Eine schreibgeschützte Datensicherung ist ein Verfahren zur Erfassung digitaler Daten, bei dem Schreibzugriffe auf den ursprünglichen Datenträger möglichst verhindert werden. In der IT-Forensik dient diese Vorgehensweise dazu, Festplatten, SSDs, USB-Sticks und andere geeignete Speichermedien auszulesen, ohne den vorhandenen Datenbestand durch das Untersuchungssystem unnötig zu verändern.

Der entscheidende Unterschied zu einer gewöhnlichen Datensicherung liegt im kontrollierten Umgang mit dem Originalmedium. Während ein Betriebssystem beim Anschließen eines Datenträgers unter bestimmten Voraussetzungen selbstständig Schreibvorgänge ausführen kann, soll eine schreibgeschützte Sicherung solche Veränderungen verhindern.

Hierfür können geeignete Hardware-Write-Blocker, softwarebasierte Schreibschutzverfahren oder speziell konfigurierte forensische Sicherungssysteme eingesetzt werden.

Eine schreibgeschützte Datensicherung gehört zu den grundlegenden Verfahren der professionellen IT-Forensik. Sie wird insbesondere dann relevant, wenn digitale Informationen später technisch untersucht, mit anderen Datenbeständen verglichen oder als Beweismittel in einem rechtlichen Verfahren verwendet werden sollen.

Welche Daten anschließend aus einer solchen Sicherung gewonnen werden können, hängt vom Datenträgertyp, der Verschlüsselung, dem technischen Zustand und dem gewählten Sicherungsverfahren ab.

Das Wichtigste zur schreibgeschützten Datensicherung

• Definition: Eine schreibgeschützte Datensicherung erfasst Daten unter kontrollierten Bedingungen, ohne dass das Untersuchungssystem reguläre Schreibzugriffe auf das Originalmedium ausführen soll.
• Ziel: Der zum Sicherungszeitpunkt vorhandene Datenbestand soll möglichst unverändert erhalten bleiben.
• Technische Umsetzung: Je nach Datenträger kommen Hardware-Write-Blocker, Software-Schreibschutz oder andere geeignete Sicherungsverfahren zum Einsatz.
• Typische Datenquellen: Festplatten, SSDs, USB-Sticks, Speicherkarten und weitere kompatible Speichermedien.
• Forensische Sicherung: Bei geeigneten Datenträgern kann ein sektorweises Abbild erstellt werden.
• Integritätskontrolle: Kryptografische Hashwerte können helfen, die spätere Unverändertheit des gesicherten Datenbestands zu überprüfen.
• Technische Grenzen: Nicht jedes Gerät kann vollständig schreibgeschützt ausgelesen werden.
• Rechtliche Bedeutung: Eine nachvollziehbare Sicherung unterstützt die spätere Beurteilung digitaler Beweismittel, garantiert aber keine gerichtliche Verwertbarkeit.

Was bedeutet schreibgeschützte Datensicherung genau?

Der Begriff beschreibt eine Datenerfassung, bei der das ursprüngliche Speichermedium gegen Schreibzugriffe des verwendeten Untersuchungssystems geschützt wird.

Das bedeutet vereinfacht: Daten dürfen gelesen und auf ein separates Zielmedium übertragen werden. Änderungen am ursprünglichen Datenträger sollen dagegen verhindert werden.

Wichtig ist die Unterscheidung zwischen dem Originaldatenträger und dem Speicherort der Sicherung.

Der Schreibschutz betrifft das Originalmedium. Auf dem Zieldatenträger müssen dagegen Schreibvorgänge möglich sein, damit die gesicherten Daten überhaupt gespeichert werden können.

Eine schreibgeschützte Datensicherung ist deshalb nicht mit einer gewöhnlichen schreibgeschützten Datei oder einem passwortgeschützten Dokument gleichzusetzen.

Warum ist eine schreibgeschützte Datensicherung in der IT-Forensik wichtig?

Digitale Beweismittel können durch alltägliche Computerzugriffe verändert werden.

Bereits das Einbinden einer Festplatte in ein Betriebssystem kann unter bestimmten Voraussetzungen Änderungen an Dateisysteminformationen auslösen.

Auch das Öffnen, Bearbeiten oder Kopieren einzelner Dateien kann technische Informationen beeinflussen.

Bei einer späteren forensischen Untersuchung kann jedoch gerade der ursprüngliche Zustand solcher Informationen entscheidend sein.

Beispielsweise kann untersucht werden, wann Dateien erstellt, verändert oder gelöscht wurden, welche Datenträger angeschlossen waren oder ob bestimmte Systemereignisse stattgefunden haben.

Eine schreibgeschützte Sicherung reduziert das Risiko, dass die Untersuchung selbst zusätzliche Veränderungen verursacht.

