Eine forensische Datensicherung ist die methodisch kontrollierte Sicherung digitaler Daten mit dem Ziel, eine möglichst verlässliche und nachvollziehbare Grundlage für eine spätere Untersuchung zu schaffen. Sie unterscheidet sich von einer gewöhnlichen Datensicherung vor allem dadurch, dass nicht nur der Inhalt erhalten werden soll, sondern auch Herkunft, Integrität, Sicherungsweg und technische Rahmenbedingungen dokumentiert werden.

Im Mittelpunkt steht deshalb nicht die Frage, wie Daten möglichst schnell kopiert werden können. Entscheidend ist vielmehr, welche Datenquelle vorliegt, welche Informationen für den Untersuchungsauftrag relevant sein können und wie sich diese Daten sichern lassen, ohne die Ausgangslage unnötig zu verändern.

Eine forensische Sicherung kann je nach Gerät sehr unterschiedlich aussehen. Bei einer klassischen Festplatte kann eine sektorweise Abbildung sinnvoll sein. Bei einem Smartphone kann dagegen eine Dateisystemextraktion oder eine andere technisch verfügbare Akquisemethode erforderlich sein. Bei einem laufenden Server wiederum kann eine Live-Sicherung notwendig sein. Eine einzige Sicherungsmethode für alle digitalen Beweismittel gibt es nicht.

Was bedeutet forensische Datensicherung genau?

Forensische Datensicherung bedeutet, digitale Daten so zu erfassen, dass sie für eine spätere technische Untersuchung möglichst zuverlässig verwendet werden können. Dazu gehört nicht nur das Kopieren von Dateien. Je nach System können auch Dateisystemstrukturen, Metadaten, nicht unmittelbar sichtbare Bereiche, Systeminformationen, Datenbanken oder weitere technische Artefakte relevant sein.

Eine fachgerechte Sicherung soll vor allem drei Ziele erreichen: den Zustand der Daten möglichst gut bewahren, Veränderungen kontrollieren beziehungsweise minimieren und den gesamten Sicherungsvorgang nachvollziehbar dokumentieren.

Damit wird die Sicherung selbst zu einem Teil der forensischen Methodik. Eine nachträgliche Analyse kann nur so belastbar sein wie die Datengrundlage, auf der sie basiert.

Warum reicht eine normale Kopie nicht immer aus?

Eine normale Dateikopie erfasst in der Regel nur Dateien und Ordner, die vom Betriebssystem sichtbar und zugänglich sind. Für viele Alltagssituationen ist das vollkommen ausreichend. Für eine forensische Untersuchung kann dies jedoch zu wenig sein.

Bei einer einfachen Kopie können Informationen verloren gehen, die für die Rekonstruktion eines Sachverhalts relevant sein könnten. Dazu zählen je nach System beispielsweise Dateisysteminformationen, gelöschte Dateireferenzen, nicht zugeordnete Speicherbereiche, bestimmte Metadaten oder Spuren früherer Nutzung.

Außerdem kann bereits das normale Öffnen, Kopieren oder Verschieben von Dateien Zeitstempel oder andere Systeminformationen verändern. Eine forensische Datensicherung berücksichtigt deshalb nicht nur den sichtbaren Inhalt, sondern auch die technische Art und Weise, wie Daten gesichert werden.

Was ist der Unterschied zwischen Backup und forensischer Datensicherung?

Ein Backup dient in erster Linie der Wiederherstellung von Daten nach Verlust, Beschädigung oder Ausfall. Es soll ermöglichen, den normalen Geschäftsbetrieb oder die persönliche Datennutzung wieder aufzunehmen.

Eine forensische Datensicherung verfolgt ein anderes Ziel. Hier steht die spätere Untersuchung im Mittelpunkt. Deshalb können auch Informationen relevant sein, die für ein normales Backup keine Bedeutung haben.

• Backups konzentrieren sich meist auf nutzbare Dateien und Systeme.
• Forensische Sicherungen können zusätzliche technische Strukturen erfassen.
• Bei einer forensischen Sicherung ist die Dokumentation des Sicherungsvorgangs wesentlich.
• Integritätsprüfungen spielen eine größere Rolle.
• Der Umgang mit dem Original wird stärker kontrolliert.
• Die spätere Nachvollziehbarkeit der Datenherkunft ist zentral.

Ein vorhandenes Backup kann dennoch eine wertvolle forensische Datenquelle sein. Es ersetzt aber nicht automatisch eine gezielte forensische Sicherung des ursprünglichen Systems.

Was ist eine forensische Kopie?

Der Begriff „forensische Kopie“ wird unterschiedlich verwendet. Im engeren Sinn kann damit eine möglichst vollständige Kopie eines Datenträgers gemeint sein, die für die spätere Untersuchung genutzt wird. Häufig wird dafür ein forensisches Image erstellt.

