Computer-Forensik ist die methodische Sicherung, Untersuchung und Bewertung digitaler Spuren auf Computern und den damit verbundenen Speichermedien. Untersucht werden können unter anderem Desktop-PCs, Notebooks, Windows-Systeme, Macs, interne und externe Datenträger sowie Daten, die durch Programme, Benutzerkonten, Browser und Betriebssysteme erzeugt wurden.

Im Mittelpunkt steht nicht nur die Frage, welche Dateien auf einem Computer vorhanden sind. Computer-Forensik versucht vielmehr, technische Vorgänge nachvollziehbar zu rekonstruieren: Wann wurde eine Datei erstellt, geöffnet, verändert oder gelöscht? Welche Programme wurden verwendet? Welche Benutzer waren angemeldet? Welche USB-Geräte wurden angeschlossen? Wurden Dateien kopiert, heruntergeladen oder auf externe Datenträger übertragen?

Computer-Forensik gehört damit zu den zentralen Bereichen der IT-Forensik. Ihr besonderer Wert liegt darin, unterschiedliche digitale Spuren miteinander zu verbinden und daraus einen technisch nachvollziehbaren Ablauf zu rekonstruieren.

Was genau bedeutet Computer-Forensik?

Computer-Forensik, häufig auch als Computer Forensics bezeichnet, beschäftigt sich mit der forensischen Untersuchung von Computersystemen und deren Daten.

Dabei geht es nicht ausschließlich um die Wiederherstellung gelöschter Dateien. Von Interesse sind ebenso vorhandene Dateien, Dateisysteminformationen, Benutzeraktivitäten, Systemprotokolle, Registry-Daten, Browserartefakte, Programmspuren, externe Geräte, Netzwerkhinweise und zahlreiche weitere Datenquellen.

Eine professionelle Untersuchung verbindet drei Bereiche miteinander: die kontrollierte Sicherung der Ausgangsdaten, die technische Analyse der gewonnenen Daten und die nachvollziehbare Bewertung der Ergebnisse.

Welche Computer können forensisch untersucht werden?

Grundsätzlich können zahlreiche Computersysteme Gegenstand einer forensischen Untersuchung sein.

Dazu gehören klassische Desktop-PCs, Notebooks, Workstations und andere Computersysteme. Besonders häufig werden Geräte mit Microsoft Windows oder Apple macOS untersucht.

Für Windows-Systeme bestehen aufgrund der weiten Verbreitung und der zahlreichen vom Betriebssystem erzeugten Artefakte umfangreiche Analysemöglichkeiten. LB Forensik behandelt diese Untersuchungen gesondert im Bereich Windows-Forensik.

Apple-Computer besitzen mit macOS, APFS, FileVault und der Apple-Hardwarearchitektur eigene technische Besonderheiten. Hierfür besteht der Bereich Mac-Forensik.

Warum hinterlässt ein Computer so viele digitale Spuren?

Ein Betriebssystem muss fortlaufend Informationen verwalten, damit der Computer funktioniert. Programme werden gestartet, Dateien geöffnet, Benutzer angemeldet, Datenträger eingebunden und Netzwerkverbindungen hergestellt.

Viele dieser Vorgänge erzeugen technische Artefakte.

Ein Benutzer kann beispielsweise ein Dokument öffnen. Neben der eigentlichen Datei können dadurch zusätzliche Spuren entstehen: Einträge über zuletzt verwendete Dateien, temporäre Dateien, Verknüpfungen, Programminformationen oder Dateisystemzeitstempel.

Der forensische Erkenntniswert entsteht häufig gerade aus diesen indirekten Spuren.

Welche Daten können bei einer Computer-Forensik untersucht werden?

Der mögliche Datenumfang ist erheblich und hängt vom Betriebssystem, den installierten Anwendungen, der Nutzung des Computers und der konkreten Fragestellung ab.

Untersucht werden können beispielsweise Dokumente, Bilder, Videos, Archive, E-Mails, Browserdaten, Downloads, Benutzerkonten, Systemprotokolle, Programmspuren, Dateimetadaten, temporäre Dateien, Papierkorbinhalte und gelöschte Daten.

Weitere relevante Quellen können Informationen über USB-Geräte, externe Festplatten, Netzwerkverbindungen, Cloud-Anwendungen und installierte beziehungsweise entfernte Programme sein.

Warum beginnt Computer-Forensik mit der Fragestellung?

Ein moderner Computer kann Millionen Dateien und eine enorme Menge technischer Metadaten enthalten. Eine undifferenzierte Untersuchung sämtlicher Daten ist deshalb weder fachlich noch wirtschaftlich automatisch sinnvoll.

Am Anfang sollte eine konkrete Untersuchungsfrage stehen.

Beispiele sind: Wurden bestimmte Firmendaten kopiert? Wann wurde eine Datei gelöscht? War ein bestimmter USB-Stick angeschlossen? Welche Aktivitäten fanden vor dem Ausscheiden eines Mitarbeiters statt? Wurde Schadsoftware ausgeführt? Oder gibt es Hinweise auf einen unbefugten Zugriff?

Aus der Fragestellung ergibt sich, welche Datenquellen priorisiert untersucht werden sollten.

Warum wird ein Computer nicht einfach direkt untersucht?

Die direkte Arbeit auf einem beweisrelevanten Originalsystem kann neue Daten erzeugen und vorhandene Informationen verändern.

Bereits das normale Starten eines Betriebssystems verursacht zahlreiche Schreibvorgänge. Protokolle werden aktualisiert, temporäre Dateien erzeugt und Zeitstempel verändert.

Deshalb wird bei geeigneten Ausgangssituationen zunächst eine forensische Datensicherung erstellt.

Welche Sicherungsmethode geeignet ist, hängt allerdings vom System ab. Ein ausgeschalteter PC mit zugänglichem unverschlüsseltem Datenträger stellt eine andere Ausgangssituation dar als ein laufender, verschlüsselter Computer.

Was ist ein forensisches Abbild eines Computers?

