Ein Originaldatenträger sollte bei einer IT-forensischen Untersuchung möglichst nicht verändert werden, weil bereits geringfügige Schreibzugriffe digitale Spuren beeinflussen, Zeitstempel verändern oder vorhandene Daten überschreiben können. Dadurch kann die spätere Rekonstruktion eines Sachverhalts erschwert werden. Besonders kritisch ist dies, wenn die Untersuchungsergebnisse als digitale Beweismittel in einem gerichtlichen Verfahren, einer internen Ermittlung oder einem Sachverständigengutachten verwendet werden sollen.

In der digitalen Forensik gilt deshalb ein grundlegendes Prinzip: Der ursprüngliche Datenbestand soll möglichst erhalten bleiben. Untersuchungen werden, soweit technisch möglich und fachlich sinnvoll, anhand einer zuvor erstellten forensischen Sicherung durchgeführt.

Allerdings ist eine vollständig veränderungsfreie Untersuchung nicht bei jedem Gerät möglich. Moderne Smartphones, verschlüsselte Computer und laufende IT-Systeme können besondere Vorgehensweisen erfordern. Entscheidend ist deshalb, Veränderungen zu vermeiden, soweit dies technisch möglich ist, und unvermeidbare Eingriffe nachvollziehbar zu dokumentieren.

Die fachgerechte Behandlung von Originaldatenträgern gehört zu den grundlegenden Anforderungen der IT-Forensik. Wie eine geeignete Untersuchungsgrundlage erstellt werden kann, erläutert unser Wissensartikel Was ist ein forensisches Abbild?.

Das Wichtigste zum Schutz von Originaldatenträgern

• Originaldaten erhalten: Der ursprüngliche Zustand eines Datenträgers soll möglichst unverändert bleiben.
• Unnötige Schreibzugriffe vermeiden: Bereits das Anschließen oder Starten eines Geräts kann Veränderungen verursachen.
• Digitale Spuren schützen: Dateien, Metadaten, Systemprotokolle und weitere Artefakte können durch normale Nutzung beeinflusst werden.
• Forensische Arbeitskopien verwenden: Die eigentliche Analyse erfolgt nach Möglichkeit nicht am Original.
• Technische Besonderheiten berücksichtigen: Bei Smartphones, SSDs und verschlüsselten Systemen gelten zusätzliche Einschränkungen.
• Veränderungen dokumentieren: Nicht vermeidbare Eingriffe müssen bei der späteren Bewertung berücksichtigt werden.
• Keine automatische Gerichtsfestigkeit: Der Erhalt der Originaldaten unterstützt die Nachvollziehbarkeit, garantiert aber keine bestimmte rechtliche Beweiskraft.

Was ist ein Originaldatenträger in der digitalen Forensik?

Als Originaldatenträger wird das ursprüngliche Speichermedium bezeichnet, auf dem sich die für eine Untersuchung relevanten digitalen Informationen befinden oder befanden.

Das kann beispielsweise die interne SSD eines Computers, eine externe Festplatte, ein USB-Stick oder eine Speicherkarte sein.

Bei Smartphones und modernen Computersystemen ist die Situation komplexer. Dort sind Datenspeicher häufig fest in das Gerät integriert und durch zusätzliche Sicherheitsmechanismen geschützt.

Der Begriff Originaldatenträger bezeichnet dabei nicht automatisch einen unveränderten oder vertrauenswürdigen Datenbestand. Ein Gerät kann bereits vor seiner Übergabe manipuliert, beschädigt oder weiterverwendet worden sein.

Die forensische Untersuchung muss deshalb zwischen dem übernommenen Ist-Zustand und möglichen früheren Zuständen unterscheiden.

Warum ist die Unverändertheit eines Originaldatenträgers so wichtig?

Digitale Spuren erhalten ihre Aussagekraft häufig erst durch ihren technischen Zusammenhang.

Eine einzelne Datei kann beispielsweise Informationen über ihren Inhalt, ihren Speicherort und bestimmte Zeitstempel enthalten. Zusätzlich können Dateisystemstrukturen oder Systemprotokolle Hinweise auf frühere Aktivitäten liefern.

