Was ist digitale Forensik und wann wird sie benötigt?

Worum es bei einer Untersuchung geht

Digitale Geräte und Dienste hinterlassen Spuren: Dateien, Zeitstempel, Anmeldungen, Netzwerkverbindungen, Nachrichten, Konfigurationsänderungen. Die digitale Forensik sichert diese Spuren so, dass sie möglichst unverändert bleiben, wertet sie methodisch aus und stellt die Ergebnisse so dar, dass Dritte sie nachvollziehen können.

Der Begriff „forensisch“ verweist auf den Anspruch an Nachvollziehbarkeit: Vorgehen, Werkzeuge und Annahmen werden dokumentiert, Zwischenschritte lassen sich wiederholen, und Befunde werden von Bewertungen getrennt. Das ist unabhängig davon, ob später ein Gericht beteiligt ist.

Typische Fragestellungen

Digitale Forensik kommt in unterschiedlichen Lagen zum Einsatz:

• Sicherheitsvorfälle: Wie gelangten Angreifer ins System, was wurde zugegriffen, wurden Daten abgezogen?
• Betrugsverdacht: Wie kam es zu einer Zahlung, wurde ein Konto übernommen, wurde eine Nachricht manipuliert?
• Interne Untersuchungen: Gab es unberechtigte Zugriffe oder Datenmitnahmen durch Beschäftigte?
• Streitfälle mit technischem Kern: Was wurde wann auf einem System geändert, wer hat was gesendet?
• Nachlassfälle: Welche Geräte, Konten und digitalen Werte existieren, und wer ist zugriffsberechtigt?
• Zweifel an Echtheit: Woher stammt ein Dokument oder Bild, wurde es verändert?

Welche Datenquellen eine Rolle spielen können

Welche Quellen im Einzelfall herangezogen werden, hängt von der Fragestellung und davon ab, was rechtlich und technisch zugänglich ist.

Wie eine Untersuchung typischerweise abläuft

Gängige Leitfäden gliedern den Ablauf in vier Phasen. Die folgende Darstellung orientiert sich daran und ist vereinfacht.

1. Sichern: Relevante Quellen werden identifiziert und nachvollziehbar gesichert, etwa durch ein forensisches Abbild. Die Reihenfolge richtet sich nach der Flüchtigkeit der Daten; flüchtige Informationen zuerst.
2. Untersuchen: Die Daten werden gefiltert und aufbereitet, um relevante Informationen herauszuarbeiten.
3. Analysieren: Die Informationen werden ausgewertet und zueinander in Beziehung gesetzt, etwa in einer Zeitlinie (Timeline-Analyse).
4. Berichten: Befunde, Vorgehen, Annahmen und Grenzen werden dokumentiert.

Zwischen diesen Phasen liegt die Dokumentation. Wer hat wann was getan, mit welchem Werkzeug, mit welchem Ergebnis? Die lückenlose Nachvollziehbarkeit der Aufbewahrung beschreibt die Chain of Custody: Warum die Dokumentation digitaler Beweismittel wichtig ist.

Was ein Ergebnis aussagt und was nicht

Ein forensischer Befund beschreibt, was technisch festgestellt wurde. Fünf Abgrenzungen sind wichtig:

• Befund und Hinweis: Ein Befund ist festgestellt. Ein Hinweis deutet auf etwas hin, ist aber nicht bestätigt.
• Befund und Bewertung: Dass ein Konto zu einem Zeitpunkt eine Datei geöffnet hat, ist etwas anderes als die Frage, ob dies pflichtwidrig war.
• Spur und Person: Eine Spur zeigt ein Konto, ein Gerät oder eine Adresse, nicht ohne Weiteres eine bestimmte Person.
• Abwesenheit und Beweis: „Keine Spuren gefunden“ bedeutet nicht „nichts geschehen“. Protokolle können fehlen.
• Technik und Verwertbarkeit: Ob ein Ergebnis in einem Verfahren verwertet wird, entscheidet nicht die Technik, sondern das Gericht.

