Wer eine forensische Untersuchung beauftragt, hat meist eine konkrete Frage: Wurden Daten kopiert? Hat jemand ein Konto mitbenutzt? Ist ein Dokument nachträglich verändert worden? Solche Fragen lassen sich technisch nur so weit beantworten, wie das untersuchte System darüber Spuren führt. Dieser Beitrag beschreibt, woran das im Alltag hängt.
Sicherung und Auswertung sind zwei getrennte Arbeitsschritte
Die Sicherung erzeugt eine möglichst unveränderte Kopie des Datenbestands. Sie ist zeitkritisch, weil laufende Systeme fortlaufend schreiben: Protokolle rotieren, Caches werden überschrieben, Papierkörbe geleert, Updates ersetzen Dateien. Die Auswertung findet danach statt und arbeitet ausschließlich auf der Kopie.
Diese Trennung hat einen praktischen Grund. Jede Analyse an einem Originaldatenträger verändert ihn zumindest in Zugriffszeiten, oft mehr. Wird nur auf der Arbeitskopie ausgewertet, bleibt der Ausgangszustand für spätere Nachprüfungen erhalten – auch durch eine zweite, unabhängige Stelle.
Original, Arbeitskopie, Prüfsumme
Nach der Sicherung wird über den Datenbestand eine kryptografische Prüfsumme gebildet, üblicherweise SHA-256. Sie dient als Vergleichswert: Ergibt eine spätere Berechnung denselben Wert, ist der Bestand seit der Sicherung unverändert. Weicht der Wert ab, ist etwas passiert – die Prüfsumme sagt nur, dass eine Abweichung besteht, nicht wodurch.
Bei laufenden Systemen, virtuellen Umgebungen oder Cloud-Konten ist eine bitgenaue Kopie technisch nicht immer herstellbar. Dann wird dokumentiert, welcher Ausschnitt zu welchem Zeitpunkt mit welchem Werkzeug gesichert wurde. Das ist keine Schwäche des Verfahrens, sondern eine Eigenschaft der Umgebung, die im Gutachten offen benannt gehört.
Gelöschte Daten: rekonstruierbar, teilweise, gar nicht
„Gelöscht" bedeutet auf Dateisystemebene zunächst nur, dass ein Verweis entfernt wurde. Solange die zugehörigen Blöcke nicht neu belegt sind, lassen sich Inhalte häufig rekonstruieren. Sobald sie überschrieben wurden, ist der Inhalt weg – daran ändert kein Werkzeug etwas.
Bei SSDs kommt hinzu, dass der Controller freigegebene Bereiche eigenständig aufräumt. Ein Gerät, das nach dem Vorfall noch mehrere Tage in Betrieb war, hat oft weniger Rekonstruierbares als eines, das zeitnah stromlos gemacht wurde. Auch Teilfunde sind möglich: Fragmente ohne Dateinamen, Vorschaubilder ohne Originaldatei, Datenbankreste ohne Zeitstempel.
Verschlüsselung setzt eine harte Grenze
Vollverschlüsselte Datenträger und moderne Smartphones können den Untersuchungsumfang stark begrenzen. Ob Daten zugänglich sind, hängt unter anderem vom Gerätezustand, vorhandenen Zugangsdaten, Wiederherstellungsschlüsseln, Backups und technisch unterstützten Sicherungswegen ab. Fehlt ein geeigneter Zugriff, bleiben die geschützten Bereiche unzugänglich.
Fehlt all das, ist die realistische Aussage nicht „schwierig", sondern „nicht durchführbar". Angebote, die etwas anderes in Aussicht stellen, sollten kritisch geprüft werden.
Fehlende Protokolle sind der häufigste Grund für offene Fragen
Viele Fragestellungen scheitern nicht an Verschlüsselung, sondern daran, dass niemand mitgeschrieben hat. Standardkonfigurationen protokollieren wenig, Aufbewahrungsfristen sind kurz, in kleineren Umgebungen ist die Protokollierung teilweise abgeschaltet. Wenn ein Vorfall drei Monate zurückliegt und die Protokolle 30 Tage vorhalten, existiert die gesuchte Information schlicht nicht mehr.
Deshalb gehört zur Auftragsklärung immer die Frage, welche Systeme überhaupt Aufzeichnungen führen und wie lange.
Vom Hinweis zum Befund
Ein einzelner Fund trägt selten eine Aussage. Ein Anmeldeeintrag zeigt, dass ein Konto verwendet wurde – nicht, wer davor saß. Ein Zeitstempel zeigt eine Änderung – nicht deren Urheber. Ein angeschlossener USB-Datenträger belegt eine Verbindung – nicht, dass Dateien kopiert wurden.
Belastbar wird eine Aussage erst, wenn mehrere unabhängige Quellen zusammenpassen: Systemprotokoll, Dateisystemzeiten, Anwendungsdaten, gegebenenfalls Netzwerk- oder Cloud-Protokolle. Widersprechen sich Quellen, wird der Widerspruch dokumentiert, nicht aufgelöst.
Im Gutachten bleiben Befund und Bewertung getrennt: Was wurde technisch festgestellt, welche Erklärungen sind damit vereinbar, welche nicht. Die rechtliche Würdigung liegt bei der auftraggebenden Stelle beziehungsweise beim Gericht.
Alternative Erklärungen gehören dazu
Zu jedem auffälligen Fund gibt es in der Regel mehrere mögliche Ursachen: automatische Synchronisation statt manuellem Kopieren, Software-Update statt Manipulation, geteiltes Konto statt fremdem Zugriff, falsch gestellte Systemuhr statt nachträglicher Änderung. Eine Untersuchung, die diese Möglichkeiten nicht prüft, liefert kein belastbares Ergebnis.
Was das für eine Anfrage bedeutet
Sinnvoll ist ein kurzes Vorgespräch, in dem die Frage, die Geräte, der Zeitraum und die vorhandenen Zugänge geklärt werden. Daraus ergibt sich, ob eine Untersuchung überhaupt Aussicht auf ein Ergebnis hat und in welcher Reihenfolge gesichert werden sollte. Bis dahin gilt: betroffene Geräte möglichst nicht weiterbenutzen und nichts „aufräumen".