Werden diese Informationen nachträglich verändert, kann die spätere Bewertung schwieriger werden.

Das gilt insbesondere dann, wenn geklärt werden soll, ob eine Datei zu einem bestimmten Zeitpunkt vorhanden war, ob ein Benutzer auf Informationen zugegriffen hat oder ob Daten möglicherweise gelöscht wurden.

Ein möglichst unveränderter Originaldatenträger ermöglicht es, den übernommenen Datenzustand als Referenz für spätere Untersuchungen zu erhalten.

Kann bereits das Anschließen einer Festplatte Daten verändern?

Ja. Bereits das Anschließen eines Datenträgers an einen Computer kann unter bestimmten Voraussetzungen Veränderungen verursachen.

Abhängig vom Betriebssystem, Dateisystem und der gewählten Einbindung können beispielsweise Dateisysteminformationen aktualisiert oder andere Schreibvorgänge ausgelöst werden.

Auch automatische Reparaturfunktionen können problematisch sein, wenn sie Veränderungen am ursprünglichen Dateisystem vornehmen.

Deshalb sollte ein möglicherweise beweisrelevanter Datenträger nicht ohne vorherige Bewertung an einen gewöhnlichen Arbeitsplatzcomputer angeschlossen werden.

Bei geeigneten Datenträgern können spezielle forensische Verfahren eingesetzt werden, die Schreibzugriffe auf das Originalmedium verhindern oder begrenzen.

Welche digitalen Spuren können durch Veränderungen verloren gehen?

Welche Informationen betroffen sind, hängt vom Datenträger, dem Betriebssystem und der Art des Eingriffs ab.

Dateizeitstempel

Dateien können unterschiedliche Zeitinformationen enthalten, beispielsweise Angaben zur Erstellung, letzten Änderung oder zum letzten Zugriff.

Welche Zeitstempel tatsächlich vorhanden sind und wann sie aktualisiert werden, hängt vom verwendeten Dateisystem und weiteren technischen Faktoren ab.

Durch bestimmte Zugriffe oder Bearbeitungsvorgänge können solche Informationen verändert werden.

Dateisystemstrukturen

Dateisysteme verwalten Informationen über gespeicherte Dateien, Verzeichnisse und belegte beziehungsweise verfügbare Speicherbereiche.

Schreibvorgänge können diese Strukturen verändern und dadurch die spätere Rekonstruktion bestimmter Vorgänge erschweren.

Gelöschte Dateien und Datenfragmente

Nach dem Löschen einer Datei können unter bestimmten Voraussetzungen noch Datenreste vorhanden sein.

Werden die betreffenden Speicherbereiche anschließend überschrieben oder durch interne Speicherverwaltungsprozesse freigegeben, können diese Informationen verloren gehen.

Eine spätere Wiederherstellung ist dann möglicherweise nicht mehr möglich.

Systemprotokolle

Betriebssysteme und Anwendungen können Informationen über Ereignisse, Programmstarts, Anmeldungen und weitere Aktivitäten speichern.

Bei fortgesetzter Nutzung können neue Einträge entstehen, vorhandene Protokolle rotieren oder ältere Informationen aufgrund festgelegter Speichergrenzen entfernt werden.

Browser- und Anwendungsdaten

Browser und Programme speichern teilweise lokale Datenbanken, Cache-Dateien, Sitzungsinformationen und weitere Nutzungsartefakte.

Bereits das erneute Öffnen einer Anwendung kann diese Datenbestände verändern.

Informationen über angeschlossene Geräte

Bestimmte Betriebssysteme speichern Informationen über zuvor verbundene USB-Geräte und andere externe Datenträger.

Durch zusätzliche Anschlüsse oder weitere Nutzung können neue Einträge entstehen, die bei der späteren Auswertung zeitlich eingeordnet werden müssen.

Was passiert, wenn ein Originaldatenträger versehentlich verändert wird?

Eine unbeabsichtigte Veränderung bedeutet nicht automatisch, dass der Datenträger für eine forensische Untersuchung vollständig unbrauchbar geworden ist.

Entscheidend ist, welche Informationen verändert wurden und ob sich der Eingriff nachvollziehen lässt.

