Ein Hashwert ist ein mathematisch berechneter Prüfwert, der aus einer digitalen Datenmenge erzeugt wird. In der digitalen Forensik dient er vor allem dazu, die Integrität von Dateien, Datenträgerabbildern und anderen digitalen Beweismitteln zu kontrollieren. Wird dieselbe Datenmenge später erneut mit demselben Hashverfahren verarbeitet und entsteht derselbe Hashwert, spricht dies dafür, dass sich die geprüften Daten seit der ursprünglichen Berechnung nicht verändert haben.

Hashwerte gehören deshalb zu den grundlegenden Werkzeugen der digitalen Forensik. Sie werden unter anderem bei der Datensicherung, bei forensischen Images, beim Vergleich von Dateien, bei der Verifikation von Sicherungen und bei der Dokumentation digitaler Beweismittel eingesetzt.

Ein Hashwert ist allerdings kein universeller Echtheitsbeweis. Er kann nicht beantworten, wer eine Datei erstellt hat, ob ihr Inhalt sachlich richtig ist oder ob die Ausgangsdaten bereits vor der ersten Hashberechnung manipuliert wurden. Genau diese Abgrenzung ist für die fachgerechte Verwendung von Hashwerten entscheidend.

Was ist ein Hashwert einfach erklärt?

Eine Hashfunktion verarbeitet eine beliebig große Datenmenge und erzeugt daraus einen Prüfwert mit festgelegter Länge. Bei SHA-256 besteht dieser Hashwert beispielsweise aus 256 Bit.

Vereinfacht kann man sich einen Hashwert als technischen Fingerabdruck einer Datei oder eines Datenbestands vorstellen. Schon eine kleine Änderung der Eingangsdaten führt bei einer geeigneten kryptografischen Hashfunktion mit sehr hoher Wahrscheinlichkeit zu einem vollständig anderen Ergebnis.

Dadurch lässt sich später überprüfen, ob zwei Datenbestände identisch sind oder ob sich einer davon verändert hat.

Wie entsteht ein Hashwert?

Eine Datei, ein Datenträgerimage oder eine andere definierte Datenmenge wird durch einen mathematischen Algorithmus verarbeitet. Der Algorithmus erzeugt daraus einen Hashwert.

Für dieselben Eingangsdaten liefert dieselbe Hashfunktion grundsätzlich denselben Wert. Wird auch nur ein Bit innerhalb der Eingangsdaten verändert, entsteht normalerweise ein deutlich anderer Hashwert.

Dieses Verhalten macht Hashfunktionen für Integritätsprüfungen besonders geeignet.

Warum sind Hashwerte in der digitalen Forensik wichtig?

Digitale Daten lassen sich technisch sehr leicht verändern. Bereits eine minimale Änderung an einer Datei kann ihren Inhalt oder ihre Metadaten beeinflussen.

Bei einer forensischen Untersuchung muss deshalb nachvollziehbar bleiben, ob der untersuchte Datenbestand noch dem Zustand entspricht, der ursprünglich gesichert wurde.

Hashwerte ermöglichen genau diese Kontrolle. Wird bei der Sicherung eines Datenträgers ein Referenzhash berechnet, kann später erneut ein Hashwert erzeugt und mit diesem Referenzwert verglichen werden.

Stimmen beide Werte überein, besteht ein sehr starker technischer Hinweis darauf, dass die geprüfte Datenmenge unverändert geblieben ist.

Was bedeutet Integrität digitaler Daten?

Integrität bedeutet im forensischen Zusammenhang, dass eine definierte Datenmenge gegenüber einem bekannten Referenzzustand nicht verändert wurde.

Das ist nicht dasselbe wie Authentizität. Eine Datei kann unverändert sein und dennoch ursprünglich manipulierte oder falsche Informationen enthalten.

Hashwerte beantworten deshalb in erster Linie die Frage: Ist dieser Datenbestand noch derselbe wie zu dem Zeitpunkt, an dem der Referenzhash berechnet wurde?

Was ist der Unterschied zwischen Integrität und Authentizität?

Integrität beschreibt die Unverändertheit eines Datenbestands. Authentizität betrifft dagegen die Frage, ob ein Datenbestand tatsächlich von der behaupteten Quelle stammt beziehungsweise echt ist.

Ein Beispiel verdeutlicht den Unterschied: Eine manipulierte Bilddatei wird einem IT-Forensiker übergeben. Direkt nach der Übernahme wird ein SHA-256-Hash berechnet. Drei Monate später besitzt die Datei weiterhin denselben Hashwert.

