Forensische Imageerstellung

Forensische Imageerstellung erzeugt eine exakte Kopie des Quellmediums (Datenträger, Partition, Wechselmedium) inklusive nicht zugeordnetem Speicher und Slack, geschrieben in Container wie EWF/E01, AFF4 oder Raw DD. Das Original ist durch Hardware- oder Software-Write-Blocker geschützt, das Image wird per SHA-256 (oder gepaartem MD5/SHA-1 für Altbestand) verifiziert, sodass jede Änderung erkennbar wäre. Praxis folgt ISO/IEC 27037 und NIST SP 800-86 mit Hashs vor und nach der Sicherung sowie dokumentierten Werkzeugversionen. Übliche Tools: FTK Imager, Guymager, dc3dd, EnCase, X-Ways. Das Image ermöglicht wiederholbare Analyse ohne Veränderung der Quelle.