Leistung · IT-Forensik
Untersucht werden Dateisysteme, Systemprotokolle, Anwendungsdatenbanken und Kontenaktivitäten auf Rechnern, Servern und Datenträgern. Die forensische Datensicherung und Auswertung dient dazu, technisch zugängliche Daten zu einer belastbaren Zeitachse zusammenzuführen und eine klare Fragestellung zu beantworten. Grenzen bestehen bei überschriebenen Bereichen, begrenzt vorgehaltenen Protokollen und verschlüsselten Datenbeständen ohne Zugang. Auswertungen erfolgen an gesicherten Kopien in den zentralen Untersuchungsräumen in Krefeld oder bei technischer Eignung im Forensiklabor in Vaterstetten bei München; das Ergebnis wird als Gutachten dokumentiert.
Allgemeines Methodenbeispiel
Aussagegrenze: Ein einzelner Zeitstempel oder ein Benutzerkonto ordnet einen Vorgang nicht automatisch einer bestimmten Person zu. Die Aussage hängt von den tatsächlich verfügbaren Spuren ab.
NIST SP 800-86 (2006): methodische Grundlage, keine Anleitung für aktuelle Geräteversionen
Fachliche Verantwortung: Armin Bender · Redaktioneller Stand:
Am Anfang steht die Frage, nicht das Werkzeug. Ob geklärt werden soll, wann eine Datei auf einen USB-Stick kopiert wurde, ob ein Konto von außen genutzt wurde oder wer eine Tabelle zuletzt verändert hat, bestimmt, welche Datenquellen überhaupt relevant sind. Erst danach wird festgelegt, welche Systeme gesichert werden.
Untersucht werden vor allem Dateisysteme mit ihren Zeitstempeln, System- und Ereignisprotokolle, Anwendungsdatenbanken, Benutzerkonten sowie Spuren externer Datenträger und Cloud-Ablagen. Welche dieser Quellen tatsächlich ausgewertet werden, richtet sich nach der Fragestellung und danach, was auf dem gesicherten System noch vorhanden ist.
Ausgewertet werden Dateisystemstrukturen einschließlich Zeitstempeln für Erstellung, Änderung und Zugriff. Weichen mehrere Zeitstempelsätze voneinander ab, wird das gesondert beschrieben und nicht vorschnell gedeutet.
Systemprotokolle dokumentieren An- und Abmeldungen, Dienste, Updates und Fehlerzustände. Sie zeigen, wann ein System genutzt wurde, werden von Systemen aber nur begrenzt vorgehalten.
Programme speichern Verläufe, Einstellungen und Inhalte in eigenen Datenbanken. Hinzu kommen Spuren zur Programmausführung sowie Verknüpfungs- und Verlaufsdaten, aus denen sich Nutzungszeitpunkte und geöffnete Dateien ableiten lassen.
Betrachtet wird, welches Benutzerkonto angemeldet war und welche Aktivitäten in diesem Kontext stattfanden. Ein Konto belegt eine Anmeldung, jedoch keine bestimmte Person.
Anschluss- und Nutzungsspuren externer Datenträger zeigen, wann welches Gerät mit einem System verbunden war. Ob dabei Daten kopiert wurden, ergibt sich erst aus dem Zusammenspiel mit weiteren Spuren.
Synchronisationsdaten von Cloud-Ablagen sowie lokal zwischengespeicherte Inhalte werden einbezogen, soweit Berechtigung und Zugang bestehen. Dazu gehören auch E-Mail-Ablagen, Regelwerke und Kalendereinträge, soweit sie zur Fragestellung gehören.
Gesichert wird in der Reihenfolge der Flüchtigkeit: zuerst der Zustand des laufenden Systems, danach der Datenträger schreibgeschützt. Über den gesicherten Bestand werden Prüfsummen gebildet, damit spätere Veränderungen erkennbar wären.
Der Zustand eines laufenden Systems ist flüchtig. Arbeitsspeicher, offene Netzwerkverbindungen und angemeldete Sitzungen verschwinden mit dem Ausschalten. Wenn es die Situation zulässt, werden diese Informationen deshalb zuerst erfasst, bevor der Datenträger schreibgeschützt gesichert wird.
