Untersuchungsmodus

Verfolgen Sie einen Fall über Kanäle, Gruppen, private Chats und Bots hinweg, von der ersten Erfassung bis hin zu einer zitierfähigen Zeitleiste und einer überprüfbaren Übergabe. Die interaktive Website-Version finden Sie unter /docs/cases/; Anweisungen zur Vorschau.

Beispielfall: Eine Änderung des Zielortes über vier Unterhaltungen hinweg#

Eine Ankündigung verweist auf einen Bot. Eine Einsatzgruppe bespricht ein neues Zahlungsziel, die Tastatur des Bots zeigt es an, und in einer privaten Folgenachricht wird es wiederholt. Die Ankündigung wird anschließend bearbeitet, und eine Gruppennachricht verschwindet.

Die Fragen lauten: Was wurde vor und nach der Änderung beobachtet, welche Telegram- Konten haben die einzelnen Einträge gepostet, wo erschien das Ziel, welche Bytes der Anhänge wurden erhalten und welche Zeitintervalle bleiben unbekannt?

Alle Namen, IDs, Zeitangaben und Verweise auf das Protokoll in diesem Beispiel sind fiktiv. Der Arbeitsablauf nutzt aktuelle Funktionen; die Fallübersicht dient lediglich der Veranschaulichung und ist kein automatischer , von der Anwendung generierter Graph.

Diagramm als Text

1. Kanäle → Arbeitsbereichsprotokoll
2. Gruppen → Arbeitsbereichsprotokoll
3. Private Chats → Arbeitsbereichsprotokoll
4. Bots → Arbeitsbereichsprotokoll
5. Arbeitsbereichsprotokoll → Alle Quellen durchsuchen
6. Arbeitsbereichsprotokoll → Personenprofile mit Verweisen auf die entsprechenden Aufzeichnungen
7. Arbeitsbereichsprotokoll → Gespeicherte Versionen und Empfangsbestätigungen für Anhänge
8. Alle Quellen durchsuchen → Chronologie der Analysten und Quellenverzeichnis
9. Personenprofile mit Verweisen auf die entsprechenden Aufzeichnungen → Chronologie der Analysten und Quellenverzeichnis
10. Gespeicherte Versionen und Empfangsbestätigungen für Anhänge → Chronologie der Analysten und Quellenverzeichnis
11. Arbeitsbereichsprotokoll → Signierte Beweisdatei im ZIP-Format
12. Chronologie der Analysten und Quellenverzeichnis → Fallübergabe mit separat verifizierten Beweismitteln
13. Signierte Beweisdatei im ZIP-Format → Fallübergabe mit separat verifizierten Beweismitteln

1. Definieren Sie den Fall und erfassen Sie den gesamten Sachverhalt#

1. Verbinden Sie das Erfassungskonto mit dem zugehörigen Arbeitsbereich. Halten Sie in externen Fallnotizen die Fallreferenz, die Konto-ID, den Arbeitsbereich, den Beginn der Beobachtung sowie den vertrauenswürdigen Fingerabdruck des Signaturschlüssels fest.
2. Open Sources → Beobachtungsumfang → Untersuchungsmodus. Die Voreinstellung umfasst das gesamte Konto, Kanäle/Gruppen/private Chats/Bots, eigene Aktionen, Quellenprofile sowie die letzten 200 sichtbaren Nachrichten für neu entdeckte Quellen. Überprüfen Sie die Angaben, klicken Sie auf „Umfang speichern“ und schließen Sie die Bestätigung des Umfangs ab.
3. Laden Sie Chats und vergleichen Sie die Quellen mit der Dialogliste des Kontos. Überprüfen Sie die Ausschlüsse. Der Parameter „Chats, die aus der Liste des Kontos gelesen werden“ ist standardmäßig auf 1.000 eingestellt und erlaubt bis zu 20.000. Quellen, die über das Listenlimit hinausgehen, werden hinzugefügt, sobald sie aktiv werden. Zeichnen Sie auf, was tatsächlich erfasst wurde.
4. Wählen Sie in den Aufzeichnungseinstellungen „Alle sichtbaren Aktivitäten“ aus und speichern Sie die Überwachungseinstellungen. Überprüfen Sie die Anhangstypen/-beschränkungen sowie den freien Speicherplatz.
5. Beobachtung starten. Überprüfen Sie eine kontrollierte neue Nachricht, eine Bearbeitung und eine Löschung und speichern Sie anschließend die Testreferenzen sowie etwaige Fehler.

Der Erfassungsumfang für das gesamte Konto erfasst alle für das Konto sichtbaren Aktivitäten im Rahmen der gespeicherten Einstellungen. Es greift nicht auf geheime Chats zu und tritt auch nicht automatisch jeder verknüpften Gruppe bei. Außerdem werden nicht alle bestehenden Unterhaltungen nachträglich erfasst. Siehe Erfassungsumfang.

