Erklärung
Bei Cloud-Diensten liegen Daten und Protokolle nicht auf eigenen Systemen, sondern beim Anbieter. Der Zugang zu den Spuren richtet sich nach den Funktionen des Dienstes, den Lizenzen und den Einstellungen: Anmeldeprotokolle, Audit-Logs, Postfachzugriffe, Freigaben und Änderungen an Berechtigungen können verfügbar sein, aber nur für begrenzte Zeit und je nach Konfiguration in unterschiedlichem Detailgrad.
Die Sicherung muss daher früh erfolgen und über die vorgesehenen Schnittstellen und Exportfunktionen, mit nachvollziehbarer Dokumentation. Der Zugriff setzt entsprechende Berechtigung voraus; technisch und rechtlich ist zu klären, welche Daten Auftraggeber selbst einsehen können und wofür Auskünfte des Anbieters erforderlich wären. Besonders wichtig sind Datenschutzfragen, zum Beispiel wenn Daten Dritter oder Beschäftigtendaten betroffen sind.
Auch die Rolle der Zeit ist zentral: Cloud-Protokolle werden nach Fristen überschrieben. Wer zu spät handelt, verliert Spuren, selbst wenn der Dienst weiterläuft.
Typisches Beispiel (schematisch)
Nach einem Verdacht auf Kontoübernahme werden Anmeldeprotokolle, Regeländerungen und Dateizugriffe eines Microsoft-365-Mandanten exportiert und mit Mail-Headern abgeglichen.
Bedeutung für Forensik und Ermittlungen
Cloud-Daten sind bei modernen Fällen häufig die Hauptquelle. Eine Aussage zur Vollständigkeit hängt von Konfiguration und Aufbewahrung ab.
Erkennung und Prävention
Erweiterte Protokollierung aktivieren, Aufbewahrungsfristen prüfen und festlegen, wer im Ernstfall Exporte vornehmen darf.
Auch gesucht als Cloud Forensics, Cloud-Beweissicherung, Microsoft-365-Forensik, M365-Forensik, Forensik in der Cloud, Cloud-Untersuchung