IT-Forensik & digitale Beweissicherung

Bei einer Datenrettung zählt das Ergebnis: Die Datei ist wieder da, alles gut. Bei einer forensischen Sicherung zählt zusätzlich der Weg dorthin. Wer hatte den Datenträger wann in der Hand? Womit wurde gelesen? Lässt sich belegen, dass zwischen Übernahme und Auswertung nichts verändert wurde?

Deshalb steht am Anfang eine Sicherung, über die eine Prüfsumme gebildet wird — eine Art Fingerabdruck des Datenbestands. Jede spätere Auswertung läuft auf einer Kopie dieser Sicherung. Lässt sich die Prüfsumme jederzeit nachrechnen, ist belegt, dass die ausgewertete Kopie seit der Sicherung unverändert ist.

Bei Festplatten und SSDs ist das ein vollständiges Abbild, schreibgeschützt gelesen. Bei Smartphones ist ein bitgenaues Abbild oft nicht möglich, und jede Extraktion setzt voraus, dass das Gerät läuft und mit dem Extraktionssystem kommuniziert. Welche Eingriffe dafür nötig waren, wird deshalb dokumentiert.

Für Sie heißt das vor allem eines: Bitte greifen Sie vorher nicht selbst zu. Ein häufiger Grund, warum ein Datenbestand als Beweismittel an Wert verliert, ist nicht Manipulation, sondern gut gemeinte Eigeninitiative — ein Kollege, der „nur mal nachgesehen" hat.

Verschlüsselte Container, gesperrte Archive, Laufwerke mit vergessenem Passwort: Für Fälle mit rechtmäßigem Zugriffsanspruch arbeiten wir mit Passware. Die Verschlüsselung selbst wird dabei nicht gebrochen. Passware sucht strukturiert nach dem Passwort und kann — wenn vorhanden — Schlüssel auch aus Arbeitsspeicherabbildern oder Ruhezustandsdateien gewinnen.

Die Aussicht einer Passwortsuche hängt davon ab, wie viel bekannt ist: ungefähre Länge, verwendete Muster, alte Varianten, firmenübliche Regeln. Aus solchen Angaben lässt sich ein Suchraum bauen, der klein genug ist. Ohne Anhaltspunkte und ohne Schlüsselmaterial funktioniert es nicht, und wir sagen das lieber vorher.