Ein forensisches Abbild ist eine technisch kontrolliert erstellte Kopie eines digitalen Datenträgers oder Datenbestands, die als Grundlage für eine spätere Untersuchung dient. Ziel ist es, den relevanten Datenbestand möglichst vollständig und nachvollziehbar zu sichern, ohne das Original für jede weitere Analyse erneut verwenden zu müssen.

Bei klassischen Festplatten kann ein forensisches Abbild den adressierbaren Speicher sektorweise erfassen. Dadurch werden nicht nur sichtbare Dateien und Ordner übernommen, sondern je nach Datenträger auch Dateisystemstrukturen, nicht zugeordnete Speicherbereiche und möglicherweise noch vorhandene Fragmente gelöschter Daten. Genau darin liegt der wesentliche Unterschied zu einer normalen Dateikopie.

Der Begriff darf allerdings nicht zu pauschal verwendet werden. Bei SSDs, modernen Smartphones, verschlüsselten Systemen oder Cloud-Diensten gelten andere technische Voraussetzungen. Ein forensisches Abbild ist deshalb nicht automatisch eine vollständige physische Kopie jedes einzelnen Speicherzustands, sondern immer das Ergebnis einer konkret definierten Akquisemethode.

Was bedeutet „forensisches Abbild“?

Ein forensisches Abbild bildet einen digitalen Datenbestand so ab, dass er anschließend unabhängig vom Original untersucht werden kann. Dabei wird dokumentiert, von welchem Datenträger oder System die Daten stammen, mit welchem Verfahren sie erfasst wurden und wie ihre Integrität überprüft werden kann.

Für die spätere Analyse ist entscheidend, dass nicht nur der sichtbare Dateiinhalt betrachtet wird. Je nach Sicherungsmethode können auch Informationen erhalten bleiben, die das Betriebssystem dem normalen Benutzer nicht unmittelbar anzeigt.

Dazu können Dateisystemtabellen, gelöschte Dateireferenzen, nicht zugeordnete Speicherbereiche, Metadaten und weitere technische Strukturen gehören. Gerade bei der Rekonstruktion früherer Benutzeraktivitäten können solche Informationen wichtiger sein als die aktuell sichtbaren Dateien.

Was ist der Unterschied zwischen einem forensischen Abbild und einer normalen Kopie?

Eine normale Dateikopie arbeitet auf Dateiebene. Der Benutzer wählt beispielsweise einen Ordner aus und kopiert dessen Inhalt auf einen anderen Datenträger. Dabei werden nur die Dateien übertragen, die das Betriebssystem über das Dateisystem bereitstellt.

Ein forensisches Abbild kann dagegen auf einer tieferen Ebene erstellt werden. Bei einer sektorweisen Sicherung wird nicht gefragt, welche Dateien aktuell sichtbar sind. Stattdessen wird der adressierbare Speicherbereich des Datenträgers Block für Block gelesen.

• Eine normale Kopie erfasst in erster Linie sichtbare Dateien.
• Ein forensisches Abbild kann zusätzlich Dateisystemstrukturen enthalten.
• Nicht zugeordnete Speicherbereiche können erhalten bleiben.
• Gelöschte Dateireste können unter bestimmten Voraussetzungen noch enthalten sein.
• Der Sicherungsvorgang wird dokumentiert.
• Die Integrität kann über kryptografische Hashwerte überprüft werden.

Der Unterschied ist besonders dann relevant, wenn nicht nur aktuelle Dokumente benötigt werden, sondern ein früherer technischer Zustand rekonstruiert werden soll.

Ist ein forensisches Abbild dasselbe wie ein forensisches Image?

In der Praxis werden die Begriffe „forensisches Abbild“ und „forensisches Image“ häufig synonym verwendet. Beide beschreiben eine Sicherung, die für eine spätere forensische Untersuchung erstellt wurde.

Technisch kann ein Image jedoch in unterschiedlichen Formaten gespeichert werden. Manche Formate enthalten ausschließlich die ausgelesenen Datenblöcke, andere speichern zusätzlich Informationen zum Fall, zur Quelle, zu Hashwerten oder zur Segmentierung der Sicherung.

