Leistung · IT-Forensik
Untersucht werden Dateisysteme, Systemprotokolle, Anwendungsdatenbanken und Kontenaktivitäten auf Rechnern, Servern und Datenträgern. Die forensische Datensicherung und Auswertung dient dazu, technisch zugängliche Daten zu einer belastbaren Zeitachse zusammenzuführen und eine klare Fragestellung zu beantworten. Grenzen bestehen bei überschriebenen Bereichen, begrenzt vorgehaltenen Protokollen und verschlüsselten Datenbeständen ohne Zugang. Auswertungen erfolgen an gesicherten Kopien in den Untersuchungsräumen in Krefeld, das Ergebnis wird als Gutachten dokumentiert.
Am Anfang steht die Frage, nicht das Werkzeug. Ob geklärt werden soll, wann eine Datei auf einen USB-Stick kopiert wurde, ob ein Konto von außen genutzt wurde oder wer eine Tabelle zuletzt verändert hat, bestimmt, welche Datenquellen überhaupt relevant sind. Erst danach wird festgelegt, welche Systeme gesichert werden.
Untersucht werden vor allem Dateisysteme mit ihren Zeitstempeln, System- und Ereignisprotokolle, Anwendungsdatenbanken, Benutzerkonten sowie Spuren externer Datenträger und Cloud-Ablagen. Welche dieser Quellen tatsächlich ausgewertet werden, richtet sich nach der Fragestellung und danach, was auf dem gesicherten System noch vorhanden ist.
Ausgewertet werden Dateisystemstrukturen einschließlich Zeitstempeln für Erstellung, Änderung und Zugriff. Weichen mehrere Zeitstempelsätze voneinander ab, wird das gesondert beschrieben und nicht vorschnell gedeutet.
Systemprotokolle dokumentieren An- und Abmeldungen, Dienste, Updates und Fehlerzustände. Sie zeigen, wann ein System genutzt wurde, werden von Systemen aber nur begrenzt vorgehalten.
Programme speichern Verläufe, Einstellungen und Inhalte in eigenen Datenbanken. Hinzu kommen Spuren zur Programmausführung sowie Verknüpfungs- und Verlaufsdaten, aus denen sich Nutzungszeitpunkte und geöffnete Dateien ableiten lassen.
Betrachtet wird, welches Benutzerkonto angemeldet war und welche Aktivitäten in diesem Kontext stattfanden. Ein Konto belegt eine Anmeldung, jedoch keine bestimmte Person.
Anschluss- und Nutzungsspuren externer Datenträger zeigen, wann welches Gerät mit einem System verbunden war. Ob dabei Daten kopiert wurden, ergibt sich erst aus dem Zusammenspiel mit weiteren Spuren.
Synchronisationsdaten von Cloud-Ablagen sowie lokal zwischengespeicherte Inhalte werden einbezogen, soweit Berechtigung und Zugang bestehen. Dazu gehören auch E-Mail-Ablagen, Regelwerke und Kalendereinträge, soweit sie zur Fragestellung gehören.
Gesichert wird in der Reihenfolge der Flüchtigkeit: zuerst der Zustand des laufenden Systems, danach der Datenträger schreibgeschützt. Über den gesicherten Bestand werden Prüfsummen gebildet, damit spätere Veränderungen erkennbar wären.
Der Zustand eines laufenden Systems ist flüchtig. Arbeitsspeicher, offene Netzwerkverbindungen und angemeldete Sitzungen verschwinden mit dem Ausschalten. Wenn es die Situation zulässt, werden diese Informationen deshalb zuerst erfasst, bevor der Datenträger schreibgeschützt gesichert wird.
Gearbeitet wird nach Möglichkeit nicht am Original, sondern an einer verifizierten Arbeitskopie. Die Sicherung erfolgt schreibgeschützt, damit der Ausgangsbestand unverändert bleibt.
Über den gesicherten Datenbestand werden Prüfsummen gebildet und später erneut geprüft; stimmen sie überein, ist belegt, dass sich genau dieser gesicherte Bestand seit der Sicherung nicht verändert hat. Eine Prüfsumme sagt nichts über den Zustand eines laufenden Systems vor der Sicherung und nichts über die rechtliche Verwertbarkeit aus.
