Digitale Forensik

Digitale Forensik: Digitale Spuren sichern und Vorfälle aufklären

Digitale Forensik umfasst die methodische Identifikation, Sicherung, Untersuchung und Auswertung digitaler Spuren. Sie hilft dabei, Ereignisse zu rekonstruieren, technische Zusammenhänge zu verstehen und belastbare Erkenntnisse für betriebliche oder rechtliche Entscheidungen zu gewinnen.

Zum Einsatz kommt sie beispielsweise nach Cyberangriffen, bei internen Untersuchungen oder in straf- und zivilrechtlichen Verfahren. Entscheidend sind geeignete Untersuchungsmethoden, der sorgfältige Umgang mit den Daten und eine nachvollziehbare Dokumentation. Welche Aussagen möglich sind, hängt von der Qualität und Vollständigkeit der verfügbaren Spuren ab.

Was ist digitale Forensik?

Digitale Forensik untersucht Daten auf Computern, mobilen Geräten, in Netzwerken, Anwendungen und Cloud-Diensten. Typische Untersuchungsfragen sind:

  • Was ist passiert und wann?
  • Welche Systeme, Konten und Daten waren betroffen?
  • Wie kam es zu einem unberechtigten Zugriff?
  • Welche Handlungen wurden anschließend ausgeführt?
  • Welche Hinweise sprechen für eine Manipulation oder einen Datenabfluss?

Die Untersuchung muss nicht auf eine Straftat ausgerichtet sein. Auch die Aufklärung eines Sicherheitsvorfalls oder eines Verstoßes gegen interne Richtlinien kann Anlass sein.

Digitale Spuren liefern dabei nicht automatisch eindeutige Antworten. Ein protokollierter Zugriff über ein Benutzerkonto belegt beispielsweise nicht allein, welche Person tatsächlich gehandelt hat. Forensische Fachkräfte prüfen deshalb den Kontext, gleichen unterschiedliche Quellen ab und unterscheiden zwischen nachgewiesenen Sachverhalten, plausiblen Schlussfolgerungen und offenen Fragen.

Welche Arten der digitalen Forensik gibt es?

Die digitale Forensik umfasst mehrere, häufig miteinander verbundene Arbeitsgebiete.

Teilgebiet Typische Untersuchungsgegenstände
Computer- und Datenträgerforensik Dateisysteme, Betriebssystemartefakte, installierte Programme, Benutzeraktivitäten und gelöschte Daten
Arbeitsspeicher- und Live-Forensik Flüchtige Informationen laufender Systeme, beispielsweise Prozesse, Netzwerkverbindungen und Speicherinhalte
Netzwerkforensik Aufgezeichneter Netzwerkverkehr, Verbindungsdaten und Protokolle von Netzwerkkomponenten
Mobile Forensik Daten und Nutzungsspuren auf Smartphones und Tablets
Cloud-Forensik Audit-Protokolle, virtuelle Systeme, Cloud-Speicher sowie administrative und kontobezogene Aktivitäten
Anwendungs- und Datenbankforensik Geschäftsprozesse, Datenänderungen, Transaktionen und Zugriffe innerhalb von Anwendungen
E-Mail-Forensik Nachrichten, Header, Anhänge, Weiterleitungsregeln und Aktivitäten in E-Mail-Konten

Die Malware-Analyse ist eine angrenzende Disziplin. Sie untersucht die Funktionsweise verdächtiger Programme und kann helfen, forensische Befunde zu erklären.

Wie läuft eine digitale forensische Untersuchung ab?

Der konkrete Ablauf richtet sich nach Untersuchungsziel, Datenquellen und Rahmenbedingungen. Ein strukturiertes Vorgehen umfasst folgende Schritte.

1. Auftrag und Befugnisse klären

Zu Beginn werden Untersuchungsfragen, Umfang und Verantwortlichkeiten festgelegt. Dazu gehört die Klärung, welche Systeme und Daten untersucht werden dürfen und welche rechtlichen Anforderungen gelten.

Ein klar abgegrenzter Auftrag verhindert unnötige Datenerhebungen und hilft, Zeit und Ressourcen auf die relevanten Fragen zu konzentrieren.

2. Datenquellen identifizieren und priorisieren

Anschließend werden mögliche Spurenquellen erfasst. Dazu zählen beispielsweise Endgeräte, Server, Arbeitsspeicher, E-Mail-Systeme, Sicherheitslösungen und Cloud-Protokolle.