Die technische Bedeutung des unveränderten Ausgangszustands erläutert auch unser Wissensartikel Was bedeutet Integrität digitaler Beweismittel?.

Wie funktioniert eine schreibgeschützte Datensicherung?

Bei einer klassischen Datenträgersicherung wird zunächst eine geeignete Verbindung zwischen Originalmedium und forensischem Untersuchungssystem hergestellt.

Über diese Verbindung werden die für die Sicherung erforderlichen Daten gelesen.

Ein geeigneter Schreibschutz verhindert dabei, dass Schreibbefehle des Untersuchungssystems an den Originaldatenträger weitergegeben werden.

Die gelesenen Informationen werden auf einem separaten Speichermedium oder in einer forensischen Image-Datei abgelegt.

Nach Abschluss wird überprüft, ob die vorgesehene Datenmenge erfolgreich erfasst wurde.

Bei geeigneten Sicherungen können zusätzlich Hashwerte berechnet und dokumentiert werden.

Die eigentliche Analyse erfolgt anschließend nach Möglichkeit anhand einer Arbeitskopie.

Wie läuft eine schreibgeschützte Datensicherung Schritt für Schritt ab?

Eine professionelle Sicherung folgt einem strukturierten Ablauf. Die einzelnen Maßnahmen werden an den Datenträger und die konkrete Untersuchungsfrage angepasst.

1. Untersuchungsauftrag und Sicherungsumfang festlegen

Zunächst wird geklärt, welche Datenquelle gesichert werden soll und welchem Zweck die Sicherung dient.

Bei einem Verdacht auf Datendiebstahl können beispielsweise die interne SSD eines Arbeitsplatzcomputers und bestimmte externe Datenträger relevant sein.

Bei einer Untersuchung gelöschter Dateien kann dagegen ein einzelnes Speichermedium im Mittelpunkt stehen.

Bereits in dieser Phase wird entschieden, ob eine vollständige sektorweise Sicherung erforderlich ist oder ob ein begrenzter Datenbestand ausreicht.

2. Originaldatenträger identifizieren

Vor Beginn der Sicherung werden die wesentlichen Merkmale des Datenträgers dokumentiert.

Dazu können gehören:

• Hersteller und Modell
• Seriennummer
• Speicherkapazität
• Datenträgertyp
• Verwendete Schnittstelle
• Erkennbarer äußerer Zustand
• Datum und Uhrzeit der Übernahme
• Vorhandene Besonderheiten oder Beschädigungen

Diese Angaben ermöglichen die spätere Zuordnung der Sicherung zum ursprünglichen Untersuchungsobjekt.

3. Technischen Zustand bewerten

Vor dem Anschluss wird geprüft, ob der Datenträger funktionsfähig ist und welche Besonderheiten berücksichtigt werden müssen.

Bei beschädigten Festplatten kann eine gewöhnliche Sicherung ungeeignet sein.

Bei verschlüsselten Datenträgern muss berücksichtigt werden, ob die erforderlichen Zugangsdaten vorhanden sind.

Bei modernen SSDs können interne Speicherverwaltungsfunktionen die Verfügbarkeit gelöschter Daten beeinflussen.

Diese Faktoren bestimmen, welches Sicherungsverfahren fachlich sinnvoll ist.

4. Geeigneten Schreibschutz auswählen

Abhängig von der Schnittstelle und dem Datenträgertyp wird ein geeignetes Schreibschutzverfahren ausgewählt.

Bei klassischen Festplatten und bestimmten SSDs kann ein Hardware-Write-Blocker eingesetzt werden.

In anderen Situationen können geeignete softwarebasierte Schreibschutzverfahren verwendet werden.

Die Auswahl muss sicherstellen, dass die Schutzfunktion für den konkreten Datenträger und den vorgesehenen Zugriff geeignet ist.

5. Schreibschutz kontrollieren

Vor Beginn der eigentlichen Sicherung wird geprüft, ob der Datenträger korrekt erkannt wird und das vorgesehene Schreibschutzverfahren aktiv ist.

Bei professionellen Sicherungsumgebungen können dokumentierte Funktionsprüfungen vorgesehen sein.

Solche Prüfungen sollten nicht durch unkontrollierte Schreibversuche auf einem wichtigen Originalbeweismittel erfolgen.

6. Daten kontrolliert auslesen

Die relevanten Daten werden mit geeigneter Hard- oder Software gelesen und auf einem separaten Zielmedium gespeichert.

Bei einer sektorweisen Sicherung können die logisch adressierbaren Speicherbereiche des Datenträgers blockweise erfasst werden.

Abhängig vom Verfahren können dadurch neben regulären Dateien auch Dateisystemstrukturen und nicht zugeordnete Speicherbereiche enthalten sein.