Wurde beispielsweise eine neue Datei gespeichert, kann dies bestimmte Speicherbereiche beeinflussen. Andere Daten und technische Spuren können weiterhin vorhanden und auswertbar sein.

Problematisch wird es insbesondere dann, wenn relevante Informationen überschrieben wurden oder sich nicht mehr zuverlässig unterscheiden lässt, welche Veränderungen vor und welche nach der Übernahme des Beweismittels entstanden sind.

Deshalb sollten auch unbeabsichtigte Eingriffe dokumentiert werden.

Warum sollte ein Originaldatenträger nicht direkt untersucht werden?

Viele Analyseprogramme müssen Dateien lesen, Datenbanken verarbeiten und Suchindizes erstellen.

Je nach eingesetztem Werkzeug und Systemumgebung können dabei zusätzliche Dateien oder temporäre Informationen entstehen.

Eine direkte Untersuchung am Original kann deshalb unnötige Risiken verursachen.

Bei geeigneten Datenträgern wird zunächst eine forensische Sicherung erstellt. Die spätere Analyse erfolgt dann anhand einer separaten Arbeitskopie.

Dadurch bleibt der ursprüngliche Datenträger möglichst erhalten und muss für wiederholte Untersuchungen nicht erneut verwendet werden.

Die technischen Möglichkeiten und Grenzen dieser Vorgehensweise werden im Wissensartikel Forensisches Abbild eines Datenträgers erläutert.

Was ist der Unterschied zwischen Originaldatenträger, Sicherung und Arbeitskopie?

Diese drei Begriffe beschreiben unterschiedliche Funktionen innerhalb einer forensischen Untersuchung.

Originaldatenträger

Der Originaldatenträger ist das ursprüngliche Untersuchungsobjekt, beispielsweise die Festplatte eines Computers.

Forensische Sicherung

Die forensische Sicherung ist ein mit einem geeigneten Verfahren erfasster Datenbestand, dessen Entstehung und Umfang dokumentiert werden.

Arbeitskopie

Eine Arbeitskopie dient der eigentlichen Untersuchung. Sie kann mit Analyseprogrammen verarbeitet werden, ohne dass dafür ständig auf den Originaldatenträger zugegriffen werden muss.

Diese Trennung unterstützt die Nachvollziehbarkeit der Untersuchung und reduziert unnötige Eingriffe in das ursprüngliche Beweismittel.

Warum sollte eine Festplatte vor der Untersuchung nicht formatiert werden?

Eine Formatierung kann vorhandene Dateisystemstrukturen verändern und wichtige Informationen für eine spätere Untersuchung entfernen.

Welche Auswirkungen entstehen, hängt insbesondere von der Art der Formatierung, dem Dateisystem und dem verwendeten Datenträger ab.

Bei bestimmten Formatierungsverfahren können Datenbereiche überschrieben oder Speicherverwaltungsfunktionen ausgelöst werden.

Auch wenn nach einer Formatierung unter Umständen noch Informationen rekonstruiert werden können, sollte eine solche Maßnahme vor einer geplanten forensischen Untersuchung möglichst vermieden werden.

Warum sollte ein Computer vor der Untersuchung nicht neu installiert werden?

Die Neuinstallation eines Betriebssystems kann vorhandene Systemdateien, Protokolle, Konfigurationen und weitere technische Spuren überschreiben.

Zusätzlich können neue Benutzerprofile, Anwendungen und Systemstrukturen entstehen.

Dadurch wird es möglicherweise schwieriger, den früheren Zustand des Computers zu rekonstruieren.

Bei einem Verdacht auf Fremdzugriffe, Datenmanipulation oder Schadsoftware sollte deshalb vor einer Neuinstallation geprüft werden, ob eine forensische Sicherung erforderlich ist.

Weitere Informationen zu diesen Untersuchungsmöglichkeiten finden Sie im Bereich Computer-Forensik.

Warum können SSDs besonders empfindlich auf weitere Nutzung reagieren?

SSDs verwenden andere Verfahren zur Speicherverwaltung als klassische magnetische Festplatten.

Insbesondere TRIM und Garbage Collection können beeinflussen, welche gelöschten Informationen noch zugänglich sind.