Wichtig ist, den Begriff nicht zu pauschal zu verwenden. Bei einer klassischen Festplatte kann eine sektorweise Abbildung technisch sinnvoll sein. Bei modernen Smartphones, verschlüsselten Systemen oder Cloud-Diensten existiert dagegen keine identische Form einer klassischen Festplattenkopie.

Deshalb sollte immer konkret beschrieben werden, welche Art der Sicherung tatsächlich durchgeführt wurde.

Was ist ein forensisches Image?

Ein forensisches Image ist eine strukturierte Abbildung eines Datenträgers oder Datenbestands, die anschließend untersucht werden kann. Bei klassischen Datenträgern kann es sich um eine sektorweise Erfassung des adressierbaren Speichers handeln.

Je nach verwendetem Format können zusätzlich Metadaten zur Sicherung, Prüfsummen, Kompression oder Segmentierung enthalten sein. Das Image dient danach als Untersuchungsgrundlage, sodass das Original möglichst nicht für jede Analyse erneut verwendet werden muss.

Ein forensisches Image ist jedoch kein magischer Begriff für „perfekte Kopie“. Die tatsächliche Vollständigkeit hängt davon ab, welche Bereiche technisch erreichbar waren und welches Sicherungsverfahren verwendet wurde.

Was bedeutet „bitweise“ oder „sektorweise“ Sicherung?

Bei einer sektorweisen Sicherung wird der adressierbare Speicher eines Datenträgers Block für Block gelesen. Anders als bei einer normalen Dateikopie wird dabei nicht nur auf die logisch sichtbaren Dateien zurückgegriffen.

Dadurch können unter bestimmten Voraussetzungen auch Dateisystemstrukturen, nicht zugeordnete Speicherbereiche oder Fragmente gelöschter Daten in der Sicherung enthalten sein.

Gerade bei klassischen Festplatten kann dies für eine spätere Rekonstruktion sehr relevant sein. Bei SSDs und Flash-Speichern gelten allerdings zusätzliche technische Einschränkungen, insbesondere durch Speicherverwaltung, TRIM und interne Controllerlogik.

Ist eine 1:1-Kopie wirklich immer 1:1?

Der Begriff „1:1-Kopie“ wird häufig verwendet, kann aber missverständlich sein. Bei einem klassischen, direkt adressierbaren Datenträger kann eine sektorweise Kopie sehr nahe an einer vollständigen Abbildung des zugänglichen Speichers liegen.

Bei modernen Speichersystemen ist die Situation komplexer. SSD-Controller verwalten Speicherzellen intern, defekte Bereiche werden umgemappt und bestimmte physische Bereiche sind für das Betriebssystem nicht direkt sichtbar. Auch bei Smartphones besteht zwischen logischer Datenebene und physischem Speicher ein deutlicher Unterschied.

Deshalb ist die Aussage „1:1-Kopie“ nur dann sinnvoll, wenn klar beschrieben wird, auf welcher technischen Ebene die Kopie erstellt wurde.

Welche Arten forensischer Datensicherung gibt es?

Die geeignete Sicherungsart hängt von Gerät, Betriebssystem, Sicherheitszustand und Fragestellung ab. In der Praxis werden verschiedene Verfahren eingesetzt.

Logische Sicherung

Bei einer logischen Sicherung werden Daten erfasst, die über das Betriebssystem, eine Schnittstelle oder eine Anwendung zugänglich sind. Dazu können Dateien, Kontakte, Nachrichten, Dokumente oder andere logisch bereitgestellte Daten gehören.

Diese Methode kann schnell und technisch schonend sein, erfasst aber in der Regel nicht alle tieferliegenden Datenstrukturen.

Dateisystem-Sicherung

Eine Dateisystem-Sicherung erfasst nicht nur ausgewählte sichtbare Dateien, sondern größere Teile der Dateisystemstruktur. Besonders bei mobilen Geräten kann dies gegenüber einer rein logischen Sicherung erheblich mehr Artefakte liefern.

Welche Daten tatsächlich enthalten sind, hängt von Gerät, Betriebssystem und Zugriffsmethode ab.

Physische oder sektorweise Sicherung

Bei geeigneten Datenträgern kann der adressierbare Speicher sektorweise erfasst werden. Dieses Verfahren kann zusätzliche Informationen enthalten, die in einer normalen Dateikopie nicht verfügbar wären.

Bei modernen verschlüsselten Geräten und Smartphones ist eine solche Sicherung jedoch nicht immer technisch verfügbar oder sinnvoll interpretierbar.

Live-Sicherung

Bei einer Live-Sicherung wird ein laufendes System untersucht oder gesichert. Dies kann beispielsweise erforderlich sein, wenn Daten nur im laufenden Zustand entschlüsselt zugänglich sind oder flüchtige Informationen erfasst werden sollen.