Bei Lesefehlern oder anderen technischen Problemen wird dokumentiert, welche Bereiche betroffen sind.

7. Sicherung überprüfen

Nach Abschluss wird kontrolliert, ob der vorgesehene Sicherungsumfang erreicht wurde.

Bei geeigneten Datenbeständen können kryptografische Hashwerte verwendet werden, um die Integrität der Sicherung später zu überprüfen.

Wichtig ist, dass eine erfolgreiche Hashprüfung nicht automatisch beweist, dass sämtliche theoretisch vorhandenen Informationen des Originaldatenträgers erfasst wurden.

8. Originaldatenträger geschützt aufbewahren

Nach der Sicherung wird das Originalmedium möglichst nicht mehr für die eigentliche Analyse verwendet.

Stattdessen wird die Untersuchung anhand des gesicherten Datenbestands beziehungsweise einer separaten Arbeitskopie durchgeführt.

Das reduziert weitere Zugriffe auf das Original und erleichtert spätere Kontrolluntersuchungen.

Welche Verfahren ermöglichen eine schreibgeschützte Datensicherung?

Je nach Datenquelle können unterschiedliche technische Verfahren eingesetzt werden.

Hardwarebasierter Schreibschutz

Bei einem Hardware-Write-Blocker wird eine technische Schutzkomponente zwischen Originaldatenträger und Untersuchungscomputer geschaltet.

Sie kontrolliert die Kommunikation über die unterstützte Schnittstelle und verhindert bestimmte Schreibbefehle.

Hardwarebasierter Schreibschutz wird häufig bei der forensischen Sicherung klassischer Datenträger verwendet.

Softwarebasierter Schreibschutz

Softwarebasierte Verfahren verwenden geeignete Betriebssystemfunktionen, Treiber oder andere technische Mechanismen, um Schreibzugriffe zu verhindern.

Die Wirksamkeit hängt von der konkreten Systemkonfiguration und der korrekten Umsetzung ab.

Eine bloße Anzeige als schreibgeschützt reicht deshalb nicht in jeder Situation aus, um einen umfassenden forensischen Schreibschutz nachzuweisen.

Schreibgeschützte Einbindung eines Datenträgers

Unter geeigneten Voraussetzungen kann ein Datenträger so eingebunden werden, dass das Betriebssystem keine regulären Schreibvorgänge darauf ausführen soll.

Die tatsächliche Schutzwirkung muss jedoch im Zusammenhang mit der verwendeten Schnittstelle, dem Betriebssystem und möglichen zusätzlichen Zugriffspfaden bewertet werden.

Spezialisierte forensische Sicherungssysteme

Professionelle Sicherungssysteme können Schreibschutz, Datenerfassung, Protokollierung und Integritätsprüfung miteinander kombinieren.

Welche Funktionen verfügbar sind, hängt vom jeweiligen Gerät und seiner Konfiguration ab.

Was ist der Unterschied zwischen schreibgeschützter Datensicherung und einem Write-Blocker?

Die beiden Begriffe beschreiben unterschiedliche Dinge.

Ein Write-Blocker ist ein technisches Hilfsmittel zur Verhinderung bestimmter Schreibzugriffe.

Die schreibgeschützte Datensicherung bezeichnet dagegen den gesamten Sicherungsvorgang unter kontrollierten Schreibschutzbedingungen.

Zu diesem Vorgang gehören neben dem Schreibschutz auch die Identifizierung des Datenträgers, die Auswahl der Sicherungsmethode, die Datenerfassung, die Integritätskontrolle und die Dokumentation.

Ein Write-Blocker kann somit Bestandteil einer schreibgeschützten Datensicherung sein. Er stellt aber nicht den vollständigen Sicherungsprozess dar.

Was ist der Unterschied zwischen einer normalen Datensicherung und einer schreibgeschützten Sicherung?

Eine gewöhnliche Datensicherung dient in erster Linie dazu, Daten nach einem Verlust wiederherstellen zu können.

Sie wird häufig im laufenden Betrieb erstellt und muss nicht zwangsläufig sämtliche Dateisystemstrukturen oder weiteren technischen Artefakte erhalten.

Eine schreibgeschützte forensische Sicherung verfolgt dagegen das Ziel, einen definierten Datenbestand unter möglichst kontrollierten Bedingungen zu erfassen.

Der Schutz des Originals und die Nachvollziehbarkeit des Sicherungsvorgangs stehen dabei im Mittelpunkt.

Ein gewöhnliches Backup kann selbst ein relevantes Untersuchungsobjekt sein. Es ist jedoch nicht automatisch mit einer schreibgeschützten forensischen Datensicherung gleichzusetzen.

Ist eine schreibgeschützte Datensicherung dasselbe wie eine bitweise Kopie?

Nein. Schreibschutz und Sicherungstiefe sind zwei unterschiedliche technische Eigenschaften.

