Erklärung
Digitale Daten sind flüchtig und veränderlich. Schon das Einschalten eines Geräts, das Öffnen von Dateien oder ein automatisches Update kann Spuren verändern. Beweissicherung bedeutet daher, vor jeder Auswertung festzuhalten, was vorhanden war, und zwar so, dass es überprüft werden kann: Wer hat welches Medium wann und wie gesichert, mit welchem Werkzeug, in welchem Zustand, und lässt sich die Unversehrtheit nachweisen?
Zentrale Bausteine sind das forensische Abbild (bitgenaue Kopie), Hashwerte zur Integritätsprüfung (Integritätsprüfung), die Dokumentation der Handlungen und die lückenlose Nachvollziehbarkeit der Aufbewahrung (Chain of Custody). Die Reihenfolge der Sicherung richtet sich nach der Flüchtigkeit der Daten; laufende Systeme erfordern besondere Abwägungen (Live Forensics).
Beweissicherung garantiert nicht, dass ein Ergebnis später als Beweis anerkannt wird. Das beurteilen die zuständigen Stellen im Verfahren. Eine saubere Sicherung verbessert aber die Nachvollziehbarkeit und vermeidet vermeidbare Fehler.
Typisches Beispiel (schematisch)
Bei Verdacht auf Datenabfluss durch einen ausscheidenden Mitarbeiter wird der Laptop nicht weiter genutzt, sondern von einer fachkundigen Person gesichert. Das Protokoll hält fest, wann das Gerät übernommen, wie es gesichert und welcher Hashwert des Abbilds berechnet wurde.
Bedeutung für Forensik und Ermittlungen
Alle weiteren Befunde stützen sich auf die gesicherten Daten. Fehler in der Sicherung lassen sich später oft nicht mehr beheben, etwa wenn Originaldaten überschrieben wurden.
Erkennung und Prävention
Vor einem Vorfall helfen klare Zuständigkeiten, eine Anleitung („Gerät nicht neu starten, nicht löschen, Fachleute informieren“) und aufbewahrte Protokolle.
Auch gesucht als Beweissicherung, Datensicherung forensisch, Sicherung digitaler Beweismittel, digitale Spurensicherung, Forensische Sicherung, Digital Evidence Acquisition