Gearbeitet wird nach Möglichkeit nicht am Original, sondern an einer verifizierten Arbeitskopie. Die Sicherung erfolgt schreibgeschützt, damit der Ausgangsbestand unverändert bleibt.
Über den gesicherten Datenbestand werden Prüfsummen gebildet und später erneut geprüft; stimmen sie überein, ist belegt, dass sich genau dieser gesicherte Bestand seit der Sicherung nicht verändert hat. Eine Prüfsumme sagt nichts über den Zustand eines laufenden Systems vor der Sicherung und nichts über die rechtliche Verwertbarkeit aus.
In der Auswertung werden Einzelfunde zu einer Zeitachse zusammengeführt. Ein Zeitstempel allein sagt wenig; tragfähig wird ein Befund erst, wenn ihn mehrere unabhängige Quellen stützen.
Das Gutachten trennt deutlich zwischen dem, was technisch festgestellt wurde, welche Auffälligkeiten sich zeigen, wie diese fachlich einzuordnen sind und welche Schlussfolgerungen nur unter bestimmten Annahmen tragen.
Erst wenn Dateisystemspur, Protokolleintrag und Anwendungsartefakt zusammenpassen, entsteht ein tragfähiges Bild. Einzelne Funde werden deshalb systematisch gegeneinander geprüft.
Widersprechen sich Quellen, wird das im Gutachten benannt und nicht geglättet. Fragen, die anhand der vorhandenen Daten offen bleiben, werden ausdrücklich als offen ausgewiesen.
Vor einer Beauftragung wird schriftlich festgehalten, welche Frage beantwortet werden soll und welche Datenquellen dafür untersucht werden. Diese Eingrenzung bestimmt Umfang und Ergebnis der Untersuchung.
Fragestellung, zu sichernde Datenquellen, Untersuchungszeitraum, Übergabe und Form der Dokumentation werden vor Beginn schriftlich abgestimmt. Ergeben sich während der Auswertung neue Fragen, wird eine Erweiterung des Umfangs gesondert vereinbart.
Dokumentiert werden Fragestellung, untersuchte Datenquellen, Sicherung mit Prüfsummen, eingesetzte Werkzeuge und Methoden, die technischen Feststellungen, deren fachliche Einordnung sowie Einschränkungen und offen gebliebene Fragen.
Der individuelle Aufwand richtet sich nach Anzahl und Art der Systeme, der Datenmenge, dem Zustand der Geräte, Verschlüsselung und Zugang, dem Umfang der Fragestellung sowie der gewünschten Form der Dokumentation. Auf dieser Grundlage wird ein individuelles Angebot erstellt.
Eine IT-forensische Untersuchung kann nur zeigen, was technisch noch vorhanden und zugänglich ist. Vier Grenzen sind dabei am häufigsten maßgeblich.
Überschriebene Bereiche eines Datenträgers lassen sich nicht rekonstruieren.
Protokolle werden von Systemen nur begrenzt vorgehalten. Ältere Vorgänge können vollständig aus der Aufzeichnung gefallen sein.
Verschlüsselte Datenbestände sind ohne Schlüssel, Kennwort oder Wiederherstellungsinformation nicht lesbar.
Ein Benutzerkonto belegt eine Anmeldung, keine Person. Die Zuordnung zu einem Menschen erfordert weitere Anhaltspunkte.
Für vertiefte gerätebezogene Analysen steht AQON INTELLIGENCE ein Forensiklabor in Vaterstetten bei München zur Verfügung. Dort können geeignete Computer und digitale Datenträger abhängig von der Fragestellung weitergehend untersucht und ausgewertet werden.
Die Verarbeitung erfolgt zweckgebunden nach den anwendbaren Datenschutzvorgaben und bleibt auf den vereinbarten Untersuchungsauftrag begrenzt. Datenträger und Geräte werden kontrolliert behandelt, Sicherungs- und Bearbeitungsschritte samt Werkzeugversionen dokumentiert. Nach Abschluss werden Kopien gelöscht oder entsprechend Auftrag und rechtlichen Vorgaben zurückgegeben.
Sie möchten den Untersuchungsumfang für Ihren Fall vorab klären? Schildern Sie uns kurz die Ausgangslage – wir melden uns zur fachlichen Einordnung.
