IT-Forensik und Beweissicherung für Unternehmen, Kanzleien und Behörden

Grundsätzlich ist das möglich, aber nicht voraussetzungslos. Es kommt auf den Anlass an, auf die Regelung zur Privatnutzung, auf die Verhältnismäßigkeit und gegebenenfalls auf die Beteiligung des Betriebsrats.

Diese Punkte berücksichtigen wir bei der Planung der Untersuchung und stimmen sie auf Wunsch mit Ihrem Anwalt ab, damit das Ergebnis später verwendet werden kann.

Das Gerät nicht neu aufsetzen und nicht selbst hineinsehen, Konten sperren statt löschen und die Frist für eine fristlose Kündigung im Blick behalten. Danach sollte das Gerät forensisch gesichert werden.

Welche Spuren sich auswerten lassen, etwa angeschlossene USB-Datenträger oder Kopiervorgänge, klären wir im ersten Gespräch.

Das hängt vom Verfahren ab. In einem Teil der Fälle reicht die Aufbereitung aus dem XPRESS-CHECK IT bereits aus. Reicht sie nicht, erstellen unsere IT-Gutachter ein ausführliches IT-Gutachten.

Was in Ihrem Fall erforderlich ist, besprechen wir vorher mit Ihnen.

Chain of Custody heißt auf Deutsch Beweismittelkette. Gemeint ist die lückenlose Dokumentation, wer ein Beweismittel wann übernommen, verwahrt und bearbeitet hat. Bei digitalen Beweisen gehört dazu der Hashwert: eine Prüfsumme, die beim Sichern gebildet wird und belegt, dass die Kopie dem Original entspricht und seitdem nicht verändert wurde.

Eine feste Formvorschrift dafür gibt es vor deutschen Gerichten nicht, sie würdigen die Beweise frei. Jede Lücke gibt der Gegenseite aber Anlass, Zweifel an der Echtheit zu wecken. Wo der Sachverhalt es erfordert, vor allem in anspruchsvollen und sensiblen Fällen, dokumentieren wir die Beweismittelkette deshalb lückenlos.

Mobile Forensic (Mobile Device Forensics) oder Smartphone Forensik bezeichnet ein Teilgebiet der digitalen Forensik, das sich mit der sicheren und gerichtsfesten Sicherung, Wiederherstellung, Analyse und Auswertung digitaler Spuren von mobilen Endgeräten wie Smartphones, Tablets oder GPS-Geräten beschäftigt.

Laut dem National Institute of Standards and Technology (NIST), Special Publication 800-101 Rev. 1, ist Mobile Forensics „die Wissenschaft, digitale Beweismittel von einem mobilen Gerät unter forensisch einwandfreien Bedingungen und unter Verwendung anerkannter Methoden wiederzugewinnen“ („Mobile device forensics is the science of recovering digital evidence from a mobile device under forensically sound conditions using accepted methods.“, NIST SP 800-101 Rev. 1).

Dabei ist es Ziel, die Integrität der Beweismittel zu wahren, Veränderungen an den Originaldaten zu vermeiden und die Erkenntnisse gerichtsverwertbar zu dokumentieren. Anwendungen finden sich typischerweise in strafrechtlichen, arbeitsrechtlichen oder zivilrechtlichen Ermittlungen, aber auch in internen Compliance-Verfahren.

Computer-Forensik (auch: Digital Computer Forensics) ist ein Teilbereich der digitalen Forensik und beschäftigt sich mit der Identifikation, Sicherung, Analyse und Dokumentation von digitalen Spuren auf IT-Systemen, insbesondere Computern und Servern. Ziel ist es, gerichtlich verwertbare Erkenntnisse über sicherheitsrelevante Vorfälle wie Datenmanipulation, unbefugte Zugriffe oder den Einsatz von Schadsoftware zu gewinnen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) versteht unter IT-Forensik die methodisch vorgenommene Datenanalyse auf Datenträgern und in Computernetzen zur Aufklärung von IT-Vorfällen (Quelle: BSI, Leitfaden IT-Forensik).

