Zeitstempel und Zeitzonen

Die meisten forensischen Schlussfolgerungen haben einen zeitlichen Bezug: wann eine Datei erstellt wurde, wann ein Gerät angeschlossen wurde, was zuerst geschah. Zeitstempel wirken präzise, doch jedes System speichert Zeitangaben anders, protokolliert unterschiedliche Ereignisse und verwendet möglicherweise eine falsch gehende Uhr. Eine Zeitleiste, die ohne Prüfung dieser drei Aspekte erstellt wird, kann Ereignisse in die falsche Reihenfolge bringen, und ein zeitzonenbedingter Fehler von einer Stunde reicht aus, um eine Schlussfolgerung zu verändern. Lektion 6.3 zeigt die Artefakte, die viele dieser Zeitstempel enthalten.

Was ein Zeitstempel erfasst

Dateisysteme erfassen üblicherweise bis zu vier Zeitangaben für jede Datei, die häufig mit MACB abgekürzt werden:

Die genaue Bedeutung hängt vom Dateisystem und vom Betriebssystem ab. Unter Linux bezeichnet die klassische „ctime“ eine Metadatenänderung, nicht die Erstellung; die Erstellungszeit ist ein separates Feld, das ext4 erfasst. Bei Zugriffszeiten ist besondere Vorsicht geboten: Windows kann Aktualisierungen der letzten Zugriffszeit deaktivieren, und ob diese erfasst werden, hängt von der Version und den Einstellungen ab. Daher kann eine Zugriffszeit veraltet oder ungenau sein oder nie aktualisiert worden sein.

Wie Systeme Zeitangaben speichern

Computer speichern Zeitangaben als Zählwert ab einem festen Ausgangspunkt, der als Epoche bezeichnet wird. Verschiedene Systeme verwenden unterschiedliche Epochen und Einheiten.

Daraus ergeben sich zwei praktische Erkenntnisse. Ein Zeitstempel ist erst aussagekräftig, wenn sein Format bekannt ist; Werkzeuge müssen ihn daher korrekt dekodieren. Außerdem speichert FAT die Ortszeit ohne Zeitzone, weshalb der Prüfer ermitteln muss, welche Zeitzone das schreibende Gerät verwendet hat.

Zwei Sätze von NTFS-Zeitstempeln

Jede NTFS-Datei besitzt zwei Sätze mit jeweils vier Zeitstempeln. Der Satz in $STANDARD_INFORMATION wird im