Digitale Beweise werden gesichert, indem relevante Datenquellen identifiziert, ihr ursprünglicher Zustand dokumentiert und die benötigten Informationen mit geeigneten forensischen Verfahren erfasst werden. Ziel ist es, digitale Spuren möglichst unverändert zu erhalten, ihre Herkunft nachvollziehbar festzuhalten und eine spätere unabhängige Untersuchung zu ermöglichen.

Bei einer professionellen digitalen Beweissicherung können Smartphones, Computer, Festplatten, SSDs, USB-Sticks, Server, E-Mails, Messenger-Daten und Cloud-Konten untersucht werden. Welche Methode eingesetzt wird, hängt von der jeweiligen Datenquelle, dem Betriebssystem, vorhandener Verschlüsselung, dem aktuellen Gerätezustand und der konkreten Untersuchungsfrage ab.

Entscheidend ist dabei nicht allein, möglichst viele Daten zu kopieren. Eine fachgerechte Beweissicherung muss erkennen lassen, welche Informationen aus welcher Quelle stammen, wie sie erfasst wurden und welche technischen Einschränkungen bestehen.

Die Sicherung digitaler Beweismittel ist ein wesentlicher Bestandteil der professionellen IT-Forensik. Sie bildet die Grundlage für die spätere Untersuchung digitaler Spuren, die Rekonstruktion technischer Ereignisse und gegebenenfalls die Erstellung eines Sachverständigengutachtens.

Das Wichtigste zur digitalen Beweissicherung

• Digitale Beweise können sich verändern: Bereits die normale Nutzung eines Geräts kann Dateien, Zeitstempel und Systemprotokolle beeinflussen.
• Die Sicherungsmethode hängt von der Datenquelle ab: Ein Windows-PC wird anders gesichert als ein modernes iPhone oder ein Cloud-Konto.
• Originaldaten sollten möglichst erhalten bleiben: Die spätere Untersuchung erfolgt nach Möglichkeit anhand einer gesicherten Arbeitskopie.
• Die Sicherung muss überprüfbar sein: Dokumentierte Methoden, technische Protokolle und gegebenenfalls Hashwerte ermöglichen eine spätere Kontrolle.
• Nicht jede Information ist wiederherstellbar: Verschlüsselung, Überschreibungen und technische Schutzmechanismen können den verfügbaren Datenbestand begrenzen.
• Eine forensische Sicherung garantiert keine gerichtliche Verwertbarkeit: Über Beweiswert und Verwertbarkeit entscheiden die zuständigen Gerichte beziehungsweise Behörden.

Was versteht man unter der Sicherung digitaler Beweise?

Unter digitaler Beweissicherung versteht man die methodische Erfassung und Erhaltung elektronischer Informationen, die für die Untersuchung eines bestimmten Sachverhalts relevant sein können.

Ein digitales Beweismittel kann beispielsweise eine E-Mail, eine Datei, ein Smartphone, eine Festplatte oder ein Protokolleintrag sein. Häufig ergibt sich die eigentliche Aussagekraft jedoch erst aus dem Zusammenhang mehrerer Datenquellen.

Ein einzelner Hinweis auf einen angeschlossenen USB-Stick beweist beispielsweise noch keinen Datendiebstahl. Erst weitere Informationen über Dateizugriffe, Kopiervorgänge, Benutzeraktivitäten und mögliche Datenübertragungen können eine belastbarere Rekonstruktion ermöglichen.

Deshalb beginnt eine professionelle Beweissicherung mit der Frage, welche Daten für den konkreten Untersuchungsauftrag überhaupt benötigt werden.

Warum können digitale Beweise verloren gehen?

Digitale Informationen sind nicht zwangsläufig dauerhaft verfügbar. Viele Systeme verändern ihre Datenbestände kontinuierlich.

Ein Windows-Computer aktualisiert beispielsweise Ereignisprotokolle und andere Systemdateien. Ein Smartphone synchronisiert Nachrichten und Anwendungsdaten. Cloud-Dienste speichern bestimmte Protokolle nur innerhalb festgelegter Aufbewahrungsfristen.