Der Nachteil besteht darin, dass jeder Zugriff auf ein laufendes System Veränderungen verursacht. Diese lassen sich nicht vollständig vermeiden und müssen daher kontrolliert und dokumentiert werden.

Cloud-Sicherung

Cloud-Daten können je nach Dienst über exportierte Datenbestände, APIs, lokale Synchronisationsdaten oder andere Zugriffsmöglichkeiten gesichert werden.

Auch hier muss dokumentiert werden, auf welchem Weg die Daten gewonnen wurden und welchen Umfang die Sicherung tatsächlich abbildet.

Wann wird ein Write Blocker eingesetzt?

Ein Write-Blocker soll verhindern, dass ein Untersuchungscomputer Daten auf einen angeschlossenen Datenträger schreibt. Bei klassischen Festplatten, USB-Datenträgern oder anderen geeigneten Medien kann dies ein wichtiger Bestandteil der Sicherung sein.

Hardware-Write-Blocker sitzen physisch zwischen Datenträger und Forensiksystem. Softwarebasierte Lösungen versuchen Schreibzugriffe auf Betriebssystemebene zu verhindern.

Ein Write-Blocker ist jedoch kein universelles Werkzeug für jedes Gerät. Bei Smartphones, laufenden Systemen, fest verlöteten Speichern oder bestimmten modernen Datenträgern sind andere Sicherungsstrategien erforderlich.

Warum ist der Zustand des Geräts vor der Sicherung so wichtig?

Der Zustand eines Geräts kann die gesamte Sicherungsstrategie beeinflussen. Ein ausgeschalteter, verschlüsselter Computer stellt andere Anforderungen als ein bereits gestartetes und entsperrtes System.

Bei einem laufenden Gerät können Schlüssel, entschlüsselte Datenträger, aktive Netzwerkverbindungen oder temporäre Informationen verfügbar sein, die nach einem Ausschalten verloren gehen.

Andererseits verändert jeder weitere Betrieb eines Systems Daten. Deshalb ist die Entscheidung zwischen sofortigem Ausschalten, Live-Sicherung oder kontrollierter Weiterverwendung eine fachliche Abwägung und keine Standardentscheidung.

Warum sollte ein eingeschaltetes Gerät nicht reflexartig ausgeschaltet werden?

Der häufig gegebene Rat, ein Gerät bei einem Verdachtsfall sofort auszuschalten, ist nicht in jeder Situation richtig. Bei einem verschlüsselten Computer kann ein Ausschalten dazu führen, dass der Datenträger anschließend ohne Zugangsdaten nicht mehr zugänglich ist.

Auch flüchtige Informationen im Arbeitsspeicher gehen verloren. Bei einem laufenden Cyberangriff kann wiederum ein Weiterbetrieb zusätzliche Schäden verursachen.

Die richtige Maßnahme hängt deshalb von der konkreten Situation ab. Gerade bei wichtigen Beweismitteln sollte nicht schematisch gehandelt werden.

Welche Bedeutung hat der Arbeitsspeicher?

Arbeitsspeicher ist flüchtig. Wird ein System ausgeschaltet, gehen seine Inhalte in der Regel verloren. In bestimmten Untersuchungen können sich dort jedoch relevante Informationen befinden.

Dazu können laufende Prozesse, Netzwerkverbindungen, entschlüsselte Datenbestandteile oder andere temporäre Informationen gehören.

Bei bestimmten Fällen kann deshalb eine Arbeitsspeichersicherung vor dem Ausschalten sinnvoll sein. Sie ist jedoch eine aktive Maßnahme und verändert das System. Auch hier muss abgewogen werden, ob der mögliche Erkenntnisgewinn den Eingriff rechtfertigt.

Wie wird ein Windows-PC forensisch gesichert?

Bei einem ausgeschalteten Windows-PC kann je nach Hardware eine direkte Sicherung des Datenträgers möglich sein. Bei klassischen SATA- oder NVMe-Speichern können verschiedene forensische Hardware- und Softwareverfahren eingesetzt werden.

Ist der Computer eingeschaltet und der Datenträger verschlüsselt, kann dagegen eine Live-Sicherung sinnvoll sein. Welche Methode gewählt wird, hängt unter anderem von BitLocker, Hardwarekonfiguration, Gerätezustand und Untersuchungsziel ab.

Eine pauschale Aussage wie „Festplatte ausbauen und kopieren“ kann deshalb bei modernen Systemen zu kurz greifen.

Wie wird ein Mac forensisch gesichert?

Moderne Macs unterscheiden sich technisch deutlich von älteren Computern mit einfach ausbaubaren Festplatten. Bei aktuellen Apple-Systemen können SSD, Sicherheitsarchitektur und Verschlüsselung eng miteinander verbunden sein.