2. Erfassen Sie alle Quellen und ermitteln Sie den historischen Kontext#

Führen Sie ein Quellenverzeichnis mit einer Zeile pro Chat:

Verwenden Sie für jede Quelle die geeignete Erfassungsmethode:

• „Vollständigen Verlauf in Quellen laden“ (aktuell main) lädt verfügbare frühere Nachrichten aus aktivierten Quellen in das Arbeitsbereichsprotokoll. Die Funktion unterstützt das Anhalten/Fortsetzen sowie einen signierten Fortschrittsbericht. Siehe Verlaufserfassung.
• Der Verlaufs-Snapshot speichert die zuletzt sichtbaren Nachrichten im Beobachtungsprotokoll. Der standardmäßige Höchstwert beträgt 500; unter „Parameter → Größter Verlaufs-Snapshot“ kann dieser Wert auf 10.000 erhöht werden. Dabei handelt es sich um aktuelle Verlaufsbeobachtungen, nicht um rekonstruierte Bearbeitungen.
• „Gesamten Chat exportieren“ → „Gesamten Chat exportieren“ oder „Chats“ → „Chat exportieren“ ruft den derzeit sichtbaren Verlauf eines Chats in ein separates, signiertes chat.json-/ chat.html-Bundle ab. Wiederholen Sie diesen Vorgang für die Quellen des Falls und bewahren Sie jedes Ergebnis auf.
• Wenn ein neuer Chat oder Bot erscheint, können dessen Profil und bis zu 1.000 der letzten Nachrichten gespeichert werden; im Untersuchungsmodus werden 200 ausgewählt. Bestehende Chats erhalten diese Aufzeichnung nicht rückwirkend, wenn der Modus aktiviert wird.
• Das Herunterladen sichtbarer Anhänge bewahrt die Byte-Anzahl gemäß der konfigurierten Richtlinie. Erforderlich ist eine vollständige „media.saved“-Quittung mit SHA-256 und Byte-Angabe. Ein in der Warteschlange befindlicher Auftrag, eine Miniaturansicht oder ein Dateiname gilt nicht als bewahrter Anhang.

Ein vollständiger Chat-Export füllt das Protokoll oder die Personenprofile nicht mit allen darin enthaltenen Nachrichten. Verwenden Sie „Vollständigen Verlauf laden“ oder begrenzte Protokoll-Snapshots für den Verlauf, den Sie innerhalb von TgWitness analysieren möchten. Überprüfen Sie die Liste der aktivierten Quellen, bevor Sie einen Verlaufslauf starten. Keine der beiden Methoden stellt Material wieder her, das Telegram nicht mehr zurückgibt.

3. Erfassung des sich entwickelnden Sachverhalts und der bewussten Interaktionen#

Markieren Sie Chats zu aktiven Fällen als vorrangige Quellen. Überprüfen Sie die Intervalle für erneute Überprüfungen, die fortlaufende Nachverfolgung und die Ergebnisse der Medienauswertung. Lassen Sie den Collector während der Nutzung des Kontos weiter beobachten. Verwenden Sie „Chats“ → „Profil“ → „Profil jetzt speichern“, um Metadaten der Quelle wie Beschreibungen und Bot-Befehle zu erhalten. Dies ist unabhängig von Personenprofilen, die aus gespeicherten Nachrichten abgeleitet werden.

Wenn es in dem Fall darum geht, einer Quelle zu folgen oder mit einem Bot zu interagieren:

1. Telegram-Link öffnen → „Vorschau speichern“ zeichnet den angegebenen Link und die angezeigte Vorschau vor einer Aktion auf.
2. „Join / open and observe“ führt den Beitritt/das Öffnen durch und sendet den Startparameter eines Bots, sofern dieser angegeben wurde. Eine zur Genehmigung anstehende Beitrittsanfrage wird als „pending“ (ausstehend) protokolliert.
3. Vom Bedienfeld ausgegebene Textantworten und unterstützte Tastenbetätigungen behalten „ interaction.requested“ und „interaction.result“ bei. Rückrufbestätigungen können den zurückgegebenen Popup-Text, den Alarmstatus und die URL beibehalten.

Es handelt sich hierbei um echte Kontoaktivitäten. Callback-Aufrufe in einer anderen Telegram-App sind für den Erfasser nicht sichtbar, obwohl die daraus resultierenden Nachrichten oder Bearbeitungen möglicherweise sichtbar sind. Der Mini-Client führt keine Web-App-, Zahlungs-, Telefon- oder Standort-Workflows durch. Das genaue Verhalten entnehmen Sie bitte den Panel-Interaktionen.

4. Verknüpfung von Beobachtungen über verschiedene Chats hinweg#

Wählen Sie im Protokoll „Alle Quellen“ aus und durchsuchen Sie die aufgezeichneten Inhalte. Öffnen Sie die entsprechenden Einträge und notieren Sie sich den Arbeitsbereich, den Chat, die Nachrichten-ID, die Reihenfolge und den Datensatz-Hash.