Für die Aussagekraft ist deshalb weniger die Bezeichnung entscheidend als die konkrete Frage, was tatsächlich gesichert wurde und wie das Abbild erzeugt wurde.

Welche Daten enthält ein forensisches Abbild?

Der Inhalt hängt von der Art des Ausgangssystems und der verwendeten Sicherungsmethode ab. Bei einer klassischen sektorweisen Sicherung eines Datenträgers können grundsätzlich sämtliche adressierbaren Speicherblöcke erfasst werden.

Daraus können später unter anderem folgende Informationen analysiert werden:

• regulär vorhandene Dateien und Ordner
• Dateisystemstrukturen
• Partitionstabellen
• Dateimetadaten
• gelöschte Dateireferenzen
• nicht zugeordnete Speicherbereiche
• Dateifragmente
• Benutzerprofile
• Systemdateien
• Anwendungsdatenbanken
• Browserdaten
• Protokoll- und Ereignisdaten

Welche dieser Informationen später tatsächlich rekonstruiert werden können, hängt vom Dateisystem, Speichermedium und Zustand der Daten ab.

Was bedeutet „nicht zugeordneter Speicher“?

Nicht zugeordneter Speicher, häufig als „unallocated space“ bezeichnet, ist Speicherplatz, der vom Dateisystem aktuell keiner aktiven Datei zugeordnet wird.

Wird eine Datei gelöscht, verschwinden ihre Daten je nach Dateisystem nicht zwangsläufig sofort vollständig aus dem Speicher. Häufig wird zunächst nur die Zuordnung entfernt und der Speicherbereich als wieder verfügbar markiert.

Solange dieser Bereich nicht überschrieben oder durch interne Speichermechanismen bereinigt wurde, können noch Fragmente früherer Daten vorhanden sein. Eine normale Dateikopie erfasst solche Bereiche nicht. Ein sektorweises forensisches Abbild kann sie dagegen enthalten.

Warum kann ein forensisches Abbild bei gelöschten Daten wichtig sein?

Wenn nach gelöschten Dateien gesucht werden soll, ist eine reine Kopie der aktuell sichtbaren Dateien häufig ungeeignet. Sie enthält gerade jene Speicherbereiche nicht, in denen gelöschte Datenreste möglicherweise noch vorhanden sind.

Ein forensisches Abbild kann diese Bereiche erhalten und ermöglicht eine spätere Untersuchung, ohne den Originaldatenträger weiter benutzen zu müssen.

Das bedeutet jedoch nicht, dass gelöschte Daten automatisch wiederherstellbar sind. Wurden die betreffenden Speicherbereiche überschrieben oder durch SSD-interne Bereinigungsmechanismen entfernt, kann auch ein vollständiges Abbild die ursprünglichen Daten nicht zurückbringen.

Wie wird ein forensisches Abbild erstellt?

Bei klassischen Datenträgern wird der Speicher mit dafür geeigneter Hard- oder Software gelesen und in eine Image-Datei oder ein anderes Zielformat geschrieben. Die Sicherung kann direkt auf einen geeigneten forensischen Speicher erfolgen.

Vor Beginn werden normalerweise Identifikationsmerkmale des Ausgangsdatenträgers dokumentiert. Dazu gehören unter anderem Hersteller, Modell, Seriennummer und Speicherkapazität.

Während der Sicherung werden auftretende Lesefehler oder andere Besonderheiten protokolliert. Nach Abschluss kann eine Integritätsprüfung durchgeführt werden.

Warum wird ein Write Blocker eingesetzt?

Bei geeigneten Datenträgern wird häufig ein Write Blocker zwischen Ausgangsmedium und Untersuchungsrechner eingesetzt. Er soll verhindern, dass der Untersuchungscomputer Schreibbefehle an den Originaldatenträger sendet.

