Beweise gehen in der ersten Stunde verloren

Was der Arbeitstag tatsächlich füllt

Der Anteil, den sich Außenstehende vorstellen, also das Wiederherstellen gelöschter Dateien und das Entschlüsseln von Datenträgern, ist klein. Den größten Teil macht die Zusammenführung vieler unspektakulärer Quellen aus: Anmeldeereignisse, Zeitstempel im Dateisystem, Protokolle von Firewall und Proxy, Postfachzugriffe, Aufgabenplanung. Aus diesen Bruchstücken entsteht eine Chronologie, und die Kunst besteht darin, zu erkennen, welche Lücken darin unvermeidlich sind und welche auf ein Aufräumen hindeuten.

Der zweite große Teil ist Warten und Abstimmen. Während du arbeitest, will die Geschäftsführung produzieren, die IT will neu aufsetzen und die Kommunikation will wissen, was sie sagen darf. Eindämmung und Beweissicherung stehen dabei im Widerspruch: Jede Maßnahme, die den Angreifer aussperrt, verändert das System, das du untersuchst. Diese Abwägung triffst du nicht allein, aber du musst sie erklären können, und zwar in Sätzen ohne Fachbegriffe.

Der dritte Teil ist der Bericht, und er ist das Produkt. Ein forensischer Bericht trennt sauber zwischen dem, was belegt ist, dem, was daraus folgt, und dem, was offen bleibt. Er nennt die verwendeten Werkzeuge und Fassungen, die Prüfsummen der Abbilder und den Zeitpunkt jedes Schritts. Und er ist so geschrieben, dass eine Juristin ihn versteht, denn sie ist häufig die eigentliche Leserin.

Der Unterschied zum Penetration Tester, und warum er wichtig ist

Beide Rollen werden gern in einen Topf geworfen, weil in beiden jemand tief in fremde Systeme schaut. Der Auftrag ist aber entgegengesetzt. Ein Penetration Tester arbeitet vor dem Vorfall: Er simuliert einen Angriff in einem vereinbarten Umfang, mit schriftlicher Beauftragung, in einem festen Zeitfenster, und liefert am Ende eine Liste von Schwachstellen mit Empfehlungen. Ein IT-Forensiker arbeitet danach: Er untersucht einen tatsächlich stattgefundenen Vorfall und liefert eine belegte Chronologie dessen, was passiert ist.

Daraus folgt ein handfester Unterschied im Handwerk. Der Prüfer darf Spuren hinterlassen, er muss sogar dokumentieren, welche er hinterlassen hat, damit die Verteidigungsseite sie zuordnen kann. Der Forensiker darf keine erzeugen und muss belegen, dass er keine erzeugt hat. Der Prüfer arbeitet gegen ein Zeitfenster, der Forensiker gegen einen Zustand, der sich mit jeder Stunde verschlechtert. Der Prüfer schreibt für die IT, der Forensiker häufig für Nichttechniker mit rechtlichem Interesse.

In der Praxis überschneiden sich die Fähigkeiten trotzdem, und viele wechseln zwischen beiden Seiten. Wer Angriffstechniken kennt, weiß, wonach er in den Protokollen sucht, und wer Spuren lesen kann, versteht, warum ein Angriff auffällt. Wenn du dich entscheidest, entscheide nach dem Arbeitsrhythmus: Prüfaufträge sind planbar, Vorfälle nicht. Forensik heißt regelmäßig, dass ein Freitagnachmittag zum Wochenende wird.

Auch zum Sicherheitsbetrieb gibt es eine Grenze. Ein Security Operations Center erkennt und reagiert im laufenden Betrieb, unter Zeitdruck und mit dem Ziel, den Schaden zu begrenzen. Die Forensik setzt danach an, mit anderem Tempo und anderem Maßstab, weil ihr Ergebnis einer rechtlichen Prüfung standhalten muss. In kleineren Häusern macht dieselbe Person beides, in größeren sind es getrennte Teams mit getrennter Werkzeugkette.