Damit lässt sich zeigen, dass die Datei seit der ursprünglichen Hashberechnung unverändert geblieben ist. Der Hashwert beweist jedoch nicht, dass das Foto vor der Übergabe niemals manipuliert wurde.

Was ist SHA-256?

SHA-256 ist eine kryptografische Hashfunktion aus der SHA-2-Familie. Sie erzeugt aus einer beliebig großen Eingabemenge einen 256 Bit langen Hashwert.

SHA-256 wird heute in zahlreichen technischen und sicherheitsrelevanten Anwendungen eingesetzt und eignet sich auch für moderne forensische Integritätsprüfungen.

Der erzeugte Wert wird häufig als 64 Zeichen lange hexadezimale Zeichenfolge dargestellt.

Warum wird SHA-256 in der IT-Forensik eingesetzt?

Eine moderne Hashfunktion sollte unter anderem zwei wesentliche Eigenschaften besitzen: Es soll praktisch nicht möglich sein, aus dem Hashwert die ursprünglichen Daten zurückzurechnen, und es soll extrem schwierig sein, zwei unterschiedliche Datenbestände mit demselben Hashwert zu erzeugen.

SHA-256 erfüllt diese Anforderungen nach heutigem Stand für forensische Integritätsprüfungen deutlich besser als ältere Verfahren wie MD5 oder SHA-1.

Für neue Untersuchungsworkflows ist SHA-256 deshalb eine sinnvolle Wahl.

Was ist MD5?

MD5 ist eine ältere kryptografische Hashfunktion, die einen 128 Bit langen Hashwert erzeugt.

Das Verfahren wurde über viele Jahre sehr häufig in der digitalen Forensik verwendet. Auch zahlreiche ältere Forensikprogramme und Image-Formate unterstützen MD5 weiterhin.

Für kryptografische Sicherheitsanwendungen gilt MD5 heute jedoch als gebrochen, weil gezielte Kollisionen erzeugt werden können.

Ist MD5 für die digitale Forensik noch verwendbar?

Das hängt vom konkreten Zweck ab. Zur reinen Erkennung unbeabsichtigter Datenänderungen kann ein MD5-Wert technisch weiterhin eine praktische Prüfinformation liefern.

Für neue beweisrelevante Workflows sollte jedoch ein moderneres Verfahren wie SHA-256 bevorzugt werden.

Besonders problematisch wäre es, MD5 als uneingeschränkt kollisionssicheren kryptografischen Nachweis darzustellen.

Was ist SHA-1?

SHA-1 erzeugt einen 160 Bit langen Hashwert und wurde ebenfalls über viele Jahre in zahlreichen IT- und Forensikumgebungen verwendet.

Auch bei SHA-1 wurden praktische Kollisionsangriffe demonstriert. Für moderne sicherheitskritische Anwendungen wird das Verfahren deshalb nicht mehr empfohlen.

In älteren forensischen Datenbeständen können SHA-1-Werte trotzdem weiterhin vorkommen und für Vergleiche mit historischen Sicherungen relevant sein.

Was bedeutet eine Hash-Kollision?

Eine Hash-Kollision liegt vor, wenn zwei unterschiedliche Datenbestände denselben Hashwert erzeugen.

Da ein Hashwert eine feste Länge besitzt, während theoretisch unendlich viele unterschiedliche Eingangsdaten möglich sind, müssen Kollisionen mathematisch grundsätzlich existieren.

Entscheidend ist deshalb nicht, ob Kollisionen theoretisch möglich sind, sondern wie schwierig es praktisch ist, gezielt eine solche Kollision zu erzeugen.

Warum sind Kollisionen für die Forensik relevant?

Wenn eine Hashfunktion gezielte Kollisionen relativ einfach zulässt, kann ihr Wert als alleiniger kryptografischer Integritätsnachweis geschwächt werden.

Genau deshalb werden moderne Hashfunktionen bevorzugt, bei denen die gezielte Erzeugung geeigneter Kollisionen praktisch nicht realistisch ist.

Für die forensische Praxis bedeutet dies, dass die Auswahl des Hashalgorithmus dokumentiert und technisch angemessen sein sollte.

Wie wahrscheinlich ist eine zufällige SHA-256-Kollision?

Für praktische forensische Anwendungen ist die Wahrscheinlichkeit einer zufälligen SHA-256-Kollision extrem gering.

Der Wertebereich von SHA-256 umfasst 2 hoch 256 mögliche Hashwerte. Selbst unter Berücksichtigung des sogenannten Geburtstagsparadoxons liegt eine zufällige relevante Kollision weit außerhalb realistischer forensischer Datenmengen.

