Was ist digitale Forensik?

Jede Aktion auf einem informationstechnischen System wie einem Computer hinterlässt Spuren. Aus diesen Spuren können Forensik-Experten Rückschlüsse auf Tätigkeiten am Computer oder IT-System herstellen und damit Straftaten wie Hacker-Angriffe oder Schadsoftwarebefall aufklären. Wie gehen Experten für digitale Forensik dabei vor?

Welche Arten von digitalen Spuren gibt es?

Die digitale Forensik beschäftigt sich mit digitalen Spuren. Diese liegen auf dem Computer an verschiedenen Stellen. Ein Teil liegt auf dem Massenspeicher des Computers wie Festplatten (HDDs) oder Flash-Speichern (SSDs). Auf dem Massenspeicher liegen unter anderem gespeicherte Dateien, Programme aber auch Log-Dateien. In diesen speichert der Computer viele der durchgeführten Aktionen.

Es gibt auch flüchtige Spuren, die sich beispielsweise im Arbeitsspeicher des Computers befinden. Hierbei handelt es sich um die aktuell ausgeführten Programme sowie deren Daten. Auch aktive Datenverbindungen gehören zu den flüchtigen Spuren, da diese vor und nach der Kommunikation nicht (mehr) bestehen.

Sicherung von Spuren

Die Sicherung von Spuren, auch Artefakte genannt, ist eine der wichtigsten Aufgaben der digitalen Forensik. Werden hier Fehler gemacht, können Sachverhalte gegebenenfalls später nicht mehr aufgeklärt werden. Aus diesem Grund ist dies die Aufgabe von Experten, sowohl bei der klassischen Forensik als auch in der digitalen Forensik. In der digitalen Forensik setzen Experten spezielle Software ein, um digitale Spuren zu sichern. Digitale Spuren sind sehr empfindlich. Eine Veränderung und damit Manipulation ist ohne Expertenwissen fast unausweichlich. Viele digitale Spuren sind flüchtig und können nur zu einem bestimmten Zeitpunkt gesichert werden, wie die Spuren im Arbeitsspeicher. Diese Spuren sind sehr schnell unwiederbringlich vernichtet.

Auswertung

Die korrekte Auswertung der digitalen Spuren setzt umfassende, tiefgreifende Computer-Kenntnisse und Spezial-Software voraus. Je nach Art der Spur und dem gesuchten Ereignis verwenden die Experten unterschiedliche Methoden und Software. Anschließend setzen sie die Erkenntnisse aus den einzelnen digitalen Spuren zusammen, um ein Gesamtbild zu erhalten. Dies kann man sich wie bei einem Krimi vorstellen, nur eben mit rein digitalen Spuren.

Ergebnisse digitaler Forensik

Ziel der forensischen Untersuchung ist die Aufklärung des Vorfalls. Hierbei spielen die klassischen W-Fragen eine zentrale Rolle. Oft werden gerichtsverwertbare Gutachten benötigt, falls Schadensersatz gefordert wird oder Strafanzeigen notwendig sind. Das gilt auf für Datenschutzvorfälle: Sind personenbezogene Daten betroffen, sind die Vorgänge gemäß der Artikel 33 und 34 DSGVO digital forensisch aufzuarbeiten. Der Verantwortliche im Sinne von Artikel 4 Nr. 7 DSGVO unterliegt einer Aufklärungs- und Informationspflicht. Dieser kann er nur nachkommen, wenn er weiß, was passiert ist. Aber auch aus Eigeninteresse sollten Verantwortliche rasch handeln. Ein sicherer Weiterbetrieb der IT-Systeme ist nur möglich, wenn alle Spuren der Schadsoftware und alle versteckten Hintertüren der Hacker gefunden und beseitigt wurden.

Fazit

Je früher Hacker-Angriffe aufgeklärt und Schadsoftware aufgedeckt werden, desto kleiner und überschaubarer ist der notwendige Aufwand und der mögliche Schaden. Deshalb ist jedem Betroffenen zu raten, Experten im Bereich digitale Forensik bei einem Verdacht auf Schadsoftware, bei Hacker-Angriffen oder bei Datenabflüssen frühzeitig hinzuziehen.