Das ist wichtig, weil Betriebssysteme bereits beim Anschließen eines Datenträgers automatische Änderungen vornehmen können. Beispielsweise können Indexinformationen, Dateisystemdaten oder andere Metadaten verändert werden.

Ein Write-Blocker reduziert dieses Risiko erheblich. Er ist jedoch nicht bei jedem Gerät und jeder Sicherung technisch einsetzbar.

Welche Rolle spielen Hashwerte?

Nach der Sicherung werden häufig kryptografische Hashwerte berechnet. Sie dienen dazu, die Integrität des erzeugten Datenbestands später überprüfen zu können.

Ein Hashwert lässt sich vereinfacht als digitaler Fingerabdruck einer Datenmenge verstehen. Schon eine geringe Änderung der zugrunde liegenden Daten führt bei modernen Hashverfahren mit sehr hoher Wahrscheinlichkeit zu einem anderen Ergebnis.

Wird ein forensisches Abbild später erneut überprüft und der gleiche Hashwert berechnet, kann damit festgestellt werden, dass sich die gehashte Datenmenge seit der ursprünglichen Berechnung nicht verändert hat.

Was beweist ein Hashwert nicht?

Hashwerte werden häufig überschätzt. Ein identischer Hashwert beweist die Integrität einer bestimmten Datenmenge, beantwortet aber keine weitergehenden Fragen zur Entstehung oder Authentizität des Inhalts.

Ein Hashwert beweist insbesondere nicht automatisch:

• wer eine Datei erstellt hat
• wann eine Datei tatsächlich entstanden ist
• ob der Inhalt eines Dokuments wahr ist
• wer eine Datei geöffnet oder kopiert hat
• ob die ursprünglichen Daten bereits vor der Sicherung manipuliert waren

Diese Abgrenzung ist wichtig, weil Integrität und Authentizität unterschiedliche forensische Fragestellungen sind.

Welche Image-Formate werden verwendet?

Forensische Abbilder können in verschiedenen Formaten gespeichert werden. Die Auswahl richtet sich nach den eingesetzten Werkzeugen, dem Untersuchungszweck und den Anforderungen an Kompatibilität, Kompression und Dokumentation.

RAW- beziehungsweise DD-Image

Ein RAW-Image enthält im Wesentlichen eine direkte Folge der ausgelesenen Datenblöcke. Das Format ist technisch einfach und wird von vielen forensischen Werkzeugen unterstützt.

Der Vorteil liegt in der breiten Kompatibilität. Der Nachteil besteht darin, dass zusätzliche Fallinformationen oder interne Prüfdaten nicht in derselben Weise eingebettet werden wie bei spezialisierten Containerformaten.

E01-Format

Das E01-Format stammt aus der EnCase-Welt und wird seit vielen Jahren in der digitalen Forensik eingesetzt. Es kann neben den eigentlichen Daten zusätzliche Metadaten und Prüfinformationen speichern und unterstützt Kompression sowie Segmentierung.

Dadurch kann ein großes Abbild beispielsweise in mehrere einzelne Dateien aufgeteilt werden.

AFF und weitere Formate

Daneben existieren weitere forensische Containerformate. Entscheidend ist, dass das gewählte Format von den eingesetzten Analysewerkzeugen zuverlässig verarbeitet werden kann und die erforderlichen Prüfmöglichkeiten unterstützt.

Was bedeutet Segmentierung eines Images?

Sehr große forensische Abbilder können in mehrere Dateien aufgeteilt werden. Diese Segmentierung erleichtert die Speicherung und Übertragung großer Datenbestände.

Ein 8-TB-Datenträger muss also nicht zwangsläufig als einzelne 8-TB-Datei gespeichert werden. Das Image kann technisch in zahlreiche kleinere Segmente aufgeteilt werden, die zusammen den vollständigen gesicherten Datenbestand repräsentieren.

Für die Analyse werden diese Segmente von der Forensiksoftware wieder als zusammenhängendes Abbild interpretiert.

Kann ein forensisches Abbild komprimiert werden?