FileVault und hardwarebasierte Sicherheitsfunktionen beeinflussen die Zugriffsmöglichkeiten erheblich. Bei Apple-Silicon-Systemen kann ein klassischer Ausbau des Speichermediums praktisch ausscheiden.

Die Sicherungsstrategie muss daher an das konkrete Mac-Modell, den Einschaltzustand und die vorhandenen Zugangsmöglichkeiten angepasst werden.

Wie wird ein Smartphone forensisch gesichert?

Bei Smartphones spricht man häufig eher von Datenextraktion als von klassischem Imaging. Moderne iPhones und Android-Geräte sind stark verschlüsselt und besitzen komplexe Sicherheitsarchitekturen.

Je nach Gerät können unterschiedliche Extraktionsarten verfügbar sein. Eine logische Sicherung liefert beispielsweise einen anderen Datenumfang als eine Dateisystemextraktion.

Bei Smartphones ist außerdem relevant, ob das Gerät gesperrt oder entsperrt ist und in welchem Sicherheitszustand es sich befindet. Bereits ein Neustart kann die Zugriffsmöglichkeiten verändern.

Was bedeutet BFU und AFU bei Smartphones?

Bei modernen Smartphones wird häufig zwischen dem Zustand vor der ersten Entsperrung nach einem Neustart und dem Zustand nach einer erfolgreichen Entsperrung unterschieden. In der Fachsprache werden dafür häufig die Begriffe „Before First Unlock“ und „After First Unlock“ verwendet.

Dieser Unterschied kann entscheidend sein, weil bestimmte kryptografische Schlüssel und Datenzugriffe erst nach einer erfolgreichen Benutzerentsperrung verfügbar werden.

Deshalb kann ein unnötiger Neustart eines bereits entsperrten Smartphones die forensischen Möglichkeiten erheblich verändern.

Wie werden externe Festplatten und USB-Sticks gesichert?

Bei externen Datenträgern ist häufig eine direkte sektorweise Sicherung möglich. Ein Write-Blocker kann dabei verhindern, dass der Untersuchungsrechner auf das Original schreibt.

Vor der Sicherung sollten Hersteller, Modell, Seriennummer, Speicherkapazität und sichtbarer Zustand dokumentiert werden.

Nach Abschluss der Sicherung kann ein Hashwert berechnet und protokolliert werden, um die Integrität der erzeugten Kopie später zu überprüfen.

Wie werden SSDs forensisch gesichert?

SSDs können grundsätzlich forensisch gesichert werden, unterscheiden sich aber technisch erheblich von klassischen magnetischen Festplatten. Interne Controller, Wear Leveling, Garbage Collection und TRIM beeinflussen, welche Datenbereiche tatsächlich verfügbar sind.

Eine sektorweise Kopie kann den aktuell adressierbaren Datenbestand erfassen. Sie bedeutet jedoch nicht, dass sämtliche jemals auf den Flash-Zellen gespeicherten Informationen zugänglich sind.

Gerade bei gelöschten Daten ist dies entscheidend. TRIM kann dazu führen, dass freigegebene Speicherbereiche nicht mehr sinnvoll rekonstruiert werden können.

Warum ist TRIM bei einer Sicherung relevant?

TRIM informiert eine SSD darüber, welche Speicherbereiche vom Betriebssystem nicht mehr benötigt werden. Der Controller kann diese Bereiche anschließend intern bereinigen.

Dadurch können gelöschte Daten auf SSDs schneller endgültig verloren gehen als auf klassischen Festplatten.

Die weitere Nutzung eines Systems nach einer Datenlöschung kann deshalb die Chancen einer späteren Rekonstruktion weiter reduzieren.

Welche Rolle spielen Hashwerte bei einer forensischen Sicherung?

Hashwerte werden eingesetzt, um die Integrität einer gesicherten Datenmenge zu überprüfen. Aus den Daten wird mithilfe eines kryptografischen Verfahrens ein Prüfwert berechnet.

Wird später dieselbe Datenmenge erneut gehasht und entsteht derselbe Wert, spricht dies dafür, dass sich die betreffenden Daten seit der ursprünglichen Berechnung nicht verändert haben.

Hashwerte sollten jedoch korrekt interpretiert werden. Sie beweisen nicht, wer die Daten erstellt hat, ob der Inhalt wahr ist oder wann eine Datei entstanden ist. Sie dienen primär der Integritätskontrolle.

Welcher Hash-Algorithmus wird verwendet?

In der digitalen Forensik wurden historisch unter anderem MD5 und SHA-1 verwendet. Für moderne Integritätsprüfungen werden häufig stärkere Verfahren wie SHA-256 eingesetzt.

Die Wahl des Verfahrens sollte nachvollziehbar dokumentiert werden. In bestimmten Workflows können auch mehrere Hashwerte parallel berechnet werden.

Wichtiger als die bloße Nennung eines Algorithmus ist, dass klar dokumentiert wird, welche Datenmenge gehasht wurde und zu welchem Zeitpunkt.