Ein forensisches Abbild ist eine kontrolliert erzeugte Sicherung eines Datenträgers beziehungsweise eines definierten Datenbestands, die anschließend als Grundlage der Untersuchung dienen kann.

Bei klassischen Datenträgern kann eine sektorweise Sicherung neben sichtbaren Dateien auch Dateisystemstrukturen, nicht zugeordnete Bereiche und weitere Informationen erfassen.

Dadurch können Daten untersucht werden, die bei einem normalen Kopieren über den Datei-Explorer nicht erfasst würden.

Was ist der Unterschied zwischen einer normalen Kopie und einer forensischen Sicherung?

Wer einen Ordner von einem Computer auf eine externe Festplatte kopiert, sichert normalerweise nur die sichtbaren ausgewählten Dateien.

Für eine forensische Untersuchung können jedoch gerade Informationen außerhalb dieser Dateien relevant sein.

Dazu gehören beispielsweise Dateisystemmetadaten, gelöschte Verzeichniseinträge, nicht zugeordnete Speicherbereiche oder andere technische Strukturen.

Eine normale Dateikopie und ein forensisches Datenträgerabbild erfüllen deshalb unterschiedliche Zwecke.

Welche Rolle spielen Hashwerte?

Hashwerte können dazu verwendet werden, einen digitalen Datenbestand mathematisch zu charakterisieren und spätere Veränderungen zu erkennen.

Wird beispielsweise ein forensisches Image erzeugt, kann ein kryptografischer Hashwert des gesicherten Datenbestands dokumentiert werden. Wird später erneut derselbe Hashwert berechnet und stimmt dieser überein, spricht dies dafür, dass der betreffende Datenbestand zwischen den Berechnungen unverändert geblieben ist.

Wie Hashverfahren in der digitalen Forensik eingesetzt werden, erläutert der Fachartikel Hashwert in der digitalen Forensik.

Beweist ein Hashwert, dass eine Sicherung vollständig ist?

Nein. Integrität und Vollständigkeit müssen unterschieden werden.

Ein Hashwert kann die Unverändertheit genau des Datenbestands kontrollierbar machen, über den er berechnet wurde.

Er beweist aber nicht automatisch, dass bei der ursprünglichen Akquisition sämtliche theoretisch vorhandenen Informationen erfasst wurden.

Deshalb muss zusätzlich dokumentiert werden, was genau gesichert wurde und mit welchem Verfahren.

Welche Rolle spielt ein Write-Blocker?

Bei der forensischen Sicherung geeigneter Datenträger kann ein Hardware- oder Software-Write-Blocker verhindern, dass das Untersuchungssystem Schreibbefehle an den Quelldatenträger übermittelt.

Das ist insbesondere bei klassischen Datenträgeruntersuchungen wichtig, weil unbeabsichtigte Veränderungen des Originals vermieden werden sollen.

Ein Write-Blocker ist jedoch kein universelles Werkzeug für jede denkbare Computersituation. Bei laufenden Systemen oder bestimmten modernen Speicher- und Verschlüsselungsarchitekturen können andere Akquisitionsmethoden erforderlich sein.

Welche Rolle spielt die Chain of Custody?

Bei beweisrelevanten Untersuchungen reicht es nicht aus, nur technische Daten zu analysieren.

Es sollte nachvollziehbar dokumentiert werden, welches Gerät übernommen wurde, wann dies geschah, in welchem Zustand es sich befand, welche Sicherung erstellt wurde und wie mit den Daten anschließend umgegangen wurde.

Diese Beweismittelkette verbindet das physische Ausgangsgerät mit dem später untersuchten Datenbestand.

Was wird bei einem Windows-PC untersucht?

Windows erzeugt eine Vielzahl forensisch relevanter Datenquellen.

Dazu gehören unter anderem Ereignisprotokolle, Registry-Strukturen, Dateisysteminformationen, Verknüpfungen, Informationen über zuletzt verwendete Dateien, Browserdaten, Benutzerprofile und Spuren angeschlossener Geräte.

Je nach Fragestellung können diese Quellen miteinander kombiniert werden, um Benutzer- und Systemaktivitäten zu rekonstruieren.

Was ist die Windows Registry?

Die Windows Registry ist eine zentrale Konfigurationsdatenbank des Betriebssystems.

Sie enthält Informationen zu Systemkonfigurationen, Benutzereinstellungen, Programmen und zahlreichen weiteren Funktionen.

Für die Computer-Forensik können bestimmte Registry-Bereiche Hinweise auf Benutzeraktivitäten, angeschlossene Geräte oder installierte Software liefern.

Welche Aussage ein Registry-Eintrag tatsächlich erlaubt, hängt jedoch von seiner konkreten Funktion ab.

Welche Bedeutung haben Windows-Ereignisprotokolle?

Windows protokolliert zahlreiche System- und Sicherheitsereignisse.

Abhängig von Konfiguration und Aufbewahrung können Ereignisprotokolle beispielsweise Hinweise auf Anmeldungen, Systemstarts, Fehler, Dienste oder Sicherheitsereignisse enthalten.

Nicht jedes Ereignis wird automatisch protokolliert, und Protokolle können begrenzt, überschrieben oder gelöscht werden. Das Fehlen eines bestimmten Eintrags beweist deshalb nicht zwangsläufig, dass ein Ereignis niemals stattgefunden hat.

Können Benutzeranmeldungen rekonstruiert werden?

Unter geeigneten Voraussetzungen können verschiedene Systemartefakte Hinweise darauf liefern, wann Benutzerkonten angemeldet waren.

Für eine belastbare Bewertung sollte jedoch zwischen einem Benutzerkonto und der tatsächlich handelnden natürlichen Person unterschieden werden.

Ein protokolliertes Konto zeigt zunächst, welches Konto technisch verwendet wurde. Daraus folgt nicht automatisch zweifelsfrei, wer vor dem Computer saß.

Können Benutzeraktivitäten rekonstruiert werden?

Teilweise können Aktivitäten sehr detailliert rekonstruiert werden.

Relevant können beispielsweise geöffnete Dateien, gestartete Programme, Browseraktivitäten, Downloads, externe Datenträger und weitere Systemereignisse sein.