Wenn ein Betriebssystem gelöschte Speicherbereiche freigibt, können die betreffenden Daten unter bestimmten Voraussetzungen nicht mehr über die normale Schnittstelle ausgelesen werden.

Eine weitere Nutzung der SSD kann deshalb die Möglichkeiten zur späteren Rekonstruktion gelöschter Informationen einschränken.

Allerdings hängt die tatsächliche Verfügbarkeit von Datenresten von zahlreichen Faktoren ab. Eine pauschale Aussage, dass gelöschte SSD-Daten immer oder niemals wiederhergestellt werden können, wäre fachlich nicht korrekt.

Warum sollten USB-Sticks und Speicherkarten nicht weiterverwendet werden?

Bei USB-Sticks und Speicherkarten kann das Speichern neuer Dateien dazu führen, dass zuvor belegte oder inzwischen freigegebene Speicherbereiche erneut verwendet werden.

Dadurch können möglicherweise noch vorhandene Datenreste überschrieben werden.

Wenn ein solcher Datenträger für eine spätere Untersuchung relevant sein könnte, sollte er möglichst nicht weiterverwendet werden.

Auch eine eigenständige Datenrettung mit ungeeigneten Programmen kann problematisch sein, insbesondere wenn wiederhergestellte Dateien auf demselben Datenträger gespeichert werden.

Warum gelten bei Smartphones besondere Regeln?

Moderne Smartphones unterscheiden sich technisch erheblich von klassischen Festplatten.

iPhones und Android-Geräte verwenden komplexe Verschlüsselungsmechanismen, geschützte Speicherbereiche und unterschiedliche Zugriffsbeschränkungen.

Bei diesen Geräten kann nicht grundsätzlich davon ausgegangen werden, dass eine vollständige bitweise Sicherung möglich ist.

Außerdem kann bereits ein Neustart Auswirkungen auf den aktuellen Entsperrungszustand und die verfügbaren Zugriffsmöglichkeiten haben.

Gleichzeitig verändern eingeschaltete Smartphones ihre Datenbestände fortlaufend durch Hintergrundprozesse, Synchronisationen und Anwendungsaktivitäten.

Deshalb muss bei einer geplanten Smartphone-Untersuchung individuell entschieden werden, welche Maßnahmen sinnvoll sind.

Die technischen Untersuchungsmöglichkeiten beschreibt LB Forensik im Bereich Smartphone-Forensik.

Sollte ein verdächtiger Computer sofort ausgeschaltet werden?

Ein Computer sollte nicht grundsätzlich und ohne Bewertung ausgeschaltet werden, wenn eine forensische Untersuchung geplant ist.

Beim Ausschalten können flüchtige Informationen verloren gehen. Dazu gehören beispielsweise bestimmte Arbeitsspeicherinhalte, laufende Prozesse und aktuelle Netzwerkverbindungen.

Bei verschlüsselten Systemen kann zusätzlich der aktuelle Entsperrungszustand verloren gehen.

Andererseits kann der Weiterbetrieb eines kompromittierten Computers zusätzliche Sicherheitsrisiken verursachen.

Besteht ein aktiver Angriff, müssen notwendige Maßnahmen zur Schadensbegrenzung und die Sicherung digitaler Spuren deshalb aufeinander abgestimmt werden.

Eine allgemeingültige Empfehlung zum sofortigen Ausschalten oder Weiterlaufenlassen gibt es nicht.

Kann das Öffnen einer Datei ihren Beweiswert beeinflussen?

Das Öffnen einer Datei kann abhängig vom Betriebssystem, Dateisystem und verwendeten Programm technische Veränderungen verursachen.

Beispielsweise können bestimmte Zugriffsinformationen aktualisiert oder zusätzliche temporäre Dateien angelegt werden.

Bei Office-Dokumenten können außerdem automatische Speicherfunktionen oder verknüpfte Anwendungen relevant sein.

Ob eine solche Veränderung die Aussagekraft eines Beweismittels tatsächlich beeinträchtigt, hängt von der konkreten Untersuchungsfrage ab.

Wenn beispielsweise der ursprüngliche Änderungszeitpunkt einer Datei untersucht werden soll, können spätere Bearbeitungsvorgänge besonders problematisch sein.