Eine bitweise beziehungsweise sektorweise Kopie beschreibt, auf welcher Ebene Daten erfasst werden.

Der Schreibschutz beschreibt dagegen, wie der ursprüngliche Datenträger während der Erfassung vor Schreibzugriffen geschützt wird.

Eine sektorweise Sicherung kann unter kontrolliertem Schreibschutz erfolgen.

Umgekehrt kann auch eine begrenzte Dateisicherung unter schreibgeschützten Bedingungen durchgeführt werden.

Für die spätere Untersuchung muss deshalb sowohl die Sicherungsmethode als auch der verwendete Schreibschutz dokumentiert werden.

Welche Rolle spielt ein forensisches Abbild?

Bei geeigneten Datenträgern wird im Rahmen einer schreibgeschützten Sicherung häufig ein forensisches Abbild erstellt.

Dieses Abbild enthält den mit der gewählten Methode erfassten Datenbestand und kann anschließend unabhängig vom Originalmedium untersucht werden.

Das ist besonders dann wichtig, wenn Dateisysteminformationen, gelöschte Datenreste oder andere technische Strukturen analysiert werden sollen.

Eine ausführliche Erklärung der unterschiedlichen Image-Verfahren finden Sie im Wissensartikel Was ist ein forensisches Abbild?.

Welche Datenträger können schreibgeschützt gesichert werden?

Eine schreibgeschützte Datensicherung ist insbesondere bei Speichermedien möglich, für die geeignete technische Schutzverfahren zur Verfügung stehen.

Magnetische Festplatten

Klassische HDDs können abhängig von Schnittstelle und technischem Zustand häufig mit geeigneten Hardware-Write-Blockern gesichert werden.

Bei einer sektorweisen Sicherung können auch nicht zugeordnete Speicherbereiche erfasst werden.

SATA-SSDs

SATA-SSDs können bei geeigneter Hardware ebenfalls schreibgeschützt ausgelesen werden.

Allerdings müssen interne Speicherverwaltungsfunktionen berücksichtigt werden.

NVMe-SSDs

NVMe-Laufwerke benötigen geeignete Sicherungshardware beziehungsweise ein kompatibles Schreibschutzverfahren.

Ein klassischer SATA-Write-Blocker kann nicht ohne Weiteres für eine NVMe-SSD verwendet werden.

USB-Sticks

USB-Sticks können über geeignete USB-Schreibschutzlösungen gesichert werden.

Welche Geräte und Betriebsarten unterstützt werden, hängt vom verwendeten Verfahren ab.

Speicherkarten

Auch SD-Karten und andere Speicherkarten können unter geeigneten Bedingungen schreibgeschützt ausgelesen werden.

Ein mechanischer Schreibschutzschalter an einer SD-Karte ist allerdings nicht automatisch mit einem unabhängig geprüften forensischen Hardware-Schreibschutz gleichzusetzen.

Welche Besonderheiten gelten bei schreibgeschützten SSD-Sicherungen?

SSDs verwenden Flash-Speicher und eine interne Speicherverwaltung.

Funktionen wie Wear Leveling, Garbage Collection und TRIM können beeinflussen, welche Datenbereiche über die Schnittstelle noch zugänglich sind.

Ein geeignetes Schreibschutzverfahren kann hostseitige Schreibzugriffe verhindern.

Es garantiert jedoch nicht, dass sämtliche internen Prozesse des SSD-Controllers vollständig angehalten werden.

Besonders bei der Untersuchung gelöschter Dateien ist diese Unterscheidung wichtig.

Eine schreibgeschützte Sicherung kann den aktuell zugänglichen Datenbestand erhalten. Sie kann aber bereits entfernte oder nicht mehr zugängliche Informationen nicht automatisch wiederherstellen.

Kann ein beschädigter Datenträger schreibgeschützt gesichert werden?

Unter bestimmten Voraussetzungen ist das möglich.

Allerdings kann ein beschädigter Datenträger besondere Sicherungsverfahren erfordern.

Wiederholte Lesezugriffe können instabile Speichermedien zusätzlich belasten.

Deshalb muss vor Beginn geprüft werden, ob eine gewöhnliche sektorweise Sicherung geeignet ist oder ob eine angepasste Auslesestrategie erforderlich wird.

Ein Schreibschutz verhindert keine mechanischen Defekte und ersetzt keine professionelle Behandlung beschädigter Datenträger.

Kann ein verschlüsselter Datenträger schreibgeschützt gesichert werden?

Ja. Auch ein verschlüsselter Datenträger kann unter geeigneten Voraussetzungen schreibgeschützt ausgelesen werden.

Allerdings ist zwischen der Sicherung der gespeicherten Daten und ihrer späteren Entschlüsselung zu unterscheiden.