Das ist einer der Gründe, weshalb SHA-256 für Integritätsprüfungen geeignet ist.

Was ist der Avalanche-Effekt?

Eine gute kryptografische Hashfunktion besitzt einen sogenannten Avalanche-Effekt. Schon eine minimale Änderung der Eingangsdaten führt zu einem stark veränderten Hashwert.

Wird beispielsweise innerhalb einer großen Datei nur ein einzelnes Bit verändert, kann sich der resultierende SHA-256-Wert vollständig unterscheiden.

Das macht Hashwerte sehr empfindlich gegenüber Datenveränderungen.

Was bedeutet deterministisch bei einer Hashfunktion?

Eine Hashfunktion ist deterministisch, wenn dieselbe Eingabe immer denselben Hashwert erzeugt.

Eine Datei mit exakt demselben Inhalt liefert bei Verwendung von SHA-256 deshalb unabhängig vom Zeitpunkt der Berechnung denselben SHA-256-Wert.

Dies ist eine grundlegende Voraussetzung für forensische Vergleichsprüfungen.

Kann man aus einem Hashwert die ursprüngliche Datei berechnen?

Eine kryptografische Hashfunktion ist als Einwegfunktion konzipiert. Aus dem Hashwert allein soll sich die ursprüngliche Eingabe praktisch nicht zurückrechnen lassen.

Das unterscheidet Hashing von Verschlüsselung. Eine Verschlüsselung soll mit dem richtigen Schlüssel wieder rückgängig gemacht werden können. Ein Hashwert ist dagegen nicht für eine Rückentschlüsselung vorgesehen.

Hashing ist keine Verschlüsselung

Hashing und Verschlüsselung werden häufig verwechselt, verfolgen aber unterschiedliche Ziele.

Eine Verschlüsselung schützt den Inhalt von Daten vor unbefugtem Zugriff. Mit dem passenden Schlüssel können die Daten wieder entschlüsselt werden.

Eine Hashfunktion erzeugt dagegen einen Prüfwert. Sie wird in der digitalen Forensik vor allem für Integritäts- und Vergleichsprüfungen eingesetzt.

Wie wird eine Datei gehasht?

Die Bytes einer Datei werden vollständig durch die gewählte Hashfunktion verarbeitet. Das Ergebnis ist ein Hashwert, der sich ausschließlich auf diese konkrete Datenmenge bezieht.

Wird der Dateiinhalt verändert, entsteht ein anderer Hashwert.

Welche Dateisystemmetadaten dabei Bestandteil des Hashings sind, hängt davon ab, was genau gehasht wird. Beim normalen Datei-Hashing wird typischerweise der Dateiinhalt gehasht und nicht automatisch jede Dateisysteminformation über diese Datei.

Ändert sich der Hashwert, wenn eine Datei umbenannt wird?

Wenn ausschließlich der Dateiname geändert wird und der Dateiinhalt unverändert bleibt, bleibt ein über den reinen Dateiinhalt berechneter Hashwert normalerweise gleich.

Der Dateiname ist in diesem Fall eine Dateisysteminformation und nicht Bestandteil des gehashten Dateiinhalts.

Dies zeigt, warum bei einer forensischen Bewertung immer bekannt sein muss, welche konkrete Datenmenge gehasht wurde.

Ändert sich der Hashwert, wenn eine Datei verschoben wird?

Wird eine Datei nur in einen anderen Ordner verschoben und ihr Inhalt nicht verändert, bleibt ein Inhalts-Hash wie SHA-256 grundsätzlich gleich.

Dateisystemmetadaten können sich durch einen solchen Vorgang trotzdem verändern.

Ein unveränderter Datei-Hash bedeutet daher nicht, dass keinerlei Vorgänge mit der Datei stattgefunden haben.

Ändert sich der Hashwert, wenn sich ein Zeitstempel verändert?

Wenn nur ein externer Dateisystemzeitstempel verändert wird und der eigentliche Dateiinhalt unverändert bleibt, muss sich der Hashwert des Dateiinhalts nicht ändern.

Wird dagegen ein Zeitstempel innerhalb des Dateiformats selbst gespeichert und verändert, kann sich auch der Dateiinhalt und damit der Hashwert ändern.

Diese Unterscheidung ist bei der Interpretation digitaler Beweismittel wichtig.

Was ist ein Hashwert eines Datenträgers?

Bei einem Datenträger kann ein Hashwert über den gesamten erfassten Datenstrom berechnet werden.