Was bedeutet der Schutz der Integrität eines Originaldatenträgers?

Der Schutz der Integrität bedeutet, dass der relevante Datenbestand möglichst vor unkontrollierten Veränderungen bewahrt wird.

In der digitalen Forensik muss dabei klar unterschieden werden zwischen dem Zustand des Originaldatenträgers zum Zeitpunkt der Übernahme und dem Zustand einer später erstellten Sicherung.

Eine unveränderte Sicherung beweist nicht automatisch, dass das Original bereits vor der Übernahme unverändert war.

Sie ermöglicht jedoch, den gesicherten Referenzzustand später technisch zu überprüfen.

Welche Rolle spielen Hashwerte beim Schutz von Originaldaten?

Kryptografische Hashwerte können verwendet werden, um einen eindeutig definierten Datenbestand technisch zu kennzeichnen.

Bei einer geeigneten Sicherung kann beispielsweise ein SHA-256-Hashwert berechnet und dokumentiert werden.

Wird derselbe Datenbestand später erneut geprüft, kann der neue Hashwert mit dem ursprünglichen Referenzwert verglichen werden.

Stimmen beide Werte überein, spricht dies sehr stark dafür, dass der geprüfte Datenbestand gegenüber dem dokumentierten Referenzzustand unverändert geblieben ist.

Ein Hashwert allein beweist jedoch weder die Herkunft der Daten noch die Identität einer Person, die bestimmte Handlungen vorgenommen haben soll.

Außerdem muss berücksichtigt werden, ob sich der Hashwert auf eine vollständige Datenträgersicherung, einzelne Dateien oder einen anderen definierten Datenbestand bezieht.

Was ist ein Write-Blocker und warum kann er wichtig sein?

Ein Write-Blocker ist eine technische Schutzkomponente, die bei geeigneten Datenträgern eingesetzt werden kann, um Schreibzugriffe auf das Originalmedium zu verhindern.

Dadurch lässt sich das Risiko reduzieren, dass während einer Datensicherung unbeabsichtigte Veränderungen entstehen.

Ein Write-Blocker ersetzt jedoch weder eine geeignete Sicherungsmethode noch die Dokumentation der Untersuchung.

Außerdem können klassische Hardware-Write-Blocker nicht für jede Datenquelle eingesetzt werden.

Insbesondere bei Smartphones, laufenden Computersystemen und Cloud-Diensten sind andere Vorgehensweisen erforderlich.

Was passiert, wenn ein Originaldatenträger bereits verändert wurde?

Auch ein bereits veränderter Datenträger kann weiterhin relevante digitale Spuren enthalten.

Eine forensische Untersuchung kann beispielsweise feststellen, welche Daten aktuell vorhanden sind und ob sich Hinweise auf frühere Aktivitäten rekonstruieren lassen.

Die Möglichkeiten hängen davon ab, welche Informationen noch verfügbar sind und welche Veränderungen stattgefunden haben.

Wichtig ist, den tatsächlichen Zustand des Datenträgers sachlich zu dokumentieren und keine unbelegten Aussagen über einen früheren Zustand zu treffen.

Wenn bekannt ist, wann ein Gerät neu gestartet, zurückgesetzt oder weiterverwendet wurde, können diese Angaben bei der späteren Bewertung hilfreich sein.

Kann ein Originaldatenträger trotz Schreibschutz verändert werden?

Ein korrekt eingesetzter und geeigneter Schreibschutz kann Schreibzugriffe über die betreffende Schnittstelle verhindern.

Das bedeutet jedoch nicht automatisch, dass sämtliche internen Prozesse eines Speichermediums vollständig kontrolliert werden können.

Insbesondere moderne SSDs verfügen über eine interne Speicherverwaltung, die unabhängig von gewöhnlichen Dateisystemzugriffen arbeitet.

Deshalb muss zwischen dem Schutz vor hostseitigen Schreibzugriffen und möglichen internen Vorgängen des Datenträgers unterschieden werden.

Die Aussagekraft einer Sicherung hängt somit nicht allein vom Vorhandensein eines Write-Blockers ab, sondern vom gesamten Sicherungsverfahren.