Auch automatische Bereinigungsprozesse können Informationen entfernen, die später für eine Untersuchung relevant wären.

Besonders kritisch sind flüchtige Daten. Dazu können Arbeitsspeicherinhalte, laufende Prozesse und aktuelle Netzwerkverbindungen gehören. Diese Informationen können beim Ausschalten oder Neustarten eines Systems verloren gehen.

Eine frühzeitige Sicherung kann deshalb entscheidend sein. Sie bedeutet allerdings nicht, dass ein betroffenes Gerät in jedem Fall sofort ausgeschaltet oder vom Netzwerk getrennt werden sollte. Solche Maßnahmen müssen bei einem laufenden Sicherheitsvorfall mit dem Schutz des Systems und dem Erhalt möglicher Beweise abgestimmt werden.

Wie läuft eine professionelle digitale Beweissicherung ab?

Eine fachgerechte Sicherung erfolgt nach einem strukturierten Verfahren. Die konkreten Arbeitsschritte unterscheiden sich je nach Gerät und Untersuchungsziel.

1. Untersuchungsziel und relevante Datenquellen festlegen

Zu Beginn wird geklärt, welcher Sachverhalt untersucht werden soll.

Bei einem vermuteten Fremdzugriff auf ein Smartphone können beispielsweise App-Daten, Gerätekonfigurationen, Kontoaktivitäten und verfügbare Systeminformationen relevant sein.

Bei einem möglichen Datendiebstahl im Unternehmen können dagegen Arbeitsplatzrechner, externe Datenträger, Serverprotokolle und Cloud-Dienste im Mittelpunkt stehen.

Bereits in dieser Phase wird berücksichtigt, welche Daten rechtlich zulässig und vom Untersuchungsauftrag gedeckt erfasst werden dürfen.

2. Ausgangszustand dokumentieren

Vor Beginn der Sicherung wird festgehalten, in welchem Zustand sich das Untersuchungsobjekt befindet.

Bei einem physischen Gerät können dazu folgende Angaben gehören:

• Hersteller und Modell
• Seriennummer oder andere verfügbare Gerätekennungen
• Datum und Uhrzeit der Übernahme
• Ein- oder ausgeschalteter Zustand
• Sperr- beziehungsweise Entsperrungszustand
• Angeschlossene Geräte und Zubehör
• Erkennbare Beschädigungen oder Besonderheiten
• Relevante Angaben zur bisherigen Behandlung des Geräts

Fotografien können diese Dokumentation ergänzen.

Die Informationen ermöglichen es, die späteren Untersuchungsergebnisse einem konkreten Gerät beziehungsweise Datenbestand zuzuordnen.

3. Risiken für den Datenbestand bewerten

Vor technischen Eingriffen wird geprüft, welche Veränderungen durch die Sicherung entstehen könnten.

Bei einem eingeschalteten Computer kann beispielsweise die Sicherung flüchtiger Daten sinnvoll sein. Gleichzeitig verändert die dafür eingesetzte Software unter Umständen den laufenden Systemzustand.

Bei einem modernen Smartphone kann ein Neustart den verfügbaren Zugriff auf verschlüsselte Daten beeinflussen.

Deshalb muss vor der Sicherung entschieden werden, welche Maßnahmen fachlich erforderlich und welche Veränderungen unvermeidbar sind.

4. Geeignete Sicherungsmethode auswählen

Bei klassischen Datenträgern kann eine sektorweise beziehungsweise bitweise Sicherung eingesetzt werden.

Bei modernen Smartphones kommen abhängig vom Gerät unterschiedliche logische, dateisystembasierte oder andere technisch unterstützte Erfassungsverfahren infrage.

Cloud-Daten werden dagegen häufig über verfügbare Exportfunktionen, Schnittstellen oder administrative Protokollierungsmöglichkeiten erfasst.

Die Auswahl richtet sich nicht allein nach dem eingesetzten Werkzeug, sondern nach der technischen Eignung für die konkrete Datenquelle.

5. Relevante Daten erfassen

Die Datensicherung erfolgt unter kontrollierten Bedingungen.

