Ein Write-Blocker ist eine technische Schutzvorrichtung oder Softwarefunktion, die verhindern soll, dass ein Untersuchungscomputer Daten auf einen angeschlossenen Originaldatenträger schreibt. In der digitalen Forensik werden Write-Blocker eingesetzt, um Festplatten, SSDs, USB-Sticks und andere geeignete Speichermedien während der Datensicherung vor unbeabsichtigten Schreibzugriffen zu schützen.

Ein Write-Blocker ermöglicht dabei grundsätzlich den lesenden Zugriff auf den Datenträger, während Schreibbefehle über den kontrollierten Datenpfad blockiert werden. Dadurch können IT-Forensiker relevante Daten erfassen, ohne dass das verwendete Untersuchungssystem reguläre Schreibvorgänge auf dem Originalmedium durchführen kann.

Besonders wichtig ist diese Schutzmaßnahme bei der Sicherung digitaler Beweismittel. Bereits das Anschließen einer Festplatte an einen gewöhnlichen Computer kann unter bestimmten Voraussetzungen Veränderungen an Dateisysteminformationen oder anderen technischen Daten verursachen.

Ein Write-Blocker ist deshalb ein wichtiges Hilfsmittel der professionellen IT-Forensik. Er ersetzt jedoch weder eine fachgerechte Sicherungsmethode noch die Dokumentation des Untersuchungsvorgangs.

Wie digitale Datenträger anschließend gesichert und untersucht werden können, erläutern unsere Wissensartikel Was ist ein forensisches Abbild? und was ist Computer-Forensik?.

Das Wichtigste über Write-Blocker

• Funktion: Ein Write-Blocker verhindert Schreibbefehle des Untersuchungssystems an einen geeigneten Originaldatenträger.
• Zweck: Er reduziert das Risiko unbeabsichtigter Veränderungen digitaler Beweismittel.
• Varianten: Es gibt Hardware-Write-Blocker und softwarebasierte Schreibschutzverfahren.
• Einsatzbereiche: Typische Anwendungen sind die Sicherung von HDDs, SSDs, USB-Sticks und Speicherkarten.
• Schnittstellen: Je nach Gerät werden beispielsweise SATA-, USB-, SAS- oder NVMe-Verbindungen unterstützt.
• Technische Grenzen: Ein Write-Blocker verhindert nicht automatisch sämtliche internen Vorgänge eines Speichermediums.
• Keine universelle Lösung: Bei Smartphones, laufenden Systemen und bestimmten verschlüsselten Geräten sind andere Sicherungsverfahren erforderlich.
• Forensische Dokumentation: Modell, Anschlussart, Betriebszustand und gegebenenfalls die Funktionsprüfung des Write-Blockers sollten dokumentiert werden.

Was bedeutet Write-Blocker auf Deutsch?

Der englische Begriff Write-Blocker bedeutet sinngemäß Schreibblockierer oder Schreibschutzvorrichtung.

In der IT-Forensik wird überwiegend die englische Bezeichnung verwendet.

Ein Write-Blocker unterscheidet sich von einem gewöhnlichen Schreibschutz dadurch, dass er speziell für die kontrollierte Untersuchung und Sicherung digitaler Datenträger eingesetzt werden kann.

Seine Aufgabe besteht darin, Schreibbefehle des angeschlossenen Untersuchungssystems zu verhindern, während lesende Zugriffe weiterhin möglich bleiben.

Wie funktioniert ein Write-Blocker?

Ein Hardware-Write-Blocker wird zwischen den zu untersuchenden Datenträger und den forensischen Untersuchungscomputer geschaltet.

Der Datenträger wird mit einer geeigneten Schnittstelle an den Write-Blocker angeschlossen. Dieser wiederum stellt die Verbindung zum Untersuchungssystem her.

Wenn der Computer Daten vom Datenträger lesen möchte, werden die entsprechenden zulässigen Leseanforderungen weitergeleitet.

Versucht das Betriebssystem oder eine Anwendung dagegen, Daten auf den Originaldatenträger zu schreiben, blockiert der Write-Blocker diese Befehle entsprechend seiner technischen Implementierung.

Der Computer kann den Datenträger dadurch grundsätzlich auslesen, ohne gewöhnliche Schreiboperationen auf dem Originalmedium ausführen zu können.

Die konkrete Funktionsweise hängt vom jeweiligen Write-Blocker, der verwendeten Schnittstelle und den unterstützten Gerätebefehlen ab.

Warum wird ein Write-Blocker in der digitalen Forensik eingesetzt?

Digitale Beweismittel können durch gewöhnliche Computerzugriffe verändert werden.

Wird beispielsweise eine externe Festplatte an einen Windows-Computer angeschlossen, kann das Betriebssystem versuchen, bestimmte Informationen zu aktualisieren oder Dateisystemvorgänge auszuführen.

