Cyberforensik ist die methodische Sicherung, Untersuchung und Bewertung digitaler Spuren nach Cyberangriffen und anderen IT-Sicherheitsvorfällen. Sie untersucht nicht nur, ob ein System kompromittiert wurde, sondern versucht technisch nachvollziehbar zu rekonstruieren, wie ein Vorfall abgelaufen ist, welche Systeme betroffen waren, welche Konten verwendet wurden und welche Daten möglicherweise verändert, verschlüsselt oder übertragen wurden.

Typische Untersuchungsanlässe sind Ransomware-Angriffe, kompromittierte Benutzerkonten, Schadsoftware, Phishing, unbefugte Zugriffe, verdächtige Netzwerkaktivitäten und der mögliche Abfluss vertraulicher Informationen. Cyberforensik verbindet damit klassische IT-Forensik mit der Analyse moderner Sicherheitsvorfälle.

Der entscheidende Unterschied zu einer reinen IT-Störungsbehebung liegt in der Fragestellung. Es geht nicht nur darum, ein System wieder funktionsfähig zu machen. Cyberforensik versucht zusätzlich, vorhandene digitale Spuren zu erhalten, Angriffswege zu rekonstruieren und technische Feststellungen nachvollziehbar zu dokumentieren.

Was genau bedeutet Cyberforensik?

Cyberforensik bezeichnet die forensische Untersuchung von Computersystemen, Netzwerken, Servern, Benutzerkonten und anderen digitalen Datenquellen nach einem vermuteten oder bestätigten Sicherheitsvorfall.

Untersucht werden können beispielsweise Computer, Server, virtuelle Systeme, Smartphones, Cloud-Dienste, Logdateien, Firewalls, VPN-Systeme und Netzwerkdaten.

Ziel ist eine technisch nachvollziehbare Rekonstruktion des Vorfalls.

Was soll Cyberforensik herausfinden?

Je nach Vorfall können unterschiedliche Fragen im Mittelpunkt stehen.

Wie gelangte ein Angreifer in das System? Welches Benutzerkonto wurde verwendet? Wann begann der Angriff? Welche Schadsoftware wurde ausgeführt? Welche Systeme wurden anschließend erreicht? Wurden Daten kopiert oder verschlüsselt? Besteht noch ein aktiver Zugang?

Nicht jede Frage lässt sich in jedem Vorfall vollständig beantworten. Die Aussage hängt von den tatsächlich vorhandenen Datenquellen ab.

Was ist der Unterschied zwischen Cyberforensik und IT-Forensik?

IT-Forensik ist der übergeordnete Bereich für die Untersuchung digitaler Systeme und Daten.

Cyberforensik konzentriert sich stärker auf Sicherheitsvorfälle, Angriffe und kompromittierte Systeme.

Eine Untersuchung wegen gelöschter Unternehmensdateien ist beispielsweise IT-forensisch, ohne zwangsläufig ein Cyberangriff zu sein. Die Analyse eines kompromittierten Servers nach einem externen Angriff gehört dagegen typischerweise zur Cyberforensik.

Was ist der Unterschied zwischen Cyberforensik und Cybersecurity?

Cybersecurity beschäftigt sich vor allem mit dem Schutz von IT-Systemen vor Angriffen und Sicherheitsrisiken.

Cyberforensik untersucht dagegen vorhandene Spuren eines bereits eingetretenen oder vermuteten Vorfalls.

Beide Bereiche greifen ineinander. Erkenntnisse aus einer forensischen Untersuchung können beispielsweise dazu genutzt werden, Sicherheitsmaßnahmen gezielt zu verbessern.

Was ist der Unterschied zwischen Cyberforensik und Incident Response?

Incident Response bezeichnet die strukturierte Reaktion auf einen laufenden oder kürzlich erkannten Sicherheitsvorfall.

Dabei stehen typischerweise Eindämmung, Schutz weiterer Systeme, Wiederherstellung des Betriebs und Koordination des Vorfalls im Vordergrund.

Cyberforensik liefert dazu die technische Analyse der digitalen Spuren.

In vielen realen Fällen laufen beide Prozesse parallel.

Warum ist die Reihenfolge nach einem Cyberangriff wichtig?

Unüberlegte Maßnahmen können relevante Spuren zerstören.

Wird ein kompromittierter Rechner beispielsweise sofort neu installiert, können Logdateien, Schadsoftware, Benutzerartefakte und andere wichtige Informationen verloren gehen.

Andererseits kann ein weiterhin aktives System weiteren Schaden verursachen.

Deshalb müssen Beweissicherung und Eindämmung gegeneinander abgewogen werden.

Was sind typische Anlässe für Cyberforensik?

Zu den häufigsten Anlässen gehören Ransomware, Phishing, kompromittierte E-Mail-Konten, Malware, Trojaner, verdächtige Benutzeranmeldungen, unbefugte Remote-Zugriffe, Datenabfluss und Angriffe auf Unternehmensserver.

Auch ungewöhnliche Veränderungen von Dateien oder unerklärliche Netzwerkkommunikation können Anlass für eine Untersuchung sein.

Was ist ein kompromittiertes System?

Ein System gilt als kompromittiert, wenn ein unbefugter Akteur Kontrolle oder Zugriff erlangt hat beziehungsweise Sicherheitsmechanismen erfolgreich überwunden wurden.

Das kann einen einzelnen Benutzeraccount betreffen oder ein vollständiges Serversystem.

Der Umfang einer Kompromittierung muss forensisch gesondert festgestellt werden.

Kann ein Cyberangriff auf einem Computer nachgewiesen werden?

Unter geeigneten Voraussetzungen ja.