Bestimmte Image-Formate unterstützen verlustfreie Kompression. Dabei wird der benötigte Speicherplatz reduziert, ohne die gesicherten Daten inhaltlich zu verändern.

Wie stark eine Kompression wirkt, hängt vom Datenbestand ab. Bereits komprimierte Videos, Bilder oder verschlüsselte Daten lassen sich häufig nur geringfügig weiter reduzieren. Große Bereiche mit wiederkehrenden oder leeren Daten können dagegen deutlich besser komprimiert werden.

Verlustbehaftete Kompressionsverfahren wären für ein forensisches Abbild ungeeignet, weil dabei Daten verändert würden.

Wie groß ist ein forensisches Abbild?

Bei einem unkomprimierten sektorweisen Image entspricht die Größe grundsätzlich ungefähr der adressierbaren Kapazität des Ausgangsdatenträgers. Eine 2-TB-Festplatte kann daher ein Image von ungefähr 2 TB erzeugen, unabhängig davon, wie viele sichtbare Dateien tatsächlich gespeichert sind.

Bei komprimierten Containerformaten kann der tatsächliche Speicherbedarf geringer sein. Wie stark, hängt von den gespeicherten Daten ab.

Bei der Planung einer forensischen Untersuchung muss außerdem zusätzlicher Speicher für Arbeitskopien, Analyseindizes, temporäre Dateien und exportierte Ergebnisse berücksichtigt werden.

Warum benötigt Forensik mehr Speicher als die Größe des Originaldatenträgers?

Die nominelle Größe des Ausgangsgeräts ist nicht gleich dem gesamten Speicherbedarf einer Untersuchung. Neben dem Originalimage können eine Arbeitskopie, Analyseprojekte, Indexdatenbanken, wiederhergestellte Dateien und Exporte entstehen.

Bei einem 4-TB-Datenträger können deshalb deutlich mehr als 4 TB Arbeits- und Archivspeicher erforderlich werden.

Für professionelle Forensikumgebungen sollte der Speicherbedarf daher mit ausreichender Reserve geplant werden.

Was passiert bei Lesefehlern?

Beschädigte Datenträger können einzelne Speicherbereiche nicht mehr zuverlässig liefern. In diesem Fall muss das Sicherungswerkzeug mit Lesefehlern umgehen können.

Je nach Verfahren können fehlerhafte Bereiche protokolliert, mehrfach gelesen oder zunächst übersprungen werden. Bei instabilen Datenträgern kann eine möglichst schonende Erstsicherung wichtiger sein als wiederholte aggressive Leseversuche.

Lesefehler müssen dokumentiert werden, weil sie Einfluss auf die Vollständigkeit und Aussagekraft des Abbilds haben können.

Ist ein Image mit Lesefehlern noch forensisch brauchbar?

Ja, unter Umständen. Ein teilweise beschädigter Datenträger kann trotzdem große Mengen verwertbarer Daten enthalten.

Entscheidend ist, transparent zu dokumentieren, welche Bereiche nicht gelesen werden konnten. Eine unvollständige Sicherung ist nicht automatisch wertlos, darf aber auch nicht als vollständig dargestellt werden.

Wie unterscheidet sich ein HDD-Abbild von einem SSD-Abbild?

Bei klassischen magnetischen Festplatten entspricht der logisch adressierbare Speicher relativ direkt den Bereichen, die über die Schnittstelle gelesen werden können. Dadurch können auch gelöschte Datenreste länger erhalten bleiben, solange die betreffenden Sektoren nicht überschrieben wurden.

SSDs arbeiten dagegen mit interner Flash-Verwaltung. Wear Leveling, Garbage Collection und TRIM beeinflussen die physische Speicherung. Der SSD-Controller entscheidet intern, welche Speicherzellen tatsächlich verwendet werden.

Ein forensisches Image einer SSD kann daher zwar den aktuell adressierbaren logischen Speicher vollständig erfassen, enthält aber nicht automatisch sämtliche physisch noch vorhandenen Zustände einzelner Flash-Zellen.

