Das Gebiet der IT-Forensik umfasst die systematische Untersuchung verdächtiger Vorfälle, die im Zusammenhang mit IT-Systemen stehen. Die Untersuchung von Computern ist inzwischen auch bei Straftaten, die nicht im IT-Bereich angesiedelt sind, üblich. Selbst im Bereich der Steuerfahndung hat sich dies mittlerweile etabliert.

Digitalforensik (auch Computerforensik) wird heute in Unternehmen, Behörden und Kanzleien eingesetzt – etwa bei Verdacht auf Betrug, Manipulation, Insider-Aktivitäten, Urheberrechtsverletzungen, Datenabfluss, Malwarebefall oder Sabotage. Ziel ist es, verwertbare, gerichtsfeste Beweise zu sichern, Ursachen zu verstehen und die Chronologie eines Vorfalls belastbar zu rekonstruieren.

Moderne Einsatzfelder reichen von klassischen Arbeitsplatzrechnern über Server, Virtualisierung und Cloud-Dienste bis hin zu mobilen Endgeräten. Neben der klassischen Post-Mortem-Analyse hat sich die Live-Forensik etabliert, bei der flüchtige Artefakte wie Arbeitsspeicherinhalte, laufende Prozesse, Netzwerkverbindungen oder Entschlüsselungs-Keys aus dem RAM gesichert werden, bevor sie verloren gehen.

Beweissicherung in der IT-Forensik

Trotzdem natürlich bekannt ist, dass die einzelnen hinterlassenen Spuren, welche ausgewertet werden sollen, teilweise vergänglich sind, wird häufig bei computerforensischen Untersuchungen zuerst der Netzstecker gezogen. Im Anschluss sehen viele Verfahrensvorgaben den Ausbau der Festplatten mit anschließender Erzeugung eines forensischen Duplikates vor.

Praxis-Hinweis: Das sofortige Abschalten kann flüchtige Beweise wie RAM-Inhalte, aktive Schlüssel (z. B. für BitLocker oder FileVault) und laufende Netzwerkverbindungen unwiederbringlich zerstören. Daher erfolgt die Entscheidung „Strom aus“ stets abgewogen: Wenn ein akutes Risiko der Beweismanipulation besteht, kann das Abschalten gerechtfertigt sein; andernfalls ist eine kontrollierte Live-Sicherung der volatilen Daten vorzuziehen.

Unter einem forensischen Duplikat ist eine bitweise 1:1-Kopie eines digitalen Datenträgers zu verstehen. An diesem werden in der Regel alle Ermittlungsarbeiten vorgenommen, um versehentliche Änderungen an dem originalen Beweisstück zu verhindern. Die oft angewendeten Verfahren zur Beweissicherung in der digitalen Forensik verhindern zum Beispiel die Untersuchung der Inhalte des Arbeitsspeichers, denn diese werden beim Abschalten des Systems gelöscht.

Forensische Duplikate (Bitstream-Images, z. B. im RAW- oder E01-Format) werden mit Write-Blockern erstellt und unmittelbar durch Hashwerte (MD5/SHA-256) verifiziert. So lässt sich die Integrität zu jedem Zeitpunkt belegen. Auch Snapshots von virtuellen Maschinen sowie Exportdaten aus Cloud-Umgebungen können so gesichert und später reproduzierbar analysiert werden.

Ergänzend zur klassischen Analyse von Datenträgern beschäftigt sich die Computerforensik immer stärker mit der Auswertung von digitalen Spuren, die Smartphones und PDAs hinterlassen.

Aktueller Stand: Neben PDAs (ältere Geräteklasse) werden heute vor allem moderne Smartphones und Tablets (iOS/Android), Wearables, IoT-Geräte sowie MDM-verwaltete Endpunkte betrachtet. Je nach Situation kommen logische, Dateisystem- oder – sofern rechtlich zulässig – physische Sicherungsverfahren zum Einsatz. Metadaten, App-Artefakte, Standort-Informationen, Messenger-Daten und Cloud-Synchronisationen spielen eine zentrale Rolle.

Wie in allen Gebieten der Forensik sind auch im Bereich der digitalen Forensik einige Dinge bei der Beweismittelsicherung zu beachten:

• Die Originaldaten dürfen nicht verfälscht werden. Änderungen an den zu sichernden Datenträgern oder Protokollen sind auf jeden Fall zu vermeiden.
• Eine lückenlose Dokumentation der Beweismittelkette ist unerlässlich.
• Die Einbeziehung von Fachleuten verschiedener Spezialgebiete sollte unbedingt in

Erwägung gezogen werden. Damit zum Beispiel bei der Datenrettung nichts schief geht.

Ergänzende Grundsätze für gerichtsfeste Beweissicherung:

• Integrität prüfen: Für jedes Image Hashwerte erzeugen, protokollieren und beim Transfer erneut verifizieren.
• Chain of Custody: Übergaben, Zeiten, Orte, beteiligte Personen, Siegelnummern und Transportwege lückenlos dokumentieren.
• Zeitquellen synchronisieren: Systemuhren und Referenzquellen (NTP) festhalten, um Timeline-Analysen korrekt zu ermöglichen.
• Minimale Eingriffe: Nur notwendige Maßnahmen; alle Handlungen reproduzierbar und transparent dokumentieren.
• Datenschutz/Verhältnismäßigkeit: Zugriffsumfang auf das Erforderliche beschränken; Schutz unbeteiligter Dritter beachten.
• Tool-Transparenz: Eingesetzte Werkzeuge, Versionen, Prüfsummen, Parameter und Profile im Protokoll festhalten.
• Sichere Lagerung: Beweisstücke manipulationssicher verpacken, versiegeln und in kontrollierter Umgebung archivieren.
• Live-Daten zuerst: Wenn möglich volatile Artefakte (RAM, aktive Verbindungen, laufende Prozesse, Schlüsselmaterial) priorisieren.