Angriffe können Spuren in Ereignisprotokollen, Dateisystemen, Browsern, Benutzerprofilen, Registry-Daten, Netzwerkverbindungen und anderen Systembereichen hinterlassen.

Welche Artefakte vorhanden sind, hängt stark von Angriffsmethode und Systemkonfiguration ab.

Welche Spuren hinterlassen Angreifer typischerweise?

Mögliche Spuren sind ungewöhnliche Anmeldungen, neu angelegte Benutzerkonten, verdächtige Programme, geplante Tasks, neue Dienste, veränderte Dateien, Netzwerkverbindungen und auffällige Befehlsausführungen.

Auch gelöschte Logdateien oder deaktivierte Sicherheitsfunktionen können relevant sein.

Keines dieser Artefakte ist isoliert automatisch ein Angriffsnachweis.

Warum sind Logdateien so wichtig?

Logdateien dokumentieren technische Ereignisse.

Dazu können Anmeldungen, Fehler, Netzwerkverbindungen, Programmstarts und Sicherheitsereignisse gehören.

Sie können helfen, einen zeitlichen Ablauf zu rekonstruieren.

Logs besitzen jedoch nur dann Aussagekraft, wenn bekannt ist, welches System welche Ereignisse tatsächlich protokolliert hat.

Können gelöschte Logdateien untersucht werden?

Unter bestimmten Voraussetzungen können gelöschte Logs oder Fragmente noch vorhanden sein.

Andere Systeme können zudem Kopien derselben Ereignisse enthalten.

Beispielsweise kann ein lokaler Rechner Informationen verloren haben, während Firewall-, Server- oder Cloud-Logs weiterhin vorhanden sind.

Was bedeutet Timeline-Analyse bei Cyberangriffen?

Bei einer Timeline-Analyse werden Zeitinformationen aus unterschiedlichen Quellen zusammengeführt.

Dadurch kann beispielsweise sichtbar werden, dass zunächst ein ungewöhnlicher Login stattfand, kurz danach ein Programm ausgeführt wurde und anschließend größere Datenmengen übertragen wurden.

Eine solche zeitliche Korrelation kann einen Angriffspfad wesentlich besser erklären als ein einzelnes Artefakt.

Was ist ein Initial Access?

Initial Access bezeichnet den ersten erfolgreichen Zugang eines Angreifers zu einem System oder Netzwerk.

Dieser kann beispielsweise durch gestohlene Zugangsdaten, eine Sicherheitslücke, Phishing oder falsch konfigurierte Dienste erfolgen.

Die Rekonstruktion dieses ersten Zugriffs ist häufig eine der wichtigsten Fragen einer Cyberforensik.

Kann Phishing forensisch untersucht werden?

Ja.

E-Mails, Headerinformationen, Browserdaten, Downloads und lokale Systemartefakte können Hinweise darauf liefern, wie ein Phishing-Angriff abgelaufen ist.

Relevant kann beispielsweise sein, ob ein Benutzer einen Link geöffnet oder eine Datei heruntergeladen hat.

Kann festgestellt werden, ob ein Phishing-Anhang geöffnet wurde?

Unter geeigneten Voraussetzungen können Dateisystem-, Office-, Browser- oder Systemartefakte Hinweise auf eine Nutzung geben.

Eine bloße Existenz der Datei im Download-Ordner beweist jedoch noch keine Ausführung.

Was ist Malware-Forensik?

Malware-Forensik beschäftigt sich mit der Untersuchung von Schadsoftware und den von ihr erzeugten Spuren.

Sie kann beispielsweise klären, welche Datei ausgeführt wurde, welche Veränderungen entstanden und welche Netzwerkverbindungen aufgebaut wurden.

LB Forensik führt dafür einen eigenen Bereich Malware-Forensik.

Kann festgestellt werden, wann Malware auf ein System gelangt ist?

Unter geeigneten Voraussetzungen kann ein möglicher Zeitraum rekonstruiert werden.

Relevant können Dateizeitstempel, Browserdaten, E-Mail-Anhänge, Downloads, Systemlogs und weitere Artefakte sein.

Ein einzelner Zeitstempel sollte allerdings nicht ohne weitere Prüfung als sicherer Infektionszeitpunkt interpretiert werden.

Kann festgestellt werden, ob Malware ausgeführt wurde?

Ja, wenn entsprechende Ausführungsartefakte vorhanden sind.

Dazu können Prozessinformationen, Prefetch-Daten, Registry-Spuren, Ereignislogs, Autostartmechanismen oder andere Systeminformationen gehören.

Welche Quellen verfügbar sind, hängt vom Betriebssystem ab.

Was ist ein Trojaner?

Ein Trojaner ist Schadsoftware, die sich typischerweise als legitime oder nützliche Datei beziehungsweise Anwendung tarnt.

Nach der Ausführung kann sie beispielsweise weitere Schadsoftware installieren, Daten sammeln oder Fernzugriff ermöglichen.

Die konkrete Funktion muss anhand der untersuchten Datei beziehungsweise des Systems bewertet werden.

Was ist Ransomware?

Ransomware ist Schadsoftware, die häufig Dateien oder Systeme verschlüsselt und anschließend eine Lösegeldforderung stellt.

Moderne Ransomware-Angriffe können jedoch deutlich komplexer sein.

Angreifer verschaffen sich teilweise Tage oder Wochen vorher Zugriff, bewegen sich im Netzwerk und übertragen Daten, bevor die eigentliche Verschlüsselung beginnt.

Warum ist Ransomware-Forensik mehr als die Untersuchung der Verschlüsselung?

Die Verschlüsselung ist häufig nur die letzte sichtbare Phase eines längeren Angriffs.

Forensisch kann deshalb entscheidend sein, wann der Erstzugriff erfolgte, welche Konten verwendet wurden, welche Systeme erreicht und ob Daten vor der Verschlüsselung exfiltriert wurden.

