Spurensicherung nach Vorfällen

Was ist digitale Forensik?

Digital Forensics, auch IT-Forensik

Digitale Forensik ist die methodische Sicherung, Untersuchung und Dokumentation von Daten aus IT-Systemen, damit sich nach einem Vorfall nachvollziehen lässt, was genau geschehen ist, und die Ergebnisse einer rechtlichen Überprüfung standhalten.

Nach einem Einbruch in ein System will die Geschäftsleitung wissen, was abgeflossen ist, und die Antwort hängt daran, was in den ersten Stunden gesichert oder zerstört wurde.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Grundregel: Untersucht wird die Kopie, nie das Original
Belegt durch: Prüfsummen und lückenlose Übergabekette
Reihenfolge: Flüchtige Daten zuerst sichern
Verwechselt mit: Incident Response

Ein Abbild statt des Originals

Gearbeitet wird nie auf dem betroffenen System, sondern auf einer bitgenauen Kopie. Von Original und Kopie wird jeweils eine Prüfsumme gebildet. Stimmen beide überein, ist belegt, dass die Untersuchung die Daten nicht verändert hat. Für den Zugriff kommt ein Schreibblocker zum Einsatz, damit allein das Anstecken des Datenträgers keine Zeitstempel verändert.

Aus diesem Abbild entsteht anschließend eine Zeitleiste: Wann wurde welche Datei angelegt, verändert, gelöscht, welcher Prozess lief, welche Anmeldung fand statt. Erst die Verknüpfung mehrerer Quellen, etwa Dateisystem, Ereignisprotokolle und Verbindungsdaten, ergibt eine belastbare Rekonstruktion.

Chain of Custody: Wer hatte wann Zugriff

Jede Übergabe eines Beweismittels wird protokolliert, mit Zeitpunkt, Person und Zustand. Diese lückenlose Kette entscheidet darüber, ob ein Fund später verwertbar ist. Reißt sie an einer Stelle, lässt sich der Einwand nicht mehr entkräften, die Daten könnten zwischenzeitlich verändert worden sein.

Dazu gehört auch Nüchternheit in der Dokumentation: festhalten, was beobachtet wurde, nicht, was man vermutet. Bewertungen gehören in ein eigenes Kapitel des Berichts, getrennt von den Befunden.

Die Reihenfolge der Flüchtigkeit

Der teuerste Fehler passiert in den ersten Minuten: Das betroffene System wird neu gestartet oder ausgeschaltet, weil es schnell wieder laufen soll. Damit sind Arbeitsspeicher, offene Netzwerkverbindungen und laufende Prozesse verloren, und genau dort liegt bei dateiloser Schadsoftware oft der einzige Beweis.

Die Regel lautet deshalb, von flüchtig nach dauerhaft zu sichern: erst Arbeitsspeicher und Verbindungszustand, dann laufende Prozesse, dann Datenträger, zuletzt Sicherungen und Protokolle auf anderen Systemen. Wer diese Reihenfolge im Notfallplan stehen hat, verliert im Ernstfall keine Zeit mit der Frage, womit zu beginnen ist.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Nicht verwechseln

Digitale Forensik und was oft damit gleichgesetzt wird

Digitale Forensik gegen Incident Response

Die Vorfallsbearbeitung will den Angriff stoppen und den Betrieb wiederherstellen, notfalls auf Kosten von Spuren. Die Forensik will verstehen und belegen. Beide Ziele stehen im Konflikt, deshalb wird vorher festgelegt, was Vorrang hat.

Digitale Forensik gegen E-Discovery

Bei E-Discovery geht es um das Auffinden und Aufbereiten vorhandener Dokumente und Nachrichten für ein Verfahren. Forensik rekonstruiert darüber hinaus Systemzustände und gelöschte Inhalte.

Digitale Forensik gegen Threat Hunting

Die Bedrohungssuche arbeitet vorwärts gerichtet und sucht Auffälligkeiten, bevor jemand Alarm schlägt. Forensik setzt ein, wenn ein Vorfall bereits feststeht.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

In der Praxis

Die wertvollsten Spuren verschwinden durch gut gemeinte Erste Hilfe

Der erste Reflex im Betrieb ist, das betroffene Gerät neu zu starten oder den Virenschutz aufräumen zu lassen. Damit sind der Arbeitsspeicher, die laufenden Verbindungen und häufig auch die Schadsoftware selbst weg. Vor jeder Bereinigung gehört deshalb die Sicherung: erst ein Abbild des Speichers, dann eines der Datenträger, jeweils mit Prüfsumme, damit sich später nachweisen lässt, dass an den Daten nichts verändert wurde.

Der zweite Punkt sind die Protokolle. Sie überschreiben sich nach Tagen oder Wochen, oft genau in dem Zeitraum, in dem der Angriff begonnen hat. Wer im Vorfeld die Aufbewahrung verlängert und die Uhren aller Systeme über eine gemeinsame Zeitquelle gleich stellt, spart in der Auswertung Tage, weil sich die Ereignisse verschiedener Systeme überhaupt erst zu einer Kette zusammenlegen lassen.

Und es ist nicht nur Technik. Sobald Geräte von Beschäftigten betroffen sind, sitzen Datenschutz und Betriebsrat mit am Tisch, und bei einem Verdacht auf eine Straftat entscheidet die Sauberkeit der Dokumentation darüber, ob die Ergebnisse vor Gericht Bestand haben. Wer erst im Ernstfall klärt, wer sichern darf und wer einen Datenträger überhaupt anfassen darf, verliert die Stunden, in denen es auf Tempo ankommt.

Digitale Forensik lernen

Den vollständigen Ablauf von der Erstsicherung bis zum Bericht trainieren die Kurse zu Incident Response und Spurensicherung an vorbereiteten Fallbeispielen.

Damit ein Vorfall überhaupt auffällt, braucht es tragfähige Schutz- und Protokollierungskonzepte, die in den Grundlagen der IT-Sicherheit im Unternehmen behandelt werden.

Wissen prüfen

Sitzt Digitale Forensik schon?

Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.

Wissenstest SC-900 Quiz - Security, Compliance & Identity FundamentalsBereite dich auf die Microsoft SC-900 Zertifizierungsprüfung vor. Teste dein Wissen zu Security, Compliance und Identity. Quiz starten

Kurse, die Digitale Forensik behandeln

Häufige Fragen

Darf ich den betroffenen Rechner einfach ausschalten?

Besser nicht, solange keine akute Ausbreitung droht. Beim Herunterfahren gehen Arbeitsspeicher und Verbindungsdaten unwiederbringlich verloren. Sinnvoller ist es, das Gerät vom Netz zu trennen und es eingeschaltet zu lassen, bis der Arbeitsspeicher gesichert ist.

Lassen sich gelöschte Dateien immer wiederherstellen?

Nein. Auf klassischen Festplatten bleiben gelöschte Inhalte oft lange lesbar, weil nur der Verweis entfernt wird. SSDs geben freie Blöcke im Hintergrund selbstständig frei, dort ist nach kurzer Zeit meist nichts mehr zu holen. Verschlüsselte Datenträger ohne Schlüssel sind ohnehin verloren.

Was muss im Unternehmen geklärt sein, bevor untersucht wird?

Wer die Untersuchung anordnen darf, welche Systeme betroffen sein dürfen und wie mit personenbezogenen Daten umgegangen wird. Bei Arbeitsplatzgeräten sind Datenschutz und Mitbestimmung im Spiel, deshalb gehören Betriebsrat und Datenschutzbeauftragte vorher an den Tisch, nicht hinterher.

Persönlich für dich da