Eine vollständige lückenlose Aufzeichnung jeder Benutzerhandlung existiert jedoch normalerweise nicht.

Computer-Forensik rekonstruiert deshalb Ereignisse aus den tatsächlich vorhandenen Spuren.

Können zuletzt geöffnete Dateien festgestellt werden?

Windows und verschiedene Anwendungen erzeugen Artefakte zu zuletzt verwendeten Dateien.

Solche Informationen können bei der Rekonstruktion von Benutzeraktivitäten sehr wertvoll sein.

Ein Eintrag muss allerdings technisch richtig interpretiert werden. Je nach Artefakt kann er beispielsweise auf Öffnen, Auswahl, Zugriff oder eine andere Interaktion hinweisen.

Kann festgestellt werden, wann eine Datei erstellt wurde?

Dateisysteme speichern verschiedene Zeitinformationen zu Dateien und Verzeichnissen.

Diese können Hinweise auf Erstellungs- und Änderungszeitpunkte geben.

Die Interpretation ist jedoch nicht immer trivial. Kopiervorgänge, Synchronisation, Wiederherstellung oder Software können Zeitstempel verändern.

Ein einzelner Dateizeitstempel sollte deshalb nicht ohne Kontext als unumstößlicher Entstehungszeitpunkt interpretiert werden.

Kann festgestellt werden, wann eine Datei geöffnet wurde?

Das hängt vom Betriebssystem, Dateisystem, verwendeten Programm und vorhandenen Artefakten ab.

Ein Computer kann indirekte Spuren einer Dateinutzung hinterlassen, beispielsweise über zuletzt verwendete Dateien, Verknüpfungen oder anwendungsspezifische Daten.

Es existiert jedoch nicht für jede Datei eine vollständige und dauerhaft gespeicherte Öffnungshistorie.

Kann festgestellt werden, wann eine Datei verändert wurde?

Dateisystemmetadaten können einen Änderungszeitpunkt enthalten.

Dieser Wert muss allerdings korrekt interpretiert werden. Unterschiedliche Operationen können unterschiedliche Zeitfelder beeinflussen.

Für wichtige Feststellungen sollten deshalb möglichst zusätzliche Artefakte herangezogen werden.

Kann festgestellt werden, wann eine Datei gelöscht wurde?

Unter bestimmten Voraussetzungen können Dateisystem- und andere Systemartefakte Hinweise auf Löschvorgänge liefern.

Ein exakter Löschzeitpunkt ist jedoch nicht bei jedem Dateisystem und jeder Ausgangslage unmittelbar verfügbar.

Bei Windows können beispielsweise Papierkorbstrukturen zusätzliche Informationen enthalten, sofern die Datei über den Papierkorb gelöscht wurde und die entsprechenden Metadaten noch vorhanden sind.

Können gelöschte Dateien wiederhergestellt werden?

Unter bestimmten Voraussetzungen ja.

Bei klassischen magnetischen Festplatten können gelöschte Daten noch in nicht zugeordneten Speicherbereichen vorhanden sein, solange die betreffenden Bereiche nicht überschrieben wurden.

Bei SSDs ist die Situation komplexer. Funktionen wie TRIM und interne Speicherbereinigung können dazu führen, dass gelöschte Daten deutlich schneller nicht mehr rekonstruierbar sind.

Wer Daten wiederherstellen möchte, sollte das betreffende System deshalb möglichst nicht unnötig weiterverwenden. LB Forensik behandelt diesen Bereich zusätzlich unter Datenrettung.

Warum unterscheiden sich HDD und SSD forensisch?

Magnetische Festplatten und Solid-State-Drives verwalten Daten technisch unterschiedlich.

Bei einer klassischen Festplatte kann das Löschen einer Datei zunächst lediglich dazu führen, dass ihre Speicherbereiche vom Dateisystem als wieder verfügbar markiert werden.

SSDs verwenden dagegen Flash-Speicher, Controller und interne Verwaltungsmechanismen. TRIM kann dem Laufwerk mitteilen, welche Blöcke vom Dateisystem nicht mehr benötigt werden.

Dadurch unterscheiden sich insbesondere die Möglichkeiten zur Wiederherstellung gelöschter Daten erheblich.

Welche Rolle spielt Verschlüsselung?

Verschlüsselung kann den forensischen Zugriff entscheidend beeinflussen.

Windows-Systeme können beispielsweise mit BitLocker geschützt sein. Auf Macs kann FileVault eingesetzt werden.

Ist ein Datenträger vollständig verschlüsselt und stehen keine geeigneten Zugangsmöglichkeiten zur Verfügung, kann eine physische Sicherung zwar unter Umständen verschlüsselte Daten erfassen, deren Inhalt aber nicht ohne Weiteres analysiert werden.

Der Zustand des Systems bei der Übernahme kann deshalb entscheidend sein.

Warum kann ein laufender Computer forensisch wertvoll sein?

Ein eingeschalteter Computer kann Informationen enthalten, die nach einem Herunterfahren nicht mehr in derselben Form verfügbar sind.

Dazu können beispielsweise entschlüsselte Datenträger, aktive Benutzer-Sitzungen, laufende Prozesse, Netzwerkverbindungen oder flüchtige Daten im Arbeitsspeicher gehören.

Ein reflexartiges Ausschalten kann solche Informationen verlieren lassen.

Sollte ein verdächtiger Computer sofort ausgeschaltet werden?

Eine allgemeingültige Antwort gibt es nicht.

Bei einem laufenden verschlüsselten System kann das Ausschalten den späteren Zugriff erheblich erschweren. Bei einem aktiven Cyberangriff kann ein weiterlaufendes System dagegen weitere Kommunikation oder Veränderungen ermöglichen.

Die richtige Maßnahme hängt deshalb vom Vorfall, vom Systemzustand und vom Untersuchungsziel ab.

Was ist Live-Forensik?

Live-Forensik bezeichnet die Untersuchung beziehungsweise Sicherung bestimmter Informationen aus einem laufenden System.

