Bevor ein Prozess gestartet wird, müssen die fundamentalen Regeln und die Natur der „Tatwerkzeuge“ und „Spuren“ verstanden werden.

Jede forensische Untersuchung unterliegt vier unumstößlichen Prinzipien, um die Qualität und rechtliche Anerkennung der Ergebnisse zu sichern:

1. Originalität nicht verändern: Das Original-Beweismittel wird niemals für die Analyse verwendet. Es wird eine bit-genaue Kopie (Image) erstellt, und nur diese wird untersucht.

2. Lückenlose Dokumentation: Jeder Schritt, vom Auffinden bis zum Abschlussbericht, muss detailliert protokolliert werden. Diese Chain of Custody (Beweismittelkette) stellt die Nachvollziehbarkeit sicher.

3. Wiederholbarkeit der Ergebnisse: Ein anderer qualifizierter Gutachter muss mit der Dokumentation und den gleichen Werkzeugen zum selben Ergebnis kommen können.

4. Qualifikation des Forensikers: Die Untersuchung erfordert tiefgehendes Fachwissen über die Methodik, die Werkzeuge und die rechtlichen Rahmenbedingungen.

Digitale Spuren haben einzigartige Merkmale, die das Vorgehen bestimmen:

Flüchtigkeit (Volatilität): Informationen können schnell verloren gehen (z.B. RAM-Inhalte bei einem Neustart).

Exakte Kopierbarkeit: Spuren können verlustfrei und bit-genau kopiert werden.

Nachweisbare Integrität: Kryptografische Hash-Verfahren (z.B. SHA-256) beweisen mathematisch, dass eine Kopie mit dem Original identisch ist.

Versteckbarkeit: Spuren können in für den Nutzer unsichtbaren Bereichen liegen (z.B. „gelöschte“ Dateien, Slack Space).

Menge und Komplexität: Die riesige Datenmenge erfordert spezialisierte Tools, um relevante Informationen zu finden.

Schwierige Zuordenbarkeit: Eine digitale Spur (z.B. IP-Adresse) lässt sich oft nur schwer einer realen Person zuordnen (Anonymisierungstechniken).

Um die Grundsätze in der Praxis umzusetzen, folgen Forensiker standardisierten Prozessmodellen und internationalen Normen.

Modelle gliedern eine komplexe Untersuchung in logische, handhabbare Phasen. Fast alle basieren auf dem fundamentalen Dreiklang Sichern → Analysieren → Präsentieren.

BSI-Modell (Bundesamt für Sicherheit in der Informationstechnik): Ein 5-Phasen-Modell, das im deutschen Raum als Standard gilt (Vorbereitung, Datensicherung, Analyse, Datenaufbereitung, Abschluss).

SANS-Modell (PICERL): Ein 6-Phasen-Modell aus dem Bereich Incident Response, das forensische Tätigkeiten in einen größeren Kontext der Vorfallsbewältigung einbettet. Quelle: cynet.com

NIST-Modell (National Institute of Standards and Technology): Ein 4-Phasen-Modell, das sich auf die technischen Kernaktivitäten konzentriert (Collection, Examination, Analysis, Reporting).

Dieser internationale Standard ist das weltweit anerkannte Fundament für den korrekten Umgang mit digitalen Beweismitteln in der ersten Phase einer Untersuchung. Er stellt sicher, dass Spuren von der Entdeckung bis zur Analyse ihre Integrität behalten.

Die Art der Spuren bestimmt, wann die Untersuchung stattfinden muss.

Jede Untersuchung produziert zwei Arten von Dokumenten:

Prozessbegleitende Dokumentation (Untersuchungsprotokoll): Ein technisches Echtzeit-Protokoll für Experten, das jeden Klick und jedes Ergebnis festhält. Es ist das Rückgrat der Chain of Custody.

Abschließende Dokumentation (Forensischer Bericht): Ein verständliches Gutachten für Nicht-Techniker (Gericht, Management), das die Ergebnisse und Schlussfolgerungen objektiv darlegt.

Die IT-Forensik wird meist im Kontext von Cyberkriminalität aktiv. Das Verständnis der Angriffsvektoren ist entscheidend für die Untersuchung.

Cybercrime sind Straftaten, die IT-Systeme entweder als Ziel (Hacking, DDoS) oder als Tatmittel (Online-Betrug, Datenhandel) nutzen. Die Motive sind meist finanzieller Gewinn, Spionage oder Sabotage.

Social Engineering & Phishing: Manipulation von Menschen zur Preisgabe von Informationen.

Schadsoftware (Malware): Einsatz von Ransomware, Trojanern, Viren oder Würmern.

Denial-of-Service (DoS): Überlastung von Diensten, um deren Verfügbarkeit zu stören.

Identitätsdiebstahl: Missbrauch persönlicher Daten für kriminelle Zwecke.

Cybercrime wird strafrechtlich verfolgt. Zentrale Tatbestände finden sich im Strafgesetzbuch (StGB), z.B.:

§ 202a: Ausspähen von Daten

§ 263a: Computerbetrug

§ 303b: Computersabotage

Hier eine Übersicht der häufigsten Malware-Typen, die Forensiker bei Untersuchungen finden.

Forensiker suchen in spezifischen Datenkategorien nach Spuren:

Hardwaredaten: Eindeutige Identifikatoren von Geräten (Seriennummern, MAC-Adressen).

Rohdateninhalte: Bit-genauer Inhalt eines Speichers, inkl. „gelöschter“ Bereiche.

Konfigurationsdaten: Einstellungen von OS und Software (z.B. aus der Registry).

Kommunikationsprotokolle: Logdateien von Firewalls, Servern und Routern.

Prozessdaten: Flüchtige Informationen über laufende Programme im RAM.

Sitzungsdaten: An- und Abmeldezeiten, Nutzeraktivitäten während einer Session.

Anwenderdaten: Vom Nutzer erstellte Dateien (Dokumente, E-Mails, Browserverlauf).

Die beste Forensik ist die, die man nicht braucht. Eine solide Basis an Sicherheitsmaßnahmen ist die wichtigste Verteidigungslinie:

Regelmäßige Updates & Patch-Management: Sicherheitslücken zeitnah schließen.

Sicherheitssoftware: Eine Kombination aus Antiviren-Software (AV) und Firewall nutzen.

Starke Authentifizierung: Multi-Faktor-Authentifizierung (MFA) wo immer möglich durchsetzen.

Principle of Least Privilege (PoLP): Nutzern und Systemen nur die absolut nötigen Rechte geben.

Zero-Trust-Architektur: Keinem Gerät oder Nutzer pauschal vertrauen – jede Anfrage verifizieren.

Backups: Regelmäßige und getestete Datensicherungen (3-2-1-Regel).

Mitarbeiterschulung: Aufgeklärte Benutzer sind die beste Verteidigung gegen Social Engineering.

Das BSI stellt zentrale Leitfäden und Standards bereit, die als Referenz für die IT-Forensik in Deutschland dienen.