Bei einer sektorweisen Sicherung umfasst dies beispielsweise sämtliche im Sicherungsprozess gelesenen Datenblöcke innerhalb des definierten Bereichs.

Der daraus erzeugte Hashwert repräsentiert dann nicht eine einzelne Datei, sondern den gesamten gehashten Datenbestand.

Was ist ein Hashwert eines forensischen Images?

Ein forensisches Image kann ebenfalls gehasht werden. Dabei muss jedoch genau unterschieden werden, was gehasht wird.

Bei einem RAW-Image kann der gespeicherte Datenstrom unmittelbar dem ausgelesenen Datenträgerstrom entsprechen.

Bei strukturierten Containerformaten können zusätzliche Metadaten, Kompression, Prüfinformationen und Containerstrukturen vorhanden sein. Ein Hash über die gesamte Containerdatei beschreibt deshalb nicht zwangsläufig exakt dieselbe Bytefolge wie ein Hash über die ursprünglichen Rohdaten.

Warum können Source-Hash und Image Hash unterschiedlich sein?

Das ist insbesondere bei Containerformaten wichtig.

Wird ein Rohdatenstrom aus einem Datenträger erfasst und anschließend komprimiert oder in einen Container eingebettet, verändert sich die äußere Dateistruktur.

Ein Hash über die gesamte Containerdatei kann daher einen anderen Wert liefern als ein Hash über den ursprünglichen logischen Rohdatenstrom, obwohl die darin enthaltenen Nutzdaten korrekt erhalten wurden.

Die Dokumentation muss deshalb klar benennen, welcher Wert auf welche Datenebene bezogen ist.

Was bedeutet Image Verification?

Image Verification ist die Überprüfung eines erzeugten forensischen Images nach der Sicherung.

Das Image wird erneut gelesen und seine Prüfinformationen werden mit den während oder unmittelbar nach der Akquisition erzeugten Referenzwerten verglichen.

Dadurch lässt sich kontrollieren, ob bei Speicherung oder Übertragung Veränderungen beziehungsweise Fehler aufgetreten sind.

Wann sollte ein Hashwert berechnet werden?

Ein Hashwert sollte zu einem Zeitpunkt berechnet werden, an dem ein definierter Referenzzustand vorliegt.

Bei einem klassischen forensischen Image kann dies unmittelbar während oder nach der Akquisition geschehen.

Spätere Prüfungen können dann mit diesem Referenzwert verglichen werden.

Warum ist die Dokumentation des Hashzeitpunkts wichtig?

Ein Hashwert besitzt nur dann einen klaren Aussagewert, wenn bekannt ist, auf welchen Zustand der Daten er sich bezieht.

Wird ein Hash erst nach mehreren Bearbeitungsschritten berechnet, kann er lediglich die Integrität ab diesem späteren Zustand dokumentieren.

Er kann nicht rückwirkend beweisen, dass die Daten während früherer Verarbeitungsschritte unverändert waren.

Was ist Hash Matching?

Hash Matching bezeichnet den Vergleich eines berechneten Hashwerts mit bereits bekannten Hashwerten.

Dadurch können identische Dateien sehr schnell erkannt werden, ohne ihren Inhalt einzeln manuell vergleichen zu müssen.

Dies wird in der digitalen Forensik unter anderem zur Identifikation bekannter Systemdateien, bekannter Schadsoftware oder bereits klassifizierter Dateien eingesetzt.

Was ist eine Hash-Datenbank?

Eine Hash-Datenbank enthält bekannte Hashwerte bestimmter Dateien.

Forensiksoftware kann die Hashwerte untersuchter Dateien mit solchen Datenbanken vergleichen. Dadurch lassen sich beispielsweise bekannte Betriebssystemdateien aus großen Datenbeständen herausfiltern.

Der umgekehrte Ansatz kann genutzt werden, um gezielt nach bekannten relevanten Dateien zu suchen.

Warum können Hash-Sets die Analyse beschleunigen?

Ein moderner Computer kann Millionen Dateien enthalten. Viele davon sind Standarddateien des Betriebssystems oder installierter Software.

Wenn deren Hashwerte bereits bekannt sind, können sie bei bestimmten Untersuchungen automatisiert als bekannte Dateien erkannt werden.

Dadurch lässt sich der Datenbestand reduzieren, den ein Untersucher manuell bewerten muss.

Was bedeutet Known Good?

Known-Good-Hashsets enthalten Hashwerte von Dateien, die bereits als bekannte reguläre Dateien klassifiziert wurden.

Dazu können beispielsweise Standarddateien eines Betriebssystems gehören.