Auch der Begriff „gerichtsfest“ ist mit Vorsicht zu verwenden. Eine technische Sicherung kann sorgfältig durchgeführt und dokumentiert sein, es bleibt aber eine Frage des Verfahrens, wie sie bewertet wird.

Grenzen digitaler Forensik

Nicht alles lässt sich untersuchen oder wiederherstellen.

• Gelöschte oder überschriebene Daten sind nicht in jedem Fall wiederherstellbar.
• Verschlüsselte Geräte und Konten lassen sich ohne Zugangsdaten oder rechtliche Grundlage nicht öffnen.
• Cloud-Protokolle werden nach Fristen gelöscht; zu spätes Handeln kann Spuren kosten.
• Manipulationen können Spuren verwischen.
• Zeitangaben können durch falsche Systemuhren oder Zeitzonen verfälscht sein.

Deshalb sind eine frühzeitige Sicherung und eine realistische Erwartung wichtig. Ein bestimmtes Ergebnis kann nicht zugesagt werden.

Wann digitale Forensik sinnvoll sein kann

Hinweise auf Bedarf sind: ein konkreter Verdacht, der geklärt werden soll; Entscheidungen, die auf einem belastbaren technischen Bild beruhen sollen; ein Rechtsstreit oder ein behördliches Verfahren in Sicht; Datenbestände, die vor Veränderung oder Löschung geschützt werden müssen. Dann gilt: nicht selbst „nachschauen“, Geräte nicht weiter nutzen und Fachleute einbeziehen. Warum die ersten Schritte so wichtig sind, zeigt der Artikel Digitale Beweise richtig sichern: Warum der erste Umgang mit Daten entscheidend ist.

Digitale Forensik und Incident Response

Bei Sicherheitsvorfällen läuft die Forensik häufig parallel zur Vorfallsbehandlung (Incident Response). Beide haben unterschiedliche Ziele: Die Vorfallsbehandlung will den Betrieb schützen und wiederherstellen, die Forensik will Abläufe klären und dokumentieren. Daraus kann ein Zielkonflikt entstehen, etwa wenn ein System sofort neu aufgesetzt werden soll. Gute Vorbereitung legt fest, wann zuerst gesichert wird.

Was für ein Erstgespräch hilfreich ist

Wer eine Untersuchung erwägt, kann sich vorbereiten, ohne Spuren zu verändern. Hilfreich sind eine kurze, sachliche Schilderung des Anlasses, ein Überblick über die betroffenen Geräte, Konten und Systeme, Zeitpunkte und Auffälligkeiten, die bereits aufgefallen sind, sowie die Angabe, was bisher unternommen wurde, etwa ob Geräte neu gestartet oder Konten gesperrt wurden. Ebenso wichtig ist die Frage, wer zugriffsberechtigt ist und welche rechtlichen Rahmenbedingungen gelten, zum Beispiel wenn Daten von Beschäftigten oder Dritten betroffen sind. Auf dieser Grundlage lässt sich klären, welche Datenquellen relevant sind und was zuerst gesichert werden sollte. Ein bestimmtes Ergebnis lässt sich auch dann nicht zusagen, aber Umfang und Vorgehen werden dadurch abschätzbar.

Wie Neutralität und Nachvollziehbarkeit gewahrt werden

Ein belastbarer Befund beruht darauf, dass Annahmen offengelegt werden. Gute Praxis ist, die Fragestellung vorab schriftlich festzuhalten, Alternativerklärungen mitzuprüfen und nicht nur das zu suchen, was eine bestimmte Annahme stützt. Wird ein Ergebnis später von Dritten geprüft, sollten Vorgehen, Werkzeuge und Zwischenstände so dokumentiert sein, dass die Schritte wiederholbar sind. Das schützt auch den Auftraggeber: Ein Befund, der Gegenargumente benennt, ist glaubwürdiger als einer, der nur Bestätigung liefert.

Einordnung

Dieser Beitrag ist eine allgemeine Einführung und keine Bewertung eines Einzelfalls. Er ersetzt weder Rechtsberatung noch eine Untersuchung. Rechtliche Fragen, etwa zur Zulässigkeit einer Auswertung von Beschäftigtendaten, klären hierzu befugte Rechtsanwälte.