In der Auswertung werden Einzelfunde zu einer Zeitachse zusammengeführt. Ein Zeitstempel allein sagt wenig; tragfähig wird ein Befund erst, wenn ihn mehrere unabhängige Quellen stützen.
Das Gutachten trennt deutlich zwischen dem, was technisch festgestellt wurde, welche Auffälligkeiten sich zeigen, wie diese fachlich einzuordnen sind und welche Schlussfolgerungen nur unter bestimmten Annahmen tragen.
Erst wenn Dateisystemspur, Protokolleintrag und Anwendungsartefakt zusammenpassen, entsteht ein tragfähiges Bild. Einzelne Funde werden deshalb systematisch gegeneinander geprüft.
Widersprechen sich Quellen, wird das im Gutachten benannt und nicht geglättet. Fragen, die anhand der vorhandenen Daten offen bleiben, werden ausdrücklich als offen ausgewiesen.
Eine IT-forensische Untersuchung kann nur zeigen, was technisch noch vorhanden und zugänglich ist. Vier Grenzen sind dabei am häufigsten maßgeblich.
Überschriebene Bereiche eines Datenträgers lassen sich nicht rekonstruieren.
Protokolle werden von Systemen nur begrenzt vorgehalten. Ältere Vorgänge können vollständig aus der Aufzeichnung gefallen sein.
Verschlüsselte Datenbestände sind ohne Schlüssel, Kennwort oder Wiederherstellungsinformation nicht lesbar.
Ein Benutzerkonto belegt eine Anmeldung, keine Person. Die Zuordnung zu einem Menschen erfordert weitere Anhaltspunkte.
Die Untersuchung kann in den festen Untersuchungsräumen von AQON INTELLIGENCE in Krefeld, nach vorheriger Abstimmung in München oder beim Auftraggeber durchgeführt werden. Vorab wird geprüft, welcher Untersuchungsort fachlich geeignet ist und ob dort die erforderlichen technischen, organisatorischen und datenschutzrechtlichen Voraussetzungen erfüllt sind.
Die Verarbeitung erfolgt zweckgebunden nach den anwendbaren Datenschutzvorgaben und bleibt auf den vereinbarten Untersuchungsauftrag begrenzt. Datenträger und Geräte werden kontrolliert behandelt, Sicherungs- und Bearbeitungsschritte samt Werkzeugversionen dokumentiert. Nach Abschluss werden Kopien gelöscht oder entsprechend Auftrag und rechtlichen Vorgaben zurückgegeben.
Sie möchten den Untersuchungsumfang für Ihren Fall vorab klären? Schildern Sie uns kurz die Ausgangslage – wir melden uns zur fachlichen Einordnung.
Direkt zum KontaktformularWerkzeuge und Hintergrund
Für die Auswertung gesicherter Datenträger kommt X-Ways Forensics zum Einsatz; mobile Endgeräte werden mit Cellebrite und MOBILedit Forensic Ultra gesichert. Welche Werkzeuge geeignet sind, ergibt sich aus dem Untersuchungsgegenstand und den technischen Voraussetzungen.
Wie eine Sicherung nachvollziehbar dokumentiert wird, beschreibt der Fachbeitrag Beweiskette und Dokumentation. Die Grenzen einer Untersuchung erläutert der Beitrag Was IT-Forensik leisten kann.
Wie der Weg eines Befundes vom Eingang des Materials bis zur Bewertung festgehalten wird, beschreibt die Methodenseite zur dokumentierten Beweissicherung und Chain of Custody.
HÄUFIGE FRAGEN
Nicht zwingend. Geräte können persönlich übergeben, versichert versandt oder bei geeigneten Voraussetzungen beim Auftraggeber gesichert werden. Der Untersuchungsort wird vorab festgelegt.
Die Sicherung eines einzelnen Systems dauert meist wenige Stunden und richtet sich nach der Datenmenge. Die Auswertung hängt vom Umfang der Fragestellung ab und wird vorab eingegrenzt.