Der Sicherungsvorgang wird dokumentiert. Dazu gehören insbesondere die verwendete Methode, eingesetzte Werkzeuge, relevante Einstellungen, Sicherungszeitpunkte sowie mögliche Fehler und Einschränkungen.

Bei einer umfangreichen Untersuchung können mehrere voneinander unabhängige Datenquellen gesichert werden.

6. Sicherung technisch überprüfen

Nach der Datenerfassung wird kontrolliert, ob die vorgesehenen Daten tatsächlich gesichert wurden.

Bei geeigneten Datenbeständen können kryptografische Hashwerte, beispielsweise mit SHA-256, berechnet werden. Sie ermöglichen eine spätere Überprüfung, ob ein definierter Datenbestand gegenüber dem dokumentierten Referenzzustand unverändert geblieben ist.

Ein Hashwert beweist allerdings nicht automatisch, dass die Sicherung vollständig ist oder die ursprünglichen Daten inhaltlich richtig waren.

7. Sicherung geschützt aufbewahren

Originalgeräte und erzeugte Sicherungsdateien werden vor unbefugten Zugriffen und unbeabsichtigten Veränderungen geschützt.

Nach Möglichkeit wird für die anschließende Analyse eine separate Arbeitskopie verwendet.

Dadurch kann die ursprüngliche Sicherung als Referenz erhalten bleiben.

8. Untersuchungsergebnisse nachvollziehbar dokumentieren

Nach der Sicherung beginnt die eigentliche forensische Auswertung.

Dabei werden vorhandene Daten und technische Artefakte untersucht, miteinander verglichen und im Zusammenhang mit der ursprünglichen Beweisfrage bewertet.

Wesentliche Feststellungen, verwendete Methoden und bestehende Unsicherheiten werden in einem Untersuchungsbericht oder Sachverständigengutachten dokumentiert.

Wie werden digitale Beweise von einem Windows-PC gesichert?

Bei einem Windows-Computer hängt das Vorgehen insbesondere davon ab, ob das Gerät eingeschaltet oder ausgeschaltet ist, welche Datenträger verwendet werden und ob eine Verschlüsselung vorliegt.

Unter geeigneten Voraussetzungen kann ein vollständiges forensisches Abbild des zugänglichen Datenträgers erstellt werden.

Eine solche Sicherung kann neben regulären Dateien auch Dateisystemstrukturen, Metadaten und weitere zugängliche Speicherbereiche enthalten.

Bei einem laufenden Computer können zusätzlich Informationen relevant sein, die nach einem Neustart verloren gehen würden.

Deshalb muss entschieden werden, ob zunächst eine Live-Sicherung bestimmter Systeminformationen erforderlich ist oder ob eine Datenträgersicherung im ausgeschalteten Zustand ausreicht.

Die weitere Untersuchung erfolgt im Rahmen der Computer-Forensik.

Wie werden digitale Beweise von einem iPhone gesichert?

Die Sicherung eines iPhones unterscheidet sich erheblich von der Sicherung einer klassischen Computerfestplatte.

Moderne iPhones verwenden hardwaregestützte Verschlüsselung und unterschiedliche Schutzmechanismen für gespeicherte Daten.

Welche Informationen erfasst werden können, hängt unter anderem vom iPhone-Modell, der installierten iOS-Version, dem Gerätezustand und den verfügbaren Zugriffsrechten ab.

Je nach Ausgangslage können beispielsweise zugängliche Gerätedaten, App-Informationen, Kommunikationsdaten, Backups oder weitere verfügbare Artefakte gesichert werden.

Eine vollständige physische Sicherung sämtlicher Speicherbereiche ist bei modernen iPhones nicht grundsätzlich möglich.

Besonders wichtig ist der aktuelle Entsperrungszustand. Ein unnötiger Neustart kann die technischen Zugriffsmöglichkeiten verändern.

Weitere Informationen bietet der Leistungsbereich Smartphone-Forensik.

Wie werden digitale Beweise von einem Android-Smartphone gesichert?

Bei Android-Smartphones unterscheiden sich die Sicherungsmöglichkeiten teilweise erheblich zwischen Herstellern, Modellen und Betriebssystemversionen.

