Computerkriminalität ist ein sensibles Thema, das Ermittlungsbehörden, Unternehmen und Privatpersonen gleichermaßen betrifft. Immer häufiger werden Fälle durch die Auswertung digitaler Spuren aufgeklärt. In der Praxis werden hierzu komplette Rechneranlagen beschlagnahmt und von IT-Fahndern systematisch untersucht. Die beteiligten Spezialisten benötigen dafür fundierte Kenntnisse in IT-Forensik, Dateisystemen und Beweismittelhandhabung, damit Daten korrekt gesichert, analysiert und gerichtsfest dokumentiert werden.

Typische Szenarien reichen von Betrugsdelikten, Insider-Vorfällen, Wirtschaftskriminalität und Wettbewerbsverstößen bis hin zu Fällen mit Schadsoftware, Ransomware, unerlaubter Datenexfiltration oder der Manipulation von Logdateien. Ziel ist stets, die Integrität der Informationen zu bewahren, die Authentizität sicherzustellen und eine lückenlose Nachvollziehbarkeit zu gewährleisten.

Dennoch gibt es viele Täter, die sich Zeit verschaffen und gezielt versuchen, Spuren zu verwischen – etwa durch Mehrfachlöschungen, Verschlüsselung, das Überschreiben freier Bereiche, den Einsatz von Anti-Forensik-Tools oder das Beschädigen von Datenträgern. Die forensische Datenrettung ist daher besonders wichtig. Fehler dürfen hier nicht passieren, denn das Ergebnis ist oft ausschlaggebend für den Erfolg der Ermittlungen. Häufig werden anerkannte Datenrettungsfirmen mit der Beweissicherung beauftragt. Sie sorgen dafür, dass die wiederhergestellten Daten auch in einem Gerichtsverfahren gerichtsfest bleiben und nicht an Beweiskraft verlieren.

Besonderheiten moderner Datenträger – etwa SSD-TRIM, Wear-Leveling, RAID-Verbünde, virtuelle Maschinen oder Cloud-Exports – erfordern ein methodisches Vorgehen. Ebenso relevant ist die Unterscheidung von historischen Verfahren (z. B. ältere Prüfsummen wie MD5/SHA‑1) und aktuellen Best Practices (z. B. SHA‑256/SHA‑3), die ergänzend eingesetzt werden, um die Beweisintegrität nach heutigen Maßstäben zu untermauern.

Die Beweismittelsicherung

Um in einem Gerichtsverfahren Erfolg zu haben, dürfen die Beweise nicht widerlegt werden können. Bei beschlagnahmten Rechnern des Täters werden daher sehr aufwendig alle Festplattendaten untersucht. IT-Spezialisten nutzen zu diesem Zweck verschiedene Datenrettungsprogramme, mit denen die Daten auch noch nach mehreren Löschvorgängen von dem Datenträger rekonstruiert werden können. Hier ist natürlich eine mühselige Kleinstarbeit gefordert. Schließlich müssen die ausgewerteten Daten in einem Gerichtsverfahren ansprechend präsentiert werden, so dass auch der Richter auf den ersten Blick erkennt, dass hier eine Straftat vorliegt.

• Sicherstellung und Dokumentation: Lückenlose Erfassung von Ort, Zeit, Zustand und Zugriffskette (Chain of Custody) – vom ersten Kontakt bis zur Archivierung.
• Schreibgeschützte Auslese: Einsatz von Write-Blockern, um Veränderungen am Original zu verhindern.
• Forensisches Imaging: Erstellung eines Bit-für-Bit-Abbilds inkl. nicht zugewiesenem Speicher, Slack Space und gegebenenfalls versteckten Bereichen.
• Integritätsprüfung: Berechnung und Vergleich kryptografischer Hashwerte (historisch z. B. MD5/SHA‑1, ergänzend aktuell SHA‑256/SHA‑3) vor und nach dem Imaging.
• Umgang mit modernen Systemen: Beachtung von GPT statt MBR, APFS/NTFS/exFAT/ext4, NVMe gegenüber SATA, sowie Besonderheiten von SSDs (TRIM, Overprovisioning).
• Transparente Auswertung: Nachvollziehbare Analyse mit Protokollen, Zeitleisten, Artefakt-Übersichten und aussagekräftiger Visualisierung.

Für die Beweismittelsicherung wird häufig von der beschlagnahmten Festplatte eine komplette Spiegelung durchgeführt, anhand derer man die weiteren Untersuchungen vornimmt. Zur eigenen Beweislage muss die Kopie hundertprozentig mit der Originalplatte übereinstimmen. Dies wird über ein Prüfsummenverfahren gewährleistet.