Dabei können beispielsweise Arbeitsspeicher, laufende Prozesse, aktive Netzwerkverbindungen, angemeldete Benutzer oder Informationen zu eingebundenen verschlüsselten Datenträgern relevant sein.

Der wesentliche Unterschied zur klassischen Offline-Forensik besteht darin, dass auf einem laufenden System gearbeitet wird und dadurch zwangsläufig bestimmte Zustandsänderungen entstehen können.

Was ist Offline-Forensik?

Bei einer Offline-Untersuchung wird ein nicht laufendes System beziehungsweise ein gesicherter Datenträger analysiert.

Dies ermöglicht eine kontrollierte Untersuchung, ohne dass das ursprüngliche Betriebssystem während der Analyse fortlaufend neue Daten erzeugt.

Wo technisch möglich, werden Analysen deshalb bevorzugt auf forensisch gesicherten Datenbeständen durchgeführt.

Was ist RAM-Forensik?

Der Arbeitsspeicher eines laufenden Computers kann flüchtige Informationen enthalten, die auf dem Datenträger nicht oder nicht in derselben Form vorhanden sind.

Dazu können laufende Prozesse, Netzwerkzustände und weitere temporäre Informationen gehören.

Mit dem Ausschalten des Computers geht der Inhalt des Arbeitsspeichers grundsätzlich verloren. Deshalb kann bei bestimmten Sicherheitsvorfällen eine Arbeitsspeichersicherung sinnvoll sein.

Können USB-Sticks nachgewiesen werden?

Windows-Systeme können verschiedene Informationen über angeschlossene USB-Geräte hinterlassen.

Abhängig von Gerät und Datenbestand können beispielsweise Herstellerinformationen, Produktkennungen, Seriennummern oder Zeitbezüge vorhanden sein.

Damit kann unter bestimmten Voraussetzungen rekonstruiert werden, dass ein bestimmtes USB-Gerät mit einem Computer verbunden war.

Kann festgestellt werden, welcher USB-Stick verwendet wurde?

Bei manchen USB-Speichergeräten können eindeutige oder zumindest unterscheidbare Geräteinformationen vorhanden sein.

Dadurch kann gegebenenfalls ein konkreter Datenträger mit Spuren auf dem untersuchten Computer in Verbindung gebracht werden.

Die genaue Identifizierbarkeit hängt jedoch vom Gerät und den gespeicherten Systeminformationen ab.

Kann festgestellt werden, welche Dateien auf einen USB-Stick kopiert wurden?

Das ist eine anspruchsvollere Fragestellung als der reine Nachweis eines angeschlossenen USB-Geräts.

Windows führt nicht automatisch ein vollständiges unveränderliches Protokoll sämtlicher Dateikopiervorgänge.

Unter geeigneten Umständen können jedoch Dateisysteminformationen, zuletzt verwendete Dateien, Verknüpfungen, Zeitstempel und weitere Artefakte miteinander korreliert werden.

Dadurch kann sich ein Kopiervorgang unter Umständen technisch stützen oder rekonstruieren lassen.

Können externe Festplatten nachgewiesen werden?

Auch externe USB-Festplatten und SSDs können Spuren im Betriebssystem hinterlassen.

Die Untersuchung kann deshalb sowohl den Computer als auch den betreffenden externen Datenträger umfassen.

Stehen beide Systeme zur Verfügung, können Dateibestände, Metadaten und Zeitinformationen miteinander verglichen werden.

Können Dateikopiervorgänge nachvollzogen werden?

Unter bestimmten Voraussetzungen ja.

Die Aussagekraft steigt, wenn mehrere unabhängige Spuren zusammenpassen. Ein angeschlossener Datenträger, passende Dateinamen, korrespondierende Zeitstempel und weitere Systemartefakte können gemeinsam ein deutlich stärkeres Bild ergeben als ein einzelner Fund.

Eine vollständige Kopierhistorie existiert jedoch nicht automatisch.

Kann festgestellt werden, ob Dateien in eine Cloud kopiert wurden?

Cloud-Anwendungen können lokale Spuren hinterlassen, beispielsweise synchronisierte Verzeichnisse, Programmkonfigurationen, Cache-Dateien oder Protokollinformationen.

Ob daraus ein konkreter Upload nachgewiesen werden kann, hängt vom verwendeten Dienst und den noch vorhandenen Daten ab.

Für bestimmte Fragestellungen kann zusätzlich die Untersuchung des betreffenden Cloud-Kontos erforderlich sein.

Können E-Mails auf einem Computer untersucht werden?

Ja. E-Mail-Daten können lokal in Mailprogrammen, Browserdaten, Anhängen, Cache-Bereichen oder anderen Speicherstrukturen vorhanden sein.

Je nach Fragestellung können Nachrichteninhalte, Headerinformationen, Anhänge und Zeitinformationen relevant sein.

Bei cloudbasierten E-Mail-Systemen muss zwischen lokal vorhandenen Artefakten und serverseitigen Daten unterschieden werden.

Können Browseraktivitäten untersucht werden?

Browser gehören zu den wichtigsten Datenquellen der Computer-Forensik.

Je nach Browser und Konfiguration können Verlauf, Downloads, Cookies, Cache, Sitzungsinformationen und weitere Daten vorhanden sein.

Diese Informationen können helfen, besuchte Webseiten, Downloads oder zeitliche Abläufe zu rekonstruieren.

Kann Inkognito- oder Privatmodus nachgewiesen werden?

Private Browsermodi reduzieren die Speicherung bestimmter Informationen im jeweiligen Browser.

Sie bedeuten jedoch nicht automatisch, dass keinerlei technische Spuren auf dem Gesamtsystem entstehen können.

Andere Systemkomponenten, Netzwerkdienste oder externe Systeme können unabhängig davon Informationen erzeugen.

Ob ein konkreter privater Browsing-Vorgang nachträglich nachweisbar ist, hängt von den vorhandenen Datenquellen ab.

Können Downloads nachvollzogen werden?

Downloads können Spuren im Browser, Dateisystem, Download-Verzeichnis und gegebenenfalls in weiteren Systemartefakten hinterlassen.