Solche Veränderungen können bei einer späteren Untersuchung relevant sein.

Wenn beispielsweise festgestellt werden soll, wann Dateien verändert wurden oder welche Daten ursprünglich vorhanden waren, können zusätzliche Schreibzugriffe die Interpretation erschweren.

Ein geeigneter Write-Blocker reduziert dieses Risiko, indem er Schreibbefehle des Untersuchungssystems blockiert.

Damit unterstützt er den Schutz der Integrität des übernommenen Datenbestands.

Welche Bedeutung die Integrität digitaler Beweismittel besitzt, erläutert unser Fachartikel Was bedeutet Integrität digitaler Beweismittel?.

Welche Arten von Write-Blockern gibt es?

Grundsätzlich wird zwischen Hardware-Write-Blockern und softwarebasierten Schreibschutzverfahren unterschieden.

Hardware-Write-Blocker

Ein Hardware-Write-Blocker ist ein eigenständiges technisches Gerät, das zwischen Datenträger und Untersuchungscomputer eingesetzt wird.

Er kontrolliert die Kommunikation über die unterstützte Schnittstelle und verhindert die Weiterleitung bestimmter Schreibbefehle an das Originalmedium.

Hardware-Write-Blocker werden häufig bei der Sicherung klassischer Datenträger verwendet.

Ihre konkrete Eignung hängt unter anderem von der unterstützten Schnittstelle, dem Gerätetyp und der Firmware ab.

Software-Write-Blocker

Ein Software-Write-Blocker verwendet Betriebssystemfunktionen, Treiber oder andere softwarebasierte Mechanismen, um Schreibzugriffe zu verhindern.

Solche Verfahren können bei geeigneten Untersuchungsumgebungen eingesetzt werden.

Ihre Wirksamkeit hängt allerdings stärker von der jeweiligen Softwarekonfiguration, den Berechtigungen und der korrekten Umsetzung des Schreibschutzes ab.

Deshalb muss geprüft werden, ob das eingesetzte Verfahren für die konkrete Datenträgersicherung geeignet ist.

Was ist der Unterschied zwischen einem Hardware-Write-Blocker und einem Software-Write-Blocker?

Der wesentliche Unterschied liegt darin, wo der Schreibschutz technisch umgesetzt wird.

Ein Hardware-Write-Blocker kontrolliert die Kommunikation zwischen Untersuchungscomputer und Datenträger über eine dafür vorgesehene Hardwarekomponente.

Ein Software-Write-Blocker setzt den Schreibschutz dagegen innerhalb einer bestimmten Software- beziehungsweise Betriebssystemumgebung um.

Ein Hardware-Write-Blocker kann den Schutz vom verwendeten Untersuchungsbetriebssystem stärker entkoppeln.

Ein softwarebasiertes Verfahren kann ebenfalls geeignet sein, muss jedoch hinsichtlich seiner tatsächlichen Wirksamkeit und der verwendeten Systemkonfiguration bewertet werden.

Keine der beiden Varianten sollte allein aufgrund ihrer Bezeichnung als uneingeschränkt sicher betrachtet werden.

Für welche Datenträger kann ein Write-Blocker verwendet werden?

Write-Blocker werden insbesondere bei klassischen Speichermedien eingesetzt, die über unterstützte Datenschnittstellen angeschlossen werden können.

Interne und externe Festplatten

Bei magnetischen Festplatten können geeignete Write-Blocker verhindern, dass das Untersuchungssystem Schreibbefehle an den Datenträger sendet.

Dies ist insbesondere bei der Erstellung forensischer Datenträgerabbilder relevant.

SATA-SSDs

Auch SATA-SSDs können abhängig von der verwendeten Hardware über einen geeigneten Write-Blocker angeschlossen werden.

Allerdings müssen die Besonderheiten der internen Flash-Speicherverwaltung berücksichtigt werden.

USB-Sticks

USB-Sticks können über geeignete USB-Write-Blocker untersucht werden.

Welche Geräte und Betriebsarten unterstützt werden, hängt vom jeweiligen Write-Blocker ab.

Speicherkarten

Für SD-Karten und andere Speicherkarten können geeignete Schreibschutzlösungen eingesetzt werden.

Ein mechanischer Schreibschutzschalter an einer SD-Karte ist allerdings nicht mit einem unabhängig kontrollierten forensischen Hardware-Write-Blocker gleichzusetzen.

NVMe-SSDs

Moderne NVMe-SSDs verwenden andere Kommunikationsschnittstellen als klassische SATA-Datenträger.

Deshalb wird ein ausdrücklich kompatibler Write-Blocker beziehungsweise ein geeignetes forensisches Sicherungssystem benötigt.

Nicht jeder Write-Blocker unterstützt NVMe-Laufwerke.