Bei einem ausgeschalteten BitLocker-System kann eine sektorweise Sicherung beispielsweise überwiegend verschlüsselte Daten enthalten.

Für die spätere inhaltliche Untersuchung können zusätzliche Zugangsdaten oder Wiederherstellungsschlüssel erforderlich sein.

Ist ein Computer bereits gestartet und der Datenträger entschlüsselt eingebunden, kann eine andere Sicherungsstrategie sinnvoll sein.

Deshalb sollte ein laufendes verschlüsseltes System nicht ohne vorherige Bewertung ausgeschaltet werden.

Ist eine schreibgeschützte Datensicherung bei einem iPhone möglich?

Moderne iPhones können nicht grundsätzlich wie klassische externe Festplatten behandelt werden.

Die integrierte Speicherarchitektur, hardwaregestützte Verschlüsselung und weitere Sicherheitsmechanismen begrenzen die Möglichkeiten einer direkten sektorweisen Sicherung.

Je nach Gerät und Softwarestand können unterschiedliche forensische Extraktionsverfahren eingesetzt werden.

Diese Verfahren können technisch notwendige Interaktionen mit dem Gerät erfordern.

Eine vollständig veränderungsfreie Erfassung sämtlicher iPhone-Daten kann deshalb nicht pauschal zugesichert werden.

Weitere Informationen finden Sie im Bereich Smartphone-Forensik.

Ist eine schreibgeschützte Datensicherung bei Android-Smartphones möglich?

Auch bei modernen Android-Geräten hängen die Sicherungsmöglichkeiten vom Hersteller, Modell, Betriebssystem und Sicherheitszustand ab.

Die verwendete Verschlüsselung und die verfügbaren Zugriffsrechte bestimmen, welche Daten erfasst werden können.

Eine klassische vollständige sektorweise Sicherung ist nicht bei jedem Android-Smartphone möglich.

Stattdessen kommen je nach Gerät unterschiedliche logische, dateisystembasierte oder andere technisch unterstützte Sicherungsverfahren infrage.

Erforderliche Veränderungen am Gerät müssen bei der späteren Bewertung berücksichtigt werden.

Kann ein eingeschalteter Computer vollständig schreibgeschützt gesichert werden?

Bei einem laufenden Computer ist eine vollständig veränderungsfreie Sicherung normalerweise nicht möglich.

Das Betriebssystem verändert während des Betriebs fortlaufend bestimmte Datenbestände.

Zusätzlich können flüchtige Informationen im Arbeitsspeicher vorhanden sein, die nach einem Ausschalten verloren gehen.

Bei einer Live-Sicherung muss deshalb zwischen dem Erhalt flüchtiger Daten und der Vermeidung unnötiger Systemveränderungen abgewogen werden.

Die geeignete Vorgehensweise hängt vom konkreten System und der Untersuchungsfrage ab.

Wie wird die Integrität einer schreibgeschützten Datensicherung überprüft?

Bei geeigneten Datenbeständen können kryptografische Hashwerte eingesetzt werden.

Nach der Sicherung wird beispielsweise ein SHA-256-Hashwert für den definierten gesicherten Datenbestand berechnet.

Dieser Wert kann später erneut ermittelt und mit dem ursprünglichen Referenzwert verglichen werden.

Stimmen beide Werte überein, ist dies ein sehr starkes technisches Indiz dafür, dass der geprüfte Datenbestand gegenüber dem dokumentierten Referenzzustand unverändert geblieben ist.

Ein Hashwert beweist allerdings nicht automatisch, dass die ursprünglichen Daten bereits vor der Sicherung authentisch waren.

Ebenso wenig beweist er allein, dass die Sicherung vollständig ist.

Deshalb müssen Integritätsprüfung, Sicherungsumfang und technische Dokumentation gemeinsam betrachtet werden.

Warum muss der Sicherungsvorgang dokumentiert werden?

Eine schreibgeschützte Sicherung soll nicht nur technisch durchgeführt, sondern später auch nachvollzogen werden können.

Dazu gehören beispielsweise:

• Identifizierung des Originaldatenträgers
• Datum und Uhrzeit der Sicherung
• Verwendete Sicherungshardware
• Art des eingesetzten Schreibschutzes
• Verwendete Software und relevante Einstellungen
• Gesicherter Datenumfang
• Aufgetretene Lesefehler
• Ergebnisse der Integritätsprüfung
• Speicherort und Kennzeichnung der Sicherung
• Dokumentation relevanter Übergaben

Diese Angaben ermöglichen es, den Sicherungsvorgang später fachlich zu überprüfen.

Welche Bedeutung hat die Chain of Custody?

Die Chain of Custody dokumentiert den Umgang mit einem digitalen Beweismittel.