Welche Bedeutung hat TRIM für ein forensisches Abbild?

TRIM ermöglicht es einem Betriebssystem, einer SSD mitzuteilen, dass bestimmte Datenblöcke nicht mehr benötigt werden. Die SSD kann diese Bereiche anschließend intern für eine spätere Wiederverwendung vorbereiten.

Dadurch können gelöschte Daten relativ schnell aus dem logisch zugänglichen Speicher verschwinden. Wird erst danach ein forensisches Abbild erstellt, enthält dieses möglicherweise keine verwertbaren Reste mehr.

Das Image bildet also den Zustand zum Sicherungszeitpunkt ab. Es kann Daten, die der Speicher bereits intern entfernt hat, nicht wiederherstellen.

Was gilt bei NVMe-SSDs?

NVMe ist eine moderne Schnittstelle für schnelle SSDs. Aus forensischer Sicht gelten grundsätzlich dieselben Herausforderungen wie bei anderen Flash-Speichern, insbesondere interne Controllerlogik, TRIM und Garbage Collection.

Zusätzlich muss die eingesetzte Sicherungshardware das jeweilige NVMe-Format und die physische Schnittstelle unterstützen. M.2 bezeichnet dabei nur einen möglichen Formfaktor und sagt noch nicht allein aus, welches Protokoll verwendet wird.

Vor dem Ausbau oder Anschluss eines Datenträgers sollte deshalb genau geprüft werden, welche technische Variante vorliegt.

Kann ein verschlüsselter Datenträger einfach geimaged werden?

Technisch kann häufig auch ein verschlüsselter Datenträger sektorweise kopiert werden. Das Ergebnis enthält dann jedoch ebenfalls die verschlüsselten Daten.

Ohne den erforderlichen Schlüssel oder Zugang kann das Image anschließend möglicherweise nicht sinnvoll analysiert werden.

Ist ein verschlüsseltes System bereits gestartet und entsperrt, kann daher eine andere Sicherungsstrategie sinnvoll sein als bei einem ausgeschalteten Gerät.

BitLocker und forensisches Abbild

Bei einem mit BitLocker verschlüsselten Windows-System kann ein physisches Image des ausgeschalteten Datenträgers im Wesentlichen verschlüsselte Daten enthalten.

Für die spätere Analyse werden dann geeignete Zugangsdaten oder Wiederherstellungsschlüssel benötigt. Ist das System bereits entsperrt, kann unter bestimmten Umständen eine logische oder live-basierte Sicherung des entschlüsselten Datenbestands zweckmäßiger sein.

Welche Variante forensisch sinnvoller ist, hängt von der konkreten Fragestellung ab.

FileVault und forensisches Abbild eines Mac

Moderne Macs verwenden häufig FileVault und zusätzliche hardwaregestützte Sicherheitsmechanismen. Bei aktuellen Apple-Silicon-Systemen ist der interne Speicher außerdem eng mit der Gerätearchitektur verbunden.

Das klassische Vorgehen, eine Festplatte auszubauen und separat über einen Write-Blocker zu sichern, ist daher bei vielen modernen Macs nicht mehr möglich.

Die Sicherungsmethode muss anhand des Mac-Modells, des Sicherheitszustands und der vorhandenen Zugangsdaten gewählt werden.

Kann von einem Smartphone ein forensisches Abbild erstellt werden?

Der Begriff muss bei Smartphones vorsichtig verwendet werden. Moderne iPhones und Android-Geräte erlauben häufig keinen direkten vollständigen Zugriff auf den physischen Flash-Speicher.

Stattdessen werden je nach Gerät und verfügbarer Methode logische Extraktionen, Dateisystemextraktionen oder andere technisch zugängliche Datenbestände erzeugt.

Eine solche Extraktion kann forensisch wertvoll und sehr umfangreich sein, ist aber nicht automatisch mit einem sektorweisen Festplattenimage gleichzusetzen.

Warum ist diese Unterscheidung bei Smartphones wichtig?

