Digitale Forensik
Digitale Forensik und Beweissicherung
Digitale Informationen können bei wirtschaftlichen, technischen oder rechtlichen Fragestellungen entscheidend sein. Im Rahmen von FORENSIKWERK können die beteiligten Fachunternehmen bei der strukturierten Sicherung, Analyse und Dokumentation relevanter digitaler Spuren unterstützen.
Dabei können abhängig vom Fall unterschiedliche Systeme, Geräte und Datenquellen einbezogen werden: von Servern und Endgeräten über E-Mail und Cloud-Dienste bis zu Netzwerk- und Firewall-Protokollen.
Wann diese Leistung relevant sein kann
Typische Ausgangslagen
Verdacht auf einen IT-Vorfall
Ungewöhnliche Anmeldungen, unerwartete Systemänderungen oder ein möglicher unberechtigter Zugriff sollen eingeordnet werden.
Auffälligkeiten in Kommunikation oder Zahlungen
E-Mails, Nachrichten oder Zahlungsvorgänge wirken manipuliert, und der technische Ablauf ist unklar.
Interne Untersuchung
Ein Verdacht gegen eigene Systeme oder Konten verlangt eine nachvollziehbare technische Grundlage.
Streit mit technischem Kern
In einem Rechtsstreit hängt eine Frage davon ab, was auf Systemen oder in Cloud-Diensten tatsächlich geschehen ist.
Ausgeschiedene Mitarbeitende oder Geräte
Geräte, Konten oder Datenbestände müssen gesichert werden, bevor sie verändert oder gelöscht werden.
Zweifel an der Echtheit digitaler Inhalte
Herkunft, Metadaten und Integrität von Dokumenten, Bildern oder Nachrichten sollen geprüft werden.
Datenquellen
Datenquellen, die relevant sein können
Welche Quellen im Einzelfall tatsächlich herangezogen werden, richtet sich nach der Fragestellung und nach dem, was rechtlich und technisch zugänglich ist.
- Server
- Clients
- Virtuelle Maschinen
- Datenträger
- Microsoft 365
- Cloud-Systeme
- Netzwerkkomponenten
- Firewalls
- VPN
- EDR
- Systemlogs
- Dateisysteme
- Metadaten
- Kommunikationsdaten
Ein einzelnes Logfile erzählt selten die ganze Geschichte.
Serverlogs, Netzwerklogs, Firewall-Logs, Ereignisprotokolle und Cloud-Daten zeigen jeweils nur einen Ausschnitt. Erst wenn ihre Zeitstempel und Ereignisse miteinander verglichen werden, lässt sich ein technischer Ablauf nachvollziehen.
Vorgehen
Wie eine Untersuchung ablaufen kann
- 01
Sichern
Relevante Datenquellen werden identifiziert und möglichst nachvollziehbar gesichert. Herkunft, Zeitpunkt, Zustand und wesentliche Bearbeitungsschritte werden nachvollziehbar dokumentiert. Abhängig vom Auftrag kann dies Bestandteil einer dokumentierten Beweismittelkette sein.
- 02
Analysieren
Technische Informationen, Zeitstempel, Ereignisse und Metadaten werden untersucht, unter anderem durch Log-Analyse und die Auswertung von Dateisystemen.
- 03
Zusammenführen
Daten aus unterschiedlichen Systemen werden miteinander in Beziehung gesetzt, etwa in einer gemeinsamen Timeline.
- 04
Dokumentieren
Ergebnisse werden so aufbereitet, dass technische Befunde, Annahmen und Grenzen nachvollziehbar bleiben.
Ergebnisse und Grenzen
Was daraus entstehen kann - und was nicht.
Was entstehen kann
- Technischer Befund zu den untersuchten Systemen
- Timeline relevanter Ereignisse
- Zusammenhänge zwischen Systemen, Konten und Kommunikation
- Hinweise auf mögliche Ursachen und Abläufe
- Strukturierte Dokumentation des Vorgehens
- Auf Wunsch eine gutachterliche Einordnung durch geeignete Sachverständige
Grenzen
- Ein technischer Befund ist nicht automatisch eine rechtliche Bewertung.
- Nicht jede Spur lässt sich eindeutig einer Person zuordnen.
- Gelöschte oder überschriebene Daten sind nicht in jedem Fall wiederherstellbar.
- Eine technische Analyse ist nicht automatisch ein gerichtsfestes Gutachten.
- Ob etwas als Beweis verwertbar ist, beurteilen Gerichte und Rechtsanwälte.
Es werden keine Ergebnisse, Aufklärung, Datenwiederherstellung oder Verwertbarkeit zugesagt. Sicherung, Analyse, Befund, Interpretation, gutachterliche und rechtliche Bewertung sind getrennte Schritte.
Fachkompetenz
Welche Fachkompetenz beteiligt sein kann.
Bei technischen Fragestellungen kommen häufig mehrere Perspektiven zusammen. Die Fragestellung bestimmt das Team.
Nicht jeder Fall erfordert alle genannten Fachrichtungen. Welche Unternehmen und Spezialisten tatsächlich eingebunden werden, richtet sich nach der Fragestellung und dem konkreten Auftrag. Mehr dazu im Kompetenzverbund.
Häufige Fragen
Fragen und Antworten.
Was ist digitale Forensik?
Digitale Forensik ist die strukturierte Sicherung und Auswertung digitaler Spuren auf Geräten, Systemen und in Cloud-Diensten. Ziel ist, technische Abläufe nachvollziehbar zu rekonstruieren und die Ergebnisse so zu dokumentieren, dass sie überprüfbar bleiben.
Welche Datenquellen können untersucht werden?
Je nach Fall Server, Endgeräte, virtuelle Maschinen, Datenträger, E-Mail- und Cloud-Daten sowie Protokolle von Netzwerk, Firewall, VPN und EDR. Maßgeblich sind Fragestellung, Zugriffsberechtigung und technischer Zustand der Daten.
Können gelöschte Daten immer wiederhergestellt werden?
Nein. Ob Daten wiederhergestellt werden können, hängt unter anderem vom verwendeten System, vom Speicherzustand und von möglichen Überschreibungen ab.
Ist eine technische Analyse automatisch ein gerichtsfestes Gutachten?
Nein. Technische Analyse, Beweissicherung und gutachterliche Bewertung sind unterschiedliche Aufgaben und werden abhängig vom jeweiligen Auftrag voneinander abgegrenzt.
Weiterführend
Verwandte Leistungen.
Wissen und Glossar zu diesem Thema
Die Fragestellung bestimmt das Team.
Schildern Sie uns kurz Ihre Situation. Ihre Angaben im Rahmen der Erstaufnahme behandeln wir vertraulich und diskret. Das erste Orientierungsgespräch ist unverbindlich.
Bitte übermitteln Sie sensible Beweismittel, Zugangsdaten oder umfangreiche personenbezogene Unterlagen erst über einen abgestimmten sicheren Übertragungsweg.