IT‑Forensik

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) definiert die IT‑Forensik, auch als Digitale Forensik oder Computer Forensik bezeichnet, so: „IT‑Forensik ist die streng methodisch vorgenommene Datenanalyse auf Datenträgern und in Computernetzen zur Aufklärung von Vorfällen unter Einbeziehung der Möglichkeiten der strategischen Vorbereitung insbesondere aus der Sicht des Anlagenbetreibers eines IT‑Systems.“ (Leitfaden „IT‑Forensik“).

Vorfälle, die untersucht werden, haben meistens mit dem Verlust von Kunden- oder geheimen Unternehmensdaten zu tun. Diese können durch Hacker-Angriffe, internen Datendiebstahl/ Sabotage, oder ungewollte Veröffentlichungen ein Unternehmen schädigen.

Das streng methodische Vorgehen ist dabei von hoher Bedeutung, da nur so ein gerichtsfestes Gutachten erstellt werden kann. Streng methodisch heißt dabei, dass durchgehend eine Verifizierung aller Spuren besteht und alle angewandten Methoden in einer wiederholten Anwendung dieselben Ergebnisse liefern. Somit können IT‑Forensiker nicht nur die Geräte auswerten und feststellen, was passiert ist; sie erarbeiten mit den Betroffenen zudem, wie ein weiterer Vorfall verhindert und die IT‑Systeme sicherer gemacht werden können.

Dabei gibt es eine Unterscheidung, wann die IT‑forensische Analyse stattfindet. In der Post‑mortem‑Analyse wird der Vorfall nachträglich aufgeklärt, indem Spuren aus einer Kopie des Datenträgers gewonnen werden. In der Live‑Forensik wird die Analyse während der Laufzeit der Datenträger und Computernetze durchgeführt. Somit besteht die Möglichkeit, weitere Daten aus dem sogenannten flüchtigen Speicher gewinnen zu können.

Eine IT‑forensische Untersuchung verfolgt das Ziel, herauszufinden, wer für einen Vorfall und den daraus entstandenen Schaden verantwortlich ist, um den oder die Täter zur Rechenschaft ziehen zu können. Im Fokus stehen meist Angriffe von außen, jedoch werden dabei häufig lauernde Gefahren aus den eigenen Reihen unterschätzt. Um eine IT‑forensische Analyse durchführen zu können, gibt es wichtige Fragestellungen, welche beantwortet werden müssen.

Die Frage „Was ist geschehen?“ beinhaltet dabei den Grund der Untersuchung, ob z. B. Daten verschlüsselt worden sind oder ein Hacker Zugriff auf die Systeme hat und Geschäftsgeheimnisse ausspähen kann. Die zweite Frage „Wo ist es passiert?“ zielt auf die Systeme ab, ob Server und/oder Arbeitsrechner betroffen sind oder waren und wie viele. Die Frage „Wann ist es passiert?“ grenzt den Zeitraum des Angriffs ein. Es wird festgestellt, ob der Angriff schon seit mehreren Monaten läuft oder aktuell ist. Mit der Frage „Wer hat es getan?“ soll geprüft werden, ob der Angriff von außen kam oder innerhalb des Unternehmens stattgefunden hat, und ob die Vorfälle einer Person oder einem Personenkreis zugeordnet werden können. Mit der Frage „Wie ist es passiert?“ wird der Weg des Täters erarbeitet und welche Schritte nötig waren, um den Vorfall zu erzeugen. Zusätzlich kann die Fragestellung „Was kann gegen eine Wiederholung getan werden?“ relevant sein, wenn es insbesondere um eine Sicherheitsbewertung geht.

Um diese Fragen beantworten zu können, werden Informationen aus Computern, Servern und anderen elektronischen Geräten extrahiert und anschließend ein gerichtsfestes Gutachten erstellt. Darin sind die Ergebnisse aufbereitet und in einen Zusammenhang gesetzt.

Durch jahrelange Erfahrung in der IT‑Forensik können wir in der Regel im Erstgespräch den Umfang der IT‑forensischen Untersuchung präzise einschätzen. Viele Faktoren spielen bei IT‑forensischen Analysen eine wichtige Rolle. Um eine Analyse so kurz wie möglich halten zu können, ist es wichtig, den Zeitraum der Tat so genau wie möglich eingrenzen zu können. Wurden z. B. Daten seit drei Wochen abgezogen oder ist nur ein Tag betroffen? Anschließend werden Artefakte nur aus diesem Zeitraum untersucht und nicht aus der gesamten Laufzeit eines Systems. Der Aufwand einer Untersuchung wird also individuell mit Ihnen abgestimmt.

Ein weiterer maßgebender Faktor ist die Größe und die Anzahl der Datenträger, welche untersucht werden sollen. Zu Beginn eines jeden Auftrages werden forensische Master- und Arbeitskopien angefertigt. Hierbei werden forensische Kopien der Datenträger erstellt. In diesem Prozess werden die Inhalte 1:1 auf einen neuen Datenträger kopiert. Die Dauer hängt also von der Größe der zu kopierenden Datenträger ab.

Auch notwendige Tools zur Aufklärung des Falls sind für den Umfang entscheidend. Das liegt vor allem daran, dass die forensischen Tools ebenfalls Zeit benötigen, um die erstellten Kopien nach Informationen zu durchsuchen. Auch das Auslesen der Informationen aus den Datenträgern auf dem Auswertungsrechner variiert bei jeder Untersuchung. Die Ergebnisse einer Analyse werden daraufhin von uns per Hand verifiziert. Abschließend zu der IT‑forensischen Analyse wird ein gerichtsverwertbares IT‑Gutachten erstellt, worin sich die aufbereiteten Informationen befinden und für den entsprechenden Adressatenkreis beschrieben werden. In diesem Bericht werden die vorgenommenen Schritte und Ergebnisse der Analyse detailliert beschrieben.