Erklärung
Eine Timeline ordnet Zeitpunkte aus Protokollen, Dateisystemen, E-Mails, Messenger-Verläufen, Zahlungen und anderen Quellen auf einer gemeinsamen Zeitachse. Dadurch werden Zusammenhänge sichtbar, die in den einzelnen Quellen verborgen bleiben: Auf eine ungewöhnliche Anmeldung folgt eine Regeländerung im Postfach, kurz darauf eine Zahlungsanweisung.
Die größte Herausforderung ist die Vergleichbarkeit der Zeitangaben. Systeme verwenden unterschiedliche Zeitzonen, Formate und Genauigkeit; Uhren können abweichen; Zeitstempel bedeuten je nach Quelle etwas anderes (Erstellung, Änderung, Zugriff, Erfassung). Bevor Ereignisse zusammengeführt werden, müssen diese Unterschiede geklärt und dokumentiert werden.
Eine Timeline zeigt Abfolgen und zeitliche Nähe, nicht automatisch Ursache und Wirkung. Auch Lücken sind Aussagen: Fehlende Protokolle bedeuten nicht, dass nichts geschah.
Typisches Beispiel (schematisch)
Mailserver-Protokoll, Anmeldeereignisse eines Cloud-Dienstes und Banktransaktionen werden auf UTC normalisiert und zusammengeführt. Es zeigt sich, dass die Zahlungsanweisung wenige Minuten nach einer Anmeldung aus einem unbekannten Netz erfolgte.
Bedeutung für Forensik und Ermittlungen
Die Timeline ist ein zentrales Werkzeug zur Strukturierung eines Falls und zur verständlichen Darstellung gegenüber Entscheidern und Rechtsanwälten. Annahmen, Unsicherheiten und Lücken werden in der Darstellung kenntlich gemacht.
Erkennung und Prävention
Synchronisierte Systemzeiten (zum Beispiel über Zeitserver) und aufbewahrte Protokolle erleichtern spätere Rekonstruktionen erheblich.
Auch gesucht als Zeitachsenanalyse, Zeitlinie, Timeline, Zeitstrahl, Ereignis-Timeline, Super-Timeline, Zeitlinienanalyse, Zeitliche Rekonstruktion