Verschlüsselung, Gerätesperre, Sicherheitsupdates und vorhandene Berechtigungen beeinflussen, welche Daten zugänglich sind.

Abhängig von den technischen Voraussetzungen können beispielsweise App-Daten, Kommunikationsinformationen, Medien, Geräteeinstellungen und weitere verfügbare Systeminformationen erfasst werden.

Auch hier gilt: Eine vollständige Datenerfassung kann nicht pauschal garantiert werden.

Wie werden digitale Beweise von Festplatten und SSDs gesichert?

Bei klassischen magnetischen Festplatten kann unter geeigneten Voraussetzungen eine sektorweise Sicherung erstellt werden.

Dadurch lassen sich neben regulären Dateien auch weitere logisch zugängliche Speicherbereiche erfassen.

Bei SSDs bestehen zusätzliche Besonderheiten. Funktionen wie TRIM und Garbage Collection können dazu führen, dass gelöschte Daten nicht mehr verfügbar sind.

Eine vollständige Sicherung des logisch zugänglichen Speicherbereichs bedeutet deshalb nicht, dass sämtliche früher gespeicherten Informationen wiederhergestellt werden können.

Für die spätere Analyse ist außerdem wichtig, ob der Datenträger bereits vor der Sicherung verändert wurde.

Welche Rolle spielen Write-Blocker bei der Beweissicherung?

Bei geeigneten Datenträgern können Hardware-Write-Blocker eingesetzt werden, um Schreibzugriffe auf das Originalmedium zu verhindern.

Damit lässt sich das Risiko reduzieren, dass während der Sicherung unbeabsichtigte Veränderungen entstehen.

Ein Write-Blocker ersetzt allerdings weder eine fachgerechte Sicherungsmethode noch die Dokumentation des Untersuchungsvorgangs.

Für Smartphones, laufende Computersysteme und Cloud-Dienste sind klassische Datenträger-Write-Blocker zudem nicht allgemein einsetzbar.

Wie werden E-Mails als digitale Beweise gesichert?

Bei E-Mails sind häufig nicht nur der sichtbare Nachrichtentext und die Anhänge relevant.

Auch technische Header, Nachrichtenkennungen, Zeitinformationen und weitere Metadaten können bei der Untersuchung eine wichtige Rolle spielen.

Ein Screenshot enthält diese Informationen normalerweise nicht vollständig.

Deshalb kann es sinnvoll sein, E-Mails in einem geeigneten Nachrichtenformat oder über eine dokumentierte Postfachsicherung zu erfassen.

Welche Methode eingesetzt wird, hängt vom E-Mail-Dienst, den verfügbaren Berechtigungen und der konkreten Fragestellung ab.

Wie werden WhatsApp-Nachrichten als Beweismittel gesichert?

Bei WhatsApp können Nachrichten, Medien, Zeitinformationen, lokale Datenbanken und weitere verfügbare App-Daten relevant sein.

Ein Chat-Export oder Screenshot kann eine erste Dokumentation ermöglichen. Solche Darstellungen enthalten jedoch nicht zwangsläufig alle technisch verfügbaren Informationen.

Bei einer umfassenderen Untersuchung kann deshalb eine geeignete Sicherung des betreffenden Smartphones erforderlich sein.

Welche Informationen dabei zugänglich sind, hängt insbesondere vom Gerät, Betriebssystem, App-Zustand und vorhandenen Backups ab.

Wie werden digitale Beweise aus Cloud-Konten gesichert?

Cloud-Daten befinden sich häufig nicht vollständig auf einem lokalen Gerät.

Deshalb reicht die Sicherung eines Smartphones oder Computers nicht immer aus, um alle relevanten Informationen zu erfassen.

Je nach Anbieter und vorhandenen Berechtigungen können Dateien, Versionsinformationen, Freigaben, Kontoaktivitäten und verfügbare Anmeldeprotokolle berücksichtigt werden.

Besonders wichtig ist der Sicherungszeitpunkt.

Cloud-Daten können sich durch Synchronisation, automatische Löschungen oder Änderungen an Benutzerkonten fortlaufend verändern.