Zentrale Grundsätze sind dabei die Nachvollziehbarkeit der Untersuchungsschritte, die Integrität der gesicherten Daten sowie der Einsatz forensisch anerkannter Werkzeuge und Methoden. Typische Anwendungsfelder liegen in der Aufklärung von Cybercrime, internen Unternehmensuntersuchungen, Wirtschaftskriminalität sowie Datenschutzverstößen.

Bei der professionellen Handyforensik kommen spezialisierte Softwarelösungen zum Einsatz, die darauf ausgelegt sind, digitale Spuren sicher, vollständig und gerichtsfest zu extrahieren.

Zwei der bekanntesten und weltweit etablierten Programme sind:

• Cellebrite UFED (Universal Forensic Extraction Device): Cellebrite ist eines der führenden Tools in der mobilen Forensik. Es ermöglicht physikalische, logische und Datei-System-Extraktionen von einer Vielzahl mobiler Geräte. Neben der Datenextraktion bietet Cellebrite umfassende Analysefunktionen für Anruflisten, Nachrichten (auch gelöschte), GPS-Daten, App-Inhalte u. v. m. Cellebrite wird von Strafverfolgungsbehörden, Militär und Sachverständigen auf der ganzen Welt verwendet.
• MOBILedit Forensic (früher MOBILedit Forensic Express): Dieses Tool wird vor allem für die Analyse von Mobiltelefonen in zivilen, unternehmerischen und juristischen Kontexten eingesetzt. Es bietet eine schnelle Extraktion, Analyse und übersichtliche Berichterstellung. Besonders geschätzt wird MOBILedit für seine Benutzerfreundlichkeit und die Möglichkeit, auch ältere Geräte oder SIM-Karten auszuwerten.

Weitere Programme, die in spezialisierten Fällen verwendet werden, sind etwa Oxygen Forensic Detective, XRY (MSAB) oder Elcomsoft Mobile Forensic Bundle. Die Auswahl des Tools hängt von Gerätetyp, Betriebssystem, Sicherheitsniveau und dem gewünschten Untersuchungsziel ab.

Die digitale Forensik an Computern, ob unter Windows oder macOS, erfordert spezialisierte Softwarelösungen, die eine rechtssichere Sicherung, Analyse und Auswertung von Daten ermöglichen.

Für Windows-Systeme gelten z.B. folgende Tools als zielführend:

• X-Ways Forensics: Oft als Goldstandard in der Windows-Forensik bezeichnet. Die Software bietet extrem effiziente und tiefgehende Analysefunktionen bei gleichzeitig geringem Ressourcenverbrauch, anerkannt in Behörden, Kanzleien und spezialisierten Forensikunternehmen.
• Belkasoft X (früher Belkasoft Evidence Center): Ebenfalls weit verbreitet und stark auf die automatisierte Erkennung und Korrelation von digitalen Spuren (Chats, Passwörter, Artefakte) ausgelegt.

Für macOS-Forensik hat sich insbesondere Software von Sumuri etabliert:

• RECON LAB: Spezialisiert auf die tiefgehende, strukturierte Analyse von macOS-Systemen, inklusive Time-Machine-Backups, Spotlight- und APFS-Metadaten, Benutzerprofilen, Logfiles und mehr.
• RECON ITR: Für Sicherung und erste Sichtung von Macs, auch vor Ort. Ermöglicht erste Bewertungen, bevor ein vollständiges Image erstellt wird.

Durch den Einsatz dieser Werkzeuge lassen sich digitale Spuren gerichtsfest rekonstruieren, Datenmanipulationen nachweisen und zeitliche Abläufe rekonstruieren, sowohl im unternehmerischen Kontext als auch bei Strafverfahren.