Öffnen Sie in einem entsprechenden Chat „Personen“ → „Profile aktivieren“ und überprüfen Sie eine Person:

• Im Laufe der Zeit erfasste Namen/Benutzernamen sowie die numerische Telegram-ID.
• Antwortbeziehungen mit Verweisen auf die Quelldatensätze.
• Ebenfalls enthalten sind … andere Chats in diesem Arbeitsbereichsprotokoll, in denen diese ID geschrieben hat.
• Aktivitäten, Bearbeitungen/Löschungen sowie erwähnte Wallets, Telefone, Benutzernamen und Links.
• Gespeicherte Avatar-Metadaten und ähnliche zwischengespeicherte Avatare mit Angabe ihrer jeweiligen Herkunft.

Öffnen Sie die zitierten Datensätze, bevor Sie ein abgeleitetes Profil in einer Feststellung verwenden. Profile beziehen sich auf Personen mit gespeicherten Nachrichten, nicht auf jedes einzelne Gruppenmitglied. Der Parameter „→ Datensätze pro Tatsache“ begrenzt die Referenzliste, nicht die Anzahl der zugrunde liegenden Aktivitäten. Erwähnungen und Ähnlichkeiten bei Avataren sind Anhaltspunkte; sie begründen weder Eigentumsverhältnisse noch Identität.

Im Beispiel:

Vergleichen Sie die Hashes der Anhänge und die zugehörigen Nachrichtenreferenzen. Identische Dateien lassen keine Rückschlüsse auf einen Ersteller, Weiterleiter oder gemeinsamen Betreiber zu. Gleiche Namen und ähnliche Avatare allein reichen nicht aus, um zwei Telegram-IDs einer Person zuzuordnen.

5. Erstellen Sie die chatübergreifende Zeitleiste#

Verwenden Sie die gespeicherten Versionen in Chats und deren Links zum Protokoll-Eintrag Nr. … . Kombinieren Sie im Protokoll alle Quellen mit Bearbeitungen, Löschungen und der Berichterstattung. Behalten Sie sowohl source_at, sofern vorhanden, als auch observed_at bei.

Zwischen diesen Beispielverweisen liegen weitere Aufzeichnungen vor. Sequenznummern ordnen Beobachtungen; Verlaufs-Snapshots können ältere Quelldaten enthalten und später eintreffen als Live-Ereignisse. Unterscheiden Sie zwischen Snapshots, wiederhergestellten Nachrichten, Löschmeldungen und Ergebnissen, bei denen bei einer erneuten Überprüfung keine Daten mehr vorhanden sind. Kennzeichnen Sie Lücken in der Erfassung als unbekannte Intervalle. Eine spätere Erfassung von Verlaufsdaten begründet nicht rückwirkend eine lückenlose Beobachtung.

6. Fügen Sie Konto-Perspektiven hinzu, ohne deren Herkunft zu verlieren#

Verwenden Sie für jedes einzelne Konto einen separaten Arbeitsbereich und wiederholen Sie dessen Bestandsaufnahme. Bewahren Sie bei jedem Vergleich die Konto-ID, die Rolle, den Fingerabdruck des Signaturschlüssels und die Quellenangaben auf. Nachrichtennummern sind keine globalen Identifikatoren, die über Chats und Konten hinweg gelten.

Die arbeitsbereichsübergreifende Korrelation erfolgt in externen Fallnotizen oder Analysewerkzeugen. TgWitness verfügt derzeit über keine globale, arbeitsbereichsübergreifende Suche, keine zusammengeführte Zeitleiste, keinen Ermittlungsgraphen und kein kombiniertes Fallarchiv. Der Export mehrerer Konten eines Kanals/einer Supergruppe ist ein separater Vorgang und stellt keine Zusammenführung der Kontenprotokolle dar.

Bei umfangreicheren Projekten sollten Sie die Grenzen durch einen unabhängigen Zeugen wahren. Verwenden Sie kontrollierte Zustellungsprüfungen, um den Erfassungsweg und die Sichtbarkeit jedes Kontos zu überprüfen.

7. Zusammenstellung und Überprüfung der Fallübergabe#

Fassen Sie diese Informationen in einem von einem Analysten zusammengestellten Fallverzeichnis zusammen:

Aus einer vertrauenswürdigen Installation, mit Dateinamen und dem tatsächlichen Fingerabdruck jedes Arbeitsbereichs:

python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --checkpoint retained-checkpoint.json
python -m tgwitness.verify profiles-operations.json --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --evidence evidence.zip
python -m tgwitness.verify history-channel.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256

Die tatsächlichen Verifizierungsergebnisse und Originalartefakte werden beibehalten. Das oberste Fallverzeichnis, das Quellenregister und die Schlussfolgerungen der Analysten werden extern verwaltet; jedes TgWitness-Artefakt verfügt über eine eigene Signatur und ein eigenes Verifizierungsverfahren.

Passen Sie die Untersuchung an#

Referenz zur Sammlung · Überprüfung von Personenprofilen · Übergabe von Beweismitteln · Validierung abgeschlossen