Disk-Forensik/ Sicherstellung

Sicherstellung der Untersuchungsumgebung

Bei der Sicherstellung der Untersuchungsumgebung ist davon auszugehen, dass Informationen über den Zustand der Umgebung auch nach Jahren (z.B. bei einer Gerichtsverhandlung) noch rekonstruiert werden müssen. Daher ist eine Aufzeichnung aller Schritte, am besten mit Fotos und in schriftlicher Form, sehr wichtig. Die Sicherstellung am besten mit einem Vier-Augen-Prinzip durchführen. Bei der Sicherstellung von digitalen Beweismitteln muss auf die Einhaltung von Datenschutzbestimmungen geachtet werden (siehe weiter oben).

• Zustand des Computers sichern

Methoden zur Sicherstellung digitaler Beweismittel

Die Auswahl der zu verwendenden Methode zur Sicherstellung hängt von einigen Faktoren ab, z.B. der möglichen Ausfallzeit eines Computersystems, der Größe der Festplatten der Datenträger und welche Daten gesucht werden.

• Beschlagnahmung ganzer Computersysteme
• Beschlagnahmung von Backup
• Selektives Kopieren
• Imaging

Methoden zur Gewinnung digitaler Beweismittel

Wie bereits kurz erwähnt kann man Dateien anhand verschiedener Suchkriterien auffinden. Allerdings werden diese in der Praxis häufig verschleiert und sind mit den Standardkriterien nicht immer auffindbar.

• Eindeutige Daten
• Versteckte Daten

Quellen

[1] Brian Carrier: File System Forensic Analysis. Addison Wesley Professional, 2005. ISBN 0-32-126817-2

[2] Harlan Carvey: Windows Forensics and Incident Recovery. Addison Wesley, July 21, 2004. ISBN 0-321-20098-5

[3] Casey Eoghan: Digital Evidence and Computer Crime - Forensic Science, Computers, and the Internet. Academic Press, 2004. ISBN 0-12-16310-44, Second Edition

[4] Alexander Geschonneck: Computer Forensik. dpunkt.verlag, 2006 ISBN 389865-379-4, 2. aktualisierte Auflage