Zeitnahe Notizen

„Wenn es nicht aufgeschrieben wurde, ist es nicht passiert“ ist eine Übertreibung, kommt aber dem nahe, wie Überprüfende und Gerichte forensische Arbeit beurteilen. Zeitnahe Notizen sind Notizen, die zum Zeitpunkt einer Handlung oder so bald wie praktisch möglich danach von der Person angefertigt werden, die sie ausgeführt hat. Sie sind die eigene Aufzeichnung des Prüfers darüber, was womit und warum getan wurde. Wie Notizen in den Abschlussbericht einfließen, wird in Modul 7 behandelt.

Was zeitnah bedeutet

Zeitnah bedeutet, zum selben Zeitpunkt angefertigt. Eine Notiz, die während der Erstellung eines forensischen Abbilds eines Laufwerks oder unmittelbar danach geschrieben wird, hält fest, was der Prüfer gesehen hat; eine Notiz, die eine Woche später aus dem Gedächtnis geschrieben wird, hält fest, woran er sich erinnert. Das ist weniger zuverlässig und leichter anzufechten. Wenn ein Eintrag nicht zum Zeitpunkt der Handlung geschrieben werden kann, beispielsweise während einer dynamisch verlaufenden Durchsuchung von Räumlichkeiten, wird er so bald wie möglich verfasst und mit dem Zeitpunkt seiner Erstellung versehen. Notizen sind nicht der Bericht. Sie sind die ursprüngliche Aufzeichnung, auf deren Grundlage der Bericht verfasst wird und anhand derer er überprüft werden kann.

Was aufzuzeichnen ist

• Datum und Uhrzeit mit Zeitzone für jeden Eintrag, beispielsweise 14:32 UTC+02:00. Wenn es relevant ist, halten Sie auch die auf dem untersuchten Gerät angezeigte Uhrzeit im Vergleich zu einer zuverlässigen Referenzuhr fest (Modul 6).
• Handlungen: Was wurde an welchem Gegenstand durchgeführt, der anhand seiner Asservatennummer identifiziert wird.
• Werkzeuge und Versionen: die verwendete Hardware und Software mit Versionsnummern, einschließlich des Schreibblockers und der Arbeitsstation.
• Einstellungen: gewählte Optionen wie Abbildformat, Segmentgröße, Hashalgorithmen und Suchbegriffe.
• Beobachtungen: was zu sehen war, beispielsweise ein laufendes Programm, eine Bildschirmmeldung, Schäden, Etiketten und Seriennummern.
• Ergebnisse: vollständig ausgeschriebene Hashwerte, Fehlermeldungen und die Anzahl gefundener Elemente.
• Probleme und Entscheidungen mit Begründungen: alles, was nicht nach Plan verlief, was entschieden wurde und warum, einschließlich erwogener und verworfener Optionen.

Halten Sie auch fest, was Sie nicht getan haben, wenn es relevant ist. „Arbeitsspeicher nicht gesichert: Laptop war bei Ankunft ausgeschaltet“ beantwortet eine Frage, bevor jemand sie stellt.

Papier oder elektronisch

Gebundene Notizbücher

Die traditionelle Wahl ist ein gebundenes Notizbuch mit nummerierten Seiten, das mit dokumentenechter Tinte beschrieben wird. Seiten werden niemals herausgerissen und Einträge niemals ausradiert oder überschrieben. Ein Fehler wird korrigiert, indem der falsche Text mit einem einzelnen Strich durchgestrichen wird, sodass er lesbar bleibt. Darauf folgen die Korrektur, das Datum und das Namenskürzel des Verfassers. Freie Flächen am Ende eines Eintrags oder einer Seite werden durchgestrichen, damit später nichts hinzugefügt werden kann. Jede Seite wird mit Datum und Namenskürzel versehen.

Elektronische Notizen

Getippte Notizen sind leichter zu lesen und zu durchsuchen und können Hashwerte und Dateipfade enthalten, die exakt aus der Werkzeugausgabe kopiert wurden. Sie benötigen gleichwertige Schutzmaßnahmen: automatische Zeitstempel; einen Verlauf, der jede Änderung bewahrt, statt Text zu ersetzen, etwa ein versionsverwaltetes Repository oder ein Fallbearbeitungssystem, das frühere Versionen aufbewahrt; und eine Möglichkeit nachzuweisen, dass die Notizen später nicht verändert wurden, beispielsweise durch das Aufzeichnen eines Hashwerts der Datei jedes Tages oder durch das Speichern auf einmal beschreibbaren Datenträgern. Eine Textverarbeitungsdatei, die jeder spurlos bearbeiten kann, ist eine wenig belastbare Aufzeichnung. Die von Werkzeugen erzeugten Protokolle werden zusammen mit den Notizen aufbewahrt; die Notizen verweisen auf sie, statt sie zu ersetzen.