Auch wenn eine heruntergeladene Datei später gelöscht wurde, können unter bestimmten Voraussetzungen noch Hinweise auf den Download vorhanden sein.

Können installierte Programme nachgewiesen werden?

Ja. Betriebssystem und Anwendungen hinterlassen zahlreiche Informationen zu installierter Software.

Unter Windows können beispielsweise Registry-Einträge, Programmverzeichnisse, Installer-Daten und weitere Systemartefakte relevant sein.

Der genaue Nachweis hängt davon ab, welche Informationen noch vorhanden sind.

Können deinstallierte Programme nachgewiesen werden?

Unter bestimmten Voraussetzungen ja.

Eine Deinstallation entfernt nicht zwingend sämtliche Spuren einer Anwendung. Verzeichnisse, Konfigurationsdaten, Protokolle oder andere Systeminformationen können erhalten bleiben.

Das Vorhandensein solcher Artefakte muss jedoch fachlich eingeordnet werden, weil ein Restbestand nicht automatisch beweist, wann oder wie lange das Programm genutzt wurde.

Kann Schadsoftware auf einem Computer nachgewiesen werden?

Ja. Bei einem Verdacht auf Schadsoftware können Dateien, Prozesse, Autostartmechanismen, Systemänderungen, Netzwerkspuren und weitere Indikatoren untersucht werden.

Eine solche Untersuchung geht über einen normalen Virenscan hinaus.

Es kann beispielsweise relevant sein, wann eine verdächtige Datei auf das System gelangte, ob sie ausgeführt wurde, welche Veränderungen sie verursachte und ob weitere Systeme betroffen sein könnten.

Kann ein unbefugter Zugriff rekonstruiert werden?

Unter geeigneten Voraussetzungen können Anmeldeereignisse, Systemprotokolle, Netzwerkdaten, Benutzeraktivitäten und weitere Artefakte Hinweise auf einen unbefugten Zugriff liefern.

Die Aussagekraft hängt stark davon ab, welche Protokollierung vorhanden war und welche Daten noch verfügbar sind.

Eine IP-Adresse oder ein einzelner Login-Eintrag allein identifiziert nicht zwangsläufig eine konkrete natürliche Person.

Welche Rolle spielen Dateimetadaten?

Dateien enthalten neben ihrem sichtbaren Inhalt häufig technische Metadaten.

Dazu können Dateisystemzeitstempel, Größeninformationen und abhängig vom Dateiformat zusätzliche interne Metadaten gehören.

Office-Dokumente, Bilder, PDF-Dateien und andere Formate können jeweils eigene Informationen enthalten.

Metadaten sind wertvolle Hinweise, müssen aber kritisch interpretiert werden, weil sie teilweise verändert werden können.

Können manipulierte Zeitstempel erkannt werden?

Unter bestimmten Voraussetzungen können Unstimmigkeiten festgestellt werden.

Ein verdächtiger Zeitstempel wird dabei nicht isoliert betrachtet. Er kann mit Dateisysteminformationen, Anwendungsartefakten, Logdaten und anderen Ereignissen verglichen werden.

Widersprechen sich mehrere voneinander unabhängige Datenquellen, kann dies ein Hinweis auf eine Veränderung sein.

Was ist Timeline-Analyse?

Bei einer Timeline-Analyse werden Zeitinformationen aus unterschiedlichen Datenquellen zusammengeführt.

Dadurch kann beispielsweise rekonstruiert werden, welche Ereignisse unmittelbar vor oder nach einem bestimmten Vorgang stattgefunden haben.

Eine solche Zeitleiste kann Dateisystemereignisse, Benutzeraktivitäten, Programmnutzung, Browserdaten und Systemprotokolle miteinander verbinden.

Sie ist besonders wertvoll, wenn nicht ein einzelner Fund, sondern ein vollständiger Ablauf untersucht werden soll.

Warum ist die Korrelation mehrerer Spuren so wichtig?

Ein einzelnes digitales Artefakt besitzt häufig nur begrenzte Aussagekraft.

Ein USB-Eintrag zeigt möglicherweise, dass ein Gerät angeschlossen war. Ein Dateiartefakt kann zeigen, dass ein Dokument verwendet wurde. Ein Zeitstempel kann einen zeitlichen Zusammenhang liefern.

Wenn mehrere technisch unabhängige Datenquellen denselben Ablauf stützen, wird die Rekonstruktion deutlich belastbarer.

Kann Computer-Forensik Datendiebstahl untersuchen?

Ja. Gerade bei Verdachtsfällen in Unternehmen kann Computer-Forensik eine zentrale Rolle spielen.

Untersucht werden können beispielsweise USB-Geräte, externe Datenträger, Cloud-Anwendungen, E-Mail-Aktivitäten, Dateizugriffe und andere technische Spuren.

Die bloße Existenz vertraulicher Dateien auf einem Computer beweist jedoch keinen Datendiebstahl. Entscheidend ist die Rekonstruktion des möglichen Abflusswegs.

Kann Computer-Forensik Aktivitäten ausgeschiedener Mitarbeiter rekonstruieren?

Unter geeigneten Voraussetzungen können Aktivitäten aus der Zeit vor dem Ausscheiden eines Mitarbeiters untersucht werden.

Relevant können insbesondere Dateizugriffe, externe Speichermedien, Cloud-Dienste, Browseraktivitäten, E-Mail, Löschvorgänge und installierte Programme sein.

Je früher ein betroffenes Gerät gesichert wird, desto geringer ist das Risiko, dass relevante Spuren durch weitere Nutzung verändert oder überschrieben werden.

Kann Computer-Forensik beweisen, wer eine Handlung ausgeführt hat?

Das ist häufig schwieriger als der technische Nachweis der Handlung selbst.

Ein Computer kann beispielsweise zeigen, dass unter einem bestimmten Benutzerkonto eine Aktivität stattfand. Daraus folgt nicht automatisch, dass ausschließlich der Kontoinhaber persönlich gehandelt hat.

Für eine personenbezogene Zuordnung müssen deshalb zusätzliche technische und tatsächliche Umstände berücksichtigt werden.

Was ist der Unterschied zwischen Computer-Forensik und Datenrettung?