Wenn in einem Bericht lediglich steht, ein Smartphone sei „vollständig gespiegelt“ worden, bleibt unklar, welcher Datenumfang tatsächlich vorlag.

Eine technisch präzise Dokumentation sollte deshalb die konkrete Extraktionsart benennen. Nur dann lässt sich beurteilen, welche Datenbereiche erfasst wurden und welche möglicherweise nicht zugänglich waren.

Gerade bei der Frage nach gelöschten Daten kann die Extraktionsart entscheidend sein.

Kann ein forensisches Abbild später mit anderer Software untersucht werden?

Ja, sofern das verwendete Image-Format von der jeweiligen Software unterstützt wird. Das ist einer der größten Vorteile einer sauberen forensischen Sicherung.

Das Original muss nicht erneut verwendet werden. Das vorhandene Image kann später mit einem anderen Analysewerkzeug überprüft oder unter einer neuen Fragestellung ausgewertet werden.

Dies ermöglicht auch eine unabhängige Zweituntersuchung durch einen anderen Sachverständigen.

Was ist eine Arbeitskopie des forensischen Abbilds?

Das ursprüngliche forensische Abbild kann unverändert archiviert werden. Für die eigentliche Untersuchung wird häufig eine zusätzliche Arbeitskopie verwendet.

Dadurch bleibt die ursprüngliche Sicherung erhalten, selbst wenn während der Analyse Änderungen an Dateien, Indizes oder Projektdaten entstehen.

Bei Bedarf kann aus dem archivierten Ausgangsimage jederzeit eine neue Arbeitskopie erzeugt werden.

Kann ein forensisches Abbild manipuliert werden?

Wie jede digitale Datei kann theoretisch auch ein Image verändert werden, wenn jemand Schreibzugriff darauf besitzt. Deshalb sind Zugriffsschutz, sichere Speicherung und Integritätskontrollen wichtig.

Wurde für das ursprüngliche Image ein kryptografischer Hashwert dokumentiert, würde eine nachträgliche Änderung normalerweise zu einem abweichenden Hashwert führen.

Das setzt jedoch voraus, dass der ursprüngliche Referenzwert selbst verlässlich dokumentiert und geschützt wurde.

Wie wird ein forensisches Abbild sicher gespeichert?

Ein forensisches Image kann hochsensible Informationen enthalten. Darin befinden sich häufig wesentlich mehr Daten als die für den konkreten Untersuchungsauftrag später tatsächlich benötigt werden.

Deshalb sollte die Speicherung gegen unbefugten Zugriff geschützt werden. Je nach Schutzbedarf können verschlüsselte Speichersysteme, Zugriffsbeschränkungen, Protokollierung und physische Sicherheitsmaßnahmen sinnvoll sein.

Auch Sicherungskopien müssen in das Schutzkonzept einbezogen werden.

Wie lange sollte ein forensisches Abbild aufbewahrt werden?

Eine allgemeingültige Aufbewahrungsfrist gibt es nicht für jeden Untersuchungsfall. Die Dauer hängt unter anderem von Auftrag, rechtlichen Verfahren, vertraglichen Regelungen, Datenschutz und möglichen Beweisfragen ab.

Wichtig ist, bereits vor oder während der Untersuchung zu klären, was nach Abschluss mit Original, Image, Arbeitskopien und exportierten Daten geschehen soll.

Welche Fehler treten bei forensischen Abbildern häufig auf?

• Das Image wird ohne eindeutige Zuordnung zum Original gespeichert.
• Seriennummer und Gerätedaten werden nicht dokumentiert.
• Der Ausgangsdatenträger wird ohne Notwendigkeit schreibend eingebunden.
• Lesefehler werden nicht protokolliert.
• Die verwendete Sicherungsmethode wird nicht genannt.
• Es wird pauschal von einer „1:1-Kopie“ gesprochen, obwohl nur eine logische Sicherung vorliegt.
• Hashwerte werden berechnet, aber nicht sauber dokumentiert.
• Originalimage und Arbeitskopie werden nicht getrennt.
• Das Image wird auf unzureichend geschützten Speichermedien abgelegt.
• Der vorhandene Speicherplatz wird vor Beginn falsch eingeschätzt.