SAS-Festplatten

Bei professionellen Serverfestplatten mit SAS-Schnittstelle können entsprechend geeignete forensische Schreibschutzlösungen erforderlich sein.

Auch hier muss die Kompatibilität mit dem konkreten Datenträger geprüft werden.

Welche Schnittstellen unterstützen moderne Write-Blocker?

Abhängig von Hersteller und Modell können Write-Blocker unterschiedliche Datenträgerschnittstellen unterstützen.

Dazu gehören beispielsweise:

• USB
• SATA
• SAS
• NVMe beziehungsweise PCIe
• Ältere Schnittstellen wie IDE bei entsprechend ausgestatteten Geräten

Ein universeller Write-Blocker für sämtliche existierenden Speichergeräte ist nicht vorauszusetzen.

Vor der Untersuchung muss geprüft werden, ob das eingesetzte Gerät die betreffende Schnittstelle und den konkreten Datenträger unterstützt.

Besonders bei modernen NVMe-Laufwerken und speziellen Speicherarchitekturen können zusätzliche technische Anforderungen bestehen.

Wie wird ein Hardware-Write-Blocker angeschlossen?

Bei einem klassischen Sicherungsvorgang wird der zu untersuchende Datenträger zunächst identifiziert und dokumentiert.

Anschließend wird der Datenträger über die geeignete Schnittstelle mit dem Write-Blocker verbunden.

Der Write-Blocker stellt die Verbindung zum forensischen Untersuchungscomputer her.

Nach der kontrollierten Inbetriebnahme wird geprüft, ob der Datenträger korrekt erkannt wird und der vorgesehene Schreibschutz aktiv ist.

Erst danach beginnt die eigentliche Datensicherung.

Die genaue Anschlussreihenfolge und Stromversorgung richten sich nach den Vorgaben des jeweiligen Herstellers.

Eine unsachgemäße Verkabelung oder ein ungeeignetes Netzteil kann unabhängig vom Schreibschutz zu technischen Problemen führen.

Wie lässt sich überprüfen, ob ein Write-Blocker funktioniert?

Ein Write-Blocker sollte nicht allein deshalb als funktionsfähig betrachtet werden, weil er eingeschaltet ist oder einen Datenträger erkennt.

Für eine belastbare Verwendung können dokumentierte Funktionsprüfungen erforderlich sein.

Dabei wird unter kontrollierten Bedingungen überprüft, ob Lesezugriffe möglich sind und Schreibbefehle tatsächlich blockiert werden.

Solche Prüfungen sollten mit geeigneten Testdatenträgern erfolgen, nicht durch absichtliche Schreibversuche auf einem wichtigen Originalbeweismittel.

Bei der Bewertung können unter anderem folgende Faktoren berücksichtigt werden:

• Hersteller und Modell des Write-Blockers
• Firmwareversion
• Verwendete Schnittstelle
• Unterstützter Datenträgertyp
• Ergebnis der Funktionsprüfung
• Bekannte technische Einschränkungen

Auch Herstellerdokumentationen und geeignete technische Testverfahren können bei der Beurteilung hilfreich sein.

Kann ein Write-Blocker sämtliche Veränderungen eines Datenträgers verhindern?

Nein. Ein Write-Blocker schützt grundsätzlich den von ihm kontrollierten Kommunikationsweg.

Ein geeigneter Hardware-Write-Blocker verhindert Schreibbefehle des angeschlossenen Untersuchungssystems an das Originalmedium.

Er kann jedoch nicht rückgängig machen, was bereits vor dem Anschluss des Datenträgers geschehen ist.

Außerdem bedeutet die Blockierung von Schreibbefehlen nicht zwangsläufig, dass sämtliche internen Vorgänge eines Speichermediums vollständig unterbunden werden.

Insbesondere bei Flash-Speichern können interne Controllerfunktionen eine Rolle spielen.

Ein Write-Blocker ist deshalb ein technisches Schutzinstrument innerhalb eines umfassenderen forensischen Sicherungsverfahrens.

Warum sind Write-Blocker bei SSDs besonders zu betrachten?

SSDs unterscheiden sich technisch von klassischen magnetischen Festplatten.

Sie verwenden Flash-Speicher, Controller und interne Verfahren zur Verwaltung der Speicherzellen.

Zu diesen Verfahren gehören unter anderem Wear Leveling und Garbage Collection.

Zusätzlich kann das Betriebssystem über bestimmte Schnittstellen Informationen zur Freigabe nicht mehr benötigter Speicherbereiche übermitteln.

Ein geeigneter Write-Blocker kann hostseitige Schreib- und unterstützte Verwaltungsbefehle entsprechend seiner Implementierung blockieren.

Er garantiert jedoch nicht, dass sämtliche internen Controllerprozesse eines SSD-Laufwerks vollständig angehalten werden.

