Digitale Forensik.

Die digitale Forensik wendet Ermittlungstechniken auf digitale Artefakte an, um Incident Response, Gerichtsverfahren, interne Untersuchungen und Strafverfahren zu unterstützen. Fachleute folgen anerkannten Prozessmodellen wie NIST SP 800-86 und ISO/IEC 27037, um Daten integritätswahrend zu sichern, eine lückenlose Beweiskette zu führen und Ereignisse durch Timeline- und Artefaktanalyse zu rekonstruieren. Teildisziplinen umfassen Datenträger-, Speicher-, Netzwerk-, Mobil- und Cloud-Forensik mit jeweils spezialisierten Werkzeugen (Autopsy, EnCase, FTK, X-Ways, Volatility, Wireshark).

Prinzipien, die Beweise gerichtsfest machen

Die Sicherung folgt der Reihenfolge der Flüchtigkeit (RFC 3227): CPU-Register, RAM und Netzwerkzustand werden erfasst, bevor nicht flüchtige Datenträger angefasst werden, denn flüchtiger Speicher geht beim Abschalten verloren, enthält aber oft Verschlüsselungsschlüssel, injizierten Code und aktive Verbindungen. Datenträger-Images werden über Hardware-Write-Blocker erstellt und durch Abgleich der MD5/SHA-256-Hashes von Quelle und Kopie verifiziert – eine Abweichung bedeutet, dass der Beweis kompromittiert ist. Die ACPO- / Chain-of-Custody-Regel besagt, dass gesicherte Daten nicht verändert werden dürfen; wo eine Änderung unvermeidlich ist (Live-Sicherung), muss der Untersuchende kompetent sein und jede Handlung dokumentieren.

Die gerichtliche Verwertbarkeit beruht auf Reproduzierbarkeit. Der US-amerikanische Daubert-Standard und die vom FBI gegründeten SWGDE-Richtlinien verlangen Methoden, die andere Untersuchende wiederholen und im Peer-Review prüfen können – deshalb werden forensische Werkzeuge validiert (etwa im Computer Forensic Tool Testing des NIST) und deshalb protokollieren Analysten Werkzeugversionen und Hashwerte in ihren Berichten. Dieselbe Sorgfalt, die vor Gericht überzeugt, trägt auch fundierte Eindämmungsentscheidungen während eines Vorfalls.

flowchart LR
  A[Beweisquellen identifizieren] --> B[Sichern: isolieren,<br/>Reihenfolge der Flüchtigkeit]
  B --> C[Erfassen: Write-Blocker-Image<br/>+ Hash-Verifikation]
  C --> D[Analysieren: Timeline,<br/>Artefakte, Carving]
  D --> E[Dokumentieren: Beweiskette,<br/>Werkzeugversionen, Hashes]
  E --> F[Berichten: reproduzierbare,<br/>gerichtsfeste Ergebnisse]
  C -.Hash-Integrität wahren.-> E