Praxisbeispiel: 1-TB-Festplatte eines Firmenrechners

Bei einem Firmencomputer besteht der konkrete Verdacht, dass vor dem Ausscheiden eines Mitarbeiters Unternehmensdaten auf einen USB-Stick kopiert wurden. Der interne Datenträger besitzt eine Kapazität von 1 TB.

Eine normale Kopie der Benutzerordner würde nur die derzeit sichtbaren Dateien erfassen. Für die Untersuchung können jedoch auch Informationen über angeschlossene USB-Geräte, Dateisystemartefakte, gelöschte Dateien und weitere Systemdaten relevant sein.

Ein geeignetes forensisches Abbild erhält eine deutlich breitere Untersuchungsgrundlage. Die spätere Analyse kann danach auf einer Arbeitskopie erfolgen, während das ursprüngliche Image unverändert archiviert bleibt.

Praxisbeispiel: Gelöschte Projektdateien

Ein Unternehmen stellt fest, dass ein Verzeichnis mit wichtigen Projektunterlagen gelöscht wurde. Der Computer besitzt eine klassische magnetische Festplatte.

Eine normale Sicherung der aktuell sichtbaren Dateien würde die gelöschten Verzeichnisse nicht erfassen. Eine sektorweise Sicherung kann dagegen auch nicht zugeordnete Speicherbereiche enthalten.

Ob die gelöschten Dateien tatsächlich rekonstruiert werden können, hängt davon ab, ob die betreffenden Speicherbereiche bereits überschrieben wurden. Das forensische Abbild schafft aber zumindest die Grundlage, diese Frage zu untersuchen.

Praxisbeispiel: SSD nach Datenlöschung

Auf einem modernen Notebook mit NVMe-SSD wurden Dateien gelöscht. Erst mehrere Tage später wird eine Untersuchung beauftragt.

Auch hier kann ein forensisches Image erstellt werden. Es darf jedoch nicht erwartet werden, dass darin automatisch sämtliche gelöschten Daten enthalten sind.

TRIM und Garbage Collection können die freigegebenen Speicherbereiche bereits bereinigt haben. Der Wert des Images liegt trotzdem darin, den aktuell erreichbaren Zustand kontrolliert zu sichern und weitere Veränderungen durch normale Nutzung zu vermeiden.

Praxisbeispiel: Zweitgutachten

In einem gerichtlichen Verfahren wird die technische Bewertung einer früheren Untersuchung angezweifelt. Das Originalgerät steht inzwischen nicht mehr zur Verfügung, aber das damals erstellte forensische Image wurde mit dokumentierten Hashwerten archiviert.

Ein zweiter Sachverständiger kann dieses Image erneut untersuchen und prüfen, ob die ursprünglichen Schlussfolgerungen durch die Daten tatsächlich getragen werden.

Dieses Beispiel zeigt einen wesentlichen Vorteil eines sauber erzeugten forensischen Abbilds: Die Untersuchung kann reproduziert und unabhängig überprüft werden.

Wann ist ein forensisches Abbild besonders sinnvoll?

Ein forensisches Abbild ist vor allem dann sinnvoll, wenn ein Datenträger später detailliert untersucht werden soll und das Original möglichst geschont werden muss.

• Verdacht auf Datendiebstahl
• Untersuchung gelöschter Dateien
• Verdacht auf Datenmanipulation
• Analyse von Benutzeraktivitäten
• Prüfung angeschlossener externer Datenträger
• Cybersecurity-Vorfälle
• rechtliche Auseinandersetzungen
• Beweissicherung vor Rückgabe eines Geräts
• Vorbereitung einer späteren Begutachtung
• Notwendigkeit einer unabhängigen Zweitanalyse

Wann reicht ein forensisches Abbild allein nicht aus?

