenanalyse damit skalierbarer.
Das Framework ist modellunabhängig – die Tests zeigen, dass es mit verschiedenen Frontier Models funktioniert, allerdings mit großer Sensitivität gegenüber Modellkapazität. Das ist realistische Erwartung: Ein kleineres oder ältereres Modell wird mehr falsche Hypothesen bilden und damit auch weniger effizient sein. Die Tatsache, dass mehrere Modelle getestet wurden, zeigt, dass die Forscher nicht nur eine einzelne API-abhängig machen wollen, sondern ein generisches Prinzip etablieren. Das ist für eine breitere Adoption wichtig.