Die Sicherungsreihenfolge berücksichtigt die Flüchtigkeit der Daten. Arbeitsspeicherinhalte können beim Ausschalten verloren gehen; Protokolle können durch kurze Aufbewahrungsfristen oder fortlaufende Überschreibung verschwinden.

3. Daten sichern

Die Sicherungsmethode wird passend zur Quelle gewählt. Möglich sind unter anderem vollständige Datenträgerabbilder, gezielte Dateisicherungen, Arbeitsspeicherabbilder und Exporte aus Cloud-Diensten.

Notwendige Eingriffe und bekannte Einschränkungen werden dokumentiert. Bei einem laufenden Sicherheitsvorfall muss die Spurensicherung mit Maßnahmen zur Schadensbegrenzung abgestimmt werden.

4. Daten aufbereiten und untersuchen

Die gesicherten Daten werden technisch erschlossen und auf relevante Artefakte geprüft. Dazu gehören beispielsweise Logeinträge, Dateimetadaten, Konfigurationsänderungen und Hinweise auf ausgeführte Programme.

Zeitangaben müssen sorgfältig eingeordnet werden. Unterschiedliche Zeitzonen, abweichende Systemuhren und manipulierte Zeitstempel können die Rekonstruktion beeinflussen.

5. Befunde analysieren und überprüfen

Die Untersuchungsergebnisse werden miteinander in Beziehung gesetzt. Fachkräfte rekonstruieren Ereignisabläufe, prüfen Hypothesen und berücksichtigen alternative Erklärungen.

Wesentliche Schlussfolgerungen sollten soweit möglich durch voneinander unabhängige Spuren gestützt werden.

6. Ergebnisse dokumentieren und berichten

Der Abschlussbericht beschreibt Auftrag, Datenbasis, Methoden, Befunde und Schlussfolgerungen. Er benennt außerdem Einschränkungen und verbleibende Unsicherheiten.

Die Dokumentation beginnt bereits mit der ersten Maßnahme und begleitet die gesamte Untersuchung.

Wie werden digitale Beweise gesichert?

Eine fachgerechte Sicherung soll relevante Informationen erhalten, Veränderungen möglichst vermeiden und die Herkunft sowie den Umgang mit den Daten nachvollziehbar machen.

Geeignete Sicherungsverfahren

Bei ausgeschalteten Datenträgern kann ein Schreibblocker Schreibzugriffe durch das untersuchende System verhindern. Häufig wird ein forensisches Abbild erstellt, das die mit dem gewählten Verfahren lesbaren Bereiche des Datenträgers erfasst.

Nicht jede Datenquelle lässt sich auf diese Weise sichern. Bei laufenden Systemen, mobilen Geräten und Cloud-Diensten sind andere Verfahren erforderlich. Eine vollständig veränderungsfreie Erhebung ist dabei nicht immer möglich. Unvermeidbare Veränderungen müssen minimiert und dokumentiert werden.

Auch Schreibblocker haben Grenzen: Interne Prozesse einer SSD können unabhängig von Schreibzugriffen des Untersuchungsrechners ablaufen.

Integritätsprüfung mit Hashwerten

Kryptografische Hashwerte, beispielsweise auf Basis von SHA-256, ermöglichen die spätere Prüfung, ob ein gesichertes Datenobjekt gegenüber einem dokumentierten Zustand verändert wurde.

Ein Hashwert belegt jedoch weder die Rechtmäßigkeit der Erhebung noch die Wahrheit des Inhalts. Er ersetzt auch keine Dokumentation der Herkunft.

Nachvollziehbare Beweismittelkette

Die Chain of Custody dokumentiert den Umgang mit einem Beweismittel. Dazu gehören insbesondere:

  • eindeutige Kennzeichnung und Herkunft;
  • Zeitpunkt und Umstände der Sicherung;
  • verantwortliche Personen;
  • Übergaben, Zugriffe und Bearbeitungsschritte;
  • Aufbewahrungsort und Schutzmaßnahmen.

Gesicherte Daten müssen vor unbefugtem Zugriff, Verlust und unbeabsichtigter Veränderung geschützt werden. Analysen erfolgen möglichst an verifizierten Arbeitskopien.