Ein Image ist eine Datengrundlage, aber noch kein Untersuchungsergebnis. Es beantwortet nicht automatisch die eigentliche Beweisfrage.

Erst die Analyse der enthaltenen Daten und deren technische Bewertung ermöglichen Aussagen zu einem Sachverhalt. Dabei müssen unterschiedliche Artefakte miteinander verglichen und mögliche alternative Erklärungen berücksichtigt werden.

Außerdem können Informationen außerhalb des abgebildeten Datenträgers liegen, beispielsweise in Cloud-Diensten, auf Servern, in E-Mail-Systemen oder auf anderen Endgeräten. Ein einzelnes Image bildet daher nicht zwangsläufig den gesamten Sachverhalt ab.

Häufige Fragen zum forensischen Abbild

Ist ein forensisches Abbild eine exakte Kopie?

Bei einer klassischen sektorweisen Sicherung kann der logisch adressierbare Speicher sehr vollständig abgebildet werden. Bei modernen SSDs, Smartphones und anderen komplexen Speichersystemen muss jedoch genau beschrieben werden, auf welcher Ebene die Sicherung erfolgte.

Enthält ein forensisches Abbild gelöschte Daten?

Es kann Speicherbereiche enthalten, in denen noch Fragmente gelöschter Daten vorhanden sind. Ob diese tatsächlich rekonstruiert werden können, hängt vom Datenträger und dessen Zustand ab.

Kann ein Image größer sein als die gespeicherten Dateien?

Ja. Ein unkomprimiertes sektorweises Image orientiert sich an der Kapazität des Datenträgers und nicht nur an der Summe der sichtbaren Dateien.

Kann ein forensisches Abbild komprimiert werden?

Ja, wenn ein geeignetes verlustfreies Image-Format verwendet wird. Die Originaldaten dürfen dabei inhaltlich nicht verändert werden.

Kann ein Image auf einer normalen Festplatte gespeichert werden?

Technisch ja. Für professionelle Untersuchungen sollte das Zielmedium jedoch ausreichend groß, zuverlässig und angemessen gegen unbefugten Zugriff geschützt sein.

Muss für jedes Image ein Hashwert erstellt werden?

Bei beweisrelevanten Sicherungen ist eine dokumentierte Integritätsprüfung fachlich sinnvoll. Welche konkrete Hashstrategie verwendet wird, hängt vom Workflow und Untersuchungszweck ab.

Kann ein Image Jahre später erneut untersucht werden?

Ja, sofern es vollständig und lesbar erhalten wurde und das Dateiformat weiterhin unterstützt wird. Das ist ein wesentlicher Vorteil gegenüber einer ausschließlich einmaligen Analyse des Originalgeräts.

Kann aus einem Image festgestellt werden, wer eine Datei kopiert hat?

Nicht allein aufgrund der Existenz des Images. Eine solche Aussage erfordert die Auswertung konkreter Benutzer-, Datei-, Geräte- und Systemspuren. In manchen Fällen ist eine eindeutige persönliche Zuordnung technisch nicht möglich.

Warum ein forensisches Abbild mehr ist als eine Kopie

Der entscheidende Wert eines forensischen Abbilds liegt nicht darin, dass Daten lediglich doppelt vorhanden sind. Es schafft eine definierte technische Ausgangsbasis für eine spätere Untersuchung.

Ein gut erstelltes Abbild ermöglicht es, einen gesicherten Datenzustand wiederholt zu analysieren, unterschiedliche Werkzeuge einzusetzen und Ergebnisse später durch einen anderen Untersucher überprüfen zu lassen. Gleichzeitig kann das Originalgerät nach der Sicherung weitgehend aus dem weiteren Analyseprozess herausgehalten werden.

Damit wird das forensische Abbild zu einem zentralen Bindeglied zwischen Beweissicherung und Analyse. Seine Aussagekraft hängt jedoch unmittelbar davon ab, wie präzise die Herkunft dokumentiert, welches Sicherungsverfahren gewählt und wie zuverlässig die Integrität des Datenbestands erhalten wurde.