Was ist digitale Forensik?

Digitale Forensik ist ein Bereich der forensischen Wissenschaft. Es wird zur Untersuchung von Cyberkriminalität eingesetzt, kann aber auch bei straf- und zivilrechtlichen Ermittlungen helfen. So können beispielsweise Cybersicherheitsteams digitale Forensik einsetzen, um die Cyberkriminellen hinter einem Malware-Angriff zu identifizieren, während Strafverfolgungsbehörden sie zur Analyse von Daten von den Geräten eines Mordverdächtigen verwenden können.

Die digitale Forensik bietet zahlreiche Anwendungsmöglichkeiten, da sie digitale Beweismittel wie jede andere Form von Beweismitteln behandelt. Die Ermittler folgen bestimmten Verfahren, um physische Beweise an einem Tatort zu sammeln. Ebenso halten sich Ermittler der digitalen Forensik an einen strengen forensischen Prozess – bekannt als „Chain of Custody“ (Beweiskette) –, um eine ordnungsgemäße Handhabung und den Schutz vor Manipulationen zu gewährleisten.

Digitale Forensik und Computerforensik werden häufig synonym verwendet. Die digitale Forensik umfasst jedoch technisch gesehen die Sammlung von Beweismitteln von jedem digitalen Gerät, während die Computerforensik die Sammlung von Beweismitteln speziell von Computern, Tablets, Mobiltelefonen und Geräten mit einer CPU umfasst.

Digitale Forensik und Incident Response (DFIR) ist ein aufstrebender Bereich der Cybersicherheit, der Computerforensik und Incident-Response-Aktivitäten kombiniert, um die Cybersicherheitsmaßnahmen zu verbessern. Er trägt dazu bei, die Beseitigung von Cyberbedrohungen zu beschleunigen und gleichzeitig sicherzustellen, dass alle damit verbundenen digitalen Beweise unversehrt bleiben.

Die digitale Forensik oder digitale forensische Wissenschaft tauchte erstmals in den frühen 1980er Jahren mit dem Aufkommen von Personalcomputern auf und gewann in den 1990er Jahren an Bedeutung.

Es dauerte jedoch bis zum frühen 21. Jahrhundert, bis Länder wie die USA ihre Richtlinien für die digitale Forensik formalisierten. Die Verlagerung hin zur Standardisierung ergab sich aus der steigenden Computerkriminalität in den 2000er Jahren und der landesweiten Dezentralisierung der Strafverfolgung.

Mit der Zunahme von Straftaten mit digitalen Geräten wurden immer mehr Einzelpersonen an der Verfolgung solcher Verstöße beteiligt. Um sicherzustellen, dass bei den strafrechtlichen Ermittlungen digitale Beweismittel in einer vor Gericht zulässigen Weise behandelt wurden, haben die Ermittler spezielle Verfahren eingeführt.

Heutzutage wird die digitale Forensik immer relevanter. Um zu verstehen, warum, stellen Sie sich die überwältigende Menge an digitalen Daten vor, die über praktisch jeden und alles verfügbar sind.

Da die Gesellschaft zunehmend von Computersystemen und Cloud-Computing-Technologien abhängig ist, verlagern sich immer mehr Bereiche des Lebens der Menschen ins Internet. Diese Verlagerung erstreckt sich auf eine wachsende Zahl von Geräten, darunter Mobiltelefone, Tablets, IoT-Geräte, vernetzte Geräte und mehr.

Das Ergebnis ist eine noch nie dagewesene Menge an Daten aus unterschiedlichen Quellen und Formaten. Ermittler können diese digitalen Beweise nutzen, um eine wachsende Bandbreite krimineller Aktivitäten zu analysieren und zu verstehen, darunter Cyberangriffe, Datenverstöße sowie strafrechtliche und zivilrechtliche Ermittlungen.

Wie bei allen Beweismitteln, ob physisch oder digital, müssen Ermittler und Strafverfolgungsbehörden diese außerdem korrekt sammeln, handhaben, analysieren und speichern. Andernfalls können Daten verloren gehen, manipuliert werden oder vor Gericht für unzulässig erklärt werden.

Forensikexperten sind für die Durchführung digitaler forensischer Untersuchungen zuständig, und da die Nachfrage nach diesem Bereich steigt, erhöhen sich gleichzeitig auch die beruflichen Möglichkeiten. Das Bureau of Labor Statistics schätzt, dass die Zahl der offenen Stellen im Bereich Computerforensik bis 2029 um 31 % steigen wird.

Das National Institute of Standards and Technology (NIST) beschreibt vier Schritte für die digitale forensische Analyse. Hier sind einige Schritte:

Als die digitale Forensik in den frühen 1980er Jahren aufkam, gab es nur wenige formelle digitale Forensik-Tools. Die meisten forensischen Teams stützten sich auf Live-Analysen, eine bekanntermaßen heikle Praxis, die ein erhebliches Manipulationsrisiko birgt.