Was wird bei einer forensischen Datensicherung dokumentiert?

Die Dokumentation sollte ermöglichen, den Sicherungsvorgang später nachvollziehen zu können. Welche Angaben erforderlich sind, hängt vom konkreten Fall ab.

• Bezeichnung des Beweismittels
• Hersteller und Modell
• Seriennummer oder andere Identifikationsmerkmale
• Speicherkapazität
• äußerer Zustand
• Einschaltzustand
• Datum und Uhrzeit der Übernahme
• Datum und Uhrzeit der Sicherung
• verwendete Sicherungsmethode
• eingesetzte Hardware und Software
• relevante Versionsstände
• verwendetes Image-Format
• berechnete Hashwerte
• aufgetretene Fehler oder Lesefehler
• besondere technische Umstände

Warum müssen Fehler bei der Sicherung dokumentiert werden?

Nicht jeder Datenträger lässt sich vollständig fehlerfrei lesen. Beschädigte Sektoren, defekte Speicherzellen, instabile Hardware oder Schnittstellenprobleme können dazu führen, dass einzelne Bereiche nicht erfasst werden können.

Solche Fehler dürfen nicht verborgen bleiben. Sie können die spätere Aussagekraft beeinflussen und müssen deshalb im Sicherungsprotokoll dokumentiert werden.

Eine transparente Sicherung ist fachlich wertvoller als eine scheinbar perfekte Sicherung, bei der technische Probleme nicht nachvollziehbar festgehalten wurden.

Was ist eine Arbeitskopie?

Nach der eigentlichen forensischen Sicherung kann eine zusätzliche Arbeitskopie erstellt werden. Auf dieser Kopie erfolgt dann die Analyse.

Das ursprüngliche Image kann unverändert archiviert werden. Sollte während der Analyse eine Datei verändert oder eine Software versehentlich schreibend arbeiten, bleibt die ursprüngliche Sicherung erhalten.

Dieses Vorgehen kann die Nachvollziehbarkeit und Wiederholbarkeit einer Untersuchung verbessern.

Warum sollte nicht direkt auf dem Original gearbeitet werden?

Jeder direkte Zugriff auf ein Original birgt das Risiko von Veränderungen. Betriebssysteme können automatisch Metadaten schreiben, Indexdateien anlegen oder Zeitstempel verändern.

Wenn technisch möglich, wird deshalb zunächst eine geeignete Sicherung erstellt und die Analyse anschließend auf einer Kopie durchgeführt.

Bei Smartphones und Live-Systemen ist ein Zugriff auf das Original allerdings häufig unvermeidbar. In diesen Fällen muss die Vorgehensweise entsprechend angepasst und dokumentiert werden.

Was ist eine Live-Akquise?

Eine Live-Akquise ist die Sicherung von Daten aus einem laufenden System. Sie wird eingesetzt, wenn bestimmte Informationen nur im aktiven Zustand verfügbar sind.

Dazu können beispielsweise entschlüsselte Laufwerke, flüchtige Speicherinhalte, aktive Prozesse oder Netzwerkverbindungen gehören.

Der wesentliche Nachteil besteht darin, dass die Sicherung selbst das System verändert. Jeder ausgeführte Befehl und jedes gestartete Werkzeug erzeugt neue Spuren. Eine Live-Akquise muss deshalb besonders sorgfältig geplant und dokumentiert werden.

Wann ist eine Live-Sicherung sinnvoll?

Eine Live-Sicherung kann beispielsweise dann sinnvoll sein, wenn ein verschlüsseltes Laufwerk bereits entsperrt ist und nach einem Ausschalten möglicherweise nicht mehr zugänglich wäre.

Auch bei laufenden Servern, virtuellen Systemen oder einem aktiven Cyberangriff kann eine Live-Akquise erforderlich sein.

Die Entscheidung ist immer eine Abwägung zwischen dem Schutz des bestehenden Zustands und dem möglichen Verlust wichtiger flüchtiger Daten.

Wie werden Cloud-Daten beweissicher gesichert?

Cloud-Daten stellen besondere Anforderungen, weil sich die Daten nicht auf einem physisch kontrollierten Datenträger befinden müssen. Der tatsächliche Speicherort kann außerhalb des direkten Einflussbereichs des Untersuchers liegen.

Je nach Dienst können Exportfunktionen, Programmierschnittstellen, Synchronisationsordner, lokale Cache-Daten oder administrative Protokolle genutzt werden.

Besonders wichtig ist die Dokumentation des Abrufzeitpunkts, verwendeten Kontos, Zugriffspfads und Datenumfangs. Da Cloud-Inhalte dynamisch verändert werden können, ist der zeitliche Bezug der Sicherung von besonderer Bedeutung.

Kann eine forensische Sicherung vollständig unverändert sein?