Kann festgestellt werden, ob Daten vor einer Ransomware-Attacke gestohlen wurden?

Unter bestimmten Voraussetzungen können Netzwerk-, Cloud-, Datei- und Systemartefakte Hinweise auf einen Datenabfluss liefern.

Eine Verschlüsselung allein beweist keinen vorherigen Datendiebstahl.

Dieser Teil des Vorfalls muss separat untersucht werden.

Was bedeutet Datenexfiltration?

Datenexfiltration bezeichnet die unbefugte Übertragung von Daten aus einem System oder Netzwerk nach außen.

Das kann über Cloud-Dienste, Netzwerkprotokolle, Webdienste, E-Mail oder andere Kanäle erfolgen.

Die technische Rekonstruktion hängt davon ab, welche Log- und Systemdaten vorhanden sind.

Kann festgestellt werden, welche Daten gestohlen wurden?

Manchmal kann dies sehr genau, in anderen Fällen nur teilweise rekonstruiert werden.

Relevante Quellen können Dateizugriffe, Archivdateien, Netzwerkübertragungen, Cloud-Logs und andere Systemspuren sein.

Fehlen entsprechende Protokolle, kann der genaue Umfang eines Datenabflusses möglicherweise nicht abschließend bestimmt werden.

Was ist Lateral Movement?

Lateral Movement bezeichnet die Bewegung eines Angreifers von einem bereits kompromittierten System zu weiteren Geräten innerhalb eines Netzwerks.

Dafür können gestohlene Zugangsdaten, Remote-Dienste oder administrative Werkzeuge genutzt werden.

Die Rekonstruktion solcher Bewegungen ist ein wichtiger Bestandteil umfangreicher Cyberforensik.

Kann Lateral Movement nachgewiesen werden?

Unter geeigneten Voraussetzungen ja.

Windows-Anmeldungen, Remote-Dienste, Netzwerklogs, Active-Directory-Daten und andere Quellen können Hinweise liefern.

Besonders wichtig ist die zeitliche Verbindung der Aktivitäten zwischen verschiedenen Systemen.

Was ist Persistence?

Persistence bezeichnet Mechanismen, mit denen ein Angreifer versucht, seinen Zugriff auf ein System dauerhaft aufrechtzuerhalten.

Dazu können beispielsweise Autostart-Einträge, geplante Tasks, Dienste oder zusätzliche Benutzerkonten dienen.

Eine forensische Untersuchung kann nach solchen Veränderungen suchen.

Was ist Privilege Escalation?

Privilege Escalation bezeichnet die Erweiterung von Berechtigungen.

Ein Angreifer kann beispielsweise zunächst Zugriff auf ein normales Benutzerkonto erlangen und später versuchen, administrative Rechte zu erhalten.

System- und Sicherheitslogs können dabei wichtige Informationen liefern.

Was bedeutet Credential Theft?

Credential Theft bezeichnet den Diebstahl von Zugangsdaten.

Dazu gehören Passwörter, Session-Informationen oder andere Authentifizierungsdaten.

Gestohlene Zugangsdaten können anschließend für weitere Systeme oder Cloud-Dienste verwendet werden.

Können kompromittierte Benutzerkonten untersucht werden?

Ja.

Relevant können Anmeldedaten, IP-Adressen, Geräteinformationen, Zeitstempel, Passwortänderungen und andere Account-Aktivitäten sein.

Ein einzelner ungewöhnlicher Login beweist jedoch nicht automatisch einen Angriff.

Können fehlgeschlagene Loginversuche nachgewiesen werden?

Wenn entsprechende Protokollierung vorhanden ist, können fehlgeschlagene Anmeldeversuche dokumentiert sein.

Solche Daten können auf Brute-Force-Versuche, fehlerhafte Benutzeranmeldungen oder automatisierte Angriffe hinweisen.

Die Ursache muss im Kontext bewertet werden.

Können erfolgreiche Fremdanmeldungen nachvollzogen werden?

Unter geeigneten Voraussetzungen können erfolgreiche Anmeldungen über Benutzerkonto, Zeitpunkt, Quelle und teilweise Gerät beziehungsweise IP-Adresse eingeordnet werden.

Die technische Zuordnung zu einer IP-Adresse identifiziert jedoch nicht automatisch die dahinterstehende natürliche Person.

Welche Aussagekraft besitzt eine IP-Adresse?

Eine IP-Adresse kann einen technischen Netzwerkendpunkt beziehungsweise Anschluss zu einem bestimmten Zeitpunkt beschreiben.

Sie beweist jedoch nicht automatisch, welche Person den betreffenden Anschluss verwendet hat.

VPNs, Proxy-Dienste, Unternehmensnetzwerke, Mobilfunk und gemeinsam genutzte Anschlüsse können die Interpretation zusätzlich erschweren.

Was sind Indicators of Compromise?

Indicators of Compromise, kurz IOCs, sind technische Merkmale, die auf eine mögliche Kompromittierung hinweisen können.

Dazu können bekannte Dateihashes, IP-Adressen, Domains, Dateipfade oder andere Artefakte gehören.

Ein IOC ist jedoch immer im Kontext zu bewerten. Nicht jeder Treffer beweist automatisch eine aktive Kompromittierung.

Was ist ein Dateihash bei Malware?

Ein kryptografischer Hashwert kann eine konkrete Datei eindeutig charakterisieren.

Ist der Hash einer bekannten Schadsoftware bereits bekannt, kann eine identische Datei auf einem untersuchten System schnell erkannt werden.

Schon kleine Änderungen an einer Malware-Datei erzeugen jedoch normalerweise einen anderen Hashwert.

Warum reicht ein Virenscanner für Cyberforensik nicht aus?