Sie hält beispielsweise fest, wann ein Gerät übernommen wurde, wer Zugriff darauf hatte und wann Sicherungen oder Übergaben stattgefunden haben.

Die Beweismittelkette ergänzt den technischen Schreibschutz.

Während der Schreibschutz unerwünschte Schreibzugriffe verhindern soll, dokumentiert die Chain of Custody die Behandlung und Verwahrung des Beweismittels.

Weitere Informationen erläutert unser Wissensartikel Chain of Custody in der digitalen Forensik.

Welche Fehler können eine schreibgeschützte Datensicherung beeinträchtigen?

Auch bei Verwendung eines Schreibschutzverfahrens können Fehler auftreten.

Typische Risiken sind:

• Verwendung eines ungeeigneten Write-Blockers
• Fehlerhafte Verbindung des Datenträgers
• Unzureichend geprüfter Schreibschutz
• Falsche Auswahl des Quelldatenträgers
• Ungeeignetes Sicherungsformat
• Unzureichender Speicherplatz auf dem Zielmedium
• Nicht dokumentierte Lesefehler
• Unterbrechungen während der Sicherung
• Fehlende Integritätskontrolle
• Unvollständige Dokumentation

Eine professionelle Sicherung muss deshalb den gesamten technischen Ablauf berücksichtigen.

Was passiert, wenn während der Sicherung Lesefehler auftreten?

Lesefehler können beispielsweise bei beschädigten Festplatten oder fehlerhaften Speicherbereichen auftreten.

In solchen Fällen muss dokumentiert werden, welche Datenbereiche nicht oder nur eingeschränkt gelesen werden konnten.

Je nach Zustand des Datenträgers können angepasste Sicherungsverfahren erforderlich sein.

Eine Sicherung mit Lesefehlern ist nicht automatisch wertlos.

Allerdings darf sie nicht ohne entsprechende Einschränkung als vollständig dargestellt werden.

Kann eine schreibgeschützte Sicherung später erneut untersucht werden?

Ja. Das ist einer der wesentlichen Vorteile einer professionell erstellten forensischen Sicherung.

Wenn der gesicherte Datenbestand vollständig, lesbar und technisch überprüfbar erhalten bleibt, kann er später erneut untersucht werden.

Auch eine unabhängige Zweituntersuchung durch einen anderen Sachverständigen kann dadurch möglich werden.

Die ursprüngliche Sicherung dient dabei als Referenz.

Für die eigentliche Analyse können separate Arbeitskopien verwendet werden.

Ist eine schreibgeschützte Datensicherung automatisch gerichtsfest?

Nein. Eine fachgerecht durchgeführte schreibgeschützte Sicherung kann die Nachvollziehbarkeit und technische Überprüfbarkeit digitaler Beweismittel verbessern.

Sie garantiert jedoch nicht, dass ein Gericht den betreffenden Datenbestand in einem konkreten Verfahren verwertet oder ihm eine bestimmte Beweiskraft beimisst.

Die rechtliche Bewertung hängt unter anderem von der Herkunft der Daten, den Umständen ihrer Erlangung und der konkreten Verfahrenssituation ab.

Bei komplexen Sachverhalten kann ein forensischer Untersuchungsbericht oder ein IT-forensisches Sachverständigengutachten erforderlich sein.

Wann ist eine schreibgeschützte Datensicherung besonders sinnvoll?

Eine schreibgeschützte Sicherung kann insbesondere dann sinnvoll sein, wenn digitale Daten später technisch untersucht oder als Beweismittel verwendet werden sollen.

Typische Untersuchungsanlässe sind:

• Verdacht auf Datendiebstahl
• Mögliche Manipulation von Dateien
• Untersuchung gelöschter Daten
• Analyse von Benutzeraktivitäten
• Verdacht auf unbefugte Zugriffe
• Untersuchung externer Speichermedien
• Digitale Beweissicherung für Rechtsanwälte
• Interne Unternehmensuntersuchungen
• Vorbereitung eines Sachverständigengutachtens
• Erforderliche unabhängige Zweituntersuchungen

Ob das Verfahren im konkreten Fall geeignet ist, hängt von der Datenquelle und der technischen Ausgangssituation ab.

Praxisbeispiel: Verdacht auf Datendiebstahl durch einen Mitarbeiter

Ein Unternehmen vermutet, dass vertrauliche Dateien vor dem Ausscheiden eines Mitarbeiters auf einen externen Datenträger kopiert wurden.

Der betreffende Arbeitsplatzcomputer soll untersucht werden.

Bei geeigneter Hardware kann der interne Datenträger unter kontrolliertem Schreibschutz gesichert werden.

Die spätere Analyse erfolgt anhand der erzeugten Sicherung.

Untersucht werden können beispielsweise vorhandene Dateiaktivitäten, Informationen über angeschlossene USB-Geräte und weitere technische Artefakte.