Warum ist die Dokumentation von Veränderungen so wichtig?

In einer forensischen Untersuchung muss nachvollziehbar sein, welche Maßnahmen am Originaldatenträger durchgeführt wurden.

Dazu können beispielsweise das Anschließen an eine Untersuchungsstation, das Einschalten eines Geräts, die Durchführung einer Live-Sicherung oder andere technisch notwendige Eingriffe gehören.

Die Dokumentation ermöglicht es, später zwischen bereits vorhandenen Informationen und möglicherweise untersuchungsbedingten Veränderungen zu unterscheiden.

Sie ist damit ein wichtiger Bestandteil der Nachvollziehbarkeit digitaler Beweismittel.

Die organisatorischen Anforderungen an Übernahme, Behandlung und Übergabe erläutert unser Wissensartikel Chain of Custody in der digitalen Forensik.

Warum kann eine direkte Untersuchung am Originaldatenträger problematisch sein?

Eine direkte Untersuchung kann dazu führen, dass Analysewerkzeuge oder das verwendete Betriebssystem zusätzliche Informationen auf dem Originalmedium speichern.

Dadurch können technische Spuren verändert werden, die später selbst Gegenstand einer Untersuchung sein sollen.

Bei geeigneten Datenträgern wird deshalb zunächst eine forensische Sicherung erstellt.

Die anschließende Analyse erfolgt anhand einer separaten Arbeitskopie.

Wenn eine solche Trennung technisch nicht möglich ist, muss das gewählte Verfahren besonders sorgfältig dokumentiert und hinsichtlich möglicher Veränderungen bewertet werden.

Welche Folgen kann eine Veränderung für ein Gerichtsverfahren haben?

Eine Veränderung digitaler Beweismittel kann ihre Aussagekraft beeinflussen.

Wenn beispielsweise nicht mehr nachvollziehbar ist, ob eine relevante Datei vor oder nach der Sicherung verändert wurde, kann dies die Bewertung des Beweismittels erschweren.

Eine Veränderung führt allerdings nicht automatisch dazu, dass digitale Beweise vor Gericht unverwertbar sind.

Die rechtliche Verwertbarkeit und der Beweiswert hängen von den Umständen des Einzelfalls ab.

Eine nachvollziehbare Dokumentation der Sicherung und Untersuchung kann dazu beitragen, technische Unsicherheiten transparent darzustellen.

Bei komplexen Sachverhalten kann ein IT-forensisches Sachverständigengutachten erforderlich sein.

Praxisbeispiel: Verdacht auf Datendiebstahl durch einen Mitarbeiter

Ein Unternehmen vermutet, dass ein Mitarbeiter vertrauliche Dateien auf einen externen Datenträger kopiert hat.

Der betreffende Arbeitsplatzcomputer enthält möglicherweise Informationen über angeschlossene USB-Geräte, Dateizugriffe und weitere Benutzeraktivitäten.

Wird der Computer nach Bekanntwerden des Verdachts weiterhin intensiv genutzt, können zusätzliche Systemereignisse entstehen und ältere Informationen überschrieben werden.

Eine frühzeitige forensische Sicherung kann deshalb sinnvoll sein.

Die spätere Untersuchung kann prüfen, ob sich Hinweise auf relevante Dateiaktivitäten oder externe Datenträger feststellen lassen.

Die bloße Verbindung eines USB-Sticks beweist allerdings noch nicht, dass bestimmte Dateien kopiert wurden.

Praxisbeispiel: Verdacht auf Manipulation einer externen Festplatte

Eine externe Festplatte soll Informationen enthalten, die für eine zivilrechtliche Auseinandersetzung relevant sind.

Der Eigentümer möchte überprüfen lassen, ob bestimmte Dateien verändert oder gelöscht wurden.

Wird die Festplatte vor der Untersuchung mehrfach an unterschiedliche Computer angeschlossen, können zusätzliche Systemzugriffe oder andere Veränderungen entstehen.

Dadurch kann die spätere zeitliche Einordnung einzelner technischer Spuren erschwert werden.

