Was ist Computerforensik?

So wie Strafverfolgungsbeamte Tatorte nach Hinweisen durchkämmen, suchen Computerforensiker auf digitalen Geräten nach Beweisen, die Anwälte bei strafrechtlichen Ermittlungen, in Zivilprozessen, bei Ermittlungen zur Cyberkriminalität und in anderen Angelegenheiten der Unternehmens- und nationalen Sicherheit verwenden können. Analog zur Strafverfolgung müssen sich auch Ermittler in der Computerforensik nicht nur mit der Jagd nach digitalen Nachweisen auskennen, sondern auch Fachleute im Erfassen, in der Behandlung und in der Verarbeitung dieser Informationen sein, um sicherzustellen, dass sie realitätsgetreu und vor Gericht zulässig sind.

Computerforensik steht in engem Zusammenhang mit Cybersicherheit. Computerforensische Erkenntnisse können Cybersicherheitsteams dabei helfen, die Erkennung und Auflösung von Cyberbedrohungen zu beschleunigen und zukünftige Cyberangriffe zu verhindern. Die digitale Forensik und Reaktion auf Sicherheitsvorfälle (Digital forensics and incident response, DFIR) ist eine neu entstehende Disziplin im Bereich Cybersicherheit. Sie integriert Computerforensik und Aktivitäten zur Reaktion auf Vorfälle, um die Behebung von Cyberbedrohungen zu beschleunigen und gleichzeitig sicherzustellen, dass alle damit verbundenen digitalen Nachweise nicht beeinträchtigt werden.

Erstmalig bekannt wurde die Computerforensik in den frühen 1980er-Jahren mit der Erfindung des Personal Computer (PC). Technologie wurde daraufhin immer mehr zu einem festen Bestandteil des täglichen Lebens. Kriminelle erkannten hier eine Gelegenheit und fingen an, Verbrechen mit elektronischen Geräten zu begehen.

Bald darauf wurde das Internet fast über Nacht mit allem verbunden, was E-Mail- und Remote-Zugriff auf Computernetze von Unternehmen und Organisationen ermöglichte und Türen für komplexere Malware und Cyberangriffe öffnete. Als Reaktion auf dieses neue Gebiet der Cyberkriminalität benötigten die Strafverfolgungsbehörden ein System, um elektronische Daten zu untersuchen und zu analysieren. Das war die Geburtsstunde der Computerforensik.

Zunächst fand man die meisten digitalen Nachweise auf Computersystemen und IT-Geräten – auf Personal Computers (PCs), Servern, Handys, Tablets und elektronischen Speichermedien. Inzwischen erzeugen und speichern jedoch immer mehr industrielle und kommerzielle Geräte und Produkte – von Geräten des Internets der Dinge (IoT) und der Betriebstechnik (OT) über Autos und Haushaltsgeräte bis hin zu Türklingeln und Hundehalsbändern – Daten und Metadaten, die erfasst und als digitale Beweise ausgewertet werden können.

Nehmen wir einen Autounfall als Beispiel. In der Vergangenheit haben die Strafverfolgungsbehörden den Tatort möglicherweise auf physische Beweise wie Ausweichspuren oder zerbrochenes Glas untersucht. Vielleicht haben sie auch auf den Telefonen der Fahrer geprüft, ob es Nachweise dafür gibt, dass während der Fahrt SMS geschrieben wurden.

Heutzutage generieren und speichern neuere Autos alle möglichen Arten von digitalen Daten und Metadaten mit Zeitstempel, anhand derer detaillierte Angaben zum Standort, zur Geschwindigkeit und zu den Betriebsbedingungen eines jeden Fahrzeugs zu einem bestimmten Zeitpunkt gemacht werden können. Diese Daten verwandeln moderne Fahrzeuge in ein weiteres leistungsfähiges forensisches Tool, das es den Ermittlern ermöglicht, die Ereignisse vor, während und nach einem Unfall zu rekonstruieren. Möglicherweise können die Ermittler anhand dieser Daten sogar den Unfallverursacher ermitteln, selbst wenn es keine herkömmlichen physischen Beweise oder Augenzeugen gibt.

Genau wie physische Beweise am Tatort müssen auch digitale Nachweise gesammelt und korrekt behandelt werden. Andernfalls können die Daten und Metadaten verloren gehen – oder vor Gericht als unzulässig erachtet werden.