Ein einzelner Nachweis eines angeschlossenen USB-Sticks beweist allerdings noch nicht, dass bestimmte Dateien tatsächlich kopiert wurden.

Die Untersuchung muss mehrere verfügbare Spuren berücksichtigen.

Praxisbeispiel: Gelöschte Dateien auf einer externen Festplatte

Auf einer externen Festplatte fehlen wichtige Dokumente.

Der Eigentümer vermutet, dass diese Dateien absichtlich gelöscht wurden.

Eine gewöhnliche weitere Nutzung der Festplatte könnte vorhandene Datenreste überschreiben.

Bei geeigneten technischen Voraussetzungen kann deshalb eine schreibgeschützte sektorweise Sicherung erstellt werden.

Die anschließende Untersuchung kann prüfen, ob noch relevante Dateisysteminformationen oder Datenfragmente vorhanden sind.

Eine erfolgreiche Wiederherstellung gelöschter Dateien kann jedoch nicht garantiert werden.

Praxisbeispiel: Forensische Sicherung einer SSD

Ein Notebook enthält eine NVMe-SSD. Auf dem Gerät wurden möglicherweise wichtige Dateien gelöscht.

Vor der Untersuchung wird geprüft, welche Sicherungsmethode mit der verwendeten Speicherarchitektur kompatibel ist.

Unter geeigneten Voraussetzungen kann eine kontrollierte Sicherung des logisch zugänglichen Datenbestands erstellt werden.

Der Schreibschutz soll zusätzliche hostseitige Veränderungen verhindern.

Gleichzeitig muss berücksichtigt werden, dass interne SSD-Funktionen die Verfügbarkeit gelöschter Daten beeinflussen können.

Das Sicherungsergebnis bildet deshalb den tatsächlich zugänglichen Datenzustand ab.

Was sollten Privatpersonen vor einer schreibgeschützten Datensicherung beachten?

Wenn ein Datenträger später forensisch untersucht werden soll, sollte er möglichst nicht unnötig weiterverwendet werden.

Bei einem ausgeschalteten externen Speichermedium kann es sinnvoll sein, dieses bis zur fachlichen Sicherung nicht erneut anzuschließen.

Auch eigenständige Reparaturversuche, Formatierungen oder die Installation zusätzlicher Programme können problematisch sein.

Bei eingeschalteten oder verschlüsselten Computersystemen sollte dagegen nicht ohne vorherige Bewertung ein Neustart oder Ausschalten erfolgen.

Besteht gleichzeitig ein akuter Sicherheitsvorfall, müssen notwendige Schutzmaßnahmen berücksichtigt werden.

Wie führt LB Forensik schreibgeschützte Datensicherungen durch?

LB Forensik unterstützt Privatpersonen, Unternehmen, Rechtsanwälte und weitere Auftraggeber bei der professionellen Sicherung und Untersuchung digitaler Beweismittel.

Vor Beginn einer Sicherung wird abhängig vom Untersuchungsauftrag geprüft, welche Datenquelle vorliegt und welches Verfahren technisch geeignet ist.

Bei klassischen Festplatten, SSDs und weiteren kompatiblen Datenträgern können geeignete hardware- oder softwarebasierte Schreibschutzverfahren eingesetzt werden.

Für die Sicherung und anschließende Untersuchung stehen spezialisierte forensische Werkzeuge zur Verfügung.

Bei modernen Smartphones, verschlüsselten Systemen und anderen besonderen Datenquellen werden die jeweiligen technischen Einschränkungen berücksichtigt.

Ein Schwerpunkt liegt auf der nachvollziehbaren Dokumentation der Sicherungsmethode, des erfassten Datenbestands und möglicher Einschränkungen.

Die anschließende Auswertung kann im Rahmen der Computer-Forensik oder weiterer spezialisierter Untersuchungsleistungen erfolgen.

Die LB Detektive GmbH verfügt über ein durch TÜV NORD CERT zertifiziertes Qualitätsmanagementsystem nach DIN EN ISO 9001. Ergänzend besteht personenbezogene Sachverständigenkompetenz nach DIN EN ISO/IEC 17024.

Schreibgeschützte Datensicherung und IT-Forensik deutschlandweit

LB Forensik bietet bundesweit Leistungen zur digitalen Beweissicherung und IT-forensischen Untersuchung an.

Je nach Untersuchungsgegenstand können Datenträger unter kontrollierten Bedingungen gesichert, Geräte zur Untersuchung übernommen oder erforderliche Maßnahmen vor Ort durchgeführt werden.

