Die digitale Forensik untersucht die Folgen eines Sicherheitsvorfalls. Ermittler sammeln Beweismaterial von Festplatten, Arbeitsspeicher, Netzwerkprotokollen und Mobilgeräten. Dieses wird sorgfältig gesichert, um vor Gericht Bestand zu haben. Die Arbeit umfasst sowohl technische als auch verfahrenstechnische Aspekte. Ein einziger Fehler kann die Beweismittel unzulässig machen. Die lückenlose Dokumentation der Beweiskette, Schreibschutz und Hash-Verifizierung gehören zum Standardverfahren.

Die Untersuchung beantwortet Fragen. Wie gelangte der Angreifer in das System? Auf welche Daten griff er zu? Wie lange war er im System? Wurden Daten exfiltriert? Die Antworten bestimmen die Reaktion und die rechtliche Strategie. Forensik unterstützt auch die Reaktion auf Sicherheitsvorfälle. Das Verständnis des Angriffs hilft, ihn einzudämmen und ein erneutes Auftreten zu verhindern. Die Tools reichen von kommerziellen Softwarepaketen wie EnCase und FTK bis hin zu Open-Source-Lösungen wie Autopsy und Volatility. Speicherforensik ist besonders wertvoll, da Schadsoftware oft nur im Arbeitsspeicher (RAM) existiert und keine Spuren auf der Festplatte hinterlässt. Mobile Forensik ist ein eigenes Spezialgebiet, da verschlüsselte Geräte und Cloud-Backups die Komplexität erhöhen. Die Forensik entwickelt sich ständig weiter. Neue Geräte, neue Betriebssysteme und neue Verschlüsselungsverfahren stellen die Ermittler vor neue Herausforderungen. Sie passen sich an.

forensische Beweisquellen

• Datenträgerabbilder – Dateien, gelöschte Daten und Artefakte
• Speicherabbilder – laufende Prozesse und Malware im Arbeitsspeicher
• Netzwerkprotokolle – Verkehrsmuster und Verbindungen
• Mobile Geräte – Nachrichten, Apps und Standortdaten

Forensik dient nicht nur dazu, Kriminelle zu fassen. Es geht darum, zu verstehen, was passiert ist, damit es sich nicht wiederholt.