Ermittler und Staatsanwälte müssen beispielsweise eine ordnungsgemäße Beweismittelkette für digitale Nachweise vorweisen können: Sie müssen dokumentieren, wie diese Nachweise behandelt, verarbeitet und gespeichert wurden. Darüber hinaus müssen sie wissen, wie sie die Daten sammeln und speichern, ohne sie zu verändern – wenn man bedenkt, dass scheinbar harmlose Aktionen wie das Öffnen, Drucken oder Speichern von Dateien die Metadaten dauerhaft verändern können, ist das eine Herausforderung.

Aus diesem Grund beauftragen die meisten Unternehmen auf Computerforensik spezialisierte Ermittler (die auch unter den Jobbezeichnung Computerforensiker, IT-Forensiker oder Cyberforensiker geführt werden), um digitale Nachweise im Zusammenhang mit strafrechtlichen oder cyberkriminellen Ermittlungen zu sammeln und zu bearbeiten.

Computerforensiker haben in der Regel einen Bachelor-Abschluss in Informatik oder Strafrecht und verfügen über solide funktionale Kenntnisse der Grundlagen der Informationstechnologie (zum Beispiel Betriebssysteme, Informationssicherheit, Netzwerksicherheit, Programmiersprachen) sowie einen Hintergrund in den rechtlichen Implikationen digitaler Beweise und Cyberkriminalität. Einige spezialisieren sich möglicherweise auf Bereiche wie Forensik für Mobilgeräte oder Betriebssysteme.

Computerforensiker sind Fachleute, wenn es darum geht, rechtlich zulässige Daten aufzuspüren und aufzubewahren. Sie wissen, wie sie Daten aus Quellen sammeln, die das interne IT-Personal möglicherweise ignoriert. Dazu gehören beispielsweise externe Server oder Heimcomputer. Zudem können sie Unternehmen dabei helfen, eine solide Richtlinie für die Computerforensik zu entwickeln, die beim Sammeln von digitalen Nachweisen Zeit und Geld spart, die Folgen von Cyberkriminalität mindert und dazu beiträgt, die Netze und Informationssysteme des Unternehmens vor künftigen Angriffen zu schützen.

Computerforensik besteht aus vier Hauptschritten.

Es gibt mehrere Bereiche, in denen Unternehmen oder Strafverfolgungsbeauftragte eine digitale forensische Untersuchung einleiten könnten:

• Strafrechtliche Untersuchungen: Strafverfolgungsbehörden und Computerforensiker können Computerforensik nutzen, um computerbezogene Verbrechen wie Cybermobbing, Hacking oder Identitätsdiebstahl sowie Verbrechen in der physischen Welt wie Diebstahl, Entführung, Mord und mehr aufzuklären. Zum Beispiel können Strafverfolgungsbeamte die Computerforensik auf dem Computer eines Mordverdächtigen einsetzen, um potenzielle Hinweise oder Beweise zu finden, die in den Suchverläufen oder gelöschten Dateien versteckt sind.
• Rechtsstreite im Zivilrecht: Auch in zivilrechtlichen Prozessen können Ermittler die Computerforensik nutzen – zum Beispiel bei Betrug, bei Rechtsstreitigkeiten im Zusammenhang mit einer Anstellung oder auch bei Scheidungen. In einem Scheidungsfall kann das Anwaltsteam eines Ehepartners beispielsweise Computerforensik auf einem Mobilgerät einsetzen, um die Untreue eines Partners aufzudecken und so eine positivere Entscheidung herbeizuführen.
• Schutz des geistigen Eigentums: Computerforensik kann Strafverfolgungsbehörden dabei helfen, den Diebstahl von geistigem Eigentum zu untersuchen, z. B. den Diebstahl von Geschäftsgeheimnissen oder urheberrechtlich geschütztem Material. Einige der aufsehenerregendsten Fälle in der Computerforensik betreffen den Schutz des geistigen Eigentums. Insbesondere gibt es hier Fälle, in denen ausscheidende Mitarbeitende vertrauliche Informationen stehlen, um sie an ein anderes Unternehmen zu verkaufen oder ein konkurrierendes Unternehmen zu gründen. Durch die Analyse digitaler Nachweise können Ermittler ermitteln, wer das geistige Eigentum gestohlen hat, und diese Person(en) dann zur Verantwortung ziehen.
• Unternehmenssicherheit: Infolge eines Cyberangriffs wie zum Beispiel einer Datenschutzverletzung oder eines Ransomware-Angriffs nutzen Unternehmen häufig Computerforensik, um zu ermitteln, was passiert ist, und anschließend die Sicherheitslücken zu schließen. Ein typisches Beispiel wäre, dass Hacker eine Sicherheitslücke in der Firewall eines Unternehmens durchbrechen, um sensible oder wichtige Daten zu stehlen. Auch in Zukunft wird Computerforensik zur Bekämpfung von Cyberangriffen eingesetzt werden, da die Cyberkriminalität weiter zunimmt. Laut Schätzungen des FBI aus dem Jahr 2022 kosteten Computerkriminalität Amerikaner Jahresverlust in Höhe von 10,3 Milliarden USD, gegenüber 6,9 Milliarden USD im Vorjahr.
• Nationale Sicherheit: Die Computerforensik ist zu einem wichtigen Tool für die nationale Sicherheit geworden, da die Cyberkriminalität in den einzelnen Ländern weiter zunimmt. Regierungen oder Strafverfolgungsbehörden wie das FBI setzen heute nach Cyberangriffen computerforensische Verfahren ein, um Beweise zu finden und Sicherheitslücken zu schließen.

