Forensik ist die wissenschaftliche Methodik zur Aufklärung und Rekonstruktion von kriminellen Handlungen durch die Sicherung und Analyse von Spuren.
In unserem Fachgebiet, der IT-Forensik, wenden wir diese Methodik auf digitale Spuren an.
In wenigen Worten ist es die systematische, gerichtsverwertbare Untersuchung von IT-Sicherheitsvorfällen, um den Tathergang objektiv zu rekonstruieren. Dabei werden digitale Beweismittel so gesichert und analysiert, dass sie nicht verändert werden können.
Die wichtigsten Aspekte sind:
- Methodische Dateianalyse in IT-Systemen
- Untersuchung von Anomalien und Vorfällen
- Nutzung forensischer Tools und Verfahren
- Mittel der Strafverfolgung
- Orientierung an BSI-Leitfäden
BSI-Quellen für die IT-forensische Praxis
| Publikation | Relevanz für die IT-Forensik | Link |
|---|---|---|
| Leitfaden IT-Forensik | Das Grundlagenwerk. Definiert einen standardisierten Prozess für forensische Untersuchungen, von der Vorbereitung über die Datensicherung und Analyse bis zur Berichterstellung. | Leitfaden IT-Forensik |
| BSI-Standard 200-3: Notfallmanagement | Forensik ist ein integraler Bestandteil der Phase Bewältigung nach einem Notfall. Der Standard liefert den organisatorischen Rahmen. | BSI-Standard 200-3 |
| IT-Grundschutz-Kompendium (Baustein DER.2.1) | Der Baustein DER.2.1 Behandlung von Sicherheitsvorfällen beschreibt die Notwendigkeit, Spuren und Beweismittel nach einem Vorfall zu sichern. | IT-Grundschutz DER.2.1 |
| Die Lage der IT-Sicherheit in Deutschland | Der jährliche Lagebericht liefert wertvollen Kontext zu aktuellen Angriffsvektoren, Tätergruppen und Malware. | Aktueller Lagebericht |
| Technische Richtlinie TR-03125 (TR-ESOR) | Definiert die Anforderungen für die beweiswerterhaltende Langzeitspeicherung digitaler Objekte. | BSI TR-03125 TR-ESOR |
| Maßnahmenkatalog bei Cyber-Angriffen | Praxisorientierte Checkliste für den Ernstfall (Allianz für Cybersicherheit). | Maßnahmenkatalog (ACS) |
Cybercrime
Cybercrime bezeichnet Straftaten, die unter Ausnutzung der Informations- und Kommunikationstechnik (IKT) begangen werden. Man unterscheidet hierbei zwei Kernbereiche:
- Cybercrime im engeren Sinne: Straftaten, die sich gegen IT-Systeme richten (z.B. Hacken, Schadsoftware, Sabotage).
- Cybercrime im weiteren Sinne: Informationstechnik als Tatmittel für traditionelle Delikte (Betrug, Darknet-Handel).
Rechtliche und ethische Perspektiven in Deutschland
Cybercrime ist kein Kavaliersdelikt, sondern wird strafrechtlich verfolgt.
Relevante Tatbestände im Strafgesetzbuch (StGB):
- § 202a StGB: Ausspähen von Daten
- § 202b StGB: Abfangen von Daten
- § 263a StGB: Computerbetrug
- § 303a StGB: Datenveränderung
- § 303b StGB: Computersabotage
Perspektive des Chaos Computer Clubs (CCC): Der CCC kritisiert „Sicherheit durch Unwissenheit“ (Security through Obscurity). Die beste Verteidigung ist ein aufgeklärter Nutzer sowie offene Systeme. Der CCC warnt zugleich vor unverhältnismäßiger staatlicher Überwachung unter dem Vorwand der Cybercrime-Bekämpfung.
12 gängige Malware-Typen und Schutzmaßnahmen
- Viren: Heften sich an Dateien.
Schutz: EDR, Skript-Blocker. - Würmer: Verbreiten sich netzwerkweit.
Schutz: Systemhärtung, Patch-Management. - Ransomware: Verschlüsselt Daten.