Ein Virenscanner sucht primär nach bekannten oder verdächtigen Schadsoftwaremerkmalen.

Cyberforensik betrachtet dagegen den gesamten Vorfall.

Dazu gehören Anmeldeereignisse, Benutzeraktivitäten, Netzwerkverbindungen, Dateiveränderungen, Logdaten und mögliche Folgeaktionen eines Angreifers.

Kann ein Virenscanner einen Angriff übersehen?

Ja.

Nicht jede Angriffstechnik basiert auf einer klassischen Malware-Datei.

Angreifer können legitime Administrationswerkzeuge, gestohlene Zugangsdaten oder systemeigene Funktionen verwenden.

Ein negativer Virenscan schließt deshalb einen Sicherheitsvorfall nicht aus.

Was bedeutet Living off the Land?

Bei sogenannten Living-off-the-Land-Techniken verwenden Angreifer vorhandene legitime Systemwerkzeuge für ihre Aktivitäten.

Dadurch können klassische Malware-Erkennungen umgangen werden.

Forensisch müssen deshalb auch die Nutzung legitimer Programme und ungewöhnliche Befehlsfolgen untersucht werden.

Können PowerShell-Aktivitäten untersucht werden?

Unter geeigneten Voraussetzungen können PowerShell-Logs, Befehlsartefakte und andere Systeminformationen relevante Hinweise enthalten.

Wie umfassend dies möglich ist, hängt von Systemkonfiguration und vorhandener Protokollierung ab.

Können Remote-Desktop-Verbindungen untersucht werden?

Ja.

Windows-Systeme und Netzwerkkomponenten können Spuren von Remote-Desktop-Aktivitäten enthalten.

Relevant können beispielsweise Benutzerkonto, Zeitinformationen und Verbindungsquelle sein.

Können VPN-Verbindungen ausgewertet werden?

Je nach VPN-System können Client-, Server-, Firewall- und Authentifizierungslogs vorhanden sein.

Damit können Verbindungen und Benutzeraktivitäten zeitlich eingeordnet werden.

Die Aussagekraft hängt von der Konfiguration und Aufbewahrung der Logs ab.

Können Firewall-Logs untersucht werden?

Ja.

Firewalls können wichtige Informationen über Netzwerkverbindungen enthalten.

Dazu gehören Quell- und Zieladressen, Ports, Zeitstempel und gegebenenfalls weitere Verbindungsinformationen.

Sie können besonders bei der Rekonstruktion von Angriffs- und Datenabflusswegen wichtig sein.

Können Server-Logs forensisch ausgewertet werden?

Ja.

Server können Anmeldungen, Anwendungsereignisse, Zugriffe und Systemveränderungen protokollieren.

Je nach Servertyp unterscheiden sich die relevanten Datenquellen erheblich.

Welche Rolle spielt Active Directory?

In vielen Unternehmensnetzwerken verwaltet Active Directory Benutzer, Computer und Zugriffsrechte.

Bei einem Cyberangriff können daher Authentifizierungsdaten, Gruppenänderungen und administrative Aktivitäten relevant sein.

Eine Kompromittierung privilegierter Active-Directory-Konten kann besonders weitreichende Folgen besitzen.

Können neue Benutzerkonten eines Angreifers erkannt werden?

Unter geeigneten Voraussetzungen können neu angelegte lokale oder zentrale Benutzerkonten nachvollzogen werden.

Relevant sind dabei Zeitpunkt, Berechtigungen und weitere Aktivitäten des Kontos.

Können gelöschte Angreiferkonten noch nachgewiesen werden?

Teilweise können frühere Konten über Logs, Registry-Daten oder andere Systemartefakte weiterhin erkennbar sein.

Die Erfolgsaussichten hängen davon ab, welche Daten noch vorhanden sind.

Was ist ein Command-and-Control-Server?

Ein Command-and-Control-Server, häufig C2 genannt, kann zur Steuerung kompromittierter Systeme verwendet werden.

Schadsoftware oder andere Angriffswerkzeuge können darüber Befehle empfangen oder Daten übertragen.

Netzwerk- und DNS-Daten können entsprechende Verbindungen unter Umständen sichtbar machen.

Können verdächtige Netzwerkverbindungen rekonstruiert werden?

Je nach vorhandener Datenquelle ja.

Firewall-Logs, Endpoint-Daten, DNS-Logs, Proxy-Logs und andere Systeme können Verbindungen dokumentieren.

Eine einzelne Verbindung zu einer unbekannten IP-Adresse ist jedoch nicht automatisch ein Angriffsnachweis.

Welche Rolle spielt DNS bei Cyberforensik?

DNS übersetzt Domainnamen in IP-Adressen.

DNS-Anfragen können deshalb Hinweise darauf liefern, welche Domains ein System kontaktieren wollte.

Bei Malware- und Phishing-Untersuchungen kann dies besonders wertvoll sein.

Können gelöschte Dateien eines Angreifers wiederhergestellt werden?

Unter bestimmten Voraussetzungen können gelöschte Tools, Skripte oder andere Dateien noch vorhanden sein.

Die Wiederherstellbarkeit hängt vom Speichermedium und weiterer Nutzung ab.

Auf SSDs können TRIM und interne Speicherbereinigung die Möglichkeiten stark einschränken.

Können Angreifer ihre Spuren vollständig löschen?

Angreifer können versuchen, Logdateien, Tools und andere Artefakte zu entfernen.

Eine vollständige Beseitigung aller Spuren ist jedoch nicht garantiert, weil Daten häufig auf mehreren Systemen entstehen.

Ein Angreifer kann beispielsweise lokale Logs löschen, während Firewall- oder Cloud-Protokolle weiter vorhanden sind.