Deshalb muss zwischen der Verhinderung von Schreibbefehlen über die Schnittstelle und der internen Speicherverwaltung unterschieden werden.

Kann ein Write-Blocker gelöschte Dateien schützen?

Ein Write-Blocker kann verhindern, dass das Untersuchungssystem neue Schreibbefehle an einen geeigneten Datenträger übermittelt.

Dadurch wird das Risiko reduziert, dass während der Sicherung zusätzliche Datenbereiche überschrieben werden.

Das bedeutet allerdings nicht, dass zuvor gelöschte Dateien automatisch wiederherstellbar sind.

Wenn relevante Speicherbereiche bereits überschrieben wurden oder aufgrund technischer Speicherverwaltungsmechanismen nicht mehr zugänglich sind, kann ein Write-Blocker diese Informationen nicht wiederherstellen.

Er dient dem Schutz des aktuell zugänglichen Datenbestands und nicht der Rekonstruktion bereits endgültig verlorener Informationen.

Kann ein Write-Blocker beschädigte Festplatten reparieren?

Nein. Ein Write-Blocker ist kein Reparaturwerkzeug.

Seine Aufgabe besteht darin, Schreibzugriffe zu verhindern beziehungsweise zu kontrollieren.

Bei beschädigten Festplatten können zusätzliche Maßnahmen erforderlich sein, beispielsweise eine angepasste Auslesestrategie oder der Einsatz spezieller Datensicherungssysteme.

Ein beschädigter Datenträger kann durch wiederholte Lesezugriffe weiter belastet werden.

Deshalb muss vor der Sicherung geprüft werden, ob eine gewöhnliche forensische Datenträgerabbildung technisch sinnvoll ist.

Welche Rolle spielt ein Write-Blocker bei der Erstellung eines forensischen Images?

Bei geeigneten Datenträgern wird ein Write-Blocker häufig eingesetzt, bevor eine forensische Sicherung erstellt wird.

Der Originaldatenträger wird über den kontrollierten Schreibschutz mit dem Untersuchungssystem verbunden.

Anschließend kann eine geeignete Forensiksoftware oder ein spezielles Sicherungsgerät die zugänglichen Speicherbereiche erfassen.

Die erfassten Daten werden auf einem separaten Zieldatenträger oder in einer entsprechenden Image-Datei gespeichert.

Nach Abschluss der Sicherung kann die Integrität des erzeugten Datenbestands überprüft werden.

Die technischen Grundlagen einer solchen Sicherung erläutert unser Wissensartikel Forensisches Abbild eines Datenträgers.

Ist ein Write-Blocker bei jeder forensischen Untersuchung erforderlich?

Nein. Ob ein Write-Blocker benötigt wird, hängt von der Datenquelle und der Sicherungsmethode ab.

Bei klassischen Festplatten, SSDs und anderen geeigneten Datenträgern ist ein kontrollierter Schreibschutz häufig sinnvoll.

Bei laufenden Computersystemen, modernen Smartphones, Cloud-Diensten oder bestimmten verschlüsselten Geräten können dagegen andere Sicherungsverfahren erforderlich sein.

Entscheidend ist nicht, dass grundsätzlich immer ein Write-Blocker verwendet wird, sondern dass die gewählte Sicherungsmethode zum Untersuchungsgegenstand passt und mögliche Veränderungen berücksichtigt werden.

Kann ein Write-Blocker bei einem iPhone verwendet werden?

Ein klassischer Hardware-Write-Blocker für Festplatten kann nicht ohne Weiteres zur vollständigen forensischen Sicherung eines modernen iPhones verwendet werden.

iPhones besitzen integrierte Speicherarchitekturen, hardwaregestützte Verschlüsselung und weitere Sicherheitsmechanismen.

Die Datenerfassung erfolgt deshalb mit gerätespezifischen Verfahren, deren Möglichkeiten vom Modell, der iOS-Version und dem aktuellen Gerätezustand abhängen.

Welche Daten dabei gesichert werden können, muss im Einzelfall geprüft werden.

Weitere Informationen finden Sie im Leistungsbereich Smartphone-Forensik.

Kann ein Write-Blocker bei einem Android-Smartphone eingesetzt werden?

Auch moderne Android-Smartphones lassen sich nicht grundsätzlich wie klassische externe Festplatten behandeln.

Geräteverschlüsselung, integrierte Speichercontroller, Betriebssystemschutz und unterschiedliche Herstellerarchitekturen beeinflussen die verfügbaren Sicherungsmethoden.

Ein gewöhnlicher USB-Write-Blocker ermöglicht deshalb nicht automatisch eine vollständige forensische Sicherung des Smartphones.

Bei mobilen Endgeräten werden stattdessen geeignete gerätespezifische Erfassungsverfahren eingesetzt.

Kann ein Write-Blocker bei einem Mac verwendet werden?