Solche Dateien müssen nicht bei jeder Untersuchung erneut manuell bewertet werden, sofern ihre Identität sicher über den Hashwert festgestellt werden kann.

Was bedeutet Known Bad?

Known-Bad-Hashsets enthalten Hashwerte von Dateien, die bereits als relevant, unerwünscht oder schädlich klassifiziert wurden.

Dies kann beispielsweise bekannte Malware betreffen.

Ein Treffer bedeutet allerdings zunächst nur, dass die untersuchte Datei denselben relevanten Hashwert besitzt wie der bekannte Referenzbestand. Der Kontext der Datei muss weiterhin bewertet werden.

Kann ein Hashwert Malware erkennen?

Ein Hashvergleich kann bekannte Malware identifizieren, wenn exakt dieselbe Datei bereits in einer Referenzdatenbank enthalten ist.

Schon eine kleine Änderung der Malware verändert jedoch normalerweise den Hashwert.

Hash-Matching allein reicht daher nicht aus, um sämtliche Varianten eines Schadprogramms zu erkennen.

Was ist Fuzzy Hashing?

Klassische kryptografische Hashfunktionen wie SHA-256 reagieren sehr empfindlich auf Änderungen. Schon eine minimale Veränderung erzeugt einen völlig anderen Hashwert.

Für bestimmte forensische Aufgaben kann es dagegen interessant sein, ähnliche Dateien zu erkennen. Hier kommen sogenannte Similarity-Hashing- oder Fuzzy-Hashing-Verfahren zum Einsatz.

Sie verfolgen einen anderen Zweck als SHA-256 und sollen strukturelle Ähnlichkeiten zwischen Dateien erkennen.

Ist Fuzzy Hashing ein Ersatz für SHA-256?

Nein. Beide Verfahren beantworten unterschiedliche Fragen.

SHA-256 eignet sich hervorragend zur Integritätsprüfung und zur Feststellung identischer Daten.

Fuzzy Hashing dient dagegen eher dem Auffinden ähnlicher Dateien. Es ist deshalb kein Ersatz für einen kryptografischen Integritätshash.

Welche Rolle spielen Hashwerte bei der Beweismittelkette?

Hashwerte können innerhalb einer nachvollziehbaren Beweismittelkette dokumentieren, dass ein bestimmter digitaler Datenbestand während verschiedener Bearbeitungsschritte unverändert geblieben ist.

Sie ersetzen jedoch nicht die organisatorische Dokumentation darüber, wer das Beweismittel übernommen, gesichert, transportiert oder untersucht hat.

Die technische Integritätsprüfung und die Chain of Custody ergänzen sich daher.

Kann ein Hashwert die Chain of Custody ersetzen?

Nein. Ein identischer Hashwert zeigt lediglich, dass eine definierte Datenmenge unverändert ist.

Er sagt nicht, wer das Medium wann besessen hat oder wer Zugriff darauf hatte.

Eine professionelle Beweismitteldokumentation muss deshalb sowohl technische Integritätskontrollen als auch organisatorische Übergaben nachvollziehbar erfassen.

Was passiert, wenn zwei Hashwerte nicht übereinstimmen?

Unterschiedliche Hashwerte bedeuten zunächst, dass sich die jeweils gehashten Datenmengen unterscheiden.

Die Ursache muss anschließend geklärt werden. Möglich sind beispielsweise tatsächliche Datenänderungen, unterschiedliche Datenbereiche, ein Fehler bei der Sicherung, unterschiedliche Containerzustände oder eine falsche Vergleichsgrundlage.

Ein abweichender Hashwert sollte nicht vorschnell als Beweis einer Manipulation bewertet werden.

Warum ist die Vergleichsgrundlage entscheidend?

Zwei Hashwerte können nur sinnvoll verglichen werden, wenn sie mit demselben Algorithmus über dieselbe definierte Datenmenge berechnet wurden.

Ein SHA-256-Wert kann nicht direkt mit einem MD5-Wert verglichen werden.

Ebenso wenig ist ein Hash über eine einzelne Datei mit einem Hash über einen gesamten Datenträger vergleichbar.

Was bedeutet Hashing bei einer bitweisen Kopie?

Bei einer sektorweisen Datenträgersicherung kann ein Hashwert genutzt werden, um den erfassten Rohdatenstrom beziehungsweise das resultierende Image zu verifizieren.

Dadurch lässt sich kontrollieren, ob die Sicherung später noch dem dokumentierten Zustand entspricht.