Warum sind mehrere Datenquellen so wichtig?

Ein einzelnes System zeigt häufig nur einen Ausschnitt eines Angriffs.

Der Arbeitsplatzrechner kann die Schadsoftware enthalten, die Firewall die Netzwerkverbindung und der Server die anschließende Anmeldung.

Erst die Kombination dieser Quellen ermöglicht eine umfassendere Rekonstruktion.

Was bedeutet Cross-System-Correlation?

Dabei werden Ereignisse verschiedener Systeme zeitlich und technisch miteinander verglichen.

Eine Anmeldung auf einem Server kann beispielsweise mit einer VPN-Verbindung und einer vorherigen Aktivität auf einem kompromittierten Laptop zusammenfallen.

Dadurch können mögliche Angriffsketten rekonstruiert werden.

Welche Rolle spielt RAM-Forensik?

Der Arbeitsspeicher eines laufenden Systems kann Prozesse, Netzwerkverbindungen und andere flüchtige Informationen enthalten.

Bestimmte Malware kann im RAM besonders deutlich sichtbar sein.

Beim Ausschalten gehen diese Informationen grundsätzlich verloren.

Soll ein kompromittierter Computer sofort ausgeschaltet werden?

Eine pauschale Empfehlung ist nicht sinnvoll.

Ein laufendes System kann wertvolle flüchtige Daten enthalten. Gleichzeitig kann es weiterhin mit einem Angreifer kommunizieren oder Schaden verursachen.

Die richtige Reaktion hängt von Risiko und Untersuchungsziel ab.

Soll ein kompromittierter Rechner vom Netzwerk getrennt werden?

Eine Isolation kann sinnvoll sein, um weitere Kommunikation oder Ausbreitung zu verhindern.

Sie kann jedoch auch laufende Verbindungen unterbrechen, die forensisch interessant wären.

Bei einem akuten Vorfall muss die Schadensbegrenzung regelmäßig mit der Beweissicherung abgestimmt werden.

Warum sollte ein kompromittierter Rechner nicht sofort neu installiert werden?

Eine Neuinstallation beseitigt möglicherweise Schadsoftware, zerstört aber gleichzeitig zahlreiche forensische Spuren.

Wenn die Ursache und der Umfang eines Angriffs untersucht werden sollen, sollte deshalb vorher geprüft werden, welche Daten gesichert werden müssen.

Welche Daten sollten nach einem Cyberangriff gesichert werden?

Das hängt vom Vorfall ab.

Typische Quellen können betroffene Endgeräte, Server, RAM, Ereignisprotokolle, Firewalls, VPN-Systeme, Cloud-Dienste, E-Mail-Systeme und Netzwerklogs sein.

Die Auswahl sollte sich an der konkreten Angriffshypothese orientieren.

Was ist eine forensische Sicherung nach einem Cyberangriff?

Relevante Datenträger oder andere Datenbestände werden möglichst kontrolliert gesichert, damit die Analyse auf einer reproduzierbaren Grundlage erfolgen kann.

Bei laufenden Systemen können zusätzlich flüchtige Informationen erfasst werden.

Welche Rolle spielen Hashwerte?

Hashwerte können dazu verwendet werden, die Integrität gesicherter Dateien oder Images zu kontrollieren.

Sie helfen dabei festzustellen, ob sich ein bestimmter Datenbestand nach seiner Sicherung verändert hat.

Ein Hashwert beweist jedoch nicht, dass die Ausgangsdaten vor der Sicherung nicht bereits manipuliert waren.

Welche Rolle spielt die Chain of Custody?

Bei beweisrelevanten Sicherheitsvorfällen sollte nachvollziehbar dokumentiert werden, welche Systeme und Daten übernommen, gesichert und untersucht wurden.

Diese Beweismittelkette verbindet die spätere Analyse mit den ursprünglichen Systemen.

Kann Cyberforensik vor Gericht relevant sein?

Ja.

Forensische Feststellungen können bei strafrechtlichen, zivilrechtlichen, versicherungsrechtlichen oder unternehmensinternen Auseinandersetzungen relevant sein.

Die konkrete rechtliche Beweiswirkung hängt jedoch vom Einzelfall ab.

Welche Rolle spielt ein Sachverständigengutachten?

Bei streitigen technischen Fragen kann eine sachverständige Dokumentation erforderlich sein.

Dabei sollte nachvollziehbar dargestellt werden, welche Datenbasis untersucht wurde, welche Methoden eingesetzt wurden und welche Schlussfolgerungen sich technisch daraus ableiten lassen.

LB Forensik führt hierfür ein Sachverständigenbüro für IT- und Mobile-Forensik.

Kann Cyberforensik einen Angreifer eindeutig identifizieren?

Nicht automatisch.

Technische Spuren können IP-Adressen, Accounts, Geräte oder Infrastruktur zeigen.

Die eindeutige Zuordnung zu einer natürlichen Person ist häufig deutlich schwieriger.

VPNs, kompromittierte Fremdsysteme und gestohlene Zugangsdaten können die Attribution erschweren.

Was bedeutet Attribution?

Attribution bezeichnet die Zuordnung eines Angriffs zu einem bestimmten Akteur.

Technische Forensik kann hierzu Hinweise liefern, beispielsweise Infrastruktur, Werkzeuge oder Vorgehensweisen.

Eine belastbare personenbezogene Attribution erfordert jedoch häufig zusätzliche Ermittlungsinformationen.

Kann eine IP-Adresse den Täter beweisen?

Nein.

Eine IP-Adresse kann eine technische Verbindung beziehungsweise Quelle dokumentieren.

Sie beweist nicht automatisch, welche Person diese Verbindung tatsächlich verursacht hat.

Kann Cyberforensik einen Innentäter erkennen?