Die Sicherung dokumentiert deshalb regelmäßig einen bestimmten verfügbaren Datenzustand zu einem bestimmten Zeitpunkt.

Wie werden digitale Beweise von Unternehmensservern gesichert?

Bei Unternehmensservern müssen Beweissicherung, laufender Geschäftsbetrieb und mögliche Sicherheitsrisiken aufeinander abgestimmt werden.

Relevant können Datenträger, virtuelle Maschinen, Datenbanken, Systemprotokolle, Benutzerkonten und Netzwerkverbindungen sein.

Bei einem aktiven Sicherheitsvorfall kann es erforderlich sein, zunächst bestimmte flüchtige Informationen oder zeitkritische Protokolle zu sichern.

Ein vollständiges Abschalten ist nicht in jeder Situation sinnvoll.

Bei komplexen Untersuchungen werden häufig mehrere Datenquellen zusammengeführt, um einen technischen Ablauf möglichst nachvollziehbar zu rekonstruieren.

Welche digitalen Beweise sollten nach einem Hackerangriff gesichert werden?

Nach einem vermuteten Hackerangriff hängt die Auswahl der Beweismittel davon ab, welche Systeme betroffen sind und welche Aktivitäten untersucht werden sollen.

Relevant können beispielsweise folgende Informationen sein:

• Ungewöhnliche Anmeldungen und Kontoaktivitäten
• Sicherheitsmeldungen und Systemprotokolle
• Verdächtige E-Mails und heruntergeladene Dateien
• Informationen zu neu angelegten Benutzerkonten
• Hinweise auf unbekannte Programme oder Dienste
• Firewall-, VPN- und Serverprotokolle
• Cloud-Aktivitäten und Dateifreigaben
• Verfügbare Informationen zu Netzwerkverbindungen

Die bloße Existenz einer Auffälligkeit beweist noch keinen erfolgreichen Angriff.

Erst die fachliche Auswertung und der Abgleich mehrerer Datenquellen ermöglichen eine fundiertere Beurteilung.

Welche digitalen Beweise sind bei einem Verdacht auf Datendiebstahl wichtig?

Bei einem möglichen Datendiebstahl können technische Spuren auf mehreren Geräten und Systemen verteilt sein.

Ein Arbeitsplatzrechner kann beispielsweise Informationen über angeschlossene USB-Datenträger enthalten. Serverprotokolle können Hinweise auf Dateizugriffe liefern. Cloud-Dienste können bestimmte Freigabe- oder Downloadaktivitäten dokumentieren.

Entscheidend ist, diese Datenquellen möglichst frühzeitig zu identifizieren und entsprechend der Untersuchungsfrage zu sichern.

Ein einzelner USB-Anschlussnachweis beweist allerdings noch nicht, dass bestimmte Dateien kopiert oder an Dritte weitergegeben wurden.

Die Untersuchung solcher Sachverhalte gehört unter anderem zum Leistungsbereich IT-forensische Untersuchung bei Datendiebstahl.

Welche digitalen Beweise sollten bei Cyberstalking gesichert werden?

Bei einem Verdacht auf Cyberstalking können Nachrichten, E-Mails, unbekannte Kontoanmeldungen, Standortfreigaben, Geräteverknüpfungen und weitere digitale Informationen relevant sein.

Auffällige Ereignisse sollten möglichst mit Datum und Uhrzeit dokumentiert werden.

Bei einem konkreten Verdacht auf technische Überwachung kann zusätzlich eine Untersuchung von Smartphone, Computer oder Online-Konten erforderlich sein.

Wichtig ist eine ergebnisoffene Bewertung. Einzelne ungewöhnliche Gerätefunktionen oder Kontomeldungen sind für sich genommen kein Beweis für eine gezielte Überwachung.

Kann ich digitale Beweise selbst sichern?

Ja. Privatpersonen und Unternehmen können bestimmte Informationen selbst dokumentieren und erhalten.

Beispielsweise können verdächtige Nachrichten, Sicherheitsmeldungen, ungewöhnliche Kontoaktivitäten oder Transaktionsinformationen durch Screenshots dokumentiert werden.