Datenrettung konzentriert sich in erster Linie darauf, verlorene oder gelöschte Daten wieder zugänglich zu machen.

Computer-Forensik stellt zusätzliche Fragen: Woher stammt eine Datei? Wann wurde sie erzeugt oder verändert? Welche weiteren Systemspuren stehen mit ihr in Verbindung? Ist der Datenbestand nachvollziehbar gesichert? Welche Aussage lässt sich technisch tatsächlich treffen?

Eine wiederhergestellte Datei ist deshalb in einer forensischen Untersuchung nicht automatisch das Endergebnis.

Was ist der Unterschied zwischen Computer-Forensik und IT-Sicherheit?

IT-Sicherheit versucht unter anderem, Systeme gegen Angriffe, Datenverlust und unbefugten Zugriff zu schützen.

Computer-Forensik untersucht dagegen vorhandene digitale Spuren, häufig nachdem ein bestimmter Vorgang oder Verdacht bereits entstanden ist.

Beide Bereiche überschneiden sich bei Sicherheitsvorfällen, verfolgen aber unterschiedliche Kernaufgaben.

Welche Rolle spielt Computer-Forensik bei Cyberangriffen?

Nach einem Cyberangriff können Computersysteme wichtige Informationen über den Ablauf enthalten.

Zu den möglichen Fragen gehören: Wie gelangte ein Angreifer in das System? Welche Benutzerkonten wurden verwendet? Welche Schadsoftware wurde ausgeführt? Welche Daten wurden möglicherweise verändert oder übertragen?

Hier können Datenträgerforensik, Arbeitsspeicheranalyse, Logauswertung und Netzwerkdaten gemeinsam relevant werden.

Was sollte ein Unternehmen bei einem Verdachtsfall vermeiden?

Ein potenziell relevantes Gerät sollte nicht unnötig weiterbenutzt werden.

Ebenso problematisch kann es sein, zunächst selbst Dateien zu durchsuchen, Programme zu installieren, Benutzerkonten zu verändern oder vermeintlich verdächtige Daten zu löschen.

Solche Maßnahmen können genau diejenigen Spuren verändern, die später für die Rekonstruktion benötigt werden.

Was sollte bei einem ausgeschalteten Beweis-PC beachtet werden?

Ist ein relevanter Computer bereits ausgeschaltet, sollte er nicht allein zur Sichtung seiner Dateien wieder normal gestartet werden.

Ein regulärer Systemstart erzeugt neue Betriebssystemaktivitäten und kann bestehende Spuren verändern.

Die geeignete Sicherungsmethode sollte deshalb vor dem nächsten Start festgelegt werden.

Was sollte bei einem laufenden Beweis-PC beachtet werden?

Ein laufender Computer sollte ebenfalls nicht reflexartig bedient oder ausgeschaltet werden.

Insbesondere bei Verschlüsselung oder einem laufenden Sicherheitsvorfall können flüchtige Informationen relevant sein.

Die Entscheidung zwischen Live-Sicherung, Isolation und kontrolliertem Herunterfahren sollte anhand des konkreten Falls erfolgen.

Wie läuft eine Computer-forensische Untersuchung typischerweise ab?

Zunächst wird die Untersuchungsfrage definiert und das betreffende System dokumentiert.

Anschließend wird abhängig vom Gerätezustand entschieden, welche Daten zuerst gesichert werden müssen. Bei ausgeschalteten Systemen kann dies beispielsweise eine forensische Datenträgersicherung sein. Bei laufenden Systemen können zusätzlich flüchtige Daten relevant sein.

Nach der Sicherung werden die Daten aufbereitet und anhand der Fragestellung analysiert.

Relevante Artefakte werden überprüft, zeitlich eingeordnet und mit anderen Datenquellen verglichen. Erst danach erfolgt die fachliche Bewertung.

Warum ist eine Dokumentation der Untersuchung wichtig?

Eine spätere Bewertung sollte nachvollziehen können, welches System untersucht wurde, welche Daten gesichert wurden und auf welcher Grundlage ein Ergebnis entstanden ist.

Dazu gehören beispielsweise Geräteinformationen, Sicherungsmethode, verwendete Datenbestände, Integritätskontrollen und relevante Untersuchungsschritte.

Gerade bei möglichen rechtlichen Auseinandersetzungen ist eine nachvollziehbare Methodik wichtiger als eine bloße Sammlung von Screenshots oder Suchtreffern.

Was kann Computer-Forensik nicht leisten?

Computer-Forensik kann keine Informationen erzeugen, die nicht mehr vorhanden oder technisch nicht zugänglich sind.

Sie kann auch nicht aus jedem technischen Fund automatisch eine konkrete Person, Motivation oder Absicht ableiten.

Ein angeschlossener USB-Stick beweist nicht automatisch, dass Dateien kopiert wurden. Eine vorhandene Datei beweist nicht automatisch ihre Herkunft. Ein Benutzerkonto identifiziert nicht in jeder Situation zweifelsfrei die handelnde Person.

Die Grenzen einer Feststellung gehören deshalb zu einer fachlich sauberen Bewertung.

Praxisbeispiel: Verdacht auf Datenkopie vor Kündigung

Bei einem Unternehmen besteht der Verdacht, dass ein Mitarbeiter kurz vor seinem Ausscheiden vertrauliche Unterlagen kopiert hat.

Eine Computer-forensische Untersuchung kann zunächst prüfen, welche externen Datenträger im relevanten Zeitraum angeschlossen waren.

Anschließend können Dateizugriffe, zuletzt verwendete Dokumente, Zeitstempel, Cloud-Anwendungen und weitere Artefakte untersucht werden.

Findet sich beispielsweise ein externes Speichermedium im relevanten Zeitraum und bestehen zusätzlich passende Datei- und Nutzungsspuren, kann sich daraus ein deutlich stärkerer technischer Zusammenhang ergeben als aus einem einzelnen USB-Eintrag.

Praxisbeispiel: Gelöschte Dateien

Auf einem Computer fehlen wichtige Dateien. Zunächst muss geklärt werden, welcher Datenträger verwendet wird und ob es sich beispielsweise um eine HDD oder SSD handelt.