Eine geeignete forensische Sicherung kann helfen, den aktuell vorhandenen Datenbestand nachvollziehbar zu erfassen und als Untersuchungsgrundlage zu erhalten.

Praxisbeispiel: Smartphone mit Verdacht auf unbefugte Zugriffe

Eine Privatperson vermutet, dass Dritte auf ihr Smartphone zugegriffen haben.

Aus Unsicherheit werden mehrere Sicherheitsprogramme installiert, Anwendungen gelöscht und das Gerät wiederholt neu gestartet.

Solche Maßnahmen können den später verfügbaren Datenbestand verändern.

Eine forensische Untersuchung kann dennoch sinnvoll sein. Allerdings muss berücksichtigt werden, welche Informationen möglicherweise bereits durch die zwischenzeitliche Nutzung beeinflusst wurden.

Das Beispiel verdeutlicht, warum bei einem konkreten Untersuchungsbedarf möglichst frühzeitig eine geeignete Sicherungsstrategie festgelegt werden sollte.

Was sollten Privatpersonen mit einem möglicherweise beweisrelevanten Datenträger tun?

Wenn ein Computer, Smartphone oder Datenträger später untersucht werden soll, empfiehlt sich zunächst eine sachliche Dokumentation des aktuellen Zustands.

Unnötige Veränderungen sollten möglichst vermieden werden.

Bei einem ausgeschalteten externen Datenträger kann es sinnvoll sein, ihn bis zur fachlichen Sicherung nicht erneut anzuschließen.

Bei eingeschalteten oder verschlüsselten Geräten sollte dagegen nicht ohne Weiteres ein Neustart oder Ausschalten vorgenommen werden.

Besteht gleichzeitig eine akute Sicherheitsgefährdung, müssen notwendige Schutzmaßnahmen berücksichtigt werden.

Eine professionelle Ersteinschätzung kann helfen, das weitere Vorgehen festzulegen.

Wie schützt LB Forensik Originaldatenträger bei Untersuchungen?

LB Forensik unterstützt Privatpersonen, Unternehmen, Rechtsanwälte und weitere Auftraggeber bei der Sicherung und Untersuchung digitaler Beweismittel.

Vor einer Untersuchung wird abhängig vom Auftrag bewertet, welche Sicherungsmethode für das jeweilige Gerät geeignet ist.

Bei klassischen Datenträgern können beispielsweise schreibgeschützte Verfahren und forensische Abbilder eingesetzt werden.

Bei Smartphones, modernen Macs, verschlüsselten Systemen oder laufenden IT-Umgebungen müssen die technischen Besonderheiten berücksichtigt werden.

Die Untersuchung erfolgt mit dem Ziel, unnötige Veränderungen am ursprünglichen Datenbestand zu vermeiden und erforderliche Eingriffe nachvollziehbar zu dokumentieren.

Die Ergebnisse werden abhängig vom Untersuchungsauftrag in einem strukturierten Untersuchungsbericht oder Sachverständigengutachten aufbereitet.

Die LB Detektive GmbH verfügt über ein durch TÜV NORD CERT zertifiziertes Qualitätsmanagementsystem nach DIN EN ISO 9001. Die sachverständige Bewertung erfolgt unter Berücksichtigung der vorhandenen fachlichen Qualifikationen und der jeweiligen technischen Untersuchungsmöglichkeiten.

IT-Forensik und Schutz digitaler Beweismittel deutschlandweit

LB Forensik bietet bundesweit Leistungen zur Sicherung und Untersuchung digitaler Beweismittel an.

Abhängig vom Untersuchungsgegenstand kann eine Sicherung vor Ort, eine abgestimmte Geräteübergabe oder eine Untersuchung unter kontrollierten Laborbedingungen erforderlich sein.

Weitere Informationen zu unseren regionalen Leistungen finden Sie auf folgenden Stadtseiten:

• IT-Forensik für Reutlingen
• IT-Forensik für Augsburg
• IT-Forensik für Düsseldorf
• IT-Forensik für Leipzig
• IT-Forensik für Frankfurt am Main

Eine Übersicht weiterer Einsatzgebiete finden Sie unter IT-Forensik deutschlandweit.

Häufige Fragen zum Schutz von Originaldatenträgern

Warum darf ein Originaldatenträger nicht verändert werden?