Was ist bei Cloud-Forensik besonders zu beachten?

In Cloud-Umgebungen stehen häufig keine physischen Datenträger zur Verfügung. Stattdessen werden beispielsweise Audit-Protokolle, Datenexporte, Snapshots und Informationen zu Konten oder Berechtigungen untersucht.

Die verfügbaren Spuren hängen vom jeweiligen Dienst, dessen Konfiguration und den vorhandenen Zugriffsrechten ab. Wichtige Fragen sind:

  • Welche Ereignisse werden protokolliert?
  • Wie lange bleiben die Protokolle verfügbar?
  • Welche Daten können mit welchen Berechtigungen exportiert werden?
  • Welche Unterstützung muss der Anbieter leisten?
  • Welche rechtlichen Anforderungen gelten für Zugriff und Übermittlung?

Ein Cloud-Snapshot ist nicht automatisch eine vollständige Sicherung sämtlicher relevanter Spuren. Auch Aktivitäten in Identitätsdiensten oder administrativen Schnittstellen können für die Untersuchung entscheidend sein.

Welche Werkzeuge werden in der digitalen Forensik verwendet?

Forensische Werkzeuge unterstützen unterschiedliche Aufgaben. Ihre Auswahl richtet sich nach Datenquelle, Untersuchungsziel und benötigter Funktion.

Werkzeug oder Produktfamilie Typischer Einsatz
OpenText Forensic, aus dem früheren EnCase-Portfolio Untersuchung digitaler Beweismittel und Datenträger
Exterro FTK Aufbereitung, Suche und Analyse umfangreicher Datenbestände
FTK Imager Erstellung und Prüfung von Datenträgerabbildern sowie Datenvorschau
Autopsy Open-Source-Plattform zur Untersuchung digitaler Artefakte
Cellebrite UFED und Inseyets Mobile Datenerhebung und Analyse, abhängig von Gerät und unterstütztem Verfahren
Wireshark Aufzeichnung und Analyse von Netzwerkpaketen

Ergänzend kommen Werkzeuge zur Arbeitsspeicheranalyse, Zeitlinienerstellung und Auswertung von Cloud-Protokollen zum Einsatz.

Ein bekannter Produktname garantiert keine fehlerfreien Ergebnisse. Werkzeuge müssen für den jeweiligen Zweck geeignet sein. Versionen, Einstellungen und relevante Einschränkungen sollten dokumentiert und wichtige Befunde nach Möglichkeit gegengeprüft werden.

Welche Fähigkeiten benötigen digitale Forensiker?

Digitale Forensik verbindet technisches Wissen mit methodischer Sorgfalt. Wichtige Kompetenzen sind:

  • Kenntnisse über Betriebssysteme, Dateisysteme, Netzwerke und Anwendungen;
  • Verständnis von Cloud-Diensten, Identitäten und Berechtigungen;
  • sicherer Umgang mit forensischen Werkzeugen;
  • Programmier- und Scripting-Kenntnisse zur gezielten Datenverarbeitung;
  • Fähigkeit zur Prüfung von Hypothesen und alternativen Erklärungen;
  • Verständnis der rechtlichen Rahmenbedingungen;
  • verständliche Dokumentation und Kommunikation.

Ebenso wichtig ist es, Aussagegrenzen zu erkennen. Fachkräfte müssen zwischen einem beobachteten Artefakt und dessen Interpretation unterscheiden können. Bei komplexen Untersuchungen arbeiten technische Spezialisten, Incident-Response-Teams und juristische Verantwortliche zusammen.

Wie hängen digitale Forensik und Cybersicherheit zusammen?

Cybersicherheit umfasst Prävention, Erkennung, Reaktion und Wiederherstellung. Digitale Forensik liefert Methoden, um Ereignisse anhand digitaler Spuren nachvollziehbar aufzuklären.

Bei einem Sicherheitsvorfall unterstützt die forensische Untersuchung beispielsweise die Ermittlung des Angriffswegs und des betroffenen Umfangs. Incident Response nutzt diese Erkenntnisse, um den Vorfall einzugrenzen, Ursachen zu beseitigen und den sicheren Betrieb wiederherzustellen.

Die Zusammenarbeit wird häufig als Digital Forensics and Incident Response (DFIR) bezeichnet.

