Beweismittelsicherung in der IT-Forensik

daten 12
Fachbeitrag

Die beweissichere forensische Analyse ist unabdingbar, um IT-Vorfällen erfolgreich begegnen zu können. Eine Datensicherung auf Datenträgern und Computernetzen muss vorbereitet, geplant und dokumentiert werden. Zur Beweismittelsicherung in der IT-Forensik werden Speichermedien und Netzwerkprotokolle gesichtet, gesichert sowie analysiert. Bei einer Datenträgeranalyse wird zunächst ein forensisches Duplikat (Image) erstellt und gesichert, welches anschließend gesichtet und analysiert wird.

Digitale Spuren

IT-Forensiker identifizieren, lokalisieren und sichern hinterlassene digitale Spuren und Beweise, wie z.B.:

  • Erfolgte Datei-Downloads (zum Beispiel via E-Mail, Skype oder Internetbrowser)
  • Ausgeführte Programme (zum Beispiel wann zuletzt ausgeführt)
  • Erfolgte Dateizugriffe (zum Beispiel letzter Zugriff )
  • Gelöschte Dateien (zum Beispiel Uhrzeit, Dateipfad oder Dateiname)
  • Externe Gerätenutzung (wie Anschluss von USB-Sticks, Nutzer des Gerätes)
  • Detaillierte Systemnutzungen (wie [fehlgeschlagene] Log-Ons, letzter Passwortwechsel)
  • Browsernutzung (zum Beispiel Datum und Uhrzeit, Frequenz besuchter Seiten)

Um rechtssicher handeln zu können und zu den wesentlichen Spuren zu gelangen bedarf es einer genauen Analyse im Einzelfall.

Analyse und Bearbeitung von kriminalistischen Sachverhalten

Eine strukturierte und professionelle Vorgehensweise ist für jeden IT-Forensiker unabdingbar.

Die kriminalistische Fallanalyse ist sehr umfangreich. Einzelne Phasen sind miteinander verzahnt und gehen in einander über. Eine eindeutige Trennung einzelner Analyse- und Bearbeitungsphasen ist nicht möglich. Jeder Einzelfall ist als ein großes Ganzes zu sehen und Wechselwirkungen sind einzukalkulieren.

Wesentliche Fragen, mit denen sich ein IT-Forensiker beschäftigt:

  • Liegt ein Systemeinbruch vor? Liegen Hinweise auf eine Schadsoftware vor? Wurden Daten entwendet oder gelöscht? Wenn ja, in welcher Form? Welche Systeme sind betroffen? Ist eine Schadenseindämmung notwendig und möglich?
  • Wie ist die Rechtslage? Welche Rahmenbedingungen und Einflussfaktoren sind zu erkennen und zu berücksichtigen?
  • Welche Rechtsnormen sind einschlägig? Ist der Täter noch aktiv? Inwieweit wurde das System eventuell von Mitarbeitern, wie Administratoren bereits verändert?
  • Welche Feststellungen, Überlegungen, Schlussfolgerungen sind bezüglich des betroffenen Systems in unmittelbarem Tatzusammenhang möglich?
  • Welches System ist betroffen? Mit welchem Betriebssystem, welcher Software und Hardware, und welchen Netzwerkadressen. Welche Teile des Systems müssen ausgewertet werden, um Spuren sichern zu können?
  • Welche Personen, Sachen, Vermögenswerte müssen und können wann, wo und wie berücksichtigt werden? (Abwägung zwischen zu erwartendem Schaden und der Tätererfassung)
  • Welche Daten liegen vor, welche sind zu erwarten? Wie sind diese Daten zu bewerten?
  • Wie kann das Ermittlungsverfahren zu einem gerichtsfesten Abschluss gebracht werden?

Es kommt darauf an gespeicherte Daten und Informationen zu gewinnen, diese genauestens zu analysieren und letztendlich im kontextuellen Gesamtzusammenhang zu bewerten.

Ein wesentlicher Bestandteil der Beweissicherung ist die ausführliche Bewertung der vorhandenen, der zu erwartenden Spuren, möglicherweise auch fingierter Spuren und Trugspuren.

Die Beweissituation

Zwischen der allgemeinen Beweiskraft und dem kontextuellen Beweiswert der einzelnen Sach- bzw. Personenbeweise muss ein IT-Forensiker unterscheiden können. Beweise müssen immer im Gesamtzusammenhang gesehen und bewertet werden.

Oftmals mögen in der IT-Forensik gefundene Daten eine hohe allgemeine Beweiskraft haben; ohne jedoch z. B. zu wissen, wer zu dem Entstehungszeitpunkt der Nutzer des Systems war; kann es sein, dass der Beweiswert gegen null geht.

Erst im Gesamtzusammenhang entwickeln einzelne Beweise einen hohen kontextuellen Beweiswert.

Chain of Custody

Damit Spuren später vor Gericht verwendet werden können, muss die Kette der Obhut („Chain of Custody“) nachvollzogen werden können. Insbesondere kommt es auf die lückenlose Dokumentation an, damit im Nachhinein jeder Umgang mit einem Beweismittel und der Verbleib eines Beweismittels zu jederzeit objektiv nachvollziehbar ist.

Wer hat was (Beweismittel), wann, wo, wie, womit und warum gefunden, gesichert, asserviert, transportiert, untersucht, analysiert und begutachtet?

Der Umgang mit und der Verbleib von Beweismitteln muss vom Auffinden bis zur Inaugenscheinnahme vor Gericht lückenlos nachgewiesen sein. Dies schützt vor

  • Beweismittelverlust,
  • Beweismittelverwechslung,
  • Beweismittelvertausch,
  • Beweismittelmanipulation und
  • Beweismittelverfälschung.

Beweismittel und die an ihnen vorgenommenen Untersuchungen sollen authentisch und integer sein.

Sie haben Fragen?

Unsere Berater helfen Ihnen dabei, den Umgang mit personenbezogenen Daten in Ihrem Unternehmen rechtssicher und praxisgerecht zu gestalten. Dabei unterstützen wir Sie u.a. bei folgenden Themen:

  • Identifizierung, Sicherung und Auswertung digitaler Spuren und Beweise
  • Untersuchung auf Bedrohungen durch komplexe und gezielte Cyber-Attacken
  • Cyber Security Check zur Schwachstellenanalyse von IT-Systemen

Informieren Sie sich hier über unser Leistungsspektrum: IT-Forensik

Hinterlassen Sie einen Kommentar

Die von Ihnen verfassten Kommentare erscheinen nicht sofort, sondern erst nach Prüfung und Freigabe durch unseren Administrator. Bitte beachten Sie auch unsere Nutzungsbedingungen und unsere Datenschutzerklärung.