Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Deutsch
Entry № 366

E01-Forensik-Image-Format (EnCase)

Was ist E01-Forensik-Image-Format (EnCase)?

E01-Forensik-Image-Format (EnCase)Ein von Guidance Software fuer EnCase eingefuehrtes Forensik-Image-Format, das die Akquise in komprimierten, segmentierten Dateien mit Metadaten und Pruefsummen ablegt.

E01, auch Expert Witness Compression Format (EWF) genannt, ist der De-facto-Standardcontainer fuer forensische Festplattenabbilder in Windows-orientierten DFIR-Workflows. Guidance Software (heute OpenText) entwickelte es fuer EnCase. Die Bit-fuer-Bit-Kopie des Datentraegers wird in einem oder mehreren nummerierten Segmenten (E01, E02, ...) zusammen mit Fall-Metadaten, Pruefer-Namen, MD5-/SHA-1-Hashes und blockweisen CRCs gespeichert, die Manipulationen erkennen. Das Format unterstuetzt Kompression und wird von praktisch allen kommerziellen und Open-Source-Forensik-Suiten (FTK, X-Ways, Autopsy und libewf-basierte Tools) gelesen. Ermittler waehlen E01, wenn Beweiskette, Integritaetspruefung und Werkzeug-Interoperabilitaet zentral sind.

● Beispiele

  1. 01

    Sicherung eines Verdachtslaptops mit FTK Imager und Speicherung als case01.E01, case01.E02, ...

  2. 02

    Read-only-Mount eines E01 mit Arsenal Image Mounter, um Triage-Tools darauf auszufuehren.

● Häufige Fragen

Was ist E01-Forensik-Image-Format (EnCase)?

Ein von Guidance Software fuer EnCase eingefuehrtes Forensik-Image-Format, das die Akquise in komprimierten, segmentierten Dateien mit Metadaten und Pruefsummen ablegt. Es gehört zur Kategorie Forensik und Incident Response der Cybersicherheit.

Was bedeutet E01-Forensik-Image-Format (EnCase)?

Ein von Guidance Software fuer EnCase eingefuehrtes Forensik-Image-Format, das die Akquise in komprimierten, segmentierten Dateien mit Metadaten und Pruefsummen ablegt.

Wie funktioniert E01-Forensik-Image-Format (EnCase)?

E01, auch Expert Witness Compression Format (EWF) genannt, ist der De-facto-Standardcontainer fuer forensische Festplattenabbilder in Windows-orientierten DFIR-Workflows. Guidance Software (heute OpenText) entwickelte es fuer EnCase. Die Bit-fuer-Bit-Kopie des Datentraegers wird in einem oder mehreren nummerierten Segmenten (E01, E02, ...) zusammen mit Fall-Metadaten, Pruefer-Namen, MD5-/SHA-1-Hashes und blockweisen CRCs gespeichert, die Manipulationen erkennen. Das Format unterstuetzt Kompression und wird von praktisch allen kommerziellen und Open-Source-Forensik-Suiten (FTK, X-Ways, Autopsy und libewf-basierte Tools) gelesen. Ermittler waehlen E01, wenn Beweiskette, Integritaetspruefung und Werkzeug-Interoperabilitaet zentral sind.

Wie schützt man sich gegen E01-Forensik-Image-Format (EnCase)?

Schutzmaßnahmen gegen E01-Forensik-Image-Format (EnCase) kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Welche anderen Bezeichnungen gibt es für E01-Forensik-Image-Format (EnCase)?

Übliche alternative Bezeichnungen: EWF, Expert-Witness-Format, EnCase-Image.

● Verwandte Begriffe

● Siehe auch