Woran zwei Leute mit gleicher Berufsdauer auseinandergehen

Der erste Unterschied ist die Disziplin bei der Dokumentation. Es gibt Leute, die schnell zum Ergebnis kommen und ihre Schritte hinterher rekonstruieren, und solche, die mitschreiben, während sie arbeiten. Nur die zweite Sorte kann ein halbes Jahr später vor Gericht erklären, warum ein bestimmter Zeitstempel so und nicht anders zu lesen ist. Das ist unspektakulär und der wichtigste Punkt in dieser Rolle.

Der zweite Unterschied ist der Umgang mit dem eigenen Werkzeug. Wer die Ausgabe eines Auswertungsprogramms für die Wahrheit hält, übersieht die Fälle, in denen es eine Struktur nicht kennt oder falsch deutet. Wer stattdessen weiß, wo die Information ursprünglich steht, kann gegenprüfen. Genau danach fragt die Gegenseite, wenn Geld im Spiel ist.

Der dritte Unterschied ist die Fähigkeit, Unsicherheit auszuhalten und trotzdem eine Aussage zu treffen. Vollständige Klarheit gibt es selten. Gute Berichte sagen, was belegt ist, was wahrscheinlich ist und was offen bleibt, und sie tun das, ohne sich hinter Vorbehalten zu verstecken. Wer entweder alles behauptet oder gar nichts, ist in beiden Fällen unbrauchbar.

Wohin die Rolle führt

Die erste Richtung ist die Vorfallsbewältigung insgesamt. Wer nicht nur auswertet, sondern die Bewältigung leitet, koordiniert Eindämmung, Kommunikation, Meldepflichten und Wiederaufbau. Das ist eine Führungsaufgabe unter Druck, und sie wird meist von Leuten übernommen, die vorher selbst ausgewertet haben.

Die zweite Richtung ist die Spezialisierung. Mobile Geräte, Umgebungen bei Cloud-Anbietern, industrielle Steuerungen und das Zerlegen von Schadsoftware sind jeweils eigene Felder mit eigener Werkzeugkette. In Wirtschaftsprüfung und Revision gibt es zusätzlich einen ganzen Zweig, in dem es nicht um Angriffe von außen geht, sondern um Untreue, Datenabfluss durch Beschäftigte und Streitigkeiten zwischen Unternehmen.

Die dritte Richtung ist die öffentlich bestellte Sachverständigentätigkeit. Wer regelmäßig für Gerichte arbeitet, wächst in eine Rolle hinein, in der die fachliche Aussage vor allem verständlich und angreifbar dokumentiert sein muss. Und schließlich führt der Weg zurück in die Vorsorge: Viele Forensiker beraten irgendwann Betriebe dabei, ihre Protokollierung so einzurichten, dass eine spätere Untersuchung überhaupt möglich ist. Das ist meist die wirksamste Arbeit, die man in dem Feld tun kann, und sie passiert vor dem Vorfall.

Warum auf dieser Seite keine Gehaltszahl steht

Die Klassifikation der Berufe, nach der die amtliche Verdiensterhebung rechnet, kennt für die IT-Forensik keine eigene Berufsgattung. Die Stellen verteilen sich auf mindestens vier Bereiche mit völlig unterschiedlichen Bezahlstrukturen: den Sicherheitsbetrieb von Unternehmen, Beratungshäuser und Notfalldienstleister, die Revision und Wirtschaftsprüfung sowie den öffentlichen Dienst bei Polizei und Ermittlungsbehörden. Ein Mittelwert über diese vier Welten wäre eine Zahl ohne Bedeutung.

Die Angaben, die auf Vergleichsportalen zu diesem Beruf stehen, stammen aus Selbstauskünften, deren Fallzahl und Verfahren nicht offengelegt sind. In einem kleinen Feld mit sehr unterschiedlichen Arbeitgebern trägt so ein Wert besonders wenig, und wir drucken ihn deshalb nicht nach.

Belegbar sind zwei Größen, die du selbst nachschlagen kannst. Für den öffentlichen Dienst gelten veröffentlichte Entgelt- und Besoldungstabellen, dort ist die Einordnung transparent nachlesbar. Für die Privatwirtschaft weist das Statistische Bundesamt Verdienste auf Branchenebene aus, unter anderem für Information und Kommunikation. Beides ist eine Größenordnung für ein Umfeld, keine Aussage über diese Tätigkeit, und genau so sollte man es lesen.