CyberGlossary

Forensik und Incident Response

Beweismittelkette

Auch bekannt als: CoC, Beweiskette

Definition

Lückenlose, dokumentierte Aufzeichnung jeder Person, jedes Orts und jeder Handlung in Bezug auf ein Beweismittel von der Sicherstellung bis zur Vernichtung.

Die Chain of Custody (CoC) bewahrt Integrität und Verwertbarkeit digitaler wie physischer Beweise. Jede Übergabe wird mit Zeitstempeln, Identifikatoren (Fallnummer, Asservaten-ID, Hashwerte) und Unterschriften erfasst; Asservate werden in manipulationsgeschützten Behältnissen und Zutrittskontrollräumen aufbewahrt. Best Practices folgen ISO/IEC 27037, NIST SP 800-86 sowie ACPO/SWGDE: Sicherung mit Write Blocker, kryptografische Hashes (SHA-256) vor und nach jeder Kopie, Arbeitsduplikate. Eine unterbrochene Kette — fehlende Einträge, abweichende Hashes, gebrochene Siegel — kann zur Unverwertbarkeit führen und Verfahren, Versicherungs- oder Aufsichtsfälle gefährden.

Beispiele

  • Unterschriebenes CoC-Formular dokumentiert sichergestellten Laptop von der Sicherung bis zur Gerichtsverhandlung.
  • SHA-256-Hash-Protokoll belegt unveränderten Datenträger zwischen Sicherung und Auswertung.

Verwandte Begriffe