Weitere Informationen zu unseren regionalen Leistungen finden Sie auf folgenden Stadtseiten:

• IT-Forensik für Karlsruhe
• IT-Forensik für Ingolstadt
• IT-Forensik für Freiburg
• IT-Forensik für Bonn
• IT-Forensik für Esslingen

Weitere Einsatzgebiete finden Sie auf unserer Seite IT-Forensik deutschlandweit.

Häufige Fragen zur schreibgeschützten Datensicherung

Was bedeutet schreibgeschützte Datensicherung einfach erklärt?

Eine schreibgeschützte Datensicherung erfasst Daten, während Schreibzugriffe des Untersuchungssystems auf den ursprünglichen Datenträger möglichst verhindert werden.

Warum wird eine Datensicherung schreibgeschützt durchgeführt?

Damit das Untersuchungssystem den ursprünglichen Datenbestand nicht durch unbeabsichtigte Schreibvorgänge verändert.

Ist eine schreibgeschützte Datensicherung dasselbe wie ein Backup?

Nein. Ein gewöhnliches Backup dient hauptsächlich der Wiederherstellung von Daten. Eine schreibgeschützte forensische Sicherung berücksichtigt zusätzlich den Schutz des Originals und die Nachvollziehbarkeit des Sicherungsvorgangs.

Welche Geräte können schreibgeschützt gesichert werden?

Unter geeigneten Voraussetzungen insbesondere klassische Festplatten, SSDs, USB-Sticks, Speicherkarten und weitere kompatible Datenträger.

Wird für eine schreibgeschützte Datensicherung immer ein Write-Blocker benötigt?

Nein. Abhängig vom Datenträger können unterschiedliche hardware- oder softwarebasierte Schreibschutzverfahren eingesetzt werden.

Kann eine SSD schreibgeschützt gesichert werden?

Ja, sofern ein geeignetes Verfahren verwendet wird. Interne Speicherverwaltungsprozesse der SSD müssen jedoch zusätzlich berücksichtigt werden.

Kann eine NVMe-SSD schreibgeschützt ausgelesen werden?

Ja, wenn eine kompatible Sicherungshardware beziehungsweise ein geeignetes Schreibschutzverfahren zur Verfügung steht.

Kann eine schreibgeschützte Sicherung gelöschte Dateien wiederherstellen?

Die Sicherung selbst stellt keine gelöschten Dateien wieder her. Sie kann jedoch noch zugängliche Datenbereiche erhalten, die anschließend forensisch untersucht werden können.

Kann eine verschlüsselte Festplatte schreibgeschützt gesichert werden?

Ja. Die Sicherung kann allerdings verschlüsselte Daten enthalten. Für die spätere inhaltliche Untersuchung können zusätzliche Zugangsdaten erforderlich sein.

Ist eine schreibgeschützte Datensicherung bei einem iPhone möglich?

Moderne iPhones erfordern gerätespezifische Sicherungsverfahren. Eine klassische vollständige sektorweise Sicherung mit einem Festplatten-Write-Blocker ist nicht grundsätzlich möglich.

Kann ein laufender Computer vollständig unverändert gesichert werden?

Normalerweise nicht. Laufende Betriebssysteme verändern kontinuierlich bestimmte Datenbestände. Notwendige Eingriffe müssen deshalb kontrolliert und dokumentiert werden.

Wie wird die Integrität einer Sicherung überprüft?

Bei geeigneten Datenbeständen können kryptografische Hashwerte berechnet und später mit dokumentierten Referenzwerten verglichen werden.

Ist eine schreibgeschützte Sicherung automatisch vollständig?

Nein. Die Vollständigkeit hängt von der gewählten Sicherungsmethode, dem Datenträgerzustand und möglichen technischen Einschränkungen ab.

Was passiert bei Lesefehlern während der Sicherung?

Lesefehler müssen dokumentiert werden. Abhängig vom Datenträger können angepasste Sicherungsverfahren erforderlich sein.

Kann eine schreibgeschützte Sicherung später erneut untersucht werden?

Ja. Wenn der Datenbestand lesbar und technisch überprüfbar erhalten bleibt, kann er später erneut analysiert werden.

Ist eine schreibgeschützte Datensicherung vor Gericht verwertbar?

Eine nachvollziehbare Sicherung kann die technische Beurteilung digitaler Beweismittel unterstützen. Über die rechtliche Verwertbarkeit und Beweiskraft entscheidet das zuständige Gericht.

Wann sollte eine schreibgeschützte Datensicherung durchgeführt werden?

Insbesondere dann, wenn ein Datenträger später forensisch untersucht werden soll und unnötige Veränderungen des ursprünglichen Datenbestands vermieden werden müssen.

Wer führt professionelle schreibgeschützte Datensicherungen durch?

Auf digitale Beweissicherung spezialisierte IT-Forensiker können geeignete Sicherungsverfahren auswählen, durchführen und nachvollziehbar dokumentieren.

Zurück zur Wissensübersicht