Unter bestimmten Voraussetzungen können digitale Spuren auch auf interne Benutzeraktivitäten hinweisen.

Ein Angriff muss nicht zwingend von außen kommen.

Interne Konten, privilegierte Zugriffe und Datenabflüsse können ebenfalls Gegenstand einer Cyberforensik sein.

Was bedeutet ein negativer forensischer Befund?

Ein negativer Befund bedeutet, dass innerhalb der untersuchten Datenbasis keine entsprechenden belastbaren Hinweise festgestellt wurden.

Er beweist nicht automatisch, dass niemals ein Angriff stattgefunden hat.

Spuren können gelöscht, überschrieben oder in nicht verfügbaren Systemen gespeichert worden sein.

Warum muss der Untersuchungsumfang dokumentiert werden?

Die Aussagekraft eines Ergebnisses hängt davon ab, welche Systeme tatsächlich untersucht wurden.

Wenn nur ein einzelner Arbeitsplatzrechner geprüft wurde, kann daraus keine vollständige Aussage über ein gesamtes Unternehmensnetzwerk abgeleitet werden.

Die Grenzen des Untersuchungsumfangs sollten deshalb transparent dargestellt werden.

Wie läuft eine Cyberforensik typischerweise ab?

Zunächst wird der bekannte Sachverhalt aufgenommen und der mögliche Vorfallszeitraum eingegrenzt.

Danach werden relevante Systeme und Datenquellen identifiziert und priorisiert gesichert.

Die Analyse untersucht anschließend unter anderem Anmeldungen, Prozesse, Dateien, Schadsoftware, Netzwerkaktivitäten und andere relevante Artefakte.

Diese Informationen werden in eine zeitliche und technische Beziehung gesetzt. Daraus kann eine Angriffskette beziehungsweise Timeline entstehen.

Was ist eine Angriffskette?

Eine Angriffskette beschreibt mehrere aufeinanderfolgende technische Schritte eines Angriffs.

Sie kann beispielsweise vom ersten Phishing-Kontakt über den Download einer Datei, die Kompromittierung eines Benutzerkontos und die Bewegung zu weiteren Systemen bis zur Datenexfiltration reichen.

Eine solche Rekonstruktion ist häufig das zentrale Ergebnis einer Cyberforensik.

Warum ist die zeitliche Rekonstruktion so wichtig?

Nur wenn die Reihenfolge der Ereignisse bekannt ist, kann häufig verstanden werden, welche Aktivität Ursache und welche Folge war.

Eine Schadsoftware-Datei kann beispielsweise bereits Monate auf einem System liegen, ohne ausgeführt worden zu sein.

Erst zusätzliche Ausführungs- und Netzwerkspuren zeigen, wann sie tatsächlich relevant wurde.

Kann ein Angriff Monate später noch untersucht werden?

Ja, grundsätzlich.

Die Erfolgsaussichten sinken jedoch, wenn Logdateien überschrieben wurden, Geräte neu installiert oder Daten gelöscht wurden.

Langfristig gespeicherte Cloud-, Firewall- oder Serverlogs können dann besonders wertvoll sein.

Wie lange bleiben Cyber-Spuren erhalten?

Eine allgemeingültige Frist gibt es nicht.

Manche Logs werden nur wenige Tage gespeichert, andere über Monate oder Jahre.

Dateisystem- und Benutzerartefakte können ebenfalls sehr unterschiedlich lange erhalten bleiben.

Warum sollte Log-Retention schon vor einem Angriff geplant werden?

Wenn ein Unternehmen sicherheitsrelevante Logs nur wenige Tage speichert, können wichtige Informationen bereits verschwunden sein, bevor ein Angriff erkannt wird.

Eine angemessene Aufbewahrungsstrategie verbessert deshalb nicht nur Monitoring, sondern auch spätere forensische Möglichkeiten.

Kann Cyberforensik helfen, Sicherheitslücken zu schließen?

Ja.

Die Analyse kann zeigen, welcher Angriffsweg tatsächlich funktioniert hat.

Dadurch können Sicherheitsmaßnahmen gezielt auf die reale Ursache ausgerichtet werden, statt nur allgemeine Schutzmaßnahmen zu verstärken.

Kann eine Cyberforensik verhindern, dass der Angriff wieder passiert?

Sie kann die technische Grundlage für Verbesserungen liefern, aber keine absolute Sicherheit garantieren.

Wenn beispielsweise gestohlene Zugangsdaten die Ursache waren, können Authentifizierungs- und Zugriffskonzepte angepasst werden.

Bei einer Software-Schwachstelle kann ein Patch- und Vulnerability-Management erforderlich sein.

Was kann Cyberforensik nicht leisten?

Cyberforensik kann keine Daten rekonstruieren, die nicht mehr vorhanden oder nie protokolliert wurden.

Sie kann nicht jede IP-Adresse einer konkreten Person zuordnen und nicht jeden Angriff zweifelsfrei einem bestimmten Täter zuschreiben.

Auch eine vollständige Aussage darüber, welche Daten ein Angreifer gesehen hat, ist nicht immer möglich.

Praxisbeispiel: Phishing und kompromittiertes Benutzerkonto

Ein Mitarbeiter erhält eine täuschend echt wirkende E-Mail und öffnet einen Link. Kurz danach werden ungewöhnliche Anmeldungen im Unternehmensaccount festgestellt.

Eine Cyberforensik kann E-Mail-Daten, Browserartefakte und Account-Logs miteinander vergleichen.

Wenn sich zeitlich nachvollziehen lässt, dass unmittelbar nach dem Phishing-Vorgang eine Anmeldung aus einer ungewöhnlichen Quelle erfolgte, kann daraus ein technischer Zusammenhang entstehen.

