Arten der Datenerfassung

Die Datenerfassung ist der Schritt, bei dem Daten so von ihrer Quelle kopiert werden, dass sie später überprüft werden können (Modul 1 erläutert, wie sie sich von der Sicherstellung unterscheidet). Ein vollständiges Abbild einer Festplatte, eine Kopie ausgewählter Postfächer, die Erfassung des Arbeitsspeichers eines laufenden Computers und ein Export aus einem Onlinekonto sind alles Formen der Datenerfassung. Jede davon erfasst bestimmte Daten, lässt andere aus und verändert etwas. Die Wahl der Art ist daher eine Abwägung, die von Fall zu Fall getroffen wird. Lektion 4.2 erläutert, wie Hashwerte die Kopie schützen, und Lektion 4.3, wie Datenträgerabbilder erstellt werden.

Physisch, logisch und gezielt

• Physische Datenerfassung, auch als Bitstromabbild oder vollständiges Datenträgerabbild bezeichnet, kopiert jeden Sektor des Geräts in seiner Reihenfolge: die Partitionstabelle, jede Partition, nicht zugewiesenen Speicherplatz (Bereiche, die das Dateisystem als frei kennzeichnet und die häufig noch gelöschte Daten enthalten) und Slack Space (ungenutzte Bytes am Ende des letzten Clusters einer Datei). Sie liefert die vollständigste Kopie.
• Logische Datenerfassung kopiert Dateien und Ordner so, wie das Dateisystem sie bereitstellt, mit Namen, Pfaden und Zeitstempeln. Sie ist schneller und benötigt weniger Speicherplatz, lässt aber gelöschte Dateien, nicht zugewiesenen Speicherplatz und Slack Space aus.
• Gezielte oder selektive Datenerfassung kopiert nur Elemente, die anhand von Kriterien ausgewählt wurden, etwa das Postfach eines Benutzers, einen Projektordner oder Dateien aus einem bestimmten Zeitraum. Sie ist bei der elektronischen Beweisermittlung (ISO/IEC 27050) üblich.

Ein Volume-Abbild ist eine Bitstromkopie einer einzelnen Partition anstelle des gesamten Laufwerks. Es bewahrt den nicht zugewiesenen Speicherplatz dieser Partition und wird häufig verwendet, um ein entschlüsseltes Volume aus einem laufenden System zu kopieren.

Bei einem Solid-State-Laufwerk kopiert ein physisches Abbild jeden Block, den das Laufwerk bereitstellt, nicht jedoch den Reserve-Flash-Speicher, den sein Controller für sich behält. Durch TRIM (Modul 1) geleerte Blöcke werden beim Lesen in der Regel als Nullen zurückgegeben.

Offline- und Live-Datenerfassung

• Offline-Datenerfassung (auch als statische oder Dead-Box-Datenerfassung bezeichnet) erfolgt an einem ausgeschalteten System: Das Laufwerk wird über einen Schreibblocker angeschlossen, oder der Computer wird von einem forensischen Startmedium gestartet, das nicht darauf schreibt. Bei korrekter Durchführung verändert sie nichts an der Quelle und lässt sich wiederholen: Die erneute Abbilderstellung eines intakten Laufwerks ergibt denselben Hashwert.
• Live-Datenerfassung erfolgt an einem laufenden System. Sie kann den Arbeitsspeicher (Prozesse, Netzwerkverbindungen, Verschlüsselungsschlüssel, Schadsoftware, die niemals auf den Datenträger geschrieben wird) und Daten auf Volumes erfassen, die in diesem Moment entsperrt sind.

Die Live-Datenerfassung hat ihren Preis. Das Werkzeug läuft auf dem System und verändert es, und der Arbeitsspeicher verändert sich während des Kopierens weiter. Das Ergebnis lässt sich weder wiederholen noch mit der Quelle abgleichen, da die Quelle in diesem Zustand nicht mehr existiert; der Hashwert eines Arbeitsspeicherabbilds schützt dieses erst ab dem Zeitpunkt der Erfassung. Detaillierte Aufzeichnungen gleichen aus, was sich nicht wiederholen lässt. Beide Verfahren werden häufig kombiniert: zuerst Arbeitsspeicher und entsperrte Volumes gemäß der Reihenfolge nach Flüchtigkeit (Modul 1), dann das Laufwerk nach dem Herunterfahren.

Lokale Datenerfassung und Ferndatenerfassung

Die meisten Datenerfassungen erfolgen lokal: Der Prüfer befindet sich beim Gerät. Bei der Ferndatenerfassung werden Daten über ein Netzwerk kopiert. In Organisationen können Endpunktagenten, also kleine, vorab auf Computern installierte Programme, ein Datenträgerabbild erstellen, den Arbeitsspeicher erfassen oder Dateien von einem Rechner in einem anderen Land sammeln. Dies beschleunigt die Reaktion auf Sicherheitsvorfälle, bringt aber zusätzliche Anforderungen mit sich:

• eine Genehmigung für jeden Rechner und für jede grenzüberschreitende Übertragung (Modul 2);
• eine verschlüsselte Verbindung sowie einen Hashwert, der an der Quelle und erneut für die empfangene Kopie berechnet wird;
• Aufzeichnungen über die Spuren, die der Agent selbst hinterlässt, da er auf dem laufenden System ausgeführt wird.

Mobilgeräte

Die Datenerfassung bei Smartphones und Tablets erfolgt fast immer im eingeschalteten Zustand über das eigene Betriebssystem oder einen speziellen Startmodus. Daher verändert jede Datenerfassung bei Mobilgeräten das Gerät geringfügig. Üblicherweise werden drei Ebenen beschrieben.