Wenn möglich, sollten zusätzlich die ursprünglichen Nachrichten, Dateien oder sonstigen Datenquellen erhalten bleiben.

Eine selbst erstellte Dokumentation ist allerdings nicht automatisch mit einer professionellen forensischen Datensicherung gleichzusetzen.

Was sollte ich vor einer forensischen Beweissicherung vermeiden?

Wenn ein Gerät später forensisch untersucht werden soll, sollten unnötige Veränderungen möglichst vermieden werden.

Besonders problematisch können folgende Maßnahmen sein:

• Zurücksetzen eines Smartphones auf Werkseinstellungen
• Neuinstallation eines Betriebssystems
• Löschen verdächtiger Dateien oder Programme
• Installation zusätzlicher Untersuchungssoftware ohne vorherige Bewertung
• Wiederholte Neustarts eines betroffenen Geräts
• Unkontrolliertes Anschließen externer Datenträger
• Weitere intensive Nutzung des Untersuchungsgeräts
• Überschreiben oder Löschen vorhandener Backups

Diese Hinweise dürfen notwendige Maßnahmen zur Abwehr eines akuten Angriffs nicht verhindern. Besteht eine unmittelbare Gefährdung von Daten oder Systemen, müssen Sicherheitsmaßnahmen und Beweissicherung fachlich aufeinander abgestimmt werden.

Warum reicht ein Screenshot als digitaler Beweis häufig nicht aus?

Ein Screenshot dokumentiert einen sichtbaren Bildschirminhalt zu einem bestimmten Zeitpunkt.

Er enthält normalerweise nicht sämtliche technischen Informationen der zugrunde liegenden Datenquelle.

Bei einer E-Mail fehlen beispielsweise häufig vollständige Headerinformationen. Bei einem Messenger-Chat können interne Datenbankinformationen oder weitere Metadaten fehlen.

Ein Screenshot kann deshalb ein relevantes Beweismittel sein, ersetzt aber nicht automatisch eine umfassendere technische Sicherung.

Wie wird überprüft, ob gesicherte Daten verändert wurden?

Bei geeigneten Datenbeständen können kryptografische Hashwerte verwendet werden.

Wird nach einer Sicherung ein Hashwert berechnet, kann dieser später erneut ermittelt und mit dem dokumentierten Referenzwert verglichen werden.

Stimmen beide Werte überein, ist dies ein sehr starkes technisches Indiz dafür, dass der geprüfte Datenbestand gegenüber dem Referenzzustand unverändert geblieben ist.

Ein Hashwert beweist allerdings nicht automatisch die Herkunft, Vollständigkeit oder inhaltliche Richtigkeit der Daten.

Welche Bedeutung hat die Chain of Custody bei digitalen Beweisen?

Die Chain of Custody dokumentiert, wie ein Beweismittel übernommen, behandelt, gesichert, untersucht und gegebenenfalls weitergegeben wurde.

Sie ergänzt die technische Datensicherung durch eine nachvollziehbare organisatorische Dokumentation.

Eine technisch erfolgreiche Sicherung und eine vollständige Beweismittelkette sind deshalb zwei unterschiedliche, aber eng miteinander verbundene Bestandteile einer professionellen Untersuchung.

Die Anforderungen erläutert der bereits veröffentlichte Wissensartikel Was bedeutet Chain of Custody in der digitalen Forensik?.

Was ist der Unterschied zwischen einer Datensicherung und einer forensischen Beweissicherung?

Eine gewöhnliche Datensicherung dient in erster Linie dazu, Informationen nach einem Datenverlust wiederherstellen zu können.

Eine forensische Beweissicherung verfolgt dagegen das Ziel, einen definierten Datenbestand als Grundlage einer späteren Untersuchung nachvollziehbar zu erfassen und zu erhalten.

Dabei werden insbesondere Herkunft, Sicherungsmethode, technische Einschränkungen und mögliche Veränderungen berücksichtigt.

Ein vorhandenes Backup kann selbst ein wichtiges Untersuchungsobjekt sein. Es ist jedoch nicht automatisch mit einer vollständig dokumentierten forensischen Sicherung gleichzusetzen.