Bei beschädigten Datenträgern oder Lesefehlern muss allerdings berücksichtigt werden, wie das Imaging-Werkzeug diese Bereiche behandelt hat.

Was passiert mit Hashwerten bei Lesefehlern?

Wenn einzelne Sektoren eines Datenträgers nicht gelesen werden können, hängt der resultierende Hashwert von der konkreten Sicherungsmethode ab.

Das Imaging-Werkzeug kann nicht lesbare Bereiche beispielsweise nach einer definierten Strategie behandeln.

Wichtig ist deshalb, Lesefehler zu dokumentieren und den Hashwert nicht als Beweis für die vollständige fehlerfreie Erfassung eines Datenträgers misszuverstehen.

Kann eine beschädigte Datei denselben Hashwert behalten?

Wenn sich auch nur ein Bit des tatsächlich gehashten Dateiinhalts verändert, entsteht bei SHA-256 mit extrem hoher Wahrscheinlichkeit ein anderer Hashwert.

Bleibt der Inhalts-Hash identisch, spricht dies sehr stark dafür, dass der gehashte Dateiinhalt unverändert geblieben ist.

Kann eine Datei kopiert werden und denselben Hashwert behalten?

Ja. Eine identische Kopie einer Datei besitzt denselben Inhalts-Hash wie das Original.

Genau deshalb eignet sich Hashing hervorragend, um festzustellen, ob zwei Dateien inhaltlich identisch sind.

Der Hashwert verrät jedoch nicht, welche Datei zuerst existierte oder welcher Kopiervorgang stattgefunden hat.

Kann derselbe Hashwert auf zwei Computern auftreten?

Ja. Befindet sich dieselbe identische Datei auf zwei Computern, besitzt sie bei Verwendung desselben Hashverfahrens denselben Hashwert.

Das kann bei forensischen Vergleichen sehr hilfreich sein.

Es beweist allerdings nicht automatisch, auf welchem Weg die Datei von einem System auf das andere gelangt ist.

Kann ein Hashwert einen Datendiebstahl beweisen?

Ein Hashwert kann zeigen, dass eine Datei auf zwei Systemen beziehungsweise Datenträgern inhaltlich identisch ist.

Das kann bei einer Untersuchung von Datendiebstahl ein relevantes Indiz sein. Allein daraus folgt aber noch nicht, wer die Datei kopiert hat, wann der Transfer erfolgte oder ob eine Berechtigung bestand.

Für eine belastbare Rekonstruktion müssen weitere System- und Benutzerartefakte einbezogen werden.

Praxisbeispiel: Forensisches Image einer Firmenfestplatte

Ein Firmenrechner soll wegen des Verdachts auf unerlaubten Datenabfluss untersucht werden. Der Datenträger wird unter kontrollierten Bedingungen gesichert.

Nach der Akquisition wird ein SHA-256-Wert des definierten Sicherungsbestands dokumentiert.

Die spätere Analyse erfolgt auf einer Arbeitskopie. Monate später soll ein zweiter Sachverständiger die Ergebnisse überprüfen.

Wird für das archivierte Ausgangsimage erneut derselbe SHA-256-Wert berechnet, kann nachvollzogen werden, dass dieser Datenbestand seit der ursprünglichen Sicherung unverändert geblieben ist.

Praxisbeispiel: Zwei scheinbar identische Dokumente

Auf zwei unterschiedlichen Datenträgern befinden sich Dateien mit demselben Namen „Kundenliste.xlsx“.

Der gleiche Dateiname beweist nicht, dass beide Dateien identisch sind. Werden jedoch für beide Dateien identische SHA-256-Hashes berechnet, spricht dies sehr stark dafür, dass der gehashte Dateiinhalt identisch ist.

Damit ist aber noch nicht geklärt, wo die Datei ursprünglich erstellt wurde oder welcher Datenträger die Quelle war.

Praxisbeispiel: Änderung eines einzelnen Zeichens

Ein Word-Dokument enthält einen Vertrag. In einer zweiten Version wurde nur eine Zahl innerhalb des Dokuments geändert.

Obwohl beide Dokumente für den Betrachter nahezu identisch erscheinen, führt die Änderung des Dateiinhalts zu einem anderen SHA-256-Wert.

Der Hashvergleich kann daher sehr schnell zeigen, dass die Dateien nicht identisch sind. Welche konkrete Änderung vorgenommen wurde, muss anschließend durch eine inhaltliche beziehungsweise forensische Vergleichsanalyse festgestellt werden.

Praxisbeispiel: Datei auf einem USB-Stick

Bei einer internen Untersuchung wird auf einem USB-Stick eine Datei gefunden, die denselben SHA-256-Wert besitzt wie ein vertrauliches Dokument auf einem Firmenrechner.