Wie Sie Notizen verfassen

Notizen sollten für jemanden verständlich sein, der nicht dabei war, einschließlich einer überprüfenden Person, eines Rechtsanwalts oder des Prüfers selbst Jahre später. Halten Sie Fakten und Beobachtungen fest und kennzeichnen Sie jede Meinung oder Schlussfolgerung eindeutig als solche. Verwenden Sie Abkürzungen nur, wenn sie in Ihrer Organisation üblich sind oder in den Notizen erläutert werden. Jede Person, die eine Handlung ausführt, verfasst eigene Notizen. Wenn ein Kollege Handlungen für jemand anderen aufzeichnet, beispielsweise während diese Person ein Gerät handhabt, muss aus der Notiz hervorgehen, wer was getan und wer die Notiz verfasst hat. Notizen sind Teil der Fallakte und müssen möglicherweise offengelegt werden. Schreiben Sie daher nichts hinein, was Sie nicht bereit wären, vor Gericht zu erläutern.

Fotos und Bildschirmaufzeichnungen

Bilder dokumentieren einen Ort oder einen Bildschirm oft besser als Worte. Fotos eines Geräts im vorgefundenen Zustand, seiner Etiketten, Anschlüsse, Verpackung und Siegel sowie seiner Bildschirmanzeige sind Teil der Notizen. Bei der Arbeit an einem laufenden System zeigt eine Bildschirmaufzeichnung oder eine Kamera, die den Bildschirm filmt, genau, was eingegeben wurde und was erschien. Bewahren Sie die ursprünglichen Bild- und Videodateien auf, halten Sie deren Hashwerte fest und verweisen Sie in den schriftlichen Notizen anhand einer Nummer auf jede einzelne Datei, damit beide zusammen betrachtet werden können. Ein Foto erklärt sich nicht von selbst: Die Notiz gibt an, was es zeigt und warum es aufgenommen wurde.

Warum Notizen wichtig sind

Notizen ermöglichen es, die in Modul 1 behandelten Aspekte der Handhabung in der Praxis umzusetzen.

• Wiederholbarkeit und Reproduzierbarkeit setzen voraus, dass genau bekannt ist, welches Werkzeug, welche Version, welche Einstellungen und welche Eingaben ein Ergebnis hervorgebracht haben. Ohne diese Angaben kann niemand, auch nicht der ursprüngliche Prüfer, dieselben Schritte erneut ausführen.
• Begründbarkeit hängt von dokumentierten Gründen ab. Eine Entscheidung, die ein Jahr später ungewöhnlich erscheint, etwa nur einen Teil eines Servers als forensisches Abbild zu sichern, lässt sich verteidigen, wenn die Notizen die Einschränkung belegen, die sie erforderlich machte.
• Kollegiale Überprüfung, bei der ein zweiter Prüfer die Arbeit vor der Herausgabe des Berichts kontrolliert, stützt sich auf die Notizen und Werkzeugprotokolle, nicht auf Gespräche.
• Zeugenaussagen können Monate oder Jahre nach der Untersuchung erfolgen. Prüfer stützen sich auf ihre Notizen, um präzise zu antworten. Die Notizen müssen möglicherweise der Gegenpartei offengelegt werden, die sie genau lesen wird.

Stellen Sie sich vor, Rafael Costa, der unabhängige Prüfer aus Lektion 2.3, wird vor Gericht gefragt, warum er eine Partition eines Laufwerks nicht untersucht hat. In seinen Notizen steht: „Partition 3 verschlüsselt, kein Schlüssel bereitgestellt. Schlüssel um 10:15 UTC beim zuständigen Sachbearbeiter angefordert; Sachbearbeiter antwortete um 11:40, dass keiner verfügbar ist.“ Seine Antwort erfolgt unmittelbar und ist glaubwürdig. Ohne die Notiz könnte er nur sagen, dass er sich nicht erinnert.

Gute und schlechte Notizen

Prüfungsschwerpunkt: Beginnen Sie mit der Definition von zeitnah (zum Zeitpunkt der Handlung durch die handelnde Person angefertigt) und anschließend mit dem Inhalt eines Eintrags: Datum und Uhrzeit mit Zeitzone, Kennung des Gegenstands, Handlung, Werkzeug und Version, Einstellungen, Beobachtungen, Ergebnisse wie vollständige Hashwerte sowie Probleme und Entscheidungen mit Begründungen. Merken Sie sich zur Integrität: gebundene Notizbücher, dokumentenechte Tinte, Durchstreichen mit einem einzelnen Strich mit Datum und Namenskürzel, kein Radieren sowie elektronische Notizen mit Zeitstempeln und Versionsverwaltung oder auf einmal beschreibbaren Datenträgern. Rechnen Sie mit Fragen, die Notizen mit Wiederholbarkeit, Reproduzierbarkeit, Begründbarkeit, kollegialer Überprüfung und Zeugenaussagen verknüpfen.