• Logisch: Daten, die das Betriebssystem über seine normalen Schnittstellen oder seine Sicherungsfunktion bereitstellt, etwa Kontakte, Nachrichten und Fotos.
• Dateisystem (oder vollständiges Dateisystem): eine Kopie des Dateisystems einschließlich App-Datenbanken und Systemprotokollen, die in einer Sicherung niemals erscheinen. Dafür sind häufig erhöhte Zugriffsrechte erforderlich.
• Physisch: eine bitweise Kopie des Flash-Speichers. Auf vielen aktuellen Geräten werden Benutzerdaten dateiweise verschlüsselt, sodass sich eine physische Kopie ohne die vom Gerät geschützten Schlüssel nicht entschlüsseln lässt.

NIST SP 800-101 beschreibt weitere Methoden, von der manuellen Extraktion (Fotografieren des Bildschirms) bis zu Chip-off (Ausbauen des Speicherchips).

Der Sperrzustand entscheidet häufig darüber, was möglich ist. Moderne Smartphones verschlüsseln Benutzerdaten mit Schlüsseln, die teilweise vom Gerätecode abhängen. Vor dem ersten Entsperren nach einem Neustart (BFU) bleiben die meisten Benutzerdaten verschlüsselt; nach dem ersten Entsperren (AFU) sind deutlich mehr Daten zugänglich, selbst wenn der Bildschirm erneut gesperrt wird. Deshalb wird ein eingeschaltet aufgefundenes Smartphone weiter mit Strom versorgt und isoliert (Modul 3).

Cloud- und Onlinedienste

Von einem Onlinedienst gespeicherte Daten lassen sich nicht als Datenträgerabbild erfassen. Drei Wege sind üblich:

• Export durch den Anbieter: Der Anbieter stellt die Daten aufgrund einer rechtlichen Anforderung bereit, häufig mit Protokollen, die der Benutzer nie zu sehen bekommt.
• Kontoexport mit Berechtigung: Eine berechtigte Person meldet sich mit Einwilligung oder auf einer anderen Rechtsgrundlage an und nutzt die Downloadfunktion des Dienstes, wobei sie jeden Schritt dokumentiert.
• API-Datensammlung: Ein Werkzeug verwendet die Anwendungsprogrammierschnittstelle (API) des Dienstes mit autorisierten Zugangsdaten, um Elemente und ihre Metadaten herunterzuladen, wie es Organisationen häufig für ihre eigenen Geschäftskonten tun.

Die Cloud-Datenerfassung ist immer logisch: Es gibt keinen nicht zugewiesenen Speicherplatz, und gelöschte Elemente existieren nur so lange, wie der Anbieter sie aufbewahrt. Exportformate und Metadaten hängen vom Dienst ab. Berechnen Sie für jeden Export unmittelbar nach dem Empfang einen Hashwert.

Auswahl einer Methode

Treffen Sie Ihre Wahl anhand der Fragen, welche Daten für die Fragestellungen benötigt werden, was verloren gehen könnte, was die Genehmigung erlaubt und was technisch möglich ist. Ein physisches Abbild hält die meisten Möglichkeiten offen; eine gezielte Kopie ist bei einem Server, der Daten anderer Personen enthält, häufig die verhältnismäßige Wahl. Dokumentieren Sie stets, was nicht erfasst wurde und warum, damit eine überprüfende Person eine bewusste Einschränkung von einem Versehen unterscheiden kann.

Ein Praxisbeispiel

Ana Ruiz, eine Ermittlerin bei Northline Freight, geht einem Verdacht auf Lohnabrechnungsbetrug nach. Der Desktopcomputer des Verdächtigen läuft mit einem verschlüsselten Laufwerk, die Lohnabrechnungsdateien liegen auf einem von 400 Beschäftigten gemeinsam genutzten Server, und der Verdächtige verwendet ein gehostetes Firmen-E-Mail-Konto.

1. Ana erfasst den Arbeitsspeicher und ein Abbild des entsperrten Volumes, notiert jeden Befehl und dokumentiert den von der IT bereitgestellten Wiederherstellungsschlüssel.
2. Sie fährt den Desktopcomputer herunter und erstellt über einen Schreibblocker ein physisches Abbild seines Laufwerks.
3. Der Server muss online bleiben, daher erstellt sie eine gezielte Kopie der Lohnabrechnungsordner und Zugriffsprotokolle.
4. Sie sammelt das Postfach über die administrative Exportfunktion des Dienstes und berechnet für jede Ausgabe einen Hashwert.

Ihre Aufzeichnungen führen auf, was sie ausgelassen hat, etwa die Ordner anderer Benutzer, und warum.

Prüfungsschwerpunkt: Sie sollten für jede Art der Datenerfassung (physisch, logisch, gezielt, Volume) wissen, was sie erfasst, und dass nur Bitstromabbilder nicht zugewiesenen Speicherplatz und Slack Space enthalten. Unterscheiden Sie zwischen Offline- und Live-Datenerfassung und wissen Sie, warum sich ein Arbeitsspeicherabbild nicht anhand seiner Quelle verifizieren lässt. Kennen Sie die Ebenen bei Mobilgeräten (logisch, Dateisystem, physisch), die Sperrzustände BFU und AFU, die Wege zur Erfassung von Cloud-Daten und den Grund, warum Prüfer dokumentieren, was sie nicht erfasst haben.