Schutz: 3-2-1-1-0-Backup-Regel (Immutable). - Bots / Botnetze: Ferngesteuert für DDoS.
Schutz: Traffic-Analyse (C2-Server). - Trojaner: Tarnen sich als nützliche Software.
Schutz: App-Whitelisting. - Keylogger: Protokollieren Eingaben.
Schutz: Passwort-Manager, MFA.
- Rootkits: Manipulieren das OS tiefgreifend.
Schutz: File Integrity Monitoring (Tripwire). - Spyware: Spioniert Daten aus.
Schutz: Berechtigungsmanagement. - Dateilose Malware: Operiert im RAM (PowerShell).
Schutz: EDR, PowerShell-Logging. - Krypto-Jacking: Schürft Kryptowährungen.
Schutz: Ressourcen-Monitoring. - Wiper-Malware: Zerstört Daten und MBR.
Schutz: Offline-Backups, Segmentierung. - Adware: Bösartige Werbeeinblendungen.
Schutz: Ad-Blocker, Vorsicht bei Setups.
Grundsätze der IT-Forensik
Die oberste Regel: Das Original-Beweismittel darf unter keinen Umständen verändert werden. Analysen finden ausschließlich auf forensischen 1:1-Kopien (Images) statt.
- Lückenlose Dokumentation: Jeder Schritt wird detailliert protokolliert (Chain of Custody).
- Wiederholbarkeit: Ein anderer Sachverständiger muss zum selben Ergebnis kommen.
- Integrität: Nachweis der Unversehrtheit durch kryptografische Hashes (SHA-256).
Forensische Datenarten & Digitale Spuren
Digitale Spuren sind oft flüchtig. Sie werden klassifiziert in:
- Hardwaredaten: Seriennummern, MAC-Adressen.
- Rohdateninhalte: Bit-genauer Inhalt inkl. gelöschter Dateien (unallocated space).
- Konfigurationsdaten: Registry, Firewall-Regeln.
- Kommunikationsprotokolle: PCAP, Firewall-Logs.
- Prozessdaten (flüchtig): Im RAM aktive Malware, offene Ports.
- Sitzungsdaten: Logins (SSH, RDP), Account-Aktivität.
- Anwenderdaten: Dokumente, Browser-Verlauf.
Die zwei Untersuchungszeitpunkte
Abhängig vom Zustand des Systems unterscheidet die IT-Forensik zwei grundlegende Herangehensweisen, die den weiteren Verlauf (siehe Praktischer Teil) diktieren:
1. Live-Analyse (Live Forensics)
Findet an einem laufenden System statt, um hochflüchtige Daten zu sichern (Inhalt des Arbeitsspeichers, aktive Netzwerkverbindungen, laufende Prozesse). Risiko: Jede Interaktion am System verändert potenziell Spuren. Es erfordert höchste Vorsicht.
2. Post-Mortem-Analyse
Findet an einem ausgeschalteten System statt. Hierbei wird ein forensisches Image des Datenträgers (HDD/SSD) erstellt. Vorteil: Alle weiteren tiefgehenden Analysen finden völlig risikofrei auf dieser exakten 1:1-Kopie statt, während das Original sicher verwahrt wird.
Forensische Modelle und Dokumentation
Das Vorgehen orientiert sich an standardisierten Modellen (z.B. BSI-Modell oder SANS-PICERL). Die Basis ist immer das SAP-Prinzip (Secure, Analyse, Present). Für Ersthelfer gilt der ISO-Standard ISO/IEC 27037 (Identifizierung, Sammlung, Sicherung, Aufbewahrung).
Dokumentation in der Forensik
- Untersuchungsprotokoll (prozessbegleitend): Das technische Logbuch. Enthält Zeitstempel, Tool-Versionen und Hashwerte. Ermöglicht 100%ige Reproduzierbarkeit.
- Forensischer Bericht (abschließend): Das finale Gutachten für nicht-technische Zielgruppen (Management/Justiz). Übersetzt Technik in klare Schlussfolgerungen.
Weiter zu: Teil 2: Praktischer Teil (Fallbeispiele & Werkzeuge)