Bei Apple-Computern hängt die Eignung eines Write-Blockers von der Hardwaregeneration und der Speicherarchitektur ab.

Bei älteren Macs mit ausbaubaren Datenträgern kann unter geeigneten Voraussetzungen eine klassische Datenträgersicherung mit Schreibschutz möglich sein.

Moderne Macs verwenden dagegen teilweise fest integrierte Speicherarchitekturen und zusätzliche Sicherheitsmechanismen.

Bei diesen Geräten können andere forensische Sicherungsverfahren erforderlich sein.

Ein Write-Blocker allein ermöglicht insbesondere keine automatische Umgehung vorhandener Verschlüsselung.

Kann ein Write-Blocker bei einem verschlüsselten Datenträger eingesetzt werden?

Ja. Ein geeigneter Write-Blocker kann auch bei verschlüsselten Datenträgern eingesetzt werden.

Allerdings muss zwischen dem Schutz vor Schreibzugriffen und dem Zugriff auf die gespeicherten Inhalte unterschieden werden.

Ein Write-Blocker entschlüsselt keine Daten.

Wenn beispielsweise eine Festplatte mit BitLocker verschlüsselt ist, kann unter geeigneten Voraussetzungen eine Sicherung des zugänglichen verschlüsselten Datenbestands erstellt werden.

Für die spätere inhaltliche Untersuchung können zusätzliche Schlüssel, Berechtigungen oder andere technisch zulässige Zugriffsmöglichkeiten erforderlich sein.

Was passiert, wenn ein Write-Blocker falsch angeschlossen wird?

Eine fehlerhafte Verbindung kann dazu führen, dass der Datenträger nicht erkannt wird oder die vorgesehene Schutzfunktion nicht wirksam ist.

Auch ungeeignete Adapter, fehlerhafte Kabel oder eine falsche Stromversorgung können technische Probleme verursachen.

Deshalb sollte vor der eigentlichen Datensicherung geprüft werden, ob sämtliche Komponenten korrekt angeschlossen sind und die vorgesehene Betriebsart verwendet wird.

Bei einem beweisrelevanten Datenträger sollten solche Prüfungen nicht durch unkontrollierte Schreibversuche auf dem Originalmedium erfolgen.

Welche Fehler können beim Einsatz eines Write-Blockers auftreten?

Ein Write-Blocker reduziert bestimmte Risiken, verhindert aber nicht sämtliche Fehler einer Datensicherung.

Mögliche Probleme sind beispielsweise:

• Verwendung eines inkompatiblen Write-Blockers
• Ungeeignete Adapter oder Schnittstellen
• Fehlerhafte Stromversorgung
• Unzureichend geprüfte Schreibschutzfunktion
• Veraltete oder fehlerhafte Firmware
• Lesefehler auf dem Originaldatenträger
• Unterbrechungen während der Sicherung
• Fehlerhafte Zuordnung von Quell- und Zieldatenträger
• Unvollständige Dokumentation des Sicherungsvorgangs

Die Verwendung eines Write-Blockers allein garantiert deshalb keine vollständige oder fehlerfreie forensische Datensicherung.

Warum sollte ein Write-Blocker vor der Untersuchung geprüft werden?

Die Schutzfunktion eines Write-Blockers ist für die Integrität des Untersuchungsprozesses von Bedeutung.

Deshalb kann eine dokumentierte Funktionsprüfung erforderlich sein, insbesondere wenn der Write-Blocker regelmäßig bei beweisrelevanten Sicherungen eingesetzt wird.

Eine solche Prüfung sollte unter kontrollierten Bedingungen mit geeigneten Testmedien durchgeführt werden.

Zusätzlich können Herstellerangaben, Firmwareinformationen und bekannte technische Einschränkungen berücksichtigt werden.

Die Prüfung dient dazu, die tatsächliche Eignung der eingesetzten Hardware für das vorgesehene Sicherungsszenario nachvollziehbar zu beurteilen.

Welche Bedeutung hat ein Write-Blocker für digitale Beweise vor Gericht?

Ein Write-Blocker kann dazu beitragen, dass ein Originaldatenträger während einer forensischen Sicherung vor unbeabsichtigten Schreibzugriffen geschützt wird.

Dadurch lässt sich die technische Nachvollziehbarkeit des Sicherungsvorgangs verbessern.

Die Verwendung eines Write-Blockers macht digitale Beweismittel jedoch nicht automatisch gerichtsfest.

Entscheidend sind unter anderem die Herkunft des Beweismittels, die verwendete Sicherungsmethode, die Dokumentation und die Aussagekraft der späteren Untersuchungsergebnisse.

Die rechtliche Verwertbarkeit und der Beweiswert werden durch das zuständige Gericht beziehungsweise die zuständige Behörde beurteilt.

