Forensische Grundlagen und Beweiskette

Digitale Forensik ist die methodische Gewinnung, Sicherung und Analyse digitaler Beweismittel, damit die Ergebnisse einer Überprüfung standhalten, auch vor Gericht.

Sie ist nicht nur Datenwiederherstellung. Das entscheidende Kriterium ist die forensische Belastbarkeit: Jede Handlung muss dokumentiert, reproduzierbar und unvoreingenommen sein.

• Identifizierung relevanter Beweisquellen
• Sicherung ohne Veränderung
• Analyse mit validierten Methoden
• Darstellung in klaren, reproduzierbaren Berichten

Bei der Reaktion auf einen laufenden Vorfall sammeln Sie Beweise aus der flüchtigsten bis zur am wenigsten flüchtigen Quelle. Daten, die am schnellsten verschwinden, müssen zuerst erfasst werden.

• CPU-Register und Cache
• Routingtabelle, ARP-Cache, Prozessliste, Netzwerkverbindungen
• Arbeitsspeicher (RAM)
• Temporäre Dateisysteme
• Festplatte
• Remote-Logging und Archivmedien

RFC 3227 kodifiziert dieses Prinzip. Wenn Sie das Festplatten-Image zu früh erstellen, gehen Live-Artefakte aus dem RAM für immer verloren.

Die Beweiskette ist der dokumentierte chronologische Nachweis darüber, wer Beweismittel wann und warum gehandhabt hat und was damit geschehen ist.

Eine einzige Lücke kann dazu führen, dass Beweismittel nicht als Beweis zugelassen werden. Jeder Transfer wird protokolliert.

• Wer das Element gesammelt und entgegengenommen hat
• Was das Element ist (Seriennummer, Hash, Beschreibung)
• Wann jede Übergabe erfolgte
• Wo es gespeichert wurde
• Warum die Verwahrung wechselte

Kryptografische Hashes belegen, dass sich Beweismittel nicht verändert haben. Sie berechnen bei der Erfassung einen Hash und später erneut; übereinstimmende Werte belegen die Integrität.

Verwenden Sie SHA-256 als modernen Standard. MD5 und SHA-1 kommen in älteren Tools noch vor, sind aber anfällig für Kollisionen; viele Labore erfassen beide zur gegenseitigen Überprüfung.

Ein Schreibblocker sitzt zwischen Ermittler und Beweismittellaufwerk und erlaubt Lesezugriffe, während er Schreibzugriffe physisch oder logisch verhindert. Dadurch wird garantiert, dass das Original während der Erfassung niemals verändert wird.

• Hardware-Schreibblocker sind zwischengeschaltete Geräte und werden für gerichtliche Arbeiten bevorzugt
• Software-Schreibblocker stellen das Betriebssystem auf einen schreibgeschützten Mount ein

Selbst das normale Einhängen eines Laufwerks kann Zugriffszeitstempel aktualisieren, daher ist ein Schreibblocker für Originalmedien zwingend erforderlich.

Die goldene Regel: Analysieren Sie eine verifizierte Kopie und bewahren Sie das Original auf. Das Original kommt in die Beweismittelverwahrung und wird so wenig wie möglich berührt.

Best Practice ist, mindestens zwei Kopien anzufertigen: ein Arbeits-Image für die Analyse und ein unverändertes Archiv-Master. Beide müssen denselben Hash wie die Quelle haben.

Zeitnahe Notizen sind ebenfalls Beweismittel. Dokumentieren Sie Handlungen während Sie sie ausführen, nicht später aus dem Gedächtnis.

• Versehen Sie jede Handlung mit einem Zeitstempel (verwenden Sie UTC, um Mehrdeutigkeiten zu vermeiden)
• Fotografieren Sie den Fundort und den Gerätezustand
• Notieren Sie die Namen und Versionen der Tools
• Vermerken Sie Anomalien oder Fehler

Wenn es nicht schriftlich festgehalten ist, ist es vor Gericht faktisch nicht geschehen.

Bevor Sie irgendetwas berühren, bestätigen Sie die rechtliche Befugnis: einen Durchsuchungsbeschluss, eine Einwilligung, eine interne Genehmigung oder eine anwendbare Vorschrift. Das Überschreiten des Geltungsbereichs kann den gesamten Fall entwerten und den Ermittler haftbar machen.

Forensik ist an die jeweilige Gerichtsbarkeit gebunden. Grenzüberschreitende Daten, Erwartungen der Beschäftigten an den Schutz ihrer Privatsphäre und Datenschutzrecht (GDPR, KVKK) schränken allesamt ein, was Sie erfassen dürfen und wie.

Ergebnisse müssen reproduzierbar sein: Eine andere untersuchende Person, die mit validierten Tools dieselben Beweismittel untersucht, sollte zum selben Schluss kommen.

Deshalb verwenden Labore geprüfte Tools mit Versionskontrolle (nach Möglichkeit von NIST CFTT getestet) und dokumentieren Tool-Versionen. Benutzerdefinierte oder nicht geprüfte Skripte beeinträchtigen die forensische Belastbarkeit.

Ein dedizierter, isolierter Arbeitsplatz verhindert eine Kreuzkontamination und das versehentliche Austreten von Beweisdaten über das Netzwerk.

• Physisch vom Netzwerk getrennt oder durch eine strikt konfigurierte Firewall geschützt
• Bereinigte (gelöschte und verifizierte) Zielmedien für Images
• Validiertes Toolset (Autopsy, Sleuth Kit, Volatility, Wireshark)
• Protokollierter Zugriff

Die Integrität muss nicht nur bei der Erfassung, sondern während der gesamten Speicherung nachweisbar sein. Berechnen Sie regelmäßig sowie nach jeder Übertragung erneut den Hash und vergleichen Sie ihn mit der Ausgangsbasis der Erfassung.

• Manipulationssichere Siegel auf physischen Medien
• Zugriffskontrollierte und protokollierte Beweismittelspeicherung
• Aufgezeichneter Hash bei jeder Übergabe in der Beweiskette

Weicht ein späterer Hash vom ursprünglichen ab, gilt das Beweismittel als kompromittiert und seine Ergebnisse werden angefochten.

Testen Sie Ihr Verständnis der Reihenfolge bei der Erfassung.

Sie haben die Grundlagen einer gerichtsfesten Forensik behandelt:

• Reihenfolge der Flüchtigkeit bestimmt die Erfassungsreihenfolge
• Beweiskette dokumentiert jede Übergabe
• Hashing (SHA-256) weist die Integrität nach
• Schreibblocker schützen Originale
• Arbeiten Sie immer mit verifizierten Kopien
• Dokumentation, rechtlicher Umfang und Wiederholbarkeit machen Beweismittel gerichtsverwertbar

Als Nächstes setzen Sie diese Grundsätze in tatsächliche Disk-Images und die Wiederherstellung von Artefakten um.