Ende der 1990er führte die wachsende Nachfrage nach digitalen Beweismitteln zur Entwicklung ausgefeilterer Tools wie EnCase und forensic toolkit (FTK). Mit diesen Tools konnten forensische Analysten Kopien digitaler Medien untersuchen, ohne auf Live-Forensik angewiesen zu sein.

Heutzutage verwenden forensische Experten eine Vielzahl digitaler forensischer Tools. Diese Tools können hard- oder softwarebasiert sein und Datenquellen analysieren, ohne die Daten zu manipulieren. Zu den gängigen Beispielen gehören Datei-Analyse-Tools, die einzelne Dateien extrahieren und analysieren, und Registry-Tools, die Informationen von Windows-basierten Computersystemen sammeln, die Benutzeraktivitäten in Registern katalogisieren.

Einige Anbieter stellen auch dedizierte Open-Source-Tools für bestimmte forensische Zwecke zur Verfügung. Kommerzielle Plattformen wie Encase und CAINE bieten umfassende Funktionen und Berichterstellungsmöglichkeiten. CAINE bietet eine komplette Linux-Distribution, die speziell auf die Bedürfnisse von forensischen Teams zugeschnitten ist.

Die digitale Forensik umfasst verschiedene Zweige, die auf den unterschiedlichen Quellen forensischer Daten basieren.

Zu den bekanntesten Zweigen der digitalen Forensik gehören:

• Computerforensik  (oder Cyberforensik): Kombination von Computerwissenschaft und Rechtsforensik zur Sammlung digitaler Beweise von Computern.

• Forensik für mobile Geräte: Untersuchung und Auswertung digitaler Beweise auf Smartphones, Tablets und anderen Mobilgeräten.

• Datenbankforensik: Prüfung und Analyse von Datenbanken und den dazugehörigen Metadaten, um Hinweise auf Cyberkriminalität oder Datenschutzverletzungen zu finden.

• Netzwerkforensik: Überwachung und Analyse von Daten im Datenverkehr von Computernetzwerken, einschließlich Web-Browsing und Kommunikation zwischen Geräten.

• Dateisystemforensik: Prüfung von Daten in Dateien und Ordnern, die auf Endgeräten wie Desktops, Laptops, Mobiltelefonen und Servern gespeichert sind.

• Speicherforensik: Analyse digitaler Daten im Arbeitsspeicher (RAM) eines Geräts.

Wenn Computerforensik und die Reaktion auf Vorfälle – also die Erkennung und Entschärfung von laufenden Cyberangriffen – unabhängig voneinander durchgeführt werden, können sie sich gegenseitig behindern, was negative Folgen für ein Unternehmen mit sich bringt.

Notfallteams können bei der Entfernung einer Sicherheitsbedrohung aus dem Netz digitale Beweise ändern oder löschen. Forensische Ermittler können die Aufklärung von Bedrohungen verzögern, während sie Beweise aufspüren und sichern.

Die digitale Forensik und Reaktion auf Sicherheitsvorfälle (Digital forensics and incident response, DFIR) integriert Computerforensik und die Reaktion auf Vorfälle in einen einheitlichen Workflow, damit Informationssicherheitsteams Cyberbedrohungen effizienter bekämpfen können. Gleichzeitig stellt diese Methodik sicher, dass digitale Beweise erhalten bleiben, die andernfalls in der Dringlichkeit der Bedrohungsabwehr verloren gehen könnten.

• Forensische Datensammlung parallel zur Eindämmung der Bedrohung: Die Einsatzkräfte setzen forensische Computertechniken ein, um Daten zu sammeln und zu sichern, während sie die Bedrohung eindämmen und beseitigen. Sie stellen sicher, dass die ordnungsgemäße Beweiskette eingehalten wird, um zu verhindern, dass wertvolle Beweise verändert oder vernichtet werden.

• Überprüfung nach einem Vorfall, einschließlich der Untersuchung digitaler Beweise: DFIR-Teams sichern nicht nur Beweise für rechtliche Schritte, sondern rekonstruieren auch Cybersicherheitsvorfälle von Anfang bis Ende. Auf diese Weise können sie feststellen, was passiert ist, wie es dazu kam, wie groß der Schaden ist und wie man ähnliche Angriffe in Zukunft verhindern kann.
  

DFIR kann zu einer schnelleren Eindämmung von Bedrohungen, einer leistungsfähigeren Wiederherstellung von Bedrohungen und einer verbesserten Beweislage bei der Untersuchung von Strafsachen, Cyberkriminalität, Schadensmeldungen und anderen Sicherheitsvorfällen führen.