Damit lässt sich feststellen, dass die gehashten Dateiinhalte identisch sind.

Der Hashwert allein beweist jedoch nicht, dass der Mitarbeiter diese Datei persönlich vom Firmenrechner auf genau diesen USB-Stick kopiert hat. Dazu müssen unter anderem USB-Artefakte, Zeitstempel und Benutzeraktivitäten untersucht werden.

Praxisbeispiel: Smartphone-Daten

Auch bei der Smartphone-Forensik können Hashwerte zur Integritätskontrolle exportierter Dateien oder bestimmter gesicherter Datenbestände eingesetzt werden.

Bei mobilen Extraktionen muss jedoch genau berücksichtigt werden, welche Daten die jeweilige Extraktionsmethode erzeugt und welcher Datenbestand tatsächlich gehasht wurde.

Ein Hashwert kann die technisch bedingten Unterschiede zwischen logischer Extraktion, Dateisystemextraktion und anderen Akquisemethoden nicht beseitigen.

Typische Fehler beim Umgang mit Hashwerten

Ein häufiger Fehler besteht darin, einen Hashwert als umfassenden Echtheitsnachweis zu bezeichnen. Tatsächlich bestätigt er primär die Integrität einer definierten Datenmenge gegenüber einem Referenzwert.

Ebenso problematisch ist es, Hashwerte miteinander zu vergleichen, die mit unterschiedlichen Algorithmen oder über unterschiedliche Datenebenen berechnet wurden.

Auch die Aussage, zwei identische Datei-Hashes würden automatisch einen bestimmten Kopiervorgang beweisen, ist fachlich zu weitgehend.

Ein weiteres Problem entsteht, wenn Hashwerte zwar dokumentiert werden, aber später nicht mehr nachvollziehbar ist, welche konkrete Datei, Partition oder Image-Ebene ursprünglich gehasht wurde.

Was sollte bei der Dokumentation eines Hashwerts festgehalten werden?

Eine nachvollziehbare Dokumentation sollte mindestens erkennen lassen, welche Datenmenge gehasht wurde, welcher Algorithmus verwendet wurde und welcher Hashwert dabei entstanden ist.

Je nach Untersuchungsfall können zusätzlich Zeitpunkt, Beweismittelkennung, Image-Bezeichnung und verwendetes Werkzeug relevant sein.

Der Hashwert sollte eindeutig dem entsprechenden Datenbestand zugeordnet werden können.

FAQ zu Hashwerten in der digitalen Forensik

Was ist ein Hashwert einfach erklärt?

Ein Hashwert ist ein mathematisch berechneter Prüfwert einer digitalen Datenmenge. Er kann verwendet werden, um später zu kontrollieren, ob sich die Daten verändert haben.

Was ist ein SHA-256-Hash?

SHA-256 ist eine kryptografische Hashfunktion, die einen 256 Bit langen Prüfwert erzeugt. Sie eignet sich unter anderem für moderne forensische Integritätsprüfungen.

Warum werden Hashwerte in der IT-Forensik verwendet?

Sie ermöglichen die nachvollziehbare Kontrolle, ob eine Datei, ein Image oder ein anderer definierter Datenbestand gegenüber einem Referenzzustand verändert wurde.

Beweist ein Hashwert die Echtheit einer Datei?

Nicht vollständig. Ein Hashwert kann die Unverändertheit gegenüber einem Referenzzustand prüfen. Er beweist nicht automatisch Herkunft, Urheberschaft oder inhaltliche Richtigkeit.

Kann eine manipulierte Datei einen gültigen Hashwert besitzen?

Ja. Jede Datei besitzt einen berechenbaren Hashwert. Wenn eine manipulierte Datei gehasht wird, beschreibt der Hashwert lediglich genau diese manipulierte Version.

Kann man eine Manipulation durch einen Hashwert erkennen?

Wenn ein vertrauenswürdiger früherer Referenzhash vorhanden ist und der aktuelle Hashwert davon abweicht, steht fest, dass sich die gehashten Daten unterscheiden. Was die Änderung verursacht hat, muss separat untersucht werden.

Was ist besser: MD5 oder SHA-256?

Für neue forensische Integritätsprüfungen ist SHA-256 grundsätzlich die modernere Wahl. MD5 ist kryptografisch nicht mehr kollisionssicher und sollte nicht als uneingeschränkt sicherer Nachweis dargestellt werden.

Ist SHA-1 noch sicher?

