Thema 1 von 5
Was ist digitale Forensik?
Digitale Forensik ist die gesicherte Erfassung, Untersuchung und Dokumentation digitaler Spuren auf Rechnern, mobilen Geräten und Datenträgern. Ziel ist eine nachvollziehbare Antwort auf eine klar definierte Fragestellung. Gearbeitet wird nach Möglichkeit an verifizierten Arbeitskopien und nicht am Original. Bei laufenden Systemen und bei Geräten, die keine unveränderte Sicherung zulassen, sind Veränderungen technisch unvermeidbar; sie werden begründet und dokumentiert. Was technisch nicht belegbar ist, wird als Grenze benannt und nicht durch Annahmen ersetzt.
Eine forensische Untersuchung beginnt mit der Frage, nicht mit dem Werkzeug. Erst wenn feststeht, was geklärt werden soll – etwa ein Zugriffszeitpunkt, eine kopierte Datei oder eine auffällige Anmeldung –, wird entschieden, welche Datenquellen relevant sind und in welcher Reihenfolge sie gesichert werden. Flüchtige Daten wie Arbeitsspeicherinhalte und aktive Verbindungen gehen beim Ausschalten verloren und werden daher, wenn möglich, zuerst erfasst.
Die eigentliche Analyse findet an einer gesicherten Arbeitskopie statt. Das Original wird, soweit dies technisch möglich ist, unverändert verwahrt, damit eine unabhängige Nachprüfung möglich bleibt; unvermeidbare Eingriffe werden dokumentiert. Das Ergebnis wird so dokumentiert, dass eine fachkundige dritte Person jeden Schritt vom Ausgangsmaterial bis zur Feststellung nachvollziehen kann.
Wichtig ist die Trennung der Ebenen: Ein technischer Befund beschreibt, was ein System aufgezeichnet hat. Die fachliche Einordnung erklärt, was dieser Befund bedeuten kann – und unter welchen Voraussetzungen. Ob ein Ergebnis in einem Verfahren verwertet wird, entscheiden ausschließlich Gerichte oder Ermittlungsbehörden.