Bei komplexen Sachverhalten kann ein nachvollziehbarer Untersuchungsbericht oder ein IT-forensisches Sachverständigengutachten erforderlich sein.

Welche Rolle spielt die Chain of Custody beim Einsatz eines Write-Blockers?

Die Chain of Custody dokumentiert die Übernahme, Behandlung, Sicherung und Weitergabe eines digitalen Beweismittels.

Wird bei einer Untersuchung ein Write-Blocker eingesetzt, können die verwendete Hardware und die relevanten Sicherungsmaßnahmen Bestandteil dieser Dokumentation sein.

Dadurch wird nachvollziehbar, welche technischen Schutzmaßnahmen bei der Datensicherung verwendet wurden.

Die organisatorische Beweismittelkette und der technische Schreibschutz erfüllen unterschiedliche Aufgaben.

Ein Write-Blocker schützt den kontrollierten Datenzugriff. Die Chain of Custody dokumentiert dagegen den Umgang mit dem Beweismittel.

Weitere Informationen bietet unser Wissensartikel Was bedeutet Chain of Custody?.

Welche Bedeutung haben Hashwerte bei einer Sicherung mit Write-Blocker?

Ein Write-Blocker und ein kryptografischer Hashwert erfüllen unterschiedliche Funktionen.

Der Write-Blocker soll verhindern, dass das Untersuchungssystem den Originaldatenträger durch Schreibbefehle verändert.

Ein Hashwert ermöglicht dagegen die spätere Integritätskontrolle eines definierten digitalen Datenbestands.

Bei einer forensischen Sicherung können beide Verfahren kombiniert werden.

Dadurch wird einerseits das Risiko unerwünschter Schreibzugriffe reduziert. Andererseits kann die Unverändertheit des erzeugten Sicherungsbestands später überprüft werden.

Ein identischer Hashwert beweist allerdings nicht automatisch, dass sämtliche theoretisch vorhandenen Informationen des Originaldatenträgers erfolgreich erfasst wurden.

Praxisbeispiel: Write-Blocker bei einem Verdacht auf Datendiebstahl

Ein Unternehmen vermutet, dass vertrauliche Dateien von einem Arbeitsplatzcomputer auf einen externen Datenträger kopiert wurden.

Für die Untersuchung soll die interne Festplatte des Computers gesichert werden.

Bei einer geeigneten Datenträgerarchitektur kann die Festplatte ausgebaut und über einen kompatiblen Hardware-Write-Blocker an eine forensische Untersuchungsstation angeschlossen werden.

Anschließend wird mit geeigneter Software eine Datenträgersicherung erstellt.

Die spätere Analyse kann beispielsweise prüfen, ob relevante Dateiaktivitäten oder Hinweise auf angeschlossene USB-Geräte vorhanden sind.

Die Verwendung des Write-Blockers unterstützt dabei den Schutz des übernommenen Datenbestands.

Ob tatsächlich ein Datendiebstahl stattgefunden hat, muss anhand der verfügbaren technischen Spuren gesondert bewertet werden.

Praxisbeispiel: Write-Blocker bei einer externen Festplatte

Eine externe Festplatte enthält möglicherweise wichtige Dokumente für eine rechtliche Auseinandersetzung.

Vor einer Untersuchung soll verhindert werden, dass das verwendete Computersystem zusätzliche Dateien auf dem Originalmedium speichert.

Bei geeigneter Schnittstelle kann ein Hardware-Write-Blocker zwischen Festplatte und Untersuchungscomputer eingesetzt werden.

Nach der kontrollierten Verbindung wird eine forensische Sicherung erstellt.

Die anschließende Analyse erfolgt anhand einer separaten Arbeitskopie.

Dadurch muss der Originaldatenträger für die eigentliche Untersuchung nicht fortlaufend verwendet werden.

Praxisbeispiel: Write-Blocker bei einer SSD mit gelöschten Dateien

Auf einer SSD sollen zuvor gelöschte Dateien untersucht werden.

Ein geeigneter Write-Blocker kann verhindern, dass der Untersuchungscomputer zusätzliche Schreibbefehle an die SSD sendet.

Allerdings kann die interne Speicherverwaltung einer SSD beeinflussen, welche gelöschten Datenbereiche noch verfügbar sind.

Der Write-Blocker garantiert deshalb nicht, dass gelöschte Dateien vollständig wiederhergestellt werden können.

Die Untersuchung muss sich auf die tatsächlich zugänglichen Daten und die dokumentierten technischen Voraussetzungen stützen.

Kann man einen Write-Blocker selbst verwenden?

Grundsätzlich können Write-Blocker auch außerhalb professioneller forensischer Labore eingesetzt werden.

Für eine beweisrelevante Untersuchung reicht es allerdings nicht aus, lediglich ein entsprechendes Gerät anzuschließen.