Zusätzlich muss geprüft werden, welche weiteren Aktivitäten mit dem kompromittierten Account vorgenommen wurden.

Praxisbeispiel: Ransomware im Unternehmensnetzwerk

Mehrere Server und Arbeitsplatzrechner werden innerhalb kurzer Zeit verschlüsselt.

Die sichtbare Verschlüsselung ist nur der Ausgangspunkt der Untersuchung.

Forensisch wird geprüft, welcher Computer zuerst betroffen war, welche Konten verwendet wurden und wie sich der Angreifer im Netzwerk bewegte.

Firewall-, VPN-, Windows- und Serverlogs können dabei gemeinsam eine Angriffstimeline ergeben.

Praxisbeispiel: Verdächtiger Remote-Zugriff

Ein Unternehmen entdeckt eine unbekannte administrative Anmeldung auf einem Server.

Die Untersuchung prüft zunächst Benutzerkonto, Zeitpunkt und technische Quelle.

Anschließend wird untersucht, welche Prozesse gestartet, Dateien verändert und Netzwerkverbindungen aufgebaut wurden.

Damit kann aus einem einzelnen Login-Ereignis eine umfassendere Bewertung des tatsächlichen Vorfalls entstehen.

Praxisbeispiel: Möglicher Datenabfluss

Nach einem Angriff besteht der Verdacht, dass nicht nur Systeme kompromittiert, sondern auch vertrauliche Daten übertragen wurden.

Die Untersuchung kann Dateiaktivitäten, Archivdateien, Netzwerklogs und Cloud- beziehungsweise Proxy-Daten miteinander vergleichen.

Ein konkreter Nachweis hängt davon ab, welche Informationen zum Übertragungsweg gespeichert wurden.

FAQ zur Cyberforensik

Was ist Cyberforensik einfach erklärt?

Cyberforensik untersucht digitale Spuren nach Cyberangriffen und IT-Sicherheitsvorfällen, um den technischen Ablauf möglichst nachvollziehbar zu rekonstruieren.

Was untersucht Cyberforensik?

Je nach Vorfall können Computer, Server, Benutzerkonten, Logdateien, Netzwerke, Firewalls, VPN-Systeme, Cloud-Dienste und Schadsoftware untersucht werden.

Ist Cyberforensik dasselbe wie IT-Forensik?

Cyberforensik ist ein spezialisierter Teilbereich der IT-Forensik mit Schwerpunkt auf Cyberangriffen und Sicherheitsvorfällen.

Ist Cyberforensik dasselbe wie Cybersecurity?

Nein. Cybersecurity konzentriert sich vor allem auf Prävention und Schutz, Cyberforensik auf die Untersuchung bereits entstandener oder vermuteter Vorfälle.

Was ist Incident Response?

Incident Response ist die strukturierte Reaktion auf einen Sicherheitsvorfall mit dem Ziel, Schaden einzudämmen und Systeme wieder kontrolliert zu betreiben.

Kann ein Hackerangriff nachgewiesen werden?

Unter geeigneten Voraussetzungen können mehrere digitale Spuren einen unbefugten Zugriff und dessen Ablauf technisch stützen.

Können fehlgeschlagene Loginversuche nachgewiesen werden?

Ja, wenn entsprechende Authentifizierungs- oder Sicherheitslogs vorhanden sind.

Können erfolgreiche Fremdanmeldungen nachvollzogen werden?

Unter geeigneten Voraussetzungen können Benutzerkonto, Zeitpunkt und technische Quelle untersucht werden.

Kann eine IP-Adresse den Angreifer identifizieren?

Nicht automatisch. Eine IP-Adresse beschreibt zunächst eine technische Quelle beziehungsweise Verbindung, nicht zwingend die natürliche Person dahinter.

Kann Malware nachgewiesen werden?

Ja. Dateien, Prozesse, Autostartmechanismen, Netzwerkspuren und andere Artefakte können auf Schadsoftware hinweisen.

Kann festgestellt werden, wann Malware installiert wurde?

Unter bestimmten Voraussetzungen kann ein möglicher Zeitraum anhand mehrerer technischer Spuren eingegrenzt werden.

Kann festgestellt werden, ob Malware ausgeführt wurde?

Ja, wenn entsprechende Ausführungsartefakte vorhanden sind.

Was ist Malware-Forensik?

Malware-Forensik untersucht Schadsoftware selbst und die von ihr verursachten Veränderungen und Aktivitäten.

Was ist Ransomware-Forensik?

Sie untersucht den technischen Ablauf eines Ransomware-Vorfalls, einschließlich möglichem Erstzugriff, Ausbreitung, Datenabfluss und Verschlüsselung.

Kann festgestellt werden, ob Daten vor einer Ransomware-Attacke gestohlen wurden?

Unter geeigneten Voraussetzungen können Netzwerk-, Datei- und andere Logdaten einen möglichen Datenabfluss stützen.

Was ist Datenexfiltration?

Damit wird die unbefugte Übertragung von Daten aus einem System oder Netzwerk nach außen bezeichnet.

Kann festgestellt werden, welche Daten gestohlen wurden?

Teilweise. Die Aussage hängt von vorhandenen Datei-, Netzwerk-, Cloud- und Protokolldaten ab.

Können Firewall-Logs ausgewertet werden?

Ja. Firewall-Logs können wichtige Informationen zu Netzwerkverbindungen und möglichen Angriffswegen enthalten.

Können VPN-Logs ausgewertet werden?

Ja, soweit entsprechende Verbindungs- und Authentifizierungsinformationen gespeichert wurden.

Können Server-Logs ausgewertet werden?

Ja. Serverlogs gehören bei vielen Cybervorfällen zu den wichtigsten Datenquellen.

Können gelöschte Logs wiederhergestellt werden?