Wie schon gesagt sind Computerforensik und Cybersicherheit eng verwandte Disziplinen, die häufig zusammen eingesetzt werden, um digitale Netze vor Cyberangriffen zu schützen. Cybersicherheit ist sowohl proaktiv als auch reaktiv und konzentriert sich auf die Prävention und Erkennung von Cyberangriffen sowie auf die Reaktion und Sanierung nach Cyberangriffen.

Computerforensik ist fast ausschließlich reaktiv und tritt im Falle eines Cyberangriffs oder einer Straftat in Aktion. Computerforensische Untersuchungen liefern jedoch oft wertvolle Informationen, die Cybersicherheits-Teams zur Verhinderung zukünftiger Cyberangriffe nutzen können.

Wenn Computerforensik und die Reaktion auf Vorfälle – also die Erkennung und Entschärfung von laufenden Cyberangriffen – unabhängig voneinander durchgeführt werden, können sie sich gegenseitig behindern, was wiederum negative Folgen für ein Unternehmen mit sich bringt.

Notfallteams können bei der Entfernung einer Sicherheitsbedrohung aus dem Netz digitale Beweise ändern oder löschen. Forensische Ermittler können die Aufklärung von Bedrohungen verzögern, während sie Beweise aufspüren und sichern.

Die digitale Forensik und Reaktion auf Sicherheitsvorfälle (Digital forensics and incident response, DFIR) kombiniert Computerforensik und die Reaktion auf Vorfälle in einem integrierten Workflow, der Sicherheitsteams helfen kann, Cyberbedrohungen schneller zu stoppen und gleichzeitig digitale Nachweise zu sichern, die durch die Dringlichkeit der Entschärfung von Bedrohungen verloren gehen könnten. Bei DFIR

• Die forensische Datenerfassung erfolgt parallel zur Gefahrenabwehr. Die Notfallteams setzen dabei bei der Eindämmung und Beseitigung von Bedrohungen computerforensische Verfahren ein, um Daten zu sammeln und beizubehalten. So ist sichergestellt, dass eine ordnungsgemäße Beweismittelkette befolgt wird und dass wertvolle Beweisstücke nicht verändert oder gelöscht werden.

• Die Überprüfung nach einem Vorfall umfasst auch das Überprüfen von digitalen Nachweisen. DFIR-Teams sichern nicht nur Beweise für rechtliche Schritte, sondern rekonstruieren auch Cybersicherheitsvorfälle von Anfang bis Ende, um zu erfahren, was passiert ist, wie es passiert ist, wie groß der Schaden ist und wie ähnliche Angriffe vermieden werden können.

DFIR kann zu einer schnelleren Eindämmung von Bedrohungen, einer leistungsfähigeren Wiederherstellung nach Bedrohungen und einer verbesserten Beweislage bei der Untersuchung von Strafsachen, Cyberkriminalität, Schadensmeldungen und mehr führen.