Erforderlich sind Kenntnisse über Datenträgerschnittstellen, Speicherarchitekturen, Sicherungsverfahren und mögliche Fehlerquellen.

Besonders kritisch sind die korrekte Identifizierung des Originaldatenträgers, die Wahl der passenden Schnittstelle und die Überprüfung des Schreibschutzes.

Wenn digitale Daten später in einem rechtlichen Verfahren verwendet werden sollen, kann eine professionelle Sicherung sinnvoll sein.

Was kostet ein Write-Blocker?

Die Kosten hängen von Hersteller, Modell, unterstützten Schnittstellen und technischem Funktionsumfang ab.

Einfache Lösungen unterscheiden sich deutlich von professionellen Hardware-Write-Blockern, die mehrere Datenträgerstandards unterstützen.

Bei spezialisierten forensischen Sicherungssystemen können zusätzliche Funktionen wie Datenträgerabbildung, Protokollierung oder Integritätsprüfung vorhanden sein.

Für die Auswahl sollte deshalb nicht allein der Anschaffungspreis entscheidend sein.

Wichtiger sind die Kompatibilität mit den tatsächlich verwendeten Datenträgern, die dokumentierbare Schutzfunktion und die Eignung für den vorgesehenen Untersuchungsprozess.

Welche Hersteller bieten professionelle Write-Blocker an?

Im professionellen Umfeld der digitalen Forensik werden unterschiedliche Hardwarelösungen eingesetzt.

Bekannte Anbieter entsprechender Technologien sind beispielsweise:

• OpenText beziehungsweise Tableau Forensic
• WiebeTech
• Logicube

Die verfügbaren Modelle unterscheiden sich hinsichtlich Schnittstellen, Funktionsumfang und unterstützten Datenträgern.

Bei der Auswahl muss deshalb geprüft werden, ob das konkrete Gerät für die vorgesehene Sicherungsmethode geeignet ist.

Eine allgemeine Empfehlung für sämtliche Datenträgertypen lässt sich daraus nicht ableiten.

Wie setzt LB Forensik Write-Blocker bei Untersuchungen ein?

LB Forensik unterstützt Privatpersonen, Unternehmen, Rechtsanwälte und weitere Auftraggeber bei der Sicherung und Untersuchung digitaler Beweismittel.

Bei geeigneten Datenträgern können professionelle Schreibschutzverfahren eingesetzt werden, um unbeabsichtigte Schreibzugriffe auf das Originalmedium zu vermeiden.

Für die forensische Sicherung stehen abhängig vom Untersuchungsgegenstand spezialisierte Hard- und Softwarelösungen zur Verfügung.

Dazu gehören professionelle Sicherungssysteme aus dem Logicube-Umfeld sowie weitere geeignete forensische Werkzeuge.

Welche Lösung verwendet wird, richtet sich nach der vorhandenen Schnittstelle, dem Datenträgertyp, dem technischen Zustand und dem konkreten Untersuchungsziel.

Bei klassischen Datenträgern kann eine kontrollierte Sicherung mit Schreibschutz erfolgen.

Bei modernen Smartphones, verschlüsselten Systemen und anderen besonderen Datenquellen werden dagegen geeignete alternative Sicherungsmethoden eingesetzt.

Die Sicherungsmaßnahmen werden nachvollziehbar dokumentiert und können Bestandteil eines forensischen Untersuchungsberichts oder Sachverständigengutachtens sein.

Die LB Detektive GmbH verfügt über ein durch TÜV NORD zertifiziertes Qualitätsmanagementsystem nach DIN EN ISO 9001. Ergänzend besteht personenbezogene Sachverständigenkompetenz nach DIN EN ISO/IEC 17024.

Professionelle Datenträgersicherung und IT-Forensik deutschlandweit

LB Forensik bietet bundesweit Leistungen zur digitalen Beweissicherung, Computer-Forensik und Untersuchung elektronischer Datenträger an.

Abhängig vom Untersuchungsgegenstand kann eine Sicherung vor Ort, eine abgestimmte Geräteübergabe oder eine Untersuchung unter kontrollierten Laborbedingungen erfolgen.

Weitere Informationen zu unseren regionalen Leistungen finden Sie auf folgenden Stadtseiten:

• IT-Forensik für Tübingen
• IT-Forensik für Böblingen
• IT-Forensik für Nürnberg
• IT-Forensik für Bonn
• IT-Forensik für Essen

Weitere Informationen zu den Leistungen finden Sie im Bereich IT-Forensik und digitale Beweissicherung.

Häufige Fragen zu Write-Blockern

Was ist ein Write-Blocker einfach erklärt?

Ein Write-Blocker ist eine technische Schutzvorrichtung oder Softwarefunktion, die verhindern soll, dass ein Untersuchungscomputer Daten auf einen angeschlossenen Originaldatenträger schreibt.