Bei bestimmten klassischen Datenträgern kann eine schreibgeschützte Sicherung sehr nah an diesem Ideal liegen. Für alle digitalen Systeme lässt sich eine absolute Veränderungsfreiheit jedoch nicht garantieren.

Bei einem Smartphone können bereits Entsperrung, Extraktion oder Systemkommunikation Veränderungen erzeugen. Bei einer Live-Sicherung eines Computers entstehen durch die eingesetzten Werkzeuge ebenfalls neue Daten.

Die fachlich richtige Aussage lautet deshalb nicht „Es wurde nichts verändert“, sondern vielmehr, welche Veränderungen vermieden wurden, welche technisch unvermeidbar waren und wie diese dokumentiert wurden.

Kann eine falsche Sicherung Beweise zerstören?

Ja. Fehlerhafte Maßnahmen können relevante Daten verändern oder dauerhaft unzugänglich machen.

Besonders problematisch können eine Neuinstallation, ein Zurücksetzen des Geräts, eine Systembereinigung, Datenrettungssoftware auf dem Originaldatenträger oder die weitere intensive Nutzung eines Systems sein.

Bei SSDs und Smartphones können dadurch zuvor noch vorhandene gelöschte Daten endgültig verloren gehen. Deshalb sollte vor größeren Eingriffen geprüft werden, ob eine forensische Sicherung erforderlich ist.

Warum sollte Datenrettungssoftware nicht auf dem Original installiert werden?

Wer versehentlich gelöschte Daten wiederherstellen möchte, installiert häufig direkt auf dem betroffenen Computer eine Datenrettungssoftware. Genau dies kann problematisch sein.

Die Installation erzeugt neue Dateien und kann freie Speicherbereiche überschreiben. Dort könnten sich jedoch noch Fragmente der gelöschten Daten befinden.

Aus forensischer Sicht sollte ein relevanter Datenträger deshalb möglichst zuerst gesichert werden, bevor Wiederherstellungsversuche stattfinden.

Was passiert, wenn ein Datenträger beschädigt ist?

Bei physisch oder logisch beschädigten Datenträgern muss die Sicherungsstrategie angepasst werden. Wiederholte normale Leseversuche können einen instabilen Datenträger zusätzlich belasten.

In solchen Fällen kann eine priorisierte oder fehlertolerante Sicherung sinnvoll sein, bei der zunächst möglichst viele lesbare Bereiche erfasst werden.

Bei schwerwiegenden physischen Schäden kann spezialisierte Datenrettung erforderlich sein. Die forensische Zielsetzung sollte dabei vor Beginn der Maßnahmen klar kommuniziert werden.

Wie viel Speicherplatz benötigt eine forensische Sicherung?

Der Speicherbedarf kann erheblich sein. Eine sektorweise Sicherung einer 4-TB-Festplatte kann grundsätzlich mehrere Terabyte Speicherplatz beanspruchen. Hinzu kommen Arbeitskopien, exportierte Daten, Analyseindizes und Berichte.

Bei mehreren Geräten kann der tatsächliche Speicherbedarf deshalb deutlich über der Summe der nominellen Gerätegrößen liegen.

Eine professionelle Forensikumgebung muss diesen Bedarf bereits vor der Sicherung berücksichtigen und ausreichend sicheren Speicher bereitstellen.

Wie werden forensische Sicherungen aufbewahrt?

Forensische Sicherungen können hochsensible personenbezogene und geschäftliche Daten enthalten. Entsprechend hoch sind die Anforderungen an Zugriffsschutz und sichere Speicherung.

Je nach Schutzbedarf können verschlüsselte Speichersysteme, getrennte Zugriffsrechte, Protokollierung und physische Sicherungsmaßnahmen erforderlich sein.

Ebenso sollte geregelt werden, wie lange Daten aufbewahrt werden und wann sie gelöscht oder an den Auftraggeber zurückgegeben werden.

Wie wird die Identität eines Datenträgers sichergestellt?

Ein wichtiger Teil der Beweismitteldokumentation ist die eindeutige Zuordnung des untersuchten Geräts. Dazu werden nach Möglichkeit eindeutige Identifikationsmerkmale erfasst.

Hersteller, Modell, Seriennummer, Kapazität und weitere technische Informationen können dabei helfen, Verwechslungen zu vermeiden.

Bei mehreren ähnlich aussehenden Geräten ist eine eindeutige Kennzeichnung besonders wichtig.

Was bedeutet „Chain of Custody“ bei einer Datensicherung?

Die Chain of Custody beschreibt die nachvollziehbare Beweismittelkette. Sie dokumentiert, wer ein Gerät zu welchem Zeitpunkt übernommen, gesichert, untersucht, aufbewahrt oder weitergegeben hat.

Die technische Qualität einer Sicherung allein genügt nicht, wenn später unklar ist, von welchem Original die Daten stammen oder wer Zugriff darauf hatte.