Kann eine digitale Beweissicherung auch nachträglich durchgeführt werden?

Ja. Auch wenn ein Gerät nach einem Vorfall bereits weiterverwendet wurde, können noch relevante digitale Spuren vorhanden sein.

Allerdings können zwischenzeitlich Informationen verändert, gelöscht oder überschrieben worden sein.

Bei modernen Smartphones und SSDs können zusätzlich technische Schutz- und Speicherverwaltungsmechanismen die Wiederherstellung früherer Datenbestände einschränken.

Eine nachträgliche Sicherung dokumentiert deshalb zunächst den noch verfügbaren Zustand der Datenquelle.

Ob sich frühere Ereignisse daraus rekonstruieren lassen, muss im Rahmen der Untersuchung bewertet werden.

Sind professionell gesicherte digitale Beweise automatisch vor Gericht verwertbar?

Nein. Eine professionelle digitale Beweissicherung kann die Nachvollziehbarkeit und technische Überprüfbarkeit eines Beweismittels verbessern.

Sie garantiert jedoch nicht, dass ein Gericht die betreffenden Informationen in einem bestimmten Verfahren verwertet oder ihnen eine bestimmte Beweiskraft beimisst.

Die rechtliche Bewertung hängt unter anderem von der Herkunft der Daten, der Art ihrer Erlangung, der konkreten Verfahrenssituation und der technischen Aussagekraft ab.

Bei komplexen Sachverhalten kann ein nachvollziehbarer Untersuchungsbericht oder ein Sachverständigengutachten erforderlich sein.

Weitere Informationen finden Sie beim Sachverständigenbüro von LB Forensik.

Wann sollte ein IT-Forensiker digitale Beweise sichern?

Eine professionelle Sicherung kann insbesondere dann sinnvoll sein, wenn ein Sachverhalt später gerichtlich überprüft werden soll, mehrere technische Datenquellen betroffen sind oder wichtige Informationen kurzfristig verloren gehen könnten.

Typische Anlässe sind mögliche Fremdzugriffe, Datendiebstahl, Cyberangriffe, Manipulationsverdacht, gelöschte Daten oder technische Auffälligkeiten auf Smartphones und Computern.

Je früher die relevanten Datenquellen identifiziert werden, desto besser lassen sich unnötige Veränderungen und vermeidbare Datenverluste begrenzen.

Wie werden digitale Beweise bei LB Forensik gesichert?

LB Forensik ist der spezialisierte Fachbereich der LB Detektive GmbH für IT-Forensik, Mobile Forensik, digitale Beweissicherung und sachverständige Untersuchungen.

Abhängig vom Auftrag können Smartphones, Computer, Datenträger, Backups, Server und weitere digitale Datenquellen untersucht werden.

Ein Schwerpunkt liegt auf der forensischen Untersuchung von Apple-Systemen und mobilen Endgeräten.

Für die Sicherung und Analyse digitaler Daten stehen unterschiedliche spezialisierte Werkzeuge zur Verfügung. Dazu gehören abhängig vom Untersuchungsgegenstand professionelle Cellebrite-Lösungen und weitere geeignete Forensikprogramme.

Die Auswahl der Werkzeuge richtet sich nach der jeweiligen Datenquelle und dem konkreten Untersuchungsziel.

Die LB Detektive GmbH verfügt über ein durch TÜV NORD CERT zertifiziertes Qualitätsmanagementsystem nach DIN EN ISO 9001. Ergänzend besteht personenbezogene Sachverständigenkompetenz nach DIN EN ISO/IEC 17024.

Entscheidend für die Qualität einer Untersuchung bleiben jedoch die fachgerechte Durchführung, die nachvollziehbare Dokumentation und eine sachliche Bewertung der tatsächlich verfügbaren digitalen Spuren.

Digitale Beweissicherung und IT-Forensik in Deutschland

LB Forensik unterstützt Privatpersonen, Unternehmen, Rechtsanwälte und weitere Auftraggeber bundesweit bei der Sicherung und Untersuchung digitaler Beweismittel.

Je nach Untersuchungsgegenstand kann eine Geräteübergabe abgestimmt, eine Sicherung vor Ort organisiert oder eine umfangreichere forensische Untersuchung durchgeführt werden.

