Forensik, Hashwerte, Software und Untersuchungsverfahren verständlich erklärt

Digitale Forensik ist die gesicherte Erfassung, Untersuchung und Dokumentation digitaler Spuren auf Rechnern, mobilen Geräten und Datenträgern. Ziel ist eine nachvollziehbare Antwort auf eine klar definierte Fragestellung. Gearbeitet wird nach Möglichkeit an verifizierten Arbeitskopien und nicht am Original. Bei laufenden Systemen und bei Geräten, die keine unveränderte Sicherung zulassen, sind Veränderungen technisch unvermeidbar; sie werden begründet und dokumentiert. Was technisch nicht belegbar ist, wird als Grenze benannt und nicht durch Annahmen ersetzt.

Eine forensische Untersuchung beginnt mit der Frage, nicht mit dem Werkzeug. Erst wenn feststeht, was geklärt werden soll – etwa ein Zugriffszeitpunkt, eine kopierte Datei oder eine auffällige Anmeldung –, wird entschieden, welche Datenquellen relevant sind und in welcher Reihenfolge sie gesichert werden. Flüchtige Daten wie Arbeitsspeicherinhalte und aktive Verbindungen gehen beim Ausschalten verloren und werden daher, wenn möglich, zuerst erfasst.

Die eigentliche Analyse findet an einer gesicherten Arbeitskopie statt. Das Original wird, soweit dies technisch möglich ist, unverändert verwahrt, damit eine unabhängige Nachprüfung möglich bleibt; unvermeidbare Eingriffe werden dokumentiert. Das Ergebnis wird so dokumentiert, dass eine fachkundige dritte Person jeden Schritt vom Ausgangsmaterial bis zur Feststellung nachvollziehen kann.

Wichtig ist die Trennung der Ebenen: Ein technischer Befund beschreibt, was ein System aufgezeichnet hat. Die fachliche Einordnung erklärt, was dieser Befund bedeuten kann – und unter welchen Voraussetzungen. Ob ein Ergebnis in einem Verfahren verwertet wird, entscheiden ausschließlich Gerichte oder Ermittlungsbehörden.

Quellen: [1] · [2]

AQON INTELLIGENCE wählt die Verfahren je Auftrag nach Fragestellung, vorliegendem Material und technischen Möglichkeiten aus. Eingesetzte Systeme und ihre Versionsstände werden je Auftrag dokumentiert.

Welche Sicherungs- und Auswertungsverfahren in Betracht kommen, hängt vom Gerätetyp, vom Betriebssystemstand, vom Zustand des Materials und von der konkreten Fragestellung ab. Automatisch erzeugte Hinweise werden fachlich geprüft und belegen für sich genommen weder einen Vorgang noch dessen Ausschluss.

Ergebnisse hängen von der Werkzeuggeneration und dem Versionsstand ab. Deshalb werden die eingesetzten Systeme und ihre relevanten Versionsstände je Auftrag festgehalten.

Kein Werkzeug garantiert ein Ergebnis. Unterstützungsumfänge ändern sich mit Modell, Betriebssystemstand und Verschlüsselung. Was ein System im Einzelfall nicht erfassen konnte, wird im Gutachten als Einschränkung benannt.

Eine Untersuchung folgt einer festen Kette: Annahme und Dokumentation des Ausgangszustands, eindeutige Kennzeichnung des Materials, schreibgeschützte Sicherung mit Prüfsummen, Auswertung an der Arbeitskopie, dokumentierte Analyseschritte und ein Gutachten, das Befund, Einordnung und Grenzen trennt. Diese dokumentierte Übergabekette wird als Chain of Custody bezeichnet.

Bei der Annahme werden Übergabezeitpunkt, äußerer Zustand, Betriebszustand und vorhandene Kennzeichnungen festgehalten. Jedes Gerät erhält eine eigene Kennung; Seriennummern, IMEI und Modellbezeichnungen werden erfasst, damit spätere Aussagen einem konkreten Objekt zuzuordnen sind.

Die Sicherung erfolgt schreibgeschützt, wo immer das technisch möglich ist. Bei Systemen, die nur im laufenden Betrieb ausgelesen werden können, wird die dadurch bedingte Veränderung begründet und dokumentiert. Alle Übergaben und Zugriffe auf das Material werden protokolliert.

Das Gutachten beschreibt Auftrag, Methodik, Prüfschritte, technische Befunde und Ergebnisse verständlich und nachvollziehbar. Eine verbindliche Zusage zur gerichtlichen Verwertbarkeit kann nicht gegeben werden – das entscheiden die zuständigen Stellen. Die ausführliche Beschreibung der Beweissicherung steht auf der Seite Digitale Beweissicherung.

Quellen: [1] · [4] · [2]

Eine Wiederherstellung kann möglich sein, ist aber nicht zugesichert. Entscheidend ist, ob verwertbare Datenreste noch vorhanden und technisch zugänglich sind. Ob sich gelöschte Dateien oder Nachrichten rekonstruieren lassen, wird am konkreten Datenbestand geprüft.

Bei der Untersuchung von Computer-Datenträgern können auch gelöschte Dateien und nicht zugeordnete Speicherbereiche berücksichtigt werden. Die SWGDE beschreibt diese Prüfung als einen möglichen Untersuchungsschritt; daraus folgt keine Erfolgsgarantie für ein bestimmtes Gerät.

NIST SP 800-88 Rev. 2 behandelt die sichere Bereinigung von Speichermedien. Die Veröffentlichung ist keine Zusage zur Wiederherstellbarkeit gelöschter Smartphone- oder Messenger-Daten.

Nach einer Erstanalyse wird benannt, welche Untersuchung im konkreten Fall realistisch möglich ist. Fehlt ein Fund, bedeutet das nicht zwingend, dass ein Inhalt nie existiert hat – er ist dann in den zugänglichen Daten nicht nachweisbar.

Weiterführend: Smartphone- und Tablet-Forensik · Datenrettung

Quellen: [2] · [5]