Eine forensische Untersuchung läuft in mehreren klar voneinander abgegrenzten Schritten ab. Am Anfang steht die konkrete Fragestellung. Danach werden mögliche digitale Beweismittel identifiziert, dokumentiert und gesichert. Erst auf dieser Grundlage erfolgt die technische Analyse. Anschließend werden die relevanten Befunde bewertet, zeitliche Zusammenhänge rekonstruiert und die Ergebnisse nachvollziehbar dokumentiert.

Der genaue Ablauf hängt davon ab, welches Gerät untersucht wird, welche Datenquellen vorhanden sind und welche Fragestellung beantwortet werden soll. Ein Smartphone erfordert andere Sicherungs- und Extraktionsverfahren als ein Windows-PC, eine SSD, ein Server oder ein Cloud-Konto. Trotzdem folgen professionelle Untersuchungen bestimmten Grundprinzipien.

Entscheidend ist, dass nicht vorschnell mit der Analyse begonnen wird. Eine fachgerechte digitale Forensik beginnt bereits mit der Planung der Untersuchung und dem kontrollierten Umgang mit dem Ausgangsmaterial.

1. Die Fragestellung wird definiert

Vor jeder technischen Untersuchung muss zunächst geklärt werden, was überhaupt festgestellt werden soll. Eine unspezifische Anweisung wie „prüfen Sie alles“ ist bei umfangreichen digitalen Systemen fachlich wenig sinnvoll. Moderne Computer und Smartphones können Millionen Dateien, Systeminformationen, Datenbanken und technische Artefakte enthalten.

Eine konkrete Fragestellung kann beispielsweise lauten, ob ein bestimmter USB-Stick an einen Computer angeschlossen wurde, ob vor einer Kündigung Dateien kopiert oder gelöscht wurden, ob sich Hinweise auf einen unbefugten Zugriff finden oder ob bestimmte Nachrichten auf einem Smartphone technisch noch vorhanden sind.

Die Fragestellung bestimmt, welche Datenquellen relevant sind, welche Sicherungsmethode gewählt wird und wie weit die Analyse gehen muss. Sie hilft zugleich, unnötige Eingriffe in nicht relevante Datenbestände zu vermeiden.

2. Relevante Geräte und Datenquellen werden identifiziert

Im nächsten Schritt wird geprüft, welche Geräte, Datenträger oder Konten für die Untersuchung relevant sein könnten. Dazu können Computer, Notebooks, Smartphones, Tablets, externe Festplatten, USB-Sticks, Speicherkarten, Server, NAS-Systeme, E-Mail-Postfächer oder Cloud-Dienste gehören.

In Unternehmen kann zusätzlich relevant sein, welche Benutzerkonten, Netzwerkfreigaben, Logdateien oder Backup-Systeme vorhanden sind. Bei Smartphones können neben dem Gerät selbst auch lokale Backups, Cloud-Daten oder verbundene Konten eine Rolle spielen.

Bereits in dieser Phase ist Vorsicht erforderlich. Werden Geräte unkontrolliert benutzt, gestartet oder verändert, können bestehende Spuren verändert werden. Welche Maßnahmen richtig sind, hängt stark vom konkreten Systemzustand ab.

3. Der Ausgangszustand wird dokumentiert

Bevor ein digitales Beweismittel untersucht wird, sollte sein Ausgangszustand dokumentiert werden. Dazu können Hersteller, Modell, Seriennummer, sichtbarer Gerätezustand, angeschlossene Komponenten, Einschaltzustand und weitere Identifikationsmerkmale gehören.

Bei einem eingeschalteten System kann zusätzlich relevant sein, welche Programme geöffnet sind, ob das Gerät mit einem Netzwerk verbunden ist oder ob verschlüsselte Datenträger bereits entsperrt sind. Solche Informationen können für die spätere Auswahl der Sicherungsmethode entscheidend sein.

Die Dokumentation dient dazu, später nachvollziehen zu können, in welchem Zustand das Gerät übernommen wurde und welche Maßnahmen anschließend durchgeführt wurden.

4. Das digitale Beweismittel wird gesichert

Nach der Dokumentation folgt die Datensicherung. Ziel ist es, eine geeignete Untersuchungsgrundlage zu schaffen und das Original soweit technisch möglich vor unnötigen Veränderungen zu schützen.

Bei klassischen Festplatten oder anderen Datenträgern kann ein forensisches Abbild erstellt werden. Je nach Untersuchungsgegenstand kann dabei eine sektorweise beziehungsweise bitweise Kopie des adressierbaren Datenträgers erzeugt werden.