Unter bestimmten Voraussetzungen können lokale Reste oder Kopien auf anderen Systemen vorhanden sein.

Was bedeutet Lateral Movement?

Damit wird die Bewegung eines Angreifers von einem kompromittierten System zu weiteren Systemen innerhalb eines Netzwerks bezeichnet.

Kann Lateral Movement nachgewiesen werden?

Unter geeigneten Voraussetzungen können Anmelde-, Netzwerk- und Serverdaten entsprechende Bewegungen nachvollziehbar machen.

Was bedeutet Persistence?

Persistence beschreibt Mechanismen, mit denen ein Angreifer versucht, seinen Zugriff dauerhaft zu erhalten.

Was bedeutet Credential Theft?

Credential Theft ist der Diebstahl von Zugangsdaten, die anschließend für weitere Zugriffe verwendet werden können.

Kann ein kompromittiertes Benutzerkonto untersucht werden?

Ja. Login-Informationen, Geräte, IP-Adressen, Zeitstempel und Account-Aktivitäten können relevant sein.

Kann Phishing untersucht werden?

Ja. E-Mails, Browseraktivitäten, Downloads und Systemartefakte können Hinweise auf den Ablauf eines Phishing-Angriffs liefern.

Kann festgestellt werden, ob ein Phishing-Anhang geöffnet wurde?

Unter geeigneten Voraussetzungen können Ausführungs- und Nutzungsartefakte entsprechende Hinweise liefern.

Kann ein Virenscanner einen Angriff ausschließen?

Nein. Nicht jeder Angriff verwendet klassische Schadsoftware, und nicht jede Malware wird von jedem Scanner erkannt.

Sollte ein kompromittierter PC sofort neu installiert werden?

Nicht vor einer möglichen Beweissicherung, wenn der Angriff untersucht werden soll. Eine Neuinstallation kann wichtige Spuren zerstören.

Sollte ein kompromittierter PC sofort ausgeschaltet werden?

Nicht pauschal. Flüchtige Daten können wichtig sein, gleichzeitig kann ein aktives System weiteren Schaden verursachen.

Welche Daten sollten nach einem Cyberangriff gesichert werden?

Je nach Vorfall können betroffene Computer, Server, RAM, Logs, Firewalls, VPN-Systeme, Cloud-Daten und E-Mail-Systeme relevant sein.

Kann ein Cyberangriff Monate später noch untersucht werden?

Ja, sofern ausreichend relevante Datenquellen vorhanden sind. Überschriebene Logs oder neu installierte Systeme können die Möglichkeiten jedoch einschränken.

Kann Cyberforensik den Täter eindeutig bestimmen?

Nicht automatisch. Die technische Attribution zu einer natürlichen Person ist häufig deutlich schwieriger als die Rekonstruktion des Angriffs.

Was bedeutet Attribution?

Attribution ist die Zuordnung eines Angriffs zu einem bestimmten Akteur oder einer Gruppe.

Kann ein interner Mitarbeiter hinter einem Cybervorfall stehen?

Ja. Auch interne Konten und Benutzeraktivitäten können Gegenstand einer Cyberforensik sein.

Was bedeutet ein negativer Cyberforensik-Befund?

Er bedeutet, dass in den untersuchten Daten keine entsprechenden belastbaren Hinweise gefunden wurden. Er beweist nicht automatisch, dass niemals ein Angriff stattgefunden hat.

Kann Cyberforensik vor Gericht verwendet werden?

Forensische Ergebnisse können in rechtlichen Verfahren relevant sein. Ihre konkrete Beweiswirkung hängt von Datenbasis, Methodik, Dokumentation und rechtlicher Bewertung ab.

Was sind die Grenzen der Cyberforensik?

Grenzen entstehen insbesondere durch fehlende Logs, gelöschte oder überschriebene Daten, Verschlüsselung, unvollständige Systemzugriffe und die schwierige Zuordnung technischer Spuren zu natürlichen Personen.

Cyberforensik rekonstruiert den Angriff statt nur den Schaden zu betrachten

Nach einem Cyberangriff ist der sichtbare Schaden häufig nur der letzte Teil eines wesentlich längeren technischen Ablaufs.

Eine Ransomware-Verschlüsselung kann beispielsweise Tage nach dem ursprünglichen Eindringen stattfinden. Ein kompromittiertes Benutzerkonto kann bereits zuvor für weitere Zugriffe verwendet worden sein. Schadsoftware kann Daten gesammelt oder Angreifern den Zugang zu zusätzlichen Systemen ermöglicht haben.

Die Aufgabe der Cyberforensik besteht deshalb darin, diese einzelnen Ereignisse miteinander zu verbinden.

Eine Anmeldung allein ist noch kein vollständiger Angriffsnachweis. Eine Malware-Datei beweist nicht automatisch ihre Ausführung. Eine verdächtige IP-Adresse identifiziert keine Person. Erst die Korrelation von Benutzer-, Datei-, Prozess-, Netzwerk- und Logdaten kann eine belastbare technische Angriffskette ergeben.

Gleichzeitig muss eine professionelle Untersuchung ihre Grenzen offen benennen. Fehlende Protokolle können nicht nachträglich erzeugt werden. Gelöschte Daten sind nicht immer wiederherstellbar. Und selbst eine detaillierte Rekonstruktion eines Angriffs führt nicht automatisch zu einer eindeutigen Täteridentifikation.

Der Wert professioneller Cyberforensik liegt deshalb in einer präzisen, ergebnisoffenen Rekonstruktion: Welche Systeme waren betroffen, wann begannen die relevanten Aktivitäten, welche technischen Schritte lassen sich belegen und welche Aussagen bleiben aufgrund der vorhandenen Daten unsicher.

Zurück zur Wissensübersicht