Eine saubere Beweismittelkette verbindet daher die technische Sicherung mit einer nachvollziehbaren organisatorischen Dokumentation.

Wann sollte eine forensische Datensicherung durchgeführt werden?

Eine forensische Sicherung ist insbesondere dann sinnvoll, wenn digitale Daten später für eine technische Rekonstruktion oder rechtliche Bewertung relevant werden könnten.

• Verdacht auf Datendiebstahl
• Verdacht auf unbefugte Datenkopien
• Ausscheiden eines Mitarbeiters bei konkretem Verdachtsfall
• Löschung wichtiger Unternehmensdaten
• Verdacht auf Manipulation
• Cyberangriff oder Malware-Vorfall
• mögliche Beweismittel auf einem Smartphone
• rechtliche Auseinandersetzungen
• Verdacht auf unberechtigte Kontozugriffe
• Untersuchung von E-Mails oder Messenger-Daten
• mögliche Wiederherstellung gelöschter Dateien

Wann ist eine vollständige Sicherung nicht sinnvoll?

Nicht jede Untersuchung erfordert zwangsläufig eine vollständige sektorweise Sicherung sämtlicher vorhandener Systeme. Bei sehr großen Infrastrukturen, Serverlandschaften oder Cloud-Umgebungen kann ein gezielter Sicherungsansatz sinnvoller sein.

Entscheidend ist die Fragestellung. Wenn nur ein eng begrenzter Datenbestand relevant ist, kann eine kontrollierte selektive Sicherung ausreichen, sofern dadurch keine für den Auftrag wesentlichen Informationen verloren gehen.

Forensik bedeutet daher nicht automatisch, möglichst viele Daten zu sammeln. Eine gute Sicherungsstrategie erfasst die Daten, die für eine nachvollziehbare Untersuchung erforderlich sind.

Was sind typische Fehler bei einer forensischen Datensicherung?

• direktes Arbeiten auf dem Original ohne Notwendigkeit
• fehlende Dokumentation des Ausgangszustands
• keine eindeutige Geräteidentifikation
• unnötiges Starten oder Neustarten eines Geräts
• Ausschalten eines bereits entschlüsselten Systems ohne vorherige Prüfung
• Installation von Datenrettungssoftware auf dem betroffenen Datenträger
• fehlende Integritätskontrolle
• unklare Bezeichnung der Sicherungsmethode
• unzureichender Speicherplatz während der Sicherung
• Nichtdokumentation von Lesefehlern
• Vermischung von Original, Sicherung und Arbeitskopie
• fehlende Zugriffskontrolle auf sensible Sicherungsdaten

Praxisbeispiel: Verdacht auf Datenkopie vor Kündigung

Ein Unternehmen vermutet, dass ein Mitarbeiter kurz vor seinem Ausscheiden vertrauliche Projekt- und Kundendaten kopiert hat. Der betreffende Firmenlaptop wird noch täglich verwendet.

Würde der Rechner mehrere Wochen weiterbetrieben, könnten relevante Systeminformationen überschrieben werden. Wird dagegen sofort unkontrolliert nach verdächtigen Dateien gesucht, entstehen ebenfalls neue Spuren.

Eine sinnvolle Vorgehensweise kann darin bestehen, den Zustand zu dokumentieren und zunächst eine geeignete forensische Sicherung zu erstellen. Anschließend kann auf der Sicherung untersucht werden, welche USB-Geräte angeschlossen waren, welche Dateien in dem relevanten Zeitraum verwendet wurden und ob weitere technische Hinweise auf Datenübertragungen vorhanden sind.

Der Mehrwert der forensischen Sicherung besteht hier nicht nur darin, Dateien zu kopieren. Sie friert den für die Untersuchung relevanten Datenbestand soweit technisch möglich zu einem bestimmten Zeitpunkt ein und ermöglicht eine spätere Analyse, ohne den Firmenlaptop fortlaufend als primäre Untersuchungsquelle verwenden zu müssen.

Praxisbeispiel: Gelöschte Dateien auf einer SSD

Ein Benutzer bemerkt, dass wichtige Dateien auf einem Notebook gelöscht wurden, und arbeitet anschließend mehrere Tage normal weiter. Das Gerät besitzt eine moderne SSD.

Jeder weitere Schreibvorgang kann die Chancen auf eine Rekonstruktion reduzieren. Zusätzlich können TRIM und interne Speicherbereinigung freigegebene Bereiche verändern.

Eine frühzeitige Sicherung kann deshalb entscheidend sein. Sie garantiert nicht, dass gelöschte Daten wiederhergestellt werden können, verhindert aber zumindest, dass durch weitere normale Nutzung unnötig zusätzliche Veränderungen entstehen.