Forensik hat zudem eine vorbereitende Seite: Unternehmen können bereits vor einem Vorfall dafür sorgen, dass geeignete Spuren erhoben und bei Bedarf gesichert werden können.

Was bedeutet Forensic Readiness?

Forensic Readiness bezeichnet die organisatorische und technische Vorbereitung auf mögliche forensische Untersuchungen.

Dazu gehören:

  • geeignete Protokollierung relevanter Ereignisse;
  • verlässliche Zeitsynchronisation;
  • angemessene Aufbewahrung und geschützte Speicherung;
  • festgelegte Zuständigkeiten und Meldewege;
  • vorbereitete Sicherungsverfahren;
  • geklärte Zugriffsrechte und rechtliche Rahmenbedingungen;
  • regelmäßig überprüfte Werkzeuge und geschultes Personal.

Die Vorbereitung verbessert die Voraussetzungen für eine Untersuchung. Sie bedeutet jedoch nicht, möglichst viele personenbezogene Daten unbegrenzt zu speichern. Umfang und Aufbewahrung müssen erforderlich, angemessen und rechtlich zulässig sein.

Welche rechtlichen Aspekte sind zu beachten?

Eine forensische Untersuchung benötigt einen klaren Auftrag und eine tragfähige rechtliche Grundlage. Das gilt besonders, wenn personenbezogene Daten verarbeitet werden.

Im Anwendungsbereich der DSGVO sind unter anderem Zweckbindung, Datenminimierung, Speicherbegrenzung und angemessene Sicherheitsmaßnahmen zu beachten. Bei Beschäftigtendaten können zusätzliche Anforderungen greifen. Für die Aufdeckung von Straftaten im Beschäftigungsverhältnis enthält § 26 BDSG besondere Voraussetzungen.

Je nach Fall müssen außerdem Vertraulichkeitspflichten, Beteiligungsrechte und Anforderungen an internationale Datenübermittlungen geprüft werden.

Bei Datenschutzverletzungen sind mögliche Meldepflichten unabhängig vom Abschluss der Forensik zu bewerten. Soweit die Voraussetzungen des Art. 33 DSGVO vorliegen, muss die Meldung an die zuständige Aufsichtsbehörde unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden erfolgen.

Eine sorgfältige Sicherung und Dokumentation unterstützt die rechtliche Verwendung der Ergebnisse. Sie garantiert jedoch keine gerichtliche Verwertbarkeit. Diese hängt vom Einzelfall, dem Verfahren und den rechtlichen Umständen ab.

Was sind typische Anwendungsfälle?

Digitale Forensik kann unter anderem folgende Untersuchungen unterstützen:

  • Ransomware: Angriffsweg, betroffene Systeme und mögliche Aktivitäten vor der Verschlüsselung rekonstruieren.
  • Kontoübernahmen: Unberechtigte Anmeldungen, Sitzungen und nachfolgende Aktionen untersuchen.
  • Verdacht auf Datenabfluss: Hinweise auf Zugriffe, Zusammenstellungen und Übertragungen vertraulicher Informationen prüfen.
  • Interne Untersuchungen: Verdachtsmomente unter Beachtung der rechtlichen Voraussetzungen nachvollziehbar bewerten.
  • Manipulation von Geschäftsdaten: Änderungen an Datenbanken, Dokumenten oder Transaktionen untersuchen.
  • Straf- und zivilrechtliche Verfahren: Digitale Spuren sichern und fachlich einordnen.

Die Untersuchung kann einen Verdacht bestätigen, entkräften oder mangels ausreichender Daten offenlassen. Fehlende Spuren sind nicht automatisch ein Beleg dafür, dass ein Ereignis nicht stattgefunden hat.

Können gelöschte Daten wiederhergestellt werden?

Gelöschte Daten lassen sich unter bestimmten Voraussetzungen wiederherstellen. Eine allgemeine Erfolgsgarantie gibt es nicht.

Bei klassischen magnetischen Festplatten können Inhalte nach dem Löschen zunächst erhalten bleiben, solange die betreffenden Speicherbereiche nicht überschrieben wurden. Bei SSDs und anderen Flash-Speichern können TRIM und interne Speicherbereinigung die Wiederherstellung erheblich einschränken.

Weitere Einflussfaktoren sind Verschlüsselung, Gerätezustand, Dateisystem, Löschverfahren und die seit der Löschung erfolgte Nutzung.