Anschließend können Dateisystemstrukturen, Papierkorbdaten und weitere Artefakte untersucht werden.

Das Ergebnis kann eine Wiederherstellung der Dateien, ein indirekter Nachweis ihrer früheren Existenz oder auch die Feststellung sein, dass keine verwertbaren Daten mehr vorhanden sind.

Praxisbeispiel: Unbefugter Zugriff

Ein Unternehmen vermutet, dass sich eine unbekannte Person Zugriff auf einen Computer verschafft hat.

Die Untersuchung kann Anmeldeinformationen, Ereignisprotokolle, Benutzeraktivitäten, Programme und weitere technische Spuren miteinander vergleichen.

Eine einzelne ungewöhnliche Anmeldung ist dabei zunächst ein Befund. Erst die Einordnung weiterer Systemereignisse kann zeigen, ob daraus ein technisch nachvollziehbarer Angriffspfad entsteht.

Praxisbeispiel: manipuliertes Dokument

Es besteht Streit darüber, wann ein Dokument tatsächlich erstellt oder verändert wurde.

Eine Untersuchung sollte nicht nur den sichtbaren Dateizeitstempel betrachten.

Zusätzlich können interne Dokumentmetadaten, Dateisysteminformationen, Sicherungskopien, zuletzt verwendete Dateien und andere korrespondierende Artefakte ausgewertet werden.

Erst der Vergleich verschiedener Datenquellen ermöglicht eine belastbarere Bewertung.

FAQ zur Computer-Forensik

Was ist Computer-Forensik einfach erklärt?

Computer-Forensik ist die methodische Sicherung und Untersuchung digitaler Spuren auf Computern. Ziel ist es, technische Vorgänge möglichst nachvollziehbar zu rekonstruieren und relevante Daten fachlich zu bewerten.

Ist Computer-Forensik dasselbe wie IT-Forensik?

Computer-Forensik ist ein wesentlicher Teilbereich der IT-Forensik. IT-Forensik kann darüber hinaus beispielsweise Smartphones, Server, Cloud-Systeme und andere digitale Datenquellen umfassen.

Welche Computer können untersucht werden?

Unter anderem Windows-PCs, Notebooks, Workstations und Macs können forensisch untersucht werden. Die konkrete Methode hängt von Hardware, Betriebssystem, Speichertechnik und Verschlüsselung ab.

Welche Daten können auf einem PC untersucht werden?

Je nach System können Dateien, gelöschte Daten, Browserinformationen, Benutzeraktivitäten, Systemprotokolle, USB-Spuren, Programme, E-Mails und zahlreiche weitere Artefakte untersucht werden.

Können gelöschte Dateien wiederhergestellt werden?

Unter bestimmten Voraussetzungen ja. Die Möglichkeiten hängen insbesondere vom Speichermedium, Dateisystem, Überschreibung und bei SSDs von Funktionen wie TRIM ab.

Können Daten von einer SSD wiederhergestellt werden?

Teilweise. Bei SSDs können TRIM und interne Speicherbereinigung die Wiederherstellung gelöschter Daten erheblich erschweren oder verhindern.

Kann festgestellt werden, wann eine Datei gelöscht wurde?

Unter bestimmten Voraussetzungen können Dateisystem- oder andere Systemartefakte Hinweise auf einen Löschzeitpunkt liefern. Ein exakter Zeitpunkt ist jedoch nicht in jedem Fall verfügbar.

Kann festgestellt werden, wann eine Datei geöffnet wurde?

Je nach Betriebssystem und vorhandenen Artefakten können Hinweise auf eine Dateinutzung bestehen. Eine vollständige Öffnungshistorie jeder Datei existiert jedoch normalerweise nicht.

Kann festgestellt werden, wann eine Datei kopiert wurde?

Manchmal kann ein Kopiervorgang anhand mehrerer technischer Spuren rekonstruiert werden. Windows führt jedoch nicht automatisch ein vollständiges Protokoll aller Dateikopien.

Kann ein USB-Stick nachgewiesen werden?

Ja. Windows kann verschiedene Informationen über angeschlossene USB-Geräte speichern, die unter bestimmten Voraussetzungen eine Identifikation ermöglichen.

Kann festgestellt werden, welche Dateien auf einen USB-Stick kopiert wurden?

Unter geeigneten Voraussetzungen können mehrere Artefakte einen Kopiervorgang stützen. Eine vollständige automatische Kopierhistorie existiert allerdings nicht.

Können externe Festplatten nachgewiesen werden?

Ja. Auch externe Festplatten und SSDs können entsprechende Geräte- und Nutzungsspuren im Betriebssystem hinterlassen.

Können Browseraktivitäten rekonstruiert werden?

Je nach Browser können Verlauf, Downloads, Cookies, Cache und weitere Informationen vorhanden sein.

Können gelöschte Browserdaten wiederhergestellt werden?

Unter bestimmten Voraussetzungen können noch Datenbankreste, Cache-Inhalte oder andere Spuren vorhanden sein. Eine vollständige Wiederherstellung ist nicht garantiert.

Kann Inkognito-Nutzung nachgewiesen werden?

Private Browsermodi reduzieren bestimmte lokale Browseraufzeichnungen. Andere Komponenten des Systems oder der Infrastruktur können trotzdem Spuren erzeugen. Ob ein konkreter Vorgang nachweisbar ist, hängt von der Datenlage ab.

Können installierte Programme festgestellt werden?

Ja. Betriebssysteme speichern verschiedene Informationen über installierte Software.

Können deinstallierte Programme nachgewiesen werden?

Unter bestimmten Voraussetzungen können nach einer Deinstallation noch Programmverzeichnisse, Registry-Einträge, Protokolle oder andere Artefakte vorhanden sein.

Können Windows-Anmeldungen nachvollzogen werden?

Je nach vorhandener Protokollierung können Anmeldeereignisse und weitere Systeminformationen ausgewertet werden.

Kann festgestellt werden, wer den Computer benutzt hat?