In der Praxis kommen unterschiedliche Image-Formate zum Einsatz (z. B. RAW, segmentierte Container). Während ältere Verfahren primär auf MD5/SHA‑1 setzten, werden heute zusätzlich Hashes wie SHA‑256 oder SHA‑3 dokumentiert, um den aktuellen Anforderungen an Beweissicherheit zu entsprechen. Ergänzend kann – falls erforderlich – eine Live-Forensik erfolgen, um flüchtige Daten (z. B. RAM-Inhalte, laufende Prozesse, Netzwerkverbindungen) zu sichern, bevor ein System heruntergefahren wird.

Forensische Datenrettung

Um den jeweiligen Täter zu ermitteln, wird versucht, sämtlichen Spuren von einer Festplatte, beispielsweise über das Internet, bis hin zu weiteren Betroffenen zu ermitteln. Fehlbedienungen durch den IT-Fahnder sind hier besonders fatal. Sie können die gesamte Ermittlungsarbeit gefährden. Anerkannte Datenrettungslabore werden daher bei besonders schwerwiegenden Fällen hinzugezogen. Sie verfügen meist über aufwendigere Datenrettungsprogramme, als solche, die auf dem Markt zu bekommen sind.

Mit Hilfe dieser Spezialsoftware ist man in der Lage, den größten Teil vorab vom Täter gelöschter Dateibestände wieder zu rekonstruieren. Hierbei spielt ja auch immer der zeitliche Faktor eine Rolle, wie viel Zeit der Täter hatte, seine sensiblen Daten zu löschen. Besonders schwierig wird es, wenn der Datenträger dabei vollständig zerstört wurde. Aber auch bei einem bewusst durchgeführten Headcrash kann ein Datenrettungslabor unter Reinraumbedingungen noch diejenigen Sektoren auf einem anderen Datenträger retten, die vom Headcrash nicht betroffen sind.

• Dateisystem- und Artefaktanalyse: NTFS-MFT, Journal, APFS-Snapshots, Logdateien, Browser-Historien und Messaging-Artefakte.
• File Carving: Signaturbasierte Rekonstruktion gelöschter Fragmente aus unzugeordneten Bereichen.
• Komplexe Speicherarchitekturen: RAID/NAS, virtuelle Festplatten, Container und verschlüsselte Volumes (z. B. BitLocker, VeraCrypt) mit forensisch sauberem Vorgehen.
• SSD-Besonderheiten: Berücksichtigung von TRIM, Garbage Collection und Wear-Leveling; differenzierte Lesestrategien.
• Zeitleisten: Korrelation von Ereignissen, Änderungen und Zugriffen zur Rekonstruktion des Tathergangs.

Während früher hauptsächlich MBR-Partitionierungen, FAT32 oder klassische SATA-HDDs im Fokus standen, sind heute GPT, APFS/NTFS, NVMe-SSDs, Container-Dateien und Virtualisierung gängig. Die Verfahren der Analyse wurden entsprechend erweitert und präzisiert, damit auch aktuelle Systeme belastbar ausgewertet werden können.

Dokumentation der Datenrettung

Ein wichtiges Kriterium für eine forensische Datenrettung ist eine ausführliche und nachweisbare Dokumentation. Jeder Datenrettungsversuch muss dokumentiert werden und vor Gericht standhalten. Die Historie und die Echtheit der Daten dürfen nicht verändert werden. Sämtliche Kopien der betroffenen Datenträger müssen im Verfahren beschrieben und archiviert werden. Neben Datenrettungsprogrammen wurden verschiedene Softwaretools entwickelt, die eine große Hilfe bei der digitalen Spurensicherung geworden sind. All diese Möglichkeiten können zusammen mit den ermittelten Daten in einem Gerichtsverfahren zur Überführung des Täters führen.

• Chain of Custody: Wer hatte wann und warum Zugriff? Lückenlose, signierte Protokolle.
• Integritätsnachweise: Hash-Werte des Originals und der Images (historisch MD5/SHA‑1, zusätzlich SHA‑256/SHA‑3), Zeitstempel, Prüfreports.
• Methodik und Werkzeuge: Exakt beschriebene Vorgehensweisen, Parametrisierung und Versionsstände der eingesetzten Tools.
• Ergebnisdarstellung: Reproduzierbare Befunde, Screenshots, Artefaktlisten, Zeitleisten, nachvollziehbare Schlussfolgerungen.
• Archivierung: Sichere, manipulationsgeschützte Ablage (z. B. WORM-konforme Speichermedien) und klar definierte Aufbewahrungsfristen.

Die Berichte werden so erstellt, dass sie für Fachleute und juristische Laien verständlich sind. Historische Verfahren werden im Report zur Einordnung erwähnt, während die aktuell empfohlenen Prüfmechanismen ergänzend genutzt und ausgewiesen werden. Dadurch bleibt die Beweiskraft langfristig erhalten.

Häufige Fragen und Antworten