Weitere Informationen zu den regionalen Leistungen finden Sie auf folgenden bestehenden Stadtseiten:

• IT-Forensik für Stuttgart
• IT-Forensik für München
• IT-Forensik für Köln
• IT-Forensik für Dresden
• IT-Forensik für Hannover

Eine Übersicht der bundesweiten Einsatzmöglichkeiten bietet außerdem die Seite IT-Forensik – Einsatzgebiete in Deutschland.

Häufige Fragen zur Sicherung digitaler Beweise

Wie sichert man digitale Beweise richtig?

Digitale Beweise werden zunächst identifiziert und dokumentiert. Anschließend werden die relevanten Informationen mit einer geeigneten Methode erfasst, technisch überprüft und geschützt aufbewahrt.

Welche Geräte können digitale Beweise enthalten?

Digitale Beweise können unter anderem auf Smartphones, Computern, Festplatten, SSDs, USB-Sticks, Servern und in Cloud-Konten vorhanden sein.

Kann ich digitale Beweise selbst sichern?

Bestimmte Informationen können selbst dokumentiert werden. Eine umfassende forensische Sicherung erfordert jedoch je nach Datenquelle besondere technische Verfahren und Fachkenntnisse.

Reicht ein Screenshot als digitaler Beweis?

Ein Screenshot kann ein relevantes Beweismittel sein. Er enthält jedoch nicht zwangsläufig sämtliche technischen Informationen der ursprünglichen Datenquelle.

Warum sollte ein Originaldatenträger möglichst nicht verändert werden?

Veränderungen können vorhandene digitale Spuren überschreiben oder die spätere Interpretation erschweren.

Werden digitale Beweise immer bitweise gesichert?

Nein. Die Sicherungsmethode hängt von der Datenquelle und den technischen Voraussetzungen ab. Bei modernen Smartphones und Cloud-Diensten sind häufig andere Verfahren erforderlich.

Kann ein Smartphone vollständig forensisch gesichert werden?

Das ist nicht bei jedem Gerät möglich. Modell, Betriebssystem, Verschlüsselung und Gerätezustand bestimmen, welche Daten erfasst werden können.

Kann man gelöschte digitale Beweise wiederherstellen?

Unter bestimmten Voraussetzungen können noch vorhandene Datenreste oder andere Spuren rekonstruiert werden. Eine erfolgreiche Wiederherstellung ist jedoch nicht garantiert.

Wie wird die Unverändertheit digitaler Beweise überprüft?

Bei geeigneten Datenbeständen können kryptografische Hashwerte berechnet und später mit dokumentierten Referenzwerten verglichen werden.

Was passiert, wenn ein Gerät vor der Sicherung zurückgesetzt wird?

Ein Zurücksetzen kann zahlreiche Daten und technische Spuren entfernen. Dadurch können spätere Untersuchungsmöglichkeiten erheblich eingeschränkt werden.

Wie lange dauert eine digitale Beweissicherung?

Die Dauer hängt insbesondere vom Gerät, Datenvolumen, technischen Zustand, vorhandener Verschlüsselung und verwendeten Sicherungsverfahren ab.

Kann eine digitale Beweissicherung nachträglich durchgeführt werden?

Ja. Allerdings können zwischenzeitlich Daten verändert, gelöscht oder überschrieben worden sein. Die Untersuchung muss sich deshalb auf den noch verfügbaren Datenbestand stützen.

Ist eine forensische Datensicherung automatisch gerichtsfest?

Nein. Eine nachvollziehbare Sicherung verbessert die technische Überprüfbarkeit. Über die rechtliche Verwertbarkeit und Beweiskraft entscheidet das zuständige Gericht beziehungsweise die zuständige Behörde.

Wann sollte ein IT-Forensiker eingeschaltet werden?

Insbesondere bei möglichen Gerichtsverfahren, erheblichen Schäden, komplexen technischen Sachverhalten oder der Gefahr eines kurzfristigen Datenverlusts kann eine professionelle Sicherung sinnvoll sein.

Zurück zur Wissensübersicht