Wofür wird ein Write-Blocker verwendet?

Write-Blocker werden insbesondere bei der forensischen Sicherung digitaler Datenträger eingesetzt, um unbeabsichtigte Veränderungen des Originalmediums zu vermeiden.

Wie funktioniert ein Hardware-Write-Blocker?

Ein Hardware-Write-Blocker wird zwischen Datenträger und Untersuchungscomputer geschaltet. Er ermöglicht geeignete Lesezugriffe und blockiert Schreibbefehle über den kontrollierten Datenpfad.

Was ist der Unterschied zwischen Hardware- und Software-Write-Blockern?

Ein Hardware-Write-Blocker setzt den Schreibschutz über eine eigenständige technische Komponente um. Ein Software-Write-Blocker verwendet dagegen Funktionen innerhalb einer bestimmten Software- beziehungsweise Betriebssystemumgebung.

Kann ein Write-Blocker bei einer SSD eingesetzt werden?

Ja, wenn der Write-Blocker die betreffende Schnittstelle unterstützt. Interne Speicherverwaltungsprozesse der SSD müssen jedoch zusätzlich berücksichtigt werden.

Kann ein Write-Blocker bei einer NVMe-SSD verwendet werden?

Ja, sofern eine ausdrücklich geeignete und kompatible Schreibschutzlösung eingesetzt wird. Nicht jeder klassische Write-Blocker unterstützt NVMe-Datenträger.

Kann ein Write-Blocker gelöschte Daten wiederherstellen?

Nein. Ein Write-Blocker dient dem Schutz vor Schreibzugriffen. Die Wiederherstellung gelöschter Daten ist eine davon unabhängige forensische Fragestellung.

Kann ein Write-Blocker Daten auf einer Festplatte verändern?

Ein korrekt eingesetzter und geeigneter Write-Blocker soll Schreibbefehle des Untersuchungssystems verhindern. Seine tatsächliche Schutzwirkung hängt von der technischen Implementierung und dem verwendeten Datenträger ab.

Ist ein Write-Blocker bei jeder forensischen Untersuchung notwendig?

Nein. Die Notwendigkeit hängt vom Datenträger und der Sicherungsmethode ab. Bei Smartphones und laufenden Systemen sind häufig andere Verfahren erforderlich.

Kann ein Write-Blocker bei einem iPhone eingesetzt werden?

Ein gewöhnlicher Hardware-Write-Blocker für Festplatten ist nicht zur vollständigen forensischen Sicherung moderner iPhones geeignet. Hier werden gerätespezifische Verfahren benötigt.

Kann ein Write-Blocker eine verschlüsselte Festplatte entschlüsseln?

Nein. Ein Write-Blocker verhindert Schreibzugriffe. Er hebt keine Verschlüsselung auf und ersetzt keine erforderlichen Zugangsschlüssel.

Wie wird ein Write-Blocker getestet?

Unter kontrollierten Bedingungen kann mit geeigneten Testdatenträgern überprüft werden, ob Lesezugriffe möglich sind und Schreibbefehle tatsächlich blockiert werden.

Warum wird ein Write-Blocker bei einer forensischen Datensicherung eingesetzt?

Er reduziert das Risiko, dass das Untersuchungssystem den ursprünglichen Datenbestand durch unbeabsichtigte Schreibzugriffe verändert.

Ist ein Write-Blocker dasselbe wie ein forensisches Image?

Nein. Ein Write-Blocker schützt den Datenzugriff. Ein forensisches Image ist dagegen ein mit einem geeigneten Verfahren erstellter Sicherungsdatenbestand.

Macht ein Write-Blocker digitale Beweise automatisch gerichtsfest?

Nein. Ein Write-Blocker unterstützt die technische Nachvollziehbarkeit der Sicherung. Die rechtliche Verwertbarkeit und Beweiskraft hängen von den Umständen des Einzelfalls ab.

Kann ein Write-Blocker eine beschädigte Festplatte reparieren?

Nein. Ein Write-Blocker ist kein Reparaturgerät. Bei beschädigten Datenträgern können zusätzliche spezielle Sicherungs- oder Datenrettungsverfahren erforderlich sein.

Welche Write-Blocker verwenden professionelle IT-Forensiker?

Je nach Untersuchungsgegenstand werden geeignete Hardware- oder Softwarelösungen eingesetzt. Die Auswahl richtet sich insbesondere nach Schnittstelle, Datenträgertyp und erforderlichem Sicherungsverfahren.

Warum ist die Dokumentation des Write-Blockers wichtig?

Die Dokumentation ermöglicht es, später nachvollziehen zu können, welche Schutzmaßnahmen während der Datensicherung eingesetzt wurden und unter welchen technischen Bedingungen die Sicherung erfolgte.

Zurück zur Wissensübersicht