Ob ein Gutachten in einem Verfahren verwertet wird und welchen Beweiswert es besitzt, entscheidet das zuständige Gericht beziehungsweise die Ermittlungsbehörde. Unsere Untersuchungen sind auf eine fachlich nachvollziehbare Dokumentation ausgerichtet. Dazu gehören die dokumentierte Übergabe, Prüfsummen der gesicherten Daten, eine Beschreibung der angewandten Methoden sowie die klare Trennung zwischen technischem Befund und fachlicher Bewertung. Eine verbindliche Zusage zur späteren Verwertbarkeit kann nicht gegeben werden.
Teilweise. Windows dokumentiert zuverlässig, welche USB-Geräte wann angeschlossen und erstmals eingerichtet wurden – nachweisbar über die Registry, das Protokoll setupapi.dev.log und Systemereignisse. Das Kopieren selbst wird jedoch nicht vollständig aufgezeichnet. Ob eine konkrete Datei auf einen bestimmten Stick gelangte, lässt sich nur über Indizien eingrenzen, etwa Verknüpfungsdateien, Programmverläufe und Zeitstempel. Ein lückenloser Kopiernachweis ist technisch nicht möglich; verbleibende Unsicherheit wird im Gutachten benannt.
Quellen: NIST SP 800-86 – Guide to Integrating Forensic Techniques into Incident Response · SWGDE – veröffentlichte Best-Practice-Dokumente
Ein Hashwert beweist die Unverändertheit eines Datenbestands zwischen zwei Zeitpunkten: Stimmen die vor der Sicherung berechnete Prüfsumme des Originals und die der Kopie überein, ist die Kopie bitgenau. Verändert sich später auch nur ein Bit, liefert die erneute Berechnung einen anderen Wert. Ein Hashwert beweist nicht, wer Daten erstellt, verändert oder kopiert hat, und nichts über deren Inhalt oder Richtigkeit. Eingesetzt werden kryptografische Verfahren wie SHA-256; MD5 gilt als kollisionsanfällig.
Quellen: NIST SP 800-86 – Guide to Integrating Forensic Techniques into Incident Response · NIST – Secure Hash Standard (FIPS 180-4)
Nicht vorschnell. Arbeitsspeicher, aktive Netzwerkverbindungen und angemeldete Sitzungen sind flüchtig und gehen beim Ausschalten verloren – sie können für die Aufklärung entscheidend sein. Ebenso wenig sollten Bereinigungsprogramme laufen, Dateien gelöscht oder Passwörter am betroffenen System geändert werden. Das weitere Vorgehen hängt von der Lage ab und wird vor der Sicherung abgestimmt; im Zweifel bleibt das System unverändert, bis die Art der Sicherung feststeht.
Quellen: NIST SP 800-86 – Guide to Integrating Forensic Techniques into Incident Response
Eingesetzte Technik
Auswertung von Datenträgern, Dateisystemstrukturen und Zeitstempeln an der Arbeitskopie.
Kontrollierte Erfassung und Analyse von Rechnerdaten im lizenzierten Umfang.
Weiterführend
KI-generiertWindows-ForensikNTFS, Registry, Ereignisprotokolle und AusführungsspurenZur Leistung 
KI-generiertMac-ForensikAPFS, FileVault, Apple Silicon und Unified LogsZur Leistung 
DatenrettungGelöschte, beschädigte und nicht mehr lesbare DatenträgerZur Leistung 
KI-generiertSmartphone- und Tablet-ForensikiOS- und Android-Geräte, Backups und App-DatenbankenZur Leistung Diese Leistung wird überregional erbracht. Unternehmenssitz und feste Untersuchungsräume befinden sich am Standort Krefeld; Anfragen aus weiteren Regionen ordnet die Übersicht der Einsatzorte ein. Für ein erstes Gespräch kann direkt ein Termin vereinbart werden.
Kontakt
Schildern Sie uns kurz, welches Gerät, System oder Ereignis untersucht werden soll. Wir melden uns zur fachlichen Einordnung und besprechen das weitere Vorgehen.