Praxisbeispiel: Eingeschalteter Mac mit FileVault

Ein eingeschalteter Mac ist entsperrt und der Benutzer ist angemeldet. Der interne Speicher ist mit FileVault geschützt.

Ein reflexartiges Ausschalten kann dazu führen, dass die Daten anschließend nur noch mit den erforderlichen Zugangsdaten entschlüsselt werden können. In bestimmten Situationen kann deshalb eine kontrollierte Sicherung im laufenden Zustand sinnvoller sein als das sofortige Herunterfahren.

Dieses Beispiel zeigt, warum pauschale Regeln bei digitaler Beweissicherung problematisch sind. Der Gerätezustand ist Teil der Beweissituation und muss vor einer Maßnahme berücksichtigt werden.

Praxisbeispiel: Smartphone mit relevanten Messenger-Daten

Auf einem Smartphone sollen Nachrichten und App-Daten untersucht werden. Das Gerät ist eingeschaltet und entsperrt.

Ein Neustart kann den Sicherheitszustand verändern und bestimmte Datenzugriffe erschweren. Gleichzeitig kann jede weitere normale Nutzung neue Daten erzeugen.

Die richtige Vorgehensweise besteht daher nicht zwangsläufig darin, das Gerät auszuschalten oder weiterzuverwenden. Zunächst muss geprüft werden, welcher Gerätezustand vorliegt und welche Extraktionsmöglichkeiten für das konkrete Modell und Betriebssystem bestehen.

Häufige Fragen zur forensischen Datensicherung

Ist eine forensische Sicherung immer eine vollständige Kopie?

Nein. Der Umfang hängt vom Gerät und dem verwendeten Verfahren ab. Eine sektorweise Sicherung einer Festplatte kann sehr umfassend sein, während eine logische Smartphone-Extraktion nur bestimmte zugängliche Daten enthält.

Kann eine forensische Sicherung gelöschte Daten enthalten?

Unter bestimmten Voraussetzungen ja. Bei einer sektorweisen Sicherung können auch nicht zugeordnete Speicherbereiche enthalten sein. Ob sich daraus gelöschte Daten rekonstruieren lassen, hängt jedoch vom Speichermedium und dessen Zustand ab.

Muss immer ein Write-Blocker verwendet werden?

Nein. Write-Blocker sind bei geeigneten Datenträgern sinnvoll, aber nicht bei jedem Gerät einsetzbar. Smartphones, laufende Systeme oder fest verbaute Speicher erfordern andere Verfahren.

Verändert die Sicherung das Original?

Bei klassischen Datenträgern kann eine schreibgeschützte Sicherung Veränderungen weitgehend vermeiden. Bei Smartphones oder Live-Systemen sind technisch bedingte Änderungen nicht immer vollständig auszuschließen.

Warum werden Hashwerte berechnet?

Hashwerte ermöglichen eine spätere Integritätskontrolle der gesicherten Daten. Sie helfen zu prüfen, ob eine Datenmenge seit der Berechnung verändert wurde.

Kann eine normale Windows-Kopie als forensische Sicherung verwendet werden?

Für eine einfache Dokumentensicherung möglicherweise. Für eine umfassende forensische Untersuchung ist eine normale Dateikopie häufig nicht ausreichend, weil zusätzliche Dateisystem- und Speicherinformationen verloren gehen können.

Kann eine Sicherung später erneut untersucht werden?

Ja. Genau darin liegt ein großer Vorteil. Eine korrekt archivierte forensische Sicherung kann später erneut mit anderen Werkzeugen oder unter einer neuen Fragestellung analysiert werden, ohne das Original erneut verwenden zu müssen.

Wie lange muss eine forensische Sicherung aufbewahrt werden?

Dafür gibt es keine pauschale Frist für jeden Fall. Aufbewahrungsdauer, rechtlicher Zweck, Datenschutz und vertragliche Vereinbarungen müssen berücksichtigt werden.

Der eigentliche Wert liegt in der Qualität der Sicherung

Eine spätere Analyse kann nur so zuverlässig sein wie die Datengrundlage, auf der sie durchgeführt wird. Deshalb gehört die forensische Datensicherung zu den wichtigsten Schritten einer digitalen Untersuchung.

Eine gute Sicherung erfasst nicht einfach möglichst viele Daten. Sie berücksichtigt den technischen Zustand des Systems, wählt eine geeignete Akquisemethode, dokumentiert notwendige Eingriffe und sorgt dafür, dass die Herkunft und Integrität der Untersuchungsdaten später nachvollzogen werden können.

Gerade bei modernen Smartphones, SSDs, verschlüsselten Computern und Cloud-Systemen gibt es keine universelle Methode. Fachgerechte digitale Forensik bedeutet deshalb, für jedes Beweismittel diejenige Sicherungsstrategie zu wählen, die den technischen Gegebenheiten und der konkreten Fragestellung am besten entspricht.