Für moderne kryptografische Sicherheitsanwendungen gilt SHA-1 nicht mehr als kollisionssicher. Historische SHA-1-Werte können für vorhandene alte Sicherungen weiterhin relevant sein.

Kann SHA-256 ebenfalls Kollisionen haben?

Mathematisch müssen Kollisionen bei einer Hashfunktion mit begrenztem Wertebereich existieren. Für SHA-256 ist eine praktisch relevante zufällige oder gezielt nutzbare Kollision bei normalen forensischen Anwendungen nach heutigem Stand jedoch nicht realistisch.

Ändert sich der Hashwert, wenn ich eine Datei umbenenne?

Bei einem Hash über den reinen Dateiinhalt normalerweise nicht. Der Dateiname gehört nicht zum eigentlichen Inhalt der Datei.

Ändert sich der Hashwert, wenn ich eine Datei kopiere?

Wenn die Kopie inhaltlich identisch ist, bleibt der Inhalts-Hash gleich.

Ändert sich der Hashwert, wenn ich nur ein Zeichen ändere?

Ja. Schon eine minimale Änderung des Dateiinhalts führt bei SHA-256 mit sehr hoher Wahrscheinlichkeit zu einem vollständig anderen Hashwert.

Ändert sich der Hashwert beim Verschieben einer Datei?

Wenn der Dateiinhalt unverändert bleibt, ändert sich ein Inhalts-Hash normalerweise nicht. Dateisystemmetadaten können sich trotzdem verändern.

Kann ich mit einem Hashwert feststellen, wann eine Datei erstellt wurde?

Nein. Ein Hashwert enthält keine Information über das Erstellungsdatum einer Datei.

Kann ein Hashwert zeigen, wer eine Datei erstellt hat?

Nein. Ein Hashwert identifiziert die Datenmenge, nicht deren Urheber.

Kann ein Hashwert zeigen, dass eine Datei auf einen USB-Stick kopiert wurde?

Nicht allein. Identische Hashwerte können zeigen, dass zwei Dateien denselben Inhalt besitzen. Der tatsächliche Kopiervorgang muss anhand weiterer digitaler Spuren untersucht werden.

Kann ein Hashwert als digitaler Fingerabdruck bezeichnet werden?

Als vereinfachte Erklärung ja. Fachlich sollte dabei klargestellt werden, dass es sich um einen berechneten Prüfwert und nicht um einen eindeutigen Herkunftsnachweis handelt.

Kann ein Hashwert eines Images später erneut überprüft werden?

Ja. Genau dies ist ein typischer Einsatz. Wird später erneut derselbe Hashwert für dieselbe definierte Datenmenge berechnet, kann die Integrität gegenüber dem dokumentierten Referenzzustand überprüft werden.

Was passiert, wenn der Hashwert nicht mehr stimmt?

Dann unterscheiden sich die gehashten Datenbestände. Die Ursache kann eine tatsächliche Änderung, ein technischer Fehler oder eine unterschiedliche Vergleichsgrundlage sein und muss untersucht werden.

Ist ein Hashwert allein ein gerichtsfester Beweis?

Nein. Ein Hashwert ist ein technisches Instrument zur Integritätskontrolle. Die Bewertung digitaler Beweismittel hängt zusätzlich von Sicherungsmethode, Dokumentation, Herkunft, Beweismittelkette und dem konkreten rechtlichen Zusammenhang ab.

Warum Hashwerte so wertvoll sind und trotzdem richtig interpretiert werden müssen

Hashwerte gehören zu den zuverlässigsten und zugleich einfachsten Kontrollmechanismen der digitalen Forensik. Mit ihnen lässt sich ein definierter Datenbestand eindeutig einem dokumentierten technischen Zustand zuordnen und später auf Veränderungen überprüfen.

Ihr Wert liegt gerade in dieser klar begrenzten Funktion. Ein Hashwert beantwortet die Frage nach der Integrität, aber nicht automatisch nach Authentizität, Urheberschaft oder Entstehungsgeschichte.

Professionelle Forensik verwendet Hashwerte deshalb nicht als pauschales Qualitätssiegel. Sie dokumentiert, welcher Algorithmus eingesetzt wurde, welche Daten gehasht wurden und zu welchem Zeitpunkt der Referenzwert entstanden ist.

Erst im Zusammenspiel mit einer nachvollziehbaren Datensicherung, sauberer Beweismitteldokumentation und fachgerechter Analyse wird aus dem Hashwert ein belastbarer Bestandteil der digitalen Beweissicherung.

Zurück zur Wissensübersicht