Durchführung einer Analyse

Das Durchführen einer computerforensischen Analyse erfordert einen festen Prozess. Dieser unterteilt sich im Normalfall in vier Schritte. Begonnen wird mit der Identifizierung, gefolgt von der Sicherstellung der Datenträger. Anschließend können die gesicherten Materialien analysiert und hinterher zur Präsentation, vor Gericht zum Beispiel, aufbereitet werden. Im Teilprozess der Identifizierung geht es vor allem darum, die Ausgangslage detailliert darzustellen. Die Schwerpunkte der Tätigkeit liegen also in einer möglichst präzisen Dokumentation der Situation und der vorliegenden Beweismittel.

Strukturierter Ablauf orientiert sich in der Praxis an anerkannten Leitfäden (z. B. NIST, ISO 27037/27042/27043):

1. Identifizierung: Vorfallsbeschreibung, Hypothesenbildung, Scope-Definition (Systeme, Konten, Zeiträume), rechtliche Rahmenbedingungen, Risiken für Beweise.
2. Sicherstellung: Forensische Images erstellen (mit Write-Blocker), volatile Daten sichern, Hashwerte bilden, Chain of Custody führen, Verschlüsselungsschlüssel identifizieren.
3. Analyse: Artefakt- und Timeline-Analyse, Korrelation von Logs, Wiederherstellung gelöschter Strukturen, Muster- und IOCs-Suche, Verifikation gegen Hypothesen.
4. Aufbereitung/Präsentation: Klar strukturierter, nachvollziehbarer Bericht mit Methoden, Ergebnissen, Grenzen und Beweisanhang.

Der Schritt der Sicherstellung umfasst die eigentliche Beweiserhebung. Das Aufrechterhalten der Beweiskette und die Integrität der digitalen Beweise sind die vordergründigen Aufgaben. Das beinhaltet die Sicherung der Beweise auf Datenträgern, wenn möglich sollten auch kryptografische Verfahren zur digitalen Signatur der Daten zum Einsatz kommen. Dies gewährleistet die Unversehrtheit der Daten. Außerdem muss geklärt werden, ob das sicherzustellende System abgeschaltet werden muss oder ob eine Sicherung der flüchtigen Datenbestände, wie dem Inhalt des Arbeitsspeichers, offene Dateien und Netzwerkverbindungen, möglich ist.

Typische Analysebausteine umfassen unter anderem:

• Timeline-Rekonstruktion: Kombination von Dateisystem-Zeitstempeln (MACB), Prefetch, LNK, Jumplists, Registry-Hives, Browser-Verläufen und Event-Logs.
• Malware-/Incident-Spuren: Autostart-Mechanismen, persistente Dienste, Scheduled Tasks, Artefakte aus EDR/AV, Netzwerktelemetrie.
• E-Mail- und Dokumentanalyse: Header-Forensik, Metadaten, Versionshistorien, Druck- und Kopierereignisse, Kollaborationsspuren.
• Cloud-/SaaS-Artefakte: Exportierte Audit-Logs, Zugriffsprotokolle, Freigaben, Token-Nutzung, Konfigurationsänderungen.
• Verschlüsselung: Ermittlung und Sicherung von Keys (sofern rechtlich zulässig), Umgang mit BitLocker/FileVault, Container- und Archive-Analyse.
• Netzwerkforensik: PCAP-/Flow-Auswertung, Protokollanalyse, Zuordnung von IP/MAC, Korrelation mit Endpunktspuren.

Erst nach der Identifizierung und der Sicherstellung der Daten ist eine erste Analyse möglich. Da eine erfolgreiche Analyse von der richtigen Interpretation der vorliegenden Daten und Zusammenhänge abhängt, ist dies der Zeitpunkt, an dem gegebenenfalls Fachleute hinzugezogen werden sollten. Das nötige Fachwissen geht weit über administrative Kenntnisse im Bereich von Netzwerken und Betriebssystemen hinaus. Die Analyse findet normalerweise auf den forensischen Sicherungen statt und nicht an den originalen Datenträgern.

Qualitätssicherung ist zentral: Peer-Review, Vier-Augen-Prinzip, wiederholbare Tests, eindeutige Beweisreferenzen (Hash, Offset, Pfad) und klare Trennung von Beobachtung und Interpretation erhöhen die Beweiskraft.

Bei der Aufbereitung werden die Ergebnisse der Analyse in einem Bericht zusammengefasst. In diesem sollten Auskünfte zur Identität des Täters, dem Zeitraum und dem Umfang der Tat, der Motivation und auch der Durchführung enthalten sein. Der Detailgrad der Ausführungen ist selbstverständlich vom Beweismaterial abhängig.

Berichtsinhalte umfassen typischerweise: Auftrag und Zielsetzung, Rahmenbedingungen, eingesetzte Methoden/Werkzeuge (mit Versionen), Ergebnisse und Befunde, Grenzen/Unsicherheiten, Schlussfolgerungen, Anhänge mit Beweis-Referenzen, Hashlisten und – sofern zulässig – exemplarischen Artefakt-Screenshots. Eine klare, verständliche Sprache und eine logische Gliederung erleichtern die Verwendung vor Gericht.

Häufige Fragen und Antworten