Veränderungen können digitale Spuren beeinflussen, Zeitinformationen verändern oder vorhandene Daten überschreiben. Dadurch kann die spätere Rekonstruktion eines Sachverhalts erschwert werden.

Kann bereits das Anschließen einer Festplatte Veränderungen verursachen?

Ja. Abhängig vom Betriebssystem und Dateisystem können beim Anschließen oder Einbinden eines Datenträgers Schreibzugriffe entstehen.

Sollte ich eine verdächtige Festplatte selbst überprüfen?

Wenn die Festplatte später als Beweismittel dienen soll, sollte eine eigenständige Untersuchung möglichst vermieden werden. Eine geeignete forensische Sicherung kann helfen, den ursprünglichen Datenbestand zu schützen.

Was passiert, wenn ich eine Datei versehentlich geöffnet habe?

Das Öffnen einer Datei macht eine spätere Untersuchung nicht automatisch unmöglich. Entscheidend ist, ob technische Informationen verändert wurden und welche Bedeutung diese Veränderungen für die Untersuchungsfrage haben.

Kann ein bereits veränderter Datenträger noch untersucht werden?

Ja. Auch nach Veränderungen können relevante digitale Spuren vorhanden sein. Die tatsächlichen Untersuchungsmöglichkeiten hängen vom noch verfügbaren Datenbestand ab.

Warum wird eine forensische Kopie erstellt?

Eine forensische Kopie ermöglicht es, einen definierten Datenbestand als Untersuchungsgrundlage zu sichern und die anschließende Analyse möglichst ohne weitere Zugriffe auf das Original durchzuführen.

Ist eine normale Dateikopie ausreichend?

Das hängt vom Untersuchungsziel ab. Eine gewöhnliche Dateikopie erfasst nicht zwangsläufig sämtliche relevanten Metadaten, Dateisystemstrukturen oder weiteren Speicherbereiche.

Was ist ein Hardware-Write-Blocker?

Ein Hardware-Write-Blocker ist eine technische Schutzkomponente, die bei geeigneten Datenträgern Schreibzugriffe auf das Originalmedium verhindern kann.

Kann eine SSD vollständig vor Veränderungen geschützt werden?

Schreibzugriffe über die Datenträgerschnittstelle können mit geeigneten Verfahren verhindert werden. Interne Speicherverwaltungsprozesse moderner SSDs müssen jedoch gesondert berücksichtigt werden.

Warum sollte ein Smartphone nicht einfach zurückgesetzt werden?

Ein Zurücksetzen kann zahlreiche Daten und technische Spuren entfernen. Dadurch können spätere Untersuchungsmöglichkeiten erheblich eingeschränkt werden.

Sollte ein Smartphone vor der Untersuchung ausgeschaltet werden?

Das lässt sich nicht pauschal beantworten. Bei modernen Smartphones können Neustart und Ausschalten Auswirkungen auf den Verschlüsselungs- und Entsperrungszustand haben.

Wie lässt sich die Unverändertheit einer Sicherung überprüfen?

Bei geeigneten Datenbeständen können kryptografische Hashwerte berechnet und später mit dokumentierten Referenzwerten verglichen werden.

Ist ein veränderter Originaldatenträger vor Gericht automatisch unbrauchbar?

Nein. Die Auswirkungen einer Veränderung müssen im Einzelfall bewertet werden. Über die rechtliche Verwertbarkeit und Beweiskraft entscheidet das zuständige Gericht.

Wie lange sollte ein Originaldatenträger aufbewahrt werden?

Die erforderliche Aufbewahrungsdauer hängt vom Untersuchungsauftrag, möglichen Verfahren, rechtlichen Vorgaben und gegebenenfalls vereinbarten Aufbewahrungsfristen ab.

Wann sollte ein IT-Forensiker eingeschaltet werden?

Insbesondere bei möglichen Gerichtsverfahren, Verdacht auf Datendiebstahl, Manipulationen, unbefugten Zugriffen oder der Gefahr eines Datenverlusts kann eine frühzeitige professionelle Sicherung sinnvoll sein.

Zurück zur Wissensübersicht