Digitale Forensik (auch IT-Forensik) ist die methodische und beweissichere Identifikation, Sicherung, Analyse und Dokumentation digitaler Spuren – etwa nach einem Sicherheitsvorfall oder einer Straftat. Ziel ist es, Hergang, Umfang und Verursacher so nachvollziehbar zu rekonstruieren, dass die Ergebnisse auch vor Gericht Bestand haben.
Teilbereiche
- Computer- und Disk-Forensik: Festplatten, Dateisysteme, gelöschte Dateien, Artefakte des Betriebssystems.
- Memory-Forensik: Analyse des Arbeitsspeichers (RAM) – dort finden sich laufende Prozesse, injizierter Code und Klartext-Daten.
- Netzwerk-Forensik: Datenverkehr, Verbindungslogbücher und Protokolle.
- Mobile Forensik: Smartphones, Tablets, Messenger-Verläufe und Standortdaten.
Typischer Ablauf
- Sicherstellung: Das System möglichst nicht verändern – kein Herunterfahren, kein Öffnen verdächtiger Dateien. Flüchtige Daten (RAM, offene Verbindungen) werden zuerst gesichert.
- Sicherung: Erstellung einer forensischen 1:1-Kopie (Image) der Datenträger; SHA-256-Hashwerte dokumentieren die Integrität.
- Analyse: Datei-Carving, Timeline-Auswertung, Artefakt-Suche nach verdächtigen Programmen oder Zugriffen.
- Dokumentation: Die Chain of Custody (Beweiskette) hält lückenlos fest, wer wann mit welchem Beweismittel gearbeitet hat – ohne sie verliert ein digitaler Beweis seine Aussagekraft.
Werkzeuge
Typische Werkzeuge sind FTK Imager und Autopsy/Sleuth Kit für Datenträger-Images, Volatility für die Memory-Forensik und Wireshark für Netzwerk-Aufzeichnungen. Bekannte kommerzielle Lösungen heißen EnCase oder X-Ways.
Die digitale Forensik ist eng mit dem Incident Response verzahnt: Nach einem Vorfall liefert sie die belastbaren Fakten, auf deren Basis Maßnahmen ergriffen und Lehren gezogen werden. Auch beim Threat Hunting kommen forensische Methoden zum Einsatz, um Angreifer zu finden, die andere Abwehrmechanismen übersehen haben.
Verwandte Grundlagen: Memory-Forensik, YARA, EDR, Malware.