Direkt zum KontaktformularHintergrund
Welche Verfahren geeignet sind, ergibt sich aus dem Untersuchungsgegenstand, dem vorliegenden Material und den technischen Voraussetzungen.
Wie eine Sicherung nachvollziehbar dokumentiert wird, beschreibt der Fachbeitrag Beweiskette und Dokumentation. Die Grenzen einer Untersuchung erläutert der Beitrag Was IT-Forensik leisten kann.
Wie der Weg eines Befundes vom Eingang des Materials bis zur Bewertung festgehalten wird, beschreibt die Methodenseite zur dokumentierten Beweissicherung und Chain of Custody.
HÄUFIGE FRAGEN
Nicht zwingend. Geräte können persönlich übergeben, versichert versandt oder bei geeigneten Voraussetzungen beim Auftraggeber gesichert werden. Der Untersuchungsort wird vorab festgelegt.
Die Sicherung eines einzelnen Systems dauert meist wenige Stunden und richtet sich nach der Datenmenge. Die Auswertung hängt vom Umfang der Fragestellung ab und wird vorab eingegrenzt.
Ob ein Gutachten in einem Verfahren verwertet wird und welchen Beweiswert es besitzt, entscheidet das zuständige Gericht beziehungsweise die Ermittlungsbehörde. Unsere Untersuchungen sind auf eine fachlich nachvollziehbare Dokumentation ausgerichtet. Dazu gehören die dokumentierte Übergabe, Prüfsummen der gesicherten Daten, eine Beschreibung der angewandten Methoden sowie die klare Trennung zwischen technischem Befund und fachlicher Bewertung. Eine verbindliche Zusage zur späteren Verwertbarkeit kann nicht gegeben werden.
Teilweise. Windows dokumentiert zuverlässig, welche USB-Geräte wann angeschlossen und erstmals eingerichtet wurden – nachweisbar über die Registry, das Protokoll setupapi.dev.log und Systemereignisse. Das Kopieren selbst wird jedoch nicht vollständig aufgezeichnet. Ob eine konkrete Datei auf einen bestimmten Stick gelangte, lässt sich nur über Indizien eingrenzen, etwa Verknüpfungsdateien, Programmverläufe und Zeitstempel. Ein lückenloser Kopiernachweis ist technisch nicht möglich; verbleibende Unsicherheit wird im Gutachten benannt.
Ein Hashwert beweist die Unverändertheit eines Datenbestands zwischen zwei Zeitpunkten: Stimmen die vor der Sicherung berechnete Prüfsumme des Originals und die der Kopie überein, ist die Kopie bitgenau. Verändert sich später auch nur ein Bit, liefert die erneute Berechnung einen anderen Wert. Ein Hashwert beweist nicht, wer Daten erstellt, verändert oder kopiert hat, und nichts über deren Inhalt oder Richtigkeit. Eingesetzt werden kryptografische Verfahren wie SHA-256; MD5 gilt als kollisionsanfällig.
Nicht vorschnell. Arbeitsspeicher, aktive Netzwerkverbindungen und angemeldete Sitzungen sind flüchtig und gehen beim Ausschalten verloren – sie können für die Aufklärung entscheidend sein. Ebenso wenig sollten Bereinigungsprogramme laufen, Dateien gelöscht oder Passwörter am betroffenen System geändert werden. Das weitere Vorgehen hängt von der Lage ab und wird vor der Sicherung abgestimmt; im Zweifel bleibt das System unverändert, bis die Art der Sicherung feststeht.
Quellen: [1]
Weiterführend
KI-generiert
KI-generiert
KI-generiertDiese Leistung wird überregional erbracht. Unternehmenssitz und feste Untersuchungsräume befinden sich am Standort Krefeld; Anfragen aus weiteren Regionen ordnet die Übersicht der Einsatzorte ein. Für ein erstes Gespräch kann direkt ein Termin vereinbart werden. Für Köln, Nürnberg, Hamburg, Stuttgart, Frankfurt am Main und München gibt es Informationen zum Ablauf auf der jeweiligen Einsatzortseite.
Kontakt
Schildern Sie kurz Ihr Anliegen, die betroffenen Geräte oder Systeme und mögliche Fristen. Im kostenfreien Erstgespräch klären wir die passende Untersuchung. Umfang und Vergütung werden vor der Beauftragung vereinbart.