Sind die ursprünglichen Inhalte nicht mehr verfügbar, können gegebenenfalls andere Quellen helfen: Backups, Versionsstände, synchronisierte Kopien, E-Mail-Anhänge oder Anwendungsprotokolle.

Dabei ist zwischen der vollständigen Wiederherstellung einer Datei und der Rekonstruktion einzelner Informationen über diese Datei zu unterscheiden.

Lassen sich verschlüsselte Daten und Passwörter auslesen?

Das hängt vom Schutzverfahren und den verfügbaren Zugangsmöglichkeiten ab.

Verschlüsselte Daten können beispielsweise mit vorhandenen Schlüsseln oder gültigen Zugangsdaten zugänglich sein. Starke, korrekt implementierte Verschlüsselung kann eine Auswertung ohne geeignete Schlüssel jedoch verhindern.

Passwort-Hashes werden nicht entschlüsselt. Unter bestimmten Voraussetzungen können Passwortkandidaten gegen einen vorhandenen Hash geprüft werden. Ob dies erfolgreich ist, hängt unter anderem von der Passwortstärke und dem verwendeten Hashverfahren ab.

Forensische Werkzeuge ermöglichen daher keinen universellen Zugriff auf gesperrte Geräte oder geschützte Daten.

Wie lange dauert eine forensische Untersuchung?

Die Dauer hängt von der Fragestellung und den technischen Rahmenbedingungen ab. Entscheidend sind insbesondere:

  • Zahl und Art der betroffenen Systeme;
  • Umfang und Qualität der verfügbaren Daten;
  • Zugriffsmöglichkeiten und Verschlüsselung;
  • erforderliche Abstimmungen mit Dritten;
  • Tiefe der Analyse und Anforderungen an den Bericht.

Eine erste technische Einschätzung kann deutlich früher vorliegen als eine abgeschlossene Untersuchung. Komplexe Fälle können sich über Wochen oder Monate erstrecken.

Ein einzelnes Smartphone ist nicht zwangsläufig schneller untersucht als ein Server. Zugriffshürden und Untersuchungsumfang können stärker ins Gewicht fallen als die reine Datenmenge.

Eine belastbare Zeitplanung ist deshalb erst nach einer ersten Eingrenzung möglich.

Was kostet eine digitale forensische Untersuchung?

Die Kosten richten sich nach dem konkreten Leistungsumfang. Eine allgemeine Preisangabe ist ohne Fallbeschreibung nur eingeschränkt aussagekräftig.

Ein transparentes Angebot sollte festlegen:

  • welche Systeme und Datenquellen einbezogen werden;
  • welche Fragen beantwortet werden sollen;
  • wie Sicherung und Analyse erfolgen;
  • welche Dringlichkeit besteht;
  • welche Berichte und weiteren Leistungen enthalten sind;
  • wie zusätzliche Arbeiten abgestimmt werden.

Eine gestufte Beauftragung kann helfen, den Aufwand zu steuern: Auf eine erste Eingrenzung folgt eine gezielte Vertiefung der relevanten Fragestellungen.

Was sollten Unternehmen bei einem vermuteten Vorfall tun?

Unternehmen sollten den vorgesehenen Meldeweg nutzen und die zuständigen Sicherheits- oder Incident-Response-Verantwortlichen einbeziehen. Beobachtungen, Zeitpunkte und bereits durchgeführte Maßnahmen sollten dokumentiert werden.

Unkoordinierte Löschungen, Neuinstallationen, Neustarts oder eigene Wiederherstellungsversuche können relevante Spuren verändern oder vernichten. Ob ein System isoliert, weiterbetrieben oder abgeschaltet werden sollte, muss anhand der konkreten Gefährdung und der verfügbaren Spuren entschieden werden.

Schadensbegrenzung und Beweissicherung gehören zusammen. Eine frühzeitige fachliche Abstimmung hilft, weitere Schäden zu verhindern und die Grundlage für eine belastbare Aufklärung zu erhalten.

Quellen und weiterführende Informationen

Redaktionsstand: Oktober 2026

Zurück zur Übersicht des Glossars

Zurück zur Übersicht des Glossars
AlleCyber-Verteidigungsstrategien & -Tools

Cyber-Verteidigungsstrategien & -Tools

Cookie Consent mit Real Cookie Banner