Digitale Spuren können einem Benutzerkonto oder einer Sitzung zugeordnet werden. Die zweifelsfreie Zuordnung zu einer natürlichen Person erfordert jedoch gegebenenfalls weitere Informationen.

Kann ein Datenabfluss nachgewiesen werden?

Unter geeigneten Voraussetzungen können USB-, Cloud-, E-Mail-, Datei- und andere Spuren einen möglichen Datenabfluss rekonstruierbar machen. Die konkrete Aussage hängt vom vorhandenen Datenbestand ab.

Kann Computer-Forensik Schadsoftware erkennen?

Ja. Dateien, Systemänderungen, Autostarts, Prozesse, Netzwerkspuren und weitere Indikatoren können untersucht werden.

Kann ein Hackerangriff nachgewiesen werden?

Je nach vorhandenen System- und Protokolldaten können Hinweise auf unbefugte Zugriffe und deren Ablauf rekonstruiert werden. Nicht jeder Angriff hinterlässt jedoch dieselben oder dauerhaft vorhandenen Spuren.

Sollte ein verdächtiger Computer ausgeschaltet werden?

Nicht pauschal. Bei laufenden verschlüsselten Systemen oder Sicherheitsvorfällen können flüchtige Daten wichtig sein. Die geeignete Maßnahme hängt von der konkreten Situation ab.

Sollte ein ausgeschalteter Computer zur Kontrolle gestartet werden?

Bei einem potenziellen Beweismittel sollte ein normaler Start möglichst vermieden werden, bis die geeignete Sicherungsmethode feststeht, da der Startvorgang bestehende Daten verändern kann.

Was ist eine forensische Kopie?

Eine forensische Sicherung erfasst einen definierten Datenbestand kontrolliert und dokumentiert. Bei geeigneten Datenträgern kann dies eine sektorweise Abbildung des Speichers umfassen.

Was ist ein Write-Blocker?

Ein Write-Blocker verhindert bei geeigneten Sicherungsszenarien Schreibzugriffe des Untersuchungssystems auf den Quelldatenträger.

Warum werden Hashwerte verwendet?

Hashwerte ermöglichen die Kontrolle, ob ein bestimmter digitaler Datenbestand seit der Berechnung verändert wurde.

Ist ein Hashwert ein Beweis für die Vollständigkeit einer Sicherung?

Nein. Ein Hashwert kann die Integrität des tatsächlich gehashten Datenbestands unterstützen, beweist aber nicht automatisch, dass bei der Akquisition sämtliche möglichen Daten erfasst wurden.

Was ist eine Timeline-Analyse?

Dabei werden Zeitinformationen aus unterschiedlichen Datenquellen zusammengeführt, um einen technischen Ablauf zu rekonstruieren.

Was ist der Unterschied zwischen Computer-Forensik und Datenrettung?

Datenrettung konzentriert sich auf die Wiedergewinnung von Daten. Computer-Forensik untersucht zusätzlich Herkunft, Integrität, zeitliche Zusammenhänge und die Bedeutung digitaler Spuren.

Kann ein Mac forensisch untersucht werden?

Ja. macOS-Systeme können forensisch untersucht werden. Apple-Hardware, APFS und FileVault erfordern jedoch eine an das konkrete System angepasste Vorgehensweise.

Kann ein BitLocker-verschlüsselter Windows-PC untersucht werden?

Grundsätzlich kann auch ein verschlüsseltes System Gegenstand einer Untersuchung sein. Welche Daten tatsächlich zugänglich sind, hängt unter anderem vom Systemzustand und den verfügbaren Entschlüsselungsmöglichkeiten ab.

Wie lange dauert eine Computer-Forensik?

Das hängt von Datenmenge, Anzahl der Geräte, Speicherkapazität, Verschlüsselung und Untersuchungsfrage ab. Die Erstellung einer Sicherung und die anschließende fachliche Analyse sind unterschiedliche Arbeitsschritte.

Kann Computer-Forensik vor Gericht verwendet werden?

Digital-forensische Ergebnisse können in gerichtlichen Verfahren relevant sein. Der konkrete Beweiswert hängt unter anderem von Datenquelle, Sicherungsmethode, Dokumentation und der jeweiligen rechtlichen Bewertung ab.

Was sind die Grenzen der Computer-Forensik?

Grenzen entstehen unter anderem durch Überschreibung, Verschlüsselung, fehlende Protokolle, SSD-Speicherbereinigung und die begrenzte Aussagekraft einzelner Artefakte.

Computer-Forensik rekonstruiert Zusammenhänge statt nur Dateien zu suchen

Die Stärke der Computer-Forensik liegt nicht darin, möglichst viele Dateien aufzulisten. Entscheidend ist die Rekonstruktion technisch nachvollziehbarer Zusammenhänge.

Ein einzelner USB-Eintrag kann zeigen, dass ein Speichermedium mit einem Rechner verbunden war. Erst weitere Artefakte können gegebenenfalls Hinweise darauf liefern, ob im selben Zeitraum relevante Dateien geöffnet oder kopiert wurden. Ein Datumszeitstempel kann einen Zeitpunkt nennen. Erst der Vergleich mit anderen Systemspuren zeigt, wie belastbar dessen Interpretation tatsächlich ist.

Dasselbe gilt für gelöschte Dateien, Browseraktivitäten, Benutzeranmeldungen oder mögliche Angriffe. Ein einzelner technischer Fund sollte nicht weiter ausgelegt werden, als es seine Datenquelle zulässt.

Professionelle Computer-Forensik verbindet deshalb forensische Datensicherung, Betriebssystem- und Dateisystemanalyse, zeitliche Korrelation und fachliche Bewertung. Sie dokumentiert nicht nur, was gefunden wurde, sondern auch, wie der Befund entstanden ist, auf welcher Datenquelle er beruht und welche alternativen Erklärungen berücksichtigt werden müssen.

Damit kann aus einer großen Menge technischer Einzelinformationen eine nachvollziehbare Rekonstruktion entstehen, ohne mehr zu behaupten, als die tatsächlich vorhandenen digitalen Spuren belegen.

Zurück zur Wissensübersicht