Bei Smartphones gelten andere technische Voraussetzungen. Dort kann die Sicherung je nach Gerät und Zugriffsmöglichkeit beispielsweise als logische Extraktion, Dateisystemextraktion oder in bestimmten Fällen mit tiefergehenden Verfahren erfolgen.

Bei Servern, laufenden Systemen oder Cloud-Diensten kann wiederum eine Live-Sicherung erforderlich sein. Eine einheitliche Sicherungsmethode für sämtliche digitalen Systeme gibt es nicht.

5. Schreibzugriffe werden soweit möglich kontrolliert

Ein wichtiger Grundsatz der digitalen Forensik besteht darin, unnötige Veränderungen am Original zu vermeiden. Bei geeigneten Datenträgern können Hardware- oder Software-Write-Blocker eingesetzt werden, um Schreibzugriffe auf das Ausgangsmedium zu verhindern.

Bei modernen Smartphones und laufenden Systemen ist eine vollständig schreibfreie Untersuchung technisch jedoch nicht immer möglich. Bereits das Entsperren eines Geräts, der Start eines forensischen Dienstes oder bestimmte Extraktionsverfahren können Veränderungen erzeugen.

Eine professionelle Untersuchung darf deshalb keine technisch unrealistische Veränderungsfreiheit behaupten. Entscheidend ist, unvermeidbare Veränderungen zu kennen, zu minimieren und nachvollziehbar zu dokumentieren.

6. Die Integrität der Sicherung wird überprüft

Bei forensischen Abbildern werden häufig kryptografische Hashwerte verwendet. Ein Hashwert ist ein aus einer Datenmenge berechneter Prüfwert. Wird dieselbe Datenmenge später erneut mit demselben Verfahren gehasht, sollte derselbe Wert entstehen.

Auf diese Weise kann überprüft werden, ob sich die gesicherten Daten seit der Berechnung verändert haben. Hashwerte sind deshalb ein wichtiges Instrument zur Integritätskontrolle.

Ein Hashwert belegt jedoch nicht automatisch, dass der Inhalt einer Datei authentisch ist oder dass eine bestimmte Person diese Datei erstellt hat. Er bezieht sich zunächst auf die Unverändertheit der jeweils überprüften Datenmenge.

7. Die eigentliche forensische Analyse beginnt

Erst nach der Sicherung beginnt die systematische technische Analyse. Soweit möglich wird nicht am Original, sondern an einer forensischen Sicherung oder Arbeitskopie gearbeitet.

Die Untersuchung kann je nach Fragestellung sehr unterschiedliche Datenquellen umfassen. Dazu gehören Dateisysteme, Benutzerprofile, Systemprotokolle, Anwendungsdaten, Browserinformationen, E-Mails, Messenger-Daten, angeschlossene Datenträger, Zeitstempel und weitere technische Artefakte.

Professionelle Forensiksoftware unterstützt dabei, große Datenmengen zu strukturieren und bekannte Datenformate zu interpretieren. Die Software liefert jedoch nicht automatisch die richtige Schlussfolgerung. Die eigentliche Bewertung bleibt Aufgabe des Untersuchers.

8. Dateien und Dateisysteme werden untersucht

Bei Computern und Datenträgern gehört die Analyse des Dateisystems häufig zu den zentralen Untersuchungsschritten. Dabei kann geprüft werden, welche Dateien vorhanden sind, wann sie erstellt oder verändert wurden und welche Dateisysteminformationen zusätzlich verfügbar sind.

Unter bestimmten Voraussetzungen können auch gelöschte Dateien, Dateireste oder nicht mehr regulär referenzierte Daten identifiziert werden. Ob eine Wiederherstellung möglich ist, hängt jedoch von Speichermedium, Dateisystem, Überschreibung und weiteren technischen Faktoren ab.

Bei SSDs und Flash-Speichern können Mechanismen wie TRIM und Garbage Collection die Wiederherstellung erheblich einschränken.

9. Benutzeraktivitäten werden rekonstruiert

Viele Untersuchungen beschäftigen sich mit der Frage, welche Aktivitäten auf einem Gerät stattgefunden haben. Betriebssysteme und Anwendungen erzeugen hierzu unterschiedliche technische Spuren.

Je nach System können beispielsweise Informationen über Benutzeranmeldungen, zuletzt verwendete Dateien, angeschlossene USB-Geräte, gestartete Programme, Browseraktivitäten oder weitere Benutzerhandlungen vorhanden sein.

Einzelne Artefakte dürfen dabei nicht überbewertet werden. Der Nachweis eines angeschlossenen USB-Geräts beweist beispielsweise noch nicht automatisch, dass eine bestimmte Datei auf dieses Gerät kopiert wurde.

10. Zeitstempel und Ereignisse werden ausgewertet

Zeitinformationen spielen bei forensischen Untersuchungen eine zentrale Rolle. Dateien, Betriebssysteme, Datenbanken und Anwendungen können unterschiedliche Zeitstempel speichern.

Dazu gehören unter anderem Erstellungs-, Änderungs- und Zugriffszeiten sowie interne Ereigniszeitpunkte. Diese Werte müssen im Kontext des jeweiligen Systems interpretiert werden.

Zeitzonen, Sommerzeit, Synchronisation, Kopiervorgänge, Softwareverhalten und mögliche Manipulationen können Zeitangaben beeinflussen. Ein Zeitstempel darf deshalb nicht ohne Prüfung als eindeutiger Beweis für eine bestimmte Benutzerhandlung verstanden werden.

11. Eine Timeline kann erstellt werden

Bei komplexeren Sachverhalten werden relevante Ereignisse häufig in einer zeitlichen Übersicht zusammengeführt. Eine solche Timeline kann Informationen aus unterschiedlichen Quellen kombinieren.

Beispielsweise können Dateisystemdaten, Windows-Ereignisprotokolle, USB-Spuren, Browserdaten und Anwendungsinformationen zeitlich gegenübergestellt werden.

Die Korrelation mehrerer unabhängiger Datenquellen kann die Aussagekraft einer Rekonstruktion deutlich erhöhen. Gleichzeitig müssen widersprüchliche Daten berücksichtigt und erklärt werden.

12. Gelöschte Daten werden geprüft

Wenn gelöschte Daten für die Fragestellung relevant sind, wird untersucht, ob noch technisch verwertbare Informationen vorhanden sind. Das kann Dateien, Fotos, Nachrichten, Datenbankeinträge oder andere Daten betreffen.

Gelöschte Daten sind jedoch nicht automatisch wiederherstellbar. Bei magnetischen Festplatten können freigegebene Speicherbereiche unter bestimmten Voraussetzungen noch Daten enthalten. Bei modernen SSDs und Smartphones ist die Situation aufgrund von TRIM, Flash-Speicherverwaltung und Verschlüsselung häufig deutlich schwieriger.

Ein seriöses Untersuchungsergebnis muss deshalb zwischen tatsächlich wiederhergestellten Daten und bloßen technischen Möglichkeiten unterscheiden.

13. E-Mails und Kommunikation können ausgewertet werden

Bei vielen Fällen sind Kommunikationsdaten von besonderem Interesse. Je nach Datenquelle können E-Mails, Nachrichten, Anhänge, Kontakte oder weitere Kommunikationsinformationen untersucht werden.

Bei E-Mails können unter anderem Headerinformationen relevant sein. Sie können Hinweise auf beteiligte Mailserver und technische Übertragungswege enthalten. Die Interpretation solcher Daten muss jedoch sachgerecht erfolgen, weil einzelne Headerfelder manipulierbar sein können.

Bei Messenger-Daten hängt die Auswertbarkeit stark von der jeweiligen Anwendung, dem Gerät, der Datenbankstruktur, Verschlüsselung und den verfügbaren Sicherungen ab.

14. Externe Datenträger werden untersucht

Bei Verdacht auf Datenabfluss kann die Untersuchung externer Speichermedien eine zentrale Rolle spielen. Betriebssysteme können Informationen über zuvor angeschlossene USB-Sticks, Festplatten oder andere Geräte speichern.

Unter bestimmten Voraussetzungen können Herstellerinformationen, Gerätekennungen oder Zeitinformationen vorhanden sein. Ob sich darüber hinaus ein konkreter Kopiervorgang nachweisen lässt, hängt von weiteren Artefakten ab.

Der bloße Nachweis eines angeschlossenen Datenträgers ist daher nicht gleichbedeutend mit dem Nachweis eines Datenabflusses.

15. Cloud-Dienste können Teil der Untersuchung sein

Moderne Arbeitsabläufe verlagern Daten zunehmend in Cloud-Dienste. Deshalb können auch OneDrive, Google Drive, Dropbox, iCloud oder andere Plattformen für eine forensische Untersuchung relevant sein.

Je nach System können lokale Synchronisationsspuren, Browserinformationen, Anwendungsdaten oder direkt zugängliche Cloud-Daten untersucht werden.

Die technische Zugriffsmöglichkeit bedeutet jedoch nicht automatisch, dass eine Auswertung rechtlich zulässig ist. Zugriffsrechte, Datenschutz und Umfang der Untersuchung müssen gesondert betrachtet werden.

16. Bei Cyberangriffen werden zusätzliche Spuren untersucht

Nach einem Cyberangriff kann die Untersuchung erheblich komplexer werden. Neben Endgeräten können Server, Firewalls, Netzwerkkomponenten, E-Mail-Systeme und weitere Infrastruktur relevant sein.

Untersucht werden können unter anderem Anmeldeereignisse, verdächtige Prozesse, Schadsoftware, Veränderungen an Dateien, Netzwerkverbindungen oder Hinweise auf einen möglichen Datenabfluss.

In solchen Fällen überschneiden sich digitale Forensik und Incident Response. Die unmittelbare Eindämmung des Vorfalls muss mit der Sicherung möglicher Beweismittel abgestimmt werden.

17. Die Ergebnisse werden miteinander korreliert

Ein besonders wichtiger Schritt ist die Zusammenführung verschiedener Befunde. Einzelne digitale Spuren besitzen häufig nur begrenzte Aussagekraft. Mehrere voneinander unabhängige Datenquellen können dagegen gemeinsam ein deutlich belastbares Bild ergeben.

Ein Beispiel wäre eine Kombination aus USB-Artefakten, Dateizugriffen, Benutzeranmeldung und weiteren Systeminformationen. Erst durch diese Korrelation kann sich ein technischer Ablauf nachvollziehbar verdichten.

Dabei müssen auch alternative Erklärungen geprüft werden. Gute Forensik sucht nicht nur nach Daten, die eine bestehende Hypothese bestätigen.

18. Befund und Interpretation werden getrennt

Die Trennung zwischen technischem Befund und fachlicher Bewertung ist für eine forensische Untersuchung entscheidend.

Ein Befund kann beispielsweise lauten, dass ein bestimmtes USB-Gerät am untersuchten Computer registriert wurde. Die Bewertung kann anschließend prüfen, welche Bedeutung dieser Befund für die konkrete Fragestellung besitzt.

Die weitergehende Aussage, dass bestimmte Dateien auf dieses Gerät kopiert wurden, darf nur getroffen werden, wenn dafür zusätzliche technische Spuren vorhanden sind.

Eine saubere Untersuchung beschreibt deshalb zunächst, was festgestellt wurde, und erst danach, welche Schlussfolgerung daraus gezogen werden kann.

19. Entlastende Befunde werden ebenfalls berücksichtigt

Eine forensische Untersuchung muss ergebnisoffen sein. Sie darf nicht ausschließlich nach Belegen für eine bereits vorhandene Vermutung suchen.

Wenn technische Daten gegen die angenommene Ereignisfolge sprechen, müssen auch diese Befunde berücksichtigt werden. Gleiches gilt für widersprüchliche oder nicht eindeutig interpretierbare Spuren.

Die Aufgabe des Untersuchers besteht darin, die vorhandene Datenlage zu bewerten und nicht darin, ein gewünschtes Ergebnis zu produzieren.

20. Die Aussagekraft der Daten wird bewertet

Nicht jede digitale Spur besitzt dieselbe Beweiskraft. Manche Artefakte dokumentieren einen technischen Vorgang relativ eindeutig, andere erlauben nur eingeschränkte Schlussfolgerungen.

Ein Log-in kann beispielsweise zeigen, dass ein Benutzerkonto verwendet wurde. Daraus folgt aber nicht automatisch, welche natürliche Person tatsächlich vor dem Computer saß.

Eine IP-Adresse kann einen technischen Anschluss oder Vermittlungsweg dokumentieren, stellt aber ebenfalls nicht automatisch einen sicheren Identitätsnachweis dar.

Die Qualität einer forensischen Bewertung zeigt sich deshalb auch darin, dass die Grenzen der jeweiligen Datenquelle ausdrücklich benannt werden.

21. Die Untersuchung wird dokumentiert

Nachvollziehbare Dokumentation gehört zu den wichtigsten Bestandteilen einer professionellen forensischen Untersuchung. Sie sollte erkennen lassen, welche Geräte und Daten untersucht wurden und auf welcher Grundlage die wesentlichen Feststellungen entstanden sind.

Dazu können Angaben zum Beweismittel, Sicherungsverfahren, Hashwerten, verwendeten Werkzeugen, relevanten Arbeitsschritten und wesentlichen Befunden gehören.

Je wichtiger eine Feststellung für den Untersuchungsauftrag ist, desto genauer sollte nachvollziehbar sein, aus welcher Datenquelle sie stammt.

22. Ein Untersuchungsbericht oder Gutachten wird erstellt

Am Ende der Untersuchung können die Ergebnisse in einem technischen Bericht oder Gutachten zusammengefasst werden. Der Umfang hängt vom Auftrag und vom vorgesehenen Verwendungszweck ab.

Ein Untersuchungsbericht dokumentiert typischerweise Vorgehen, Datenquellen und Ergebnisse. Ein Gutachten geht darüber hinaus und beantwortet eine konkrete Fragestellung durch fachliche Bewertung der Befunde.

Wichtig ist, dass technische Feststellungen, Schlussfolgerungen und bestehende Einschränkungen klar voneinander getrennt werden.

23. Die Beweismittelkette wird nachvollziehbar gehalten

Bei beweisrelevanten Untersuchungen ist nicht nur die technische Analyse wichtig. Auch der Umgang mit dem Beweismittel muss nachvollziehbar sein.

Die sogenannte Chain of Custody dokumentiert, wann und von wem ein Gerät übernommen wurde, wie es gesichert wurde, wer Zugriff darauf hatte und welche Datengrundlage untersucht wurde.

Dadurch kann später besser nachvollzogen werden, ob die analysierten Daten tatsächlich dem ursprünglich übernommenen Beweismittel zugeordnet werden können.

24. Die Ergebnisse werden auf technische Grenzen geprüft

Bevor eine Untersuchung abgeschlossen wird, sollte kritisch geprüft werden, welche Aussagen tatsächlich durch die vorhandenen Daten getragen werden.

Fehlende Daten sind nicht automatisch ein Beweis dafür, dass ein Vorgang nicht stattgefunden hat. Ebenso kann ein einzelnes Artefakt selten sämtliche Details eines Geschehens belegen.

Verschlüsselung, fehlende Protokolle, gelöschte Daten, beschädigte Datenträger oder unvollständige Sicherungen können die Aussagekraft begrenzen.

Diese Einschränkungen sollten Bestandteil des Ergebnisses sein.

25. Die Beweismittel werden nach der Untersuchung gesichert aufbewahrt

Nach Abschluss der Analyse sollte geklärt werden, wie Originalgeräte, forensische Sicherungen und Arbeitskopien weiter aufbewahrt werden. Besonders bei laufenden rechtlichen Auseinandersetzungen kann die langfristige Integrität der Daten relevant sein.

Dabei spielen Zugriffsschutz, Verschlüsselung, sichere Speichersysteme und nachvollziehbare Übergaben eine wichtige Rolle.

Originale sollten nicht unnötig verändert oder für alltägliche Arbeiten verwendet werden, solange sie möglicherweise noch als Beweismittel benötigt werden.

Wie lange dauert eine forensische Untersuchung?

Die Dauer lässt sich nicht pauschal bestimmen. Ein einzelner kleiner Datenträger mit einer klar definierten Fragestellung kann erheblich weniger Aufwand verursachen als mehrere Computer, Smartphones, Cloud-Konten und große Datenbestände.

Auch die technische Sicherung selbst kann Zeit beanspruchen. Bei großen Datenträgern müssen erhebliche Datenmengen gelesen, übertragen und anschließend verarbeitet werden.

Die eigentliche Analysezeit hängt zusätzlich davon ab, wie komplex die Fragestellung ist und wie viele relevante Artefakte manuell bewertet werden müssen.

Was beeinflusst den Aufwand einer Untersuchung?

• Anzahl der zu untersuchenden Geräte
• Speichergröße und Datenvolumen
• Art des Betriebssystems
• Verschlüsselung und Zugangssituation
• Zustand des Datenträgers
• Umfang gelöschter Daten
• Anzahl relevanter Benutzerkonten
• Cloud- und Netzwerkdaten
• Komplexität der Fragestellung
• Umfang der erforderlichen Dokumentation
• Anzahl der zu korrelierenden Datenquellen
• erforderliche technische Spezialverfahren

Was kann während einer forensischen Untersuchung schiefgehen?

Fehler entstehen häufig bereits vor der eigentlichen Analyse. Wird ein Gerät unnötig weiter genutzt, können relevante Daten verändert oder überschrieben werden. Werden Programme installiert, Dateien geöffnet oder Systeme bereinigt, entstehen neue technische Spuren.

Ein weiteres Risiko besteht in einer zu frühen Interpretation. Wer bereits vor der Untersuchung davon ausgeht, dass ein bestimmter Vorgang stattgefunden hat, kann dazu neigen, nur passende Artefakte zu berücksichtigen.

Auch eine unkritische Übernahme automatisch erzeugter Ergebnisse aus Forensiksoftware kann zu falschen Schlussfolgerungen führen.

Warum ist eine strukturierte Untersuchung wichtig?

Digitale Forensik besteht nicht aus einer einzelnen Softwarefunktion. Die Qualität entsteht durch einen kontrollierten Gesamtprozess.

Eine fachgerechte Untersuchung verbindet die Sicherung des Ausgangsmaterials mit nachvollziehbarer Analyse, technischer Bewertung und vollständiger Dokumentation.

Je komplexer ein Sachverhalt ist, desto wichtiger wird die methodische Trennung zwischen Sicherung, Analyse und Interpretation.

Häufige Fragen zum Ablauf einer forensischen Untersuchung

Wird zuerst das Original untersucht?

Soweit technisch möglich wird zunächst eine geeignete forensische Sicherung erstellt und anschließend auf dieser Grundlage gearbeitet. Bei Smartphones, Live-Systemen und bestimmten anderen Datenquellen kann ein direkter Zugriff auf das Original jedoch technisch erforderlich sein.

Muss ein Computer ausgeschaltet werden?

Nicht grundsätzlich. Bei einem ausgeschalteten Computer kann eine andere Sicherungsstrategie sinnvoll sein als bei einem laufenden, bereits entschlüsselten System. Das unüberlegte Ausschalten eines Systems kann flüchtige Daten oder Entschlüsselungszustände verlieren lassen. Die Entscheidung hängt vom konkreten Fall ab.

Kann eine Untersuchung das Gerät verändern?

Bei klassischen Datenträgern können Schreibzugriffe unter geeigneten Bedingungen weitgehend verhindert werden. Bei Smartphones und laufenden Systemen sind technisch bedingte Veränderungen nicht immer vollständig vermeidbar. Entscheidend ist, diese zu begrenzen und zu dokumentieren.

Werden bei einer Untersuchung alle Daten angesehen?

Nicht zwangsläufig. Eine professionelle Untersuchung sollte sich an der konkreten Fragestellung orientieren. Gerade bei großen Datenbeständen und personenbezogenen Informationen ist eine zielgerichtete Untersuchung regelmäßig sinnvoller als eine undifferenzierte Vollauswertung.

Kann eine Untersuchung gelöschte Daten zurückholen?

Unter bestimmten Voraussetzungen können gelöschte Daten rekonstruiert werden. Eine Garantie gibt es jedoch nicht. Speichermedium, Dateisystem, Verschlüsselung und weitere Nutzung des Geräts sind entscheidende Faktoren.

Kann aus einer forensischen Untersuchung eindeutig hervorgehen, wer etwas getan hat?

Nicht immer. Technische Spuren können häufig einem Gerät, Benutzerkonto oder Systemereignis zugeordnet werden. Die sichere Zuordnung zu einer bestimmten natürlichen Person kann zusätzliche Beweise erfordern.

Was passiert nach Abschluss der Untersuchung?

Die relevanten Ergebnisse werden dokumentiert und je nach Auftrag in einem Untersuchungsbericht oder Gutachten zusammengefasst. Anschließend sollte geregelt werden, wie Originalgeräte und forensische Sicherungen weiter aufbewahrt oder zurückgegeben werden.

Eine forensische Untersuchung ist ein nachvollziehbarer Prozess

Eine professionelle digitale Untersuchung besteht nicht nur aus dem Auslesen eines Geräts oder dem Start eines Analyseprogramms. Sie beginnt mit einer klaren Fragestellung und der kontrollierten Sicherung relevanter Daten.

Darauf folgen technische Analyse, Korrelation verschiedener Datenquellen und eine sorgfältige Bewertung der gefundenen Spuren. Erst wenn nachvollziehbar dokumentiert ist, wie eine Feststellung entstanden ist und welche Grenzen bestehen, erhält ein digitales Ergebnis seine tatsächliche Aussagekraft.

Der wichtigste Grundsatz lautet deshalb: Erst sichern, dann analysieren und erst danach bewerten.