Eine bitweise Kopie ist eine möglichst vollständige Abbildung des auf einer bestimmten technischen Ebene auslesbaren Speicherbereichs eines Datenträgers. Anders als bei einer normalen Dateikopie werden nicht nur sichtbare Dateien und Ordner übernommen. Bei klassischen Festplatten wird der adressierbare Speicher block- beziehungsweise sektorweise ausgelesen und in ein forensisches Image oder auf ein geeignetes Zielmedium übertragen.

In der IT-Forensik ist dieses Verfahren besonders dann relevant, wenn nicht nur der aktuelle Dateibestand untersucht werden soll. Abhängig vom Datenträger und der verwendeten Sicherungsmethode können auch Dateisystemstrukturen, nicht zugeordnete Speicherbereiche, Fragmente gelöschter Dateien und weitere technische Artefakte Bestandteil der Sicherung sein.

Die häufig verwendete Bezeichnung „1:1-Kopie“ muss technisch eingeordnet werden. Bei modernen SSDs, NVMe-Speichern und Smartphones bedeutet eine sektorweise Sicherung nicht automatisch, dass jede physische Speicherzelle ausgelesen wird. Entscheidend ist deshalb, welche Datenquelle auf welcher technischen Ebene tatsächlich erfasst wurde.

Was ist eine bitweise Kopie?

Eine bitweise Kopie bezeichnet in der digitalen Forensik eine Sicherung, bei der ein Datenträger nicht anhand seiner sichtbaren Dateien kopiert wird. Stattdessen wird der auf der jeweiligen Ebene adressierbare Speicher systematisch ausgelesen.

Bei einer klassischen HDD geschieht dies üblicherweise sektor- beziehungsweise blockweise. Das Dateisystem entscheidet dabei nicht, welche Dateien kopiert werden. Dadurch können auch Speicherbereiche Bestandteil der Sicherung werden, die für den Benutzer im Betriebssystem nicht sichtbar sind.

Genau darin liegt der wesentliche Unterschied zu einer normalen Sicherung über den Windows-Explorer, macOS Finder oder ein gewöhnliches Backup-Programm.

Warum heißt das Verfahren „bitweise“, obwohl Sektoren gelesen werden?

Der Begriff hat sich in der digitalen Forensik etabliert, ist technisch aber vereinfacht. Moderne Datenträger werden normalerweise nicht dadurch ausgelesen, dass jedes einzelne Bit separat angesprochen wird.

Die Kommunikation erfolgt über adressierbare Speicherblöcke beziehungsweise Sektoren. Fachlich kann daher „sektorweise“ oder „blockweise Sicherung“ präziser sein.

Mit dem Begriff „bitweise Kopie“ soll vor allem ausgedrückt werden, dass nicht lediglich eine Auswahl sichtbarer Dateien kopiert wird, sondern der auf der gewählten technischen Ebene erreichbare Speicher möglichst vollständig erfasst wird.

Was unterscheidet eine bitweise Kopie von einer normalen Dateikopie?

Eine normale Dateikopie arbeitet auf der logischen Ebene des Dateisystems. Wird beispielsweise ein Ordner mit Geschäftsdokumenten auf eine externe Festplatte kopiert, werden grundsätzlich die dort vorhandenen und zugänglichen Dateien übertragen.

Speicherbereiche, die aktuell keiner Datei zugeordnet sind, werden dabei normalerweise nicht berücksichtigt. Ebenso gehen viele technische Informationen verloren, die für eine spätere Rekonstruktion relevant sein können.

Bei einer sektorweisen Sicherung wird dagegen der adressierbare Speicher selbst erfasst. Dadurch können neben den sichtbaren Dateien auch Dateisystemstrukturen, nicht zugeordnete Bereiche, gelöschte Dateireste und weitere technische Informationen erhalten bleiben.

Warum reicht eine normale Dateikopie für eine forensische Untersuchung häufig nicht aus?

Für viele forensische Fragestellungen sind nicht nur die Dateien relevant, die ein Benutzer aktuell sehen kann.

Angenommen, ein Unternehmen vermutet einen Datendiebstahl. Ein Mitarbeiter soll kurz vor seinem Ausscheiden vertrauliche Dateien auf einen externen Datenträger übertragen und anschließend Spuren gelöscht haben.

Eine normale Kopie der noch vorhandenen Dokumente würde lediglich den aktuellen Dateibestand sichern. Für die Rekonstruktion des tatsächlichen Geschehens können jedoch weitere Datenquellen erforderlich sein: Dateisystemmetadaten, Informationen zu angeschlossenen USB-Geräten, Verknüpfungsdateien, Systemprotokolle, nicht zugeordnete Speicherbereiche und weitere Benutzerartefakte.

Die sektorweise Sicherung schafft dafür eine wesentlich breitere Untersuchungsgrundlage.

Welche Daten kann eine bitweise Kopie enthalten?

Der konkrete Inhalt hängt von Datenträger, Dateisystem und Sicherungsverfahren ab. Bei einem vollständig erfassten klassischen Datenträger können beispielsweise Partitionstabellen, Dateisystemstrukturen, aktive Dateien, Dateimetadaten, Systemdateien, Anwendungsdaten, nicht zugeordnete Speicherbereiche, Slack Space, Fragmente gelöschter Dateien, temporäre Daten sowie Protokoll- und Ereignisdaten Bestandteil der Sicherung sein.

Dass diese Bereiche Bestandteil einer Sicherung sind, bedeutet allerdings noch nicht, dass daraus automatisch relevante Informationen gewonnen werden können. Die eigentliche forensische Analyse beginnt erst nach der Datensicherung.

Was ist Unallocated Space?

Unallocated Space bezeichnet Speicherbereiche, die das Dateisystem aktuell keiner aktiven Datei zuordnet.

Wird eine Datei gelöscht, bedeutet dies bei bestimmten Speichersystemen nicht zwangsläufig, dass ihr Inhalt im selben Moment physisch entfernt wird. Häufig wird zunächst die Zuordnung aufgehoben und der betreffende Bereich für eine spätere Wiederverwendung freigegeben.

Solange die ursprünglichen Daten noch vorhanden sind, können sie möglicherweise forensisch rekonstruiert werden. Eine gewöhnliche Dateikopie erfasst diesen Speicher nicht. Eine vollständige sektorweise Sicherung kann ihn dagegen enthalten.

Was ist Slack Space?

Dateisysteme verwalten Speicher in bestimmten Einheiten. Benötigt eine Datei den letzten ihr zugewiesenen Speicherblock nicht vollständig, kann innerhalb dieses Bereichs ungenutzter Speicher verbleiben.

Abhängig vom Dateisystem und der vorherigen Nutzung können sich dort Datenreste befinden. Dieser Bereich wird häufig als „Slack Space“ bezeichnet.

Seine Bedeutung ist fallabhängig. Er sollte weder grundsätzlich ignoriert noch automatisch als ergiebige Beweisquelle angesehen werden.

Kann eine bitweise Kopie gelöschte Dateien enthalten?

Ja. Sie kann Speicherbereiche enthalten, in denen noch Daten einer gelöschten Datei vorhanden sind.

Das ist allerdings nicht dasselbe wie eine erfolgreiche Wiederherstellung. Ob eine gelöschte Datei rekonstruiert werden kann, hängt unter anderem davon ab, ob ihre ursprünglichen Speicherbereiche noch vorhanden, bereits überschrieben, fragmentiert oder durch andere Prozesse verändert wurden.

Bei modernen SSDs kommen weitere Faktoren wie TRIM und Garbage Collection hinzu.

Ist eine bitweise Kopie wirklich eine vollständige 1:1-Kopie?

Die Formulierung „1:1-Kopie“ ist im allgemeinen Sprachgebrauch verständlich, technisch aber nicht immer präzise.

Bei einer klassischen HDD kann der über die Standardschnittstelle logisch adressierbare Speicher sehr umfassend kopiert werden. Daraus folgt jedoch nicht automatisch, dass jeder denkbare interne Bereich des Laufwerks zugänglich ist.

Bei SSDs ist diese Unterscheidung noch wichtiger. Das Betriebssystem sieht nicht unmittelbar die tatsächliche Anordnung der Daten in den Flash-Speicherzellen. Zwischen Betriebssystem und Flash-Speicher arbeitet ein Controller, der die physische Speicherorganisation verwaltet.

Eine fachlich präzise Dokumentation sollte deshalb angeben, welcher Speicherbereich über welche Schnittstelle und mit welcher Methode erfasst wurde.

Warum ist eine SSD forensisch anders zu behandeln als eine HDD?

Eine HDD speichert Informationen magnetisch auf rotierenden Scheiben. Eine SSD verwendet Flash-Speicher und einen Controller mit eigener Speicherverwaltung.

Dieser Controller übernimmt unter anderem die Zuordnung logischer zu physischen Speicherbereichen. Dadurch sieht das Betriebssystem eine abstrahierte Speicherstruktur. Die physische Position einer Information innerhalb der Flash-Chips kann sich verändern, ohne dass dies für das Betriebssystem sichtbar ist.

Was bedeutet Wear Leveling?

Flash-Speicherzellen können nicht unbegrenzt oft beschrieben und gelöscht werden. SSD-Controller verteilen Schreibvorgänge deshalb auf verschiedene physische Bereiche, um die Abnutzung gleichmäßiger zu verteilen.

Dieser Mechanismus wird als „Wear Leveling“ bezeichnet. Eine logische Blockadresse muss dadurch nicht dauerhaft derselben physischen Speicherzelle entsprechen.

Für die digitale Forensik ist das ein wichtiger Grund, warum die Aussage einer absolut physischen „1:1-Kopie“ bei einer SSD problematisch sein kann.

Was ist Garbage Collection?

SSDs organisieren ihren Flash-Speicher kontinuierlich. Nicht mehr benötigte Speicherbereiche können intern zusammengeführt, vorbereitet und gelöscht werden, damit sie später wieder beschrieben werden können.

Dieser Vorgang wird als Garbage Collection bezeichnet. Er kann Auswirkungen auf gelöschte Daten haben, weil Speicherinhalte möglicherweise intern entfernt werden, obwohl auf Betriebssystemebene keine bewusste Überschreibung durch den Benutzer stattgefunden hat.

Was ist TRIM?

TRIM ermöglicht es einem Betriebssystem, einer SSD mitzuteilen, dass bestimmte logische Datenblöcke nicht mehr benötigt werden.

Die SSD kann diese Information anschließend für ihre interne Speicherverwaltung verwenden.

Für die Forensik bedeutet das: Eine gelöschte Datei kann auf einer SSD wesentlich schlechter rekonstruierbar sein als auf einer klassischen HDD. Wurde der betreffende Speicherbereich bereits intern bereinigt, kann auch eine anschließend erstellte sektorweise Sicherung die früheren Daten nicht zurückholen.

Warum sollte eine SSD nach einer wichtigen Datenlöschung möglichst wenig benutzt werden?

Weitere Nutzung kann neue Schreibvorgänge erzeugen. Zusätzlich können interne Speicherprozesse weiterlaufen.

Werden wichtige Daten versehentlich gelöscht und besteht ein ernsthaftes Interesse an einer Wiederherstellung oder forensischen Untersuchung, sollte deshalb möglichst wenig auf dem betroffenen Datenträger gearbeitet werden.

Eine Garantie, dass die Daten dadurch erhalten bleiben, gibt es jedoch nicht.

Kann eine NVMe-SSD bitweise gesichert werden?

Ja. Der über die NVMe-Schnittstelle logisch adressierbare Speicher kann mit geeigneter Hard- und Software blockweise ausgelesen werden.

Auch hier gilt jedoch: Die Sicherung bildet die über den Controller bereitgestellte logische Ebene ab. Sie ist nicht automatisch ein unmittelbares Abbild sämtlicher physischer Flash-Zellen.

Zusätzlich müssen Formfaktor, Schnittstelle und Protokoll korrekt identifiziert werden.

Warum sind M.2 und NVMe nicht dasselbe?

M.2 bezeichnet zunächst einen Formfaktor beziehungsweise eine Bauform und Steckverbindung. NVMe bezeichnet dagegen ein Protokoll zur Kommunikation mit nichtflüchtigem Speicher über PCI Express.

Ein M.2-Laufwerk muss deshalb nicht zwangsläufig ein NVMe-Laufwerk sein. Für die Auswahl geeigneter Adapter und Write-Blocker ist diese Unterscheidung wichtig.

Kann ein USB-Stick bitweise kopiert werden?

Ja. Der vom USB-Controller bereitgestellte Speicher kann grundsätzlich sektorweise ausgelesen werden.

Auch USB-Sticks verwenden Flash-Speicher. Interne Controllermechanismen können deshalb ebenfalls Einfluss darauf haben, welche Daten auf logischer Ebene zugänglich sind.

Kann eine SD- oder microSD-Karte bitweise gesichert werden?

Ja. Speicherkarten können grundsätzlich blockweise gesichert werden.

Das kann beispielsweise bei Digitalkameras, Dashcams, Navigationsgeräten, Smartphones oder anderen eingebetteten Systemen relevant sein.

Vor der Sicherung sollte vermieden werden, dass ein Betriebssystem unnötige Schreibvorgänge auf dem Originalmedium ausführt.

Welche Aufgabe hat ein Write Blocker?

Ein Write-Blocker soll verhindern, dass ein Untersuchungscomputer Schreibbefehle an einen Originaldatenträger überträgt.

Das ist relevant, weil Betriebssysteme bereits beim Anschließen eines Laufwerks automatische Zugriffe durchführen können. Ein kontrollierter Schreibschutz reduziert das Risiko unbeabsichtigter Veränderungen.

Hardware- oder Software-Write-Blocker?

Hardware-Write-Blocker werden physisch zwischen Originaldatenträger und Forensiksystem eingesetzt. Je nach Gerät unterstützen sie unterschiedliche Schnittstellen wie SATA, SAS, USB oder NVMe.

Softwarebasierte Schreibschutzmechanismen arbeiten dagegen auf Ebene des Untersuchungsbetriebssystems.

Welche Variante geeignet ist, hängt vom Datenträger und vom konkreten Sicherungsverfahren ab.

Braucht jede forensische Sicherung einen Write Blocker?

Nein. Bei ausbaubaren klassischen Datenträgern kann ein Hardware-Write-Blocker sehr sinnvoll sein. Bei Smartphones, fest verlöteten Speichern, virtuellen Maschinen oder bestimmten Live-Sicherungen ist dieses Verfahren jedoch nicht ohne Weiteres anwendbar.

Das eigentliche Ziel besteht darin, vermeidbare Veränderungen zu verhindern und unvermeidbare Veränderungen nachvollziehbar zu dokumentieren.

Was passiert bei einer verschlüsselten Festplatte?

Eine verschlüsselte Festplatte kann grundsätzlich sektorweise kopiert werden. Das Image enthält dann jedoch zunächst den verschlüsselten Datenbestand.

Für die spätere Analyse werden geeignete Zugangsdaten, Schlüssel oder andere Entschlüsselungsmöglichkeiten benötigt. Deshalb ist vor der Sicherung wichtig zu wissen, ob ein System aktuell bereits entsperrt ist.

Warum kann das sofortige Ausschalten eines Computers problematisch sein?

Bei einem laufenden verschlüsselten System kann das Volume bereits entschlüsselt und zugänglich sein. Wird der Rechner ausgeschaltet, kann dieser Zustand verloren gehen.

Zusätzlich verschwinden beim Ausschalten flüchtige Informationen aus dem Arbeitsspeicher.

Bei forensisch relevanten Systemen sollte deshalb nicht pauschal nach dem Grundsatz „sofort ausschalten“ gehandelt werden. Die Entscheidung hängt vom Systemzustand und der Untersuchungsfrage ab.

Was ist bei BitLocker zu beachten?

Ist ein BitLocker-geschützter Computer ausgeschaltet, kann eine sektorweise Sicherung zwar möglich sein, der Inhalt bleibt jedoch verschlüsselt.

Ist das System bereits gestartet und das Volume entsperrt, können zusätzliche Sicherungsmöglichkeiten bestehen.

Vor einer Veränderung des Systemzustands sollte deshalb geprüft werden, welche Datenquelle für die spätere Untersuchung benötigt wird.

Was ist bei FileVault und modernen Macs zu beachten?

Bei modernen Macs sind Verschlüsselung, Hardware und Speicherarchitektur eng miteinander verbunden. Insbesondere bei Apple-Silicon-Systemen entspricht die Sicherung nicht mehr dem klassischen Szenario einer ausgebauten SATA-Festplatte.

Die geeignete Methode hängt unter anderem vom Mac-Modell, dem Betriebszustand, der macOS-Version und den verfügbaren Zugangsmöglichkeiten ab.

Kann ein Smartphone bitweise kopiert werden?

Moderne Smartphones unterscheiden sich grundlegend von klassischen Festplatten. Hardwarebasierte Verschlüsselung, sichere Schlüsselverwaltung und betriebssystemspezifische Sicherheitsmechanismen bestimmen, welche Daten überhaupt extrahiert werden können.

Bei der Smartphone-Forensik kommen deshalb unterschiedliche Extraktionsverfahren zum Einsatz. Die tatsächlich erreichbare Datentiefe hängt unter anderem von Hersteller, Modell, Betriebssystemversion, Gerätezustand und Sicherheitskonfiguration ab.

Die pauschale Aussage, ein modernes Smartphone sei „bitweise komplett kopiert“ worden, kann deshalb fachlich irreführend sein.

Logische Extraktion, Dateisystemextraktion und physische Akquisition

Bei mobilen Geräten muss genau angegeben werden, welche Art der Extraktion durchgeführt wurde.

Eine logische Extraktion liefert typischerweise Daten, die über definierte Betriebssystem- oder Backup-Schnittstellen erreichbar sind.

Eine Dateisystemextraktion kann einen deutlich tieferen Zugriff auf Dateien, Datenbanken und Systemstrukturen ermöglichen.

Eine als physisch bezeichnete Akquisition kann je nach Gerät wiederum einen anderen Umfang besitzen. Die Begriffe müssen deshalb immer im Kontext des konkreten Werkzeugs und Geräts betrachtet werden.

Was bedeuten BFU und AFU bei Smartphones?

BFU steht für „Before First Unlock. Gemeint ist vereinfacht der Zustand eines Geräts nach einem Neustart, bevor es erstmals erfolgreich entsperrt wurde.

AFU steht für After First Unlock und beschreibt den Zustand nach dieser ersten erfolgreichen Entsperrung.

Bestimmte kryptografische Schlüssel und Datenklassen können abhängig von diesem Zustand unterschiedlich verfügbar sein. Ein unnötiger Neustart kann daher die Möglichkeiten einer mobilen forensischen Untersuchung verändern.

Kann auch der Arbeitsspeicher gesichert werden?

Ja. Der Inhalt des RAM kann unter geeigneten Voraussetzungen in einem Memory-Dump beziehungsweise RAM‑Image gesichert werden.

Dabei handelt es sich jedoch nicht um dieselbe Datenquelle wie bei einer Festplattenkopie.

Im Arbeitsspeicher können laufende Prozesse, aktive Netzwerkverbindungen, temporäre Daten und weitere flüchtige Informationen vorhanden sein.

Warum kann RAM bei einem Cyberangriff entscheidend sein?

Bestimmte Schadprogramme arbeiten überwiegend im Arbeitsspeicher. Auch aktive Prozesse und Netzwerkverbindungen können dort erkennbar sein.

Wird der Rechner ausgeschaltet, gehen viele dieser Informationen verloren.

Bei einem Sicherheitsvorfall muss deshalb entschieden werden, ob zunächst flüchtige Daten gesichert werden sollen, bevor eine klassische Datenträgerakquisition erfolgt.

Wie wird die Integrität einer bitweisen Kopie überprüft?

Zur Integritätskontrolle werden kryptografische Hashfunktionen verwendet. Dabei wird aus einer definierten Datenmenge ein Prüfwert berechnet.

Wird dieselbe Datenmenge später erneut mit demselben Algorithmus verarbeitet und entsteht derselbe Hashwert, kann ihre Unverändertheit gegenüber dem dokumentierten Referenzzustand überprüft werden.

Für moderne forensische Workflows kann beispielsweise SHA-256 verwendet werden.

Was beweist ein Hashwert?

Ein Hashwert ist ein Integritätsnachweis. Er kann zeigen, dass eine definierte Datenmenge gegenüber einem bekannten Referenzwert nicht verändert wurde.

Er beweist nicht, dass die ursprünglichen Daten sachlich richtig waren. Ebenso identifiziert er nicht die Person, die eine Datei erstellt oder verändert hat.

Integrität, Authentizität und Urheberschaft sind unterschiedliche Fragestellungen.

Warum muss dokumentiert werden, was gehasht wurde?

Ein Hashwert ist nur sinnvoll interpretierbar, wenn bekannt ist, auf welche Daten er sich bezieht.

Bei einem RAW-Image kann beispielsweise der Rohdatenstrom gehasht werden. Ein strukturiertes Containerformat kann zusätzlich Metadaten, Prüfinformationen oder Kompression enthalten.

Der Hashwert einer gesamten Containerdatei muss deshalb nicht mit einem Hashwert des ursprünglichen Rohdatenstroms identisch sein.

Was passiert bei Lesefehlern?

Ein beschädigter Datenträger kann Speicherbereiche enthalten, die nicht mehr zuverlässig gelesen werden können.

Professionelle Imaging-Werkzeuge sollten solche Lesefehler erkennen und dokumentieren.

Abhängig vom Zustand des Mediums können problematische Bereiche erneut gelesen, zunächst übersprungen oder nach einer definierten Strategie behandelt werden.

Ist eine bitweise Kopie mit Lesefehlern unbrauchbar?

Nein. Ein Datenträger kann beispielsweise nahezu vollständig lesbar sein und nur in wenigen Bereichen Fehler aufweisen.

Die restlichen Daten können trotzdem einen erheblichen forensischen Wert besitzen.

Entscheidend ist, dass die Fehler dokumentiert werden und bei der Interpretation berücksichtigt wird, ob ein relevanter Bereich davon betroffen ist.

Warum sollte eine beschädigte HDD nicht endlos ausgelesen werden?

Bei mechanischen Schäden können wiederholte Leseversuche den Zustand einer Festplatte verschlechtern.

Ungewöhnliche Geräusche, starke Geschwindigkeitsabbrüche oder häufige Verbindungsverluste können Hinweise auf einen physischen Defekt sein.

In solchen Situationen kann zunächst eine spezialisierte Datenrettung erforderlich sein. Die Priorität liegt dann darauf, möglichst viele noch erreichbare Daten zu erhalten.

Kann eine bitweise Kopie mehrfach analysiert werden?

Ja. Genau darin liegt einer ihrer wesentlichen Vorteile.

Ist der relevante Datenträgerzustand sauber gesichert, kann derselbe Datenbestand später erneut untersucht werden. Auch unterschiedliche Analyseprogramme können eingesetzt werden, sofern sie das jeweilige Image-Format unterstützen.

Dadurch kann eine Untersuchung reproduziert oder durch einen zweiten Sachverständigen überprüft werden.

Warum sollte das ursprüngliche Image nicht als Arbeitsdatei verwendet werden?

In professionellen Workflows kann das ursprüngliche Image unverändert archiviert werden, während die eigentliche Analyse auf einer Arbeitskopie erfolgt.

So bleibt eine unveränderte Ausgangssicherung erhalten.

Sollte die Arbeitskopie beschädigt werden oder eine erneute Analyse erforderlich sein, kann eine neue Arbeitsgrundlage aus dem archivierten Image erzeugt werden.

Kann eine bitweise Kopie einen Datendiebstahl beweisen?

Nicht allein. Die Sicherung stellt zunächst die technische Untersuchungsgrundlage bereit.

Für die Rekonstruktion eines möglichen Datenabflusses müssen anschließend unterschiedliche Artefakte ausgewertet werden. Dazu können angeschlossene USB-Geräte, Dateizugriffe, Verknüpfungsdateien, Zeitstempel, Benutzeraktivitäten oder andere Systeminformationen gehören.

Erst die gemeinsame Bewertung dieser Spuren kann eine belastbare Aussage ermöglichen.

Kann eine bitweise Kopie beweisen, wer eine Datei kopiert hat?

Nicht automatisch. Ein Computer kann beispielsweise zeigen, dass eine Aktivität unter einem bestimmten Benutzerkonto stattfand.

Das bedeutet jedoch nicht zwingend, dass ausschließlich eine bestimmte natürliche Person Zugriff auf dieses Konto hatte.

Eine technische Zuordnung zu einem Benutzerkonto und die persönliche Zuordnung zu einem konkreten Menschen müssen deshalb getrennt bewertet werden.

Praxisbeispiel: Verdacht auf Datendiebstahl durch einen Mitarbeiter

Ein Unternehmen stellt fest, dass ein Mitarbeiter kurz vor seinem Ausscheiden ungewöhnlich große Datenmengen bearbeitet hat. Es besteht der Verdacht, dass vertrauliche Kunden- und Projektdaten auf einen USB-Datenträger kopiert wurden.

Auf dem Rechner selbst sind keine offensichtlich verdächtigen Dateien mehr vorhanden.

Eine normale Kopie des Benutzerordners würde für die Untersuchung möglicherweise nicht ausreichen. Relevant können unter anderem USB-Artefakte, Verknüpfungsdateien, Dateisysteminformationen, Benutzeraktivitäten und gelöschte Daten sein.

Eine sektorweise Sicherung erhält eine breitere Datenbasis. Anschließend kann untersucht werden, ob mehrere voneinander unabhängige Spuren dieselbe Ereignisfolge stützen.

Praxisbeispiel: Gelöschte Fotos auf einer HDD

Von einer klassischen Festplatte wurden versehentlich Fotos gelöscht. Danach wurde der Computer nur wenig verwendet.

Eine gewöhnliche Dateikopie würde ausschließlich die weiterhin sichtbaren Dateien erfassen.

Eine sektorweise Sicherung kann dagegen auch die als frei markierten Speicherbereiche enthalten. Sind die ursprünglichen Daten dort noch vorhanden, kann eine spätere Rekonstruktion möglich sein.

Eine Garantie gibt es nicht, weil bereits erfolgte Überschreibungen die Wiederherstellung verhindern können.

Praxisbeispiel: Gelöschte Dateien auf einer NVMe-SSD

Die gleiche Ausgangslage kann bei einer modernen NVMe-SSD anders bewertet werden.

TRIM und interne Speicherbereinigung können dazu führen, dass gelöschte Daten relativ schnell nicht mehr auf der logischen Ebene verfügbar sind.

Auch hier ist eine zeitnahe Sicherung sinnvoll. Sie kann jedoch keine Informationen zurückholen, die der SSD-Controller bereits intern entfernt hat.

Praxisbeispiel: Eingeschaltetes BitLocker-Notebook

Ein Windows-Notebook ist eingeschaltet und das BitLocker-geschützte System bereits entsperrt. Das Gerät soll wegen eines internen Vorfalls forensisch untersucht werden.

Wird es ohne vorherige Bewertung ausgeschaltet, geht der aktuell entschlüsselte Zustand verloren.

Eine anschließende sektorweise Sicherung des Datenträgers kann weiterhin möglich sein, für die spätere Analyse können jedoch zusätzliche Schlüssel erforderlich werden.

Dieses Beispiel zeigt, warum die richtige Sicherungsstrategie vor einer Veränderung des Gerätezustands festgelegt werden sollte.

Wann ist eine bitweise Kopie besonders sinnvoll?

Eine bitweise beziehungsweise sektorweise Sicherung ist besonders sinnvoll, wenn gelöschte Dateien untersucht werden sollen, ein möglicher Datendiebstahl rekonstruiert werden muss, Manipulationen vermutet werden, Benutzeraktivitäten ausgewertet werden sollen oder ein definierter Datenträgerzustand für eine spätere Zweituntersuchung erhalten werden muss.

Sie kann außerdem bei bestimmten Malware- und Cybervorfällen, bei der Prüfung externer Datenträger oder bei beweisrelevanten technischen Fragestellungen eine geeignete Ausgangsbasis darstellen.

Wann ist eine bitweise Kopie nicht zwingend die beste Sicherungsmethode?

Eine vollständige sektorweise Sicherung ist nicht für jede Fragestellung erforderlich oder technisch möglich.

Bei großen Serverumgebungen können gezielte Sicherungen relevanter Systeme und Datenquellen sinnvoller sein. Bei Cloud-Diensten hat ein Untersucher häufig keinen unmittelbaren Zugriff auf die zugrunde liegenden physischen Datenträger.

Bei Smartphones bestimmen Sicherheitsarchitektur und Extraktionsmöglichkeiten, welche Daten tatsächlich gesichert werden können.

Auch bei einem laufenden verschlüsselten System kann eine Sicherung auf der entschlüsselten Ebene für die konkrete Fragestellung wertvoller sein als ausschließlich ein Image des verschlüsselten Rohdatenträgers.

Typische Fehler bei einer bitweisen Sicherung

Zu den häufigsten Fehlern gehört, eine normale Dateikopie als bitweise Kopie zu bezeichnen. Ebenfalls problematisch ist es, eine logische Smartphone-Extraktion als vollständige physische Kopie darzustellen oder den Begriff „1:1-Kopie“ ohne technische Einordnung zu verwenden.

Weitere Fehler sind die Verwechslung von Quell- und Ziellaufwerk, unnötige Schreibzugriffe auf das Original, fehlende Dokumentation von Lesefehlern, unzureichende Integritätsprüfung und die falsche Interpretation von Hashwerten.

Bei SSDs ist es außerdem problematisch, TRIM und interne Controllermechanismen zu ignorieren. Bei verschlüsselten Systemen kann ein vorschnelles Ausschalten wertvolle Zugriffsmöglichkeiten beseitigen.

FAQ zur bitweisen Kopie

Was ist eine bitweise Kopie einfach erklärt?

Eine bitweise Kopie ist eine möglichst vollständige Sicherung des auf der verwendeten technischen Ebene zugänglichen Speichers eines Datenträgers. Bei klassischen Festplatten werden dabei nicht nur sichtbare Dateien, sondern auch weitere adressierbare Speicherbereiche erfasst.

Ist eine bitweise Kopie dasselbe wie eine sektorweise Kopie?

Die Begriffe werden häufig synonym verwendet. Technisch ist „sektorweise“ oder „blockweise“ meist präziser, weil Datenträger über adressierbare Speicherblöcke ausgelesen werden.

Ist eine bitweise Kopie eine echte 1:1-Kopie?

Bei einer klassischen HDD kann der logisch adressierbare Speicher sehr umfassend abgebildet werden. Bei SSDs und anderen Flash-Speichern sollte die Aussage einer vollständig physischen 1:1-Kopie vermieden werden, weil der Controller zwischen logischer und physischer Speicherstruktur vermittelt.

Was ist der Unterschied zwischen einer bitweisen Kopie und einem Backup?

Ein Backup dient primär der Wiederherstellung von Dateien oder Systemen. Eine bitweise forensische Sicherung soll dagegen einen definierten Speicherzustand für eine spätere Untersuchung erhalten. Sie kann deshalb Bereiche erfassen, die ein normales Backup nicht berücksichtigt.

Kann eine bitweise Kopie gelöschte Dateien enthalten?

Ja. Wenn die betreffenden Speicherbereiche noch vorhanden und nicht überschrieben oder intern bereinigt wurden, können Datenreste Bestandteil der Sicherung sein.

Werden gelöschte Dateien durch die Sicherung automatisch wiederhergestellt?

Nein. Die Sicherung erhält zunächst den erreichbaren Datenbestand. Erst bei der Analyse wird geprüft, ob gelöschte Informationen identifiziert und rekonstruiert werden können.

Sind gelöschte Daten auf einer HDD immer wiederherstellbar?

Nein. Sind die ursprünglichen Speicherbereiche bereits überschrieben, können die vorherigen Daten daraus mit einer normalen forensischen Analyse nicht wiederhergestellt werden.

Sind gelöschte Daten auf einer SSD wiederherstellbar?

Das kann möglich sein, ist aber stark vom konkreten Zustand abhängig. TRIM, Garbage Collection, Verschlüsselung und interne Flash-Verwaltung können dazu führen, dass gelöschte Daten nicht mehr erreichbar sind.

Wie schnell sollte nach einer versehentlichen Löschung gehandelt werden?

Wenn die Daten wichtig sind, sollte weitere Nutzung des betroffenen Datenträgers möglichst vermieden werden. Eine feste Frist, innerhalb der eine Wiederherstellung garantiert möglich ist, gibt es nicht.

Sollte ich selbst Datenrettungssoftware auf dem betroffenen Laufwerk installieren?

Das kann problematisch sein. Die Installation erzeugt neue Schreibvorgänge und kann Speicherbereiche überschreiben, in denen sich noch relevante Datenreste befinden. Bei wichtigen Daten sollte das Ausgangsmedium möglichst nicht weiter verändert werden.

Kann eine SSD vollständig bitweise gesichert werden?

Der logisch adressierbare Speicher kann grundsätzlich blockweise gesichert werden. Das bedeutet jedoch nicht, dass sämtliche internen physischen Flash-Zustände unmittelbar ausgelesen werden.

Kann eine NVMe-SSD forensisch gesichert werden?

Ja, sofern geeignete Hard- und Software vorhanden sind und das Laufwerk zugänglich ist. Die Besonderheiten von Flash-Speicher und Controllerverwaltung bleiben dabei bestehen.

Kann ein USB-Stick bitweise gesichert werden?

Ja. Der über seinen Controller zugängliche Speicher kann grundsätzlich sektorweise erfasst werden.

Kann eine SD-Karte bitweise gesichert werden?

Ja. Auch SD- und microSD-Karten können blockweise ausgelesen werden.

Warum wird ein Write-Blocker eingesetzt?

Ein Write-Blocker soll unbeabsichtigte Schreibzugriffe auf einen Originaldatenträger verhindern. Dadurch lässt sich das Risiko reduzieren, dass der Untersuchungsrechner den Ausgangsdatenbestand verändert.

Braucht man bei jeder Sicherung einen Write-Blocker?

Nein. Das hängt von der Geräteklasse und der Akquisemethode ab. Bei einem klassischen ausgebauten Datenträger kann er sinnvoll sein. Bei Smartphones oder bestimmten Live-Systemen sind andere Verfahren erforderlich.

Kann eine verschlüsselte Festplatte bitweise kopiert werden?

Ja. Die resultierende Sicherung kann jedoch weiterhin verschlüsselt sein. Für die inhaltliche Analyse sind dann geeignete Schlüssel oder andere Zugangsmöglichkeiten erforderlich.

Soll ein eingeschalteter Computer für eine forensische Sicherung sofort ausgeschaltet werden?

Nicht grundsätzlich. Bei einem entsperrten verschlüsselten System oder relevanten flüchtigen Daten kann dadurch wertvoller Untersuchungszugang verloren gehen. Die richtige Entscheidung hängt vom konkreten Systemzustand ab.

Kann ein Smartphone bitweise kopiert werden?

Moderne Smartphones können wegen ihrer Sicherheits- und Verschlüsselungsarchitektur normalerweise nicht einfach wie klassische Festplatten behandelt werden. In der Mobile-Forensik kommen unterschiedliche gerätespezifische Extraktionsverfahren zum Einsatz.

Was ist eine logische Smartphone-Extraktion?

Eine logische Extraktion erfasst Daten, die über definierte Schnittstellen des Geräts oder Betriebssystems zugänglich sind. Sie entspricht nicht automatisch einer vollständigen sektorweisen Kopie des internen Speichers.

Was ist eine Dateisystemextraktion?

Eine Dateisystemextraktion kann einen umfangreicheren Zugriff auf Dateien, Datenbanken, Anwendungsdaten und Systemstrukturen ermöglichen. Der genaue Umfang hängt vom Gerät und dem verwendeten Verfahren ab.

Warum werden Hashwerte verwendet?

Hashwerte dienen der Integritätskontrolle. Mit ihnen kann überprüft werden, ob sich eine definierte Datenmenge gegenüber einem dokumentierten Referenzzustand verändert hat.

Ist SHA-256 für forensische Sicherungen geeignet?

Ja. SHA-256 ist eine moderne kryptografische Hashfunktion und kann zur Integritätsprüfung forensischer Datenbestände eingesetzt werden.

Beweist ein Hashwert, dass eine Datei echt ist?

Nein. Ein Hashwert kann die Unverändertheit gegenüber einem Referenzzustand prüfen. Er beweist weder die inhaltliche Wahrheit noch automatisch die Herkunft einer Datei.

Wie groß ist eine bitweise Kopie einer 1-TB-Festplatte?

Bei einer unkomprimierten vollständigen sektorweisen Sicherung orientiert sich der Speicherbedarf ungefähr an der adressierbaren Kapazität des Ausgangsmediums und nicht nur an der Größe der sichtbaren Dateien. Bei geeigneten Image-Formaten kann verlustfreie Kompression den tatsächlichen Speicherbedarf reduzieren.

Kann eine bitweise Kopie komprimiert werden?

Ja. Forensische Container können Daten verlustfrei komprimiert speichern. Voraussetzung ist, dass der ursprüngliche Informationsgehalt bei der späteren Verarbeitung vollständig erhalten bleibt.

Was passiert, wenn einzelne Sektoren nicht gelesen werden können?

Die Lesefehler sollten dokumentiert werden. Der übrige Datenbestand kann weiterhin vollständig analysierbar sein. Bei der Bewertung muss berücksichtigt werden, ob relevante Dateien oder Strukturen von den fehlerhaften Bereichen betroffen sind.

Kann dieselbe bitweise Kopie später erneut untersucht werden?

Ja. Eine unverändert erhaltene und dokumentierte Sicherung kann später erneut oder mit anderen Forensikwerkzeugen analysiert werden.

Kann eine bitweise Kopie beweisen, dass Daten auf einen USB-Stick kopiert wurden?

Nicht allein. Sie kann jedoch die Grundlage für die Untersuchung verschiedener Artefakte bilden, die einen solchen Vorgang stützen oder widerlegen können. Ein angeschlossener USB-Datenträger allein beweist noch keinen konkreten Dateitransfer.

Kann eine bitweise Kopie beweisen, wer eine Datei gelöscht hat?

Nicht automatisch. Digitale Spuren können möglicherweise einem Benutzerkonto oder bestimmten Aktivitäten zugeordnet werden. Die eindeutige Zuordnung zu einer natürlichen Person erfordert jedoch weitere belastbare Anhaltspunkte.

Ist eine bitweise Kopie automatisch gerichtsverwertbar?

Nein. Die Sicherungsmethode ist nur ein Bestandteil einer forensischen Untersuchung. Für die Beurteilung können unter anderem Herkunft des Beweismittels, Dokumentation, Integrität, Beweismittelkette, Untersuchungsmethodik und die konkrete rechtliche Situation relevant sein.

Was ist wichtiger: möglichst viele Daten oder die richtige Sicherungsmethode?

Die zur Fragestellung passende Sicherungsmethode. Eine möglichst große Datenmenge ist nicht automatisch eine bessere Beweisgrundlage. Entscheidend ist, dass die benötigten Datenquellen technisch geeignet, nachvollziehbar und möglichst unverändert gesichert werden.

Der entscheidende Punkt bei einer bitweisen Kopie

Der forensische Wert einer bitweisen Kopie entsteht nicht durch die Bezeichnung „1:1-Kopie“. Entscheidend ist, was tatsächlich gesichert wurde.

Bei einer klassischen HDD kann eine sektorweise Sicherung eine sehr umfassende Abbildung des logisch adressierbaren Datenträgers erzeugen. Bei SSDs, NVMe-Speichern und Smartphones müssen dagegen Controller, Flash-Verwaltung, Verschlüsselung und Sicherheitsarchitektur berücksichtigt werden.

Eine professionelle Dokumentation sollte deshalb die Datenquelle, Sicherungsmethode, verwendeten Werkzeuge, aufgetretene Lesefehler und Integritätsprüfungen nachvollziehbar festhalten.

Die bitweise Kopie beantwortet dabei noch nicht die eigentliche forensische Frage. Sie schafft eine möglichst stabile Untersuchungsgrundlage. Erst die anschließende Analyse entscheidet, welche digitalen Spuren vorhanden sind, wie sie technisch einzuordnen sind und welche Aussagen sich daraus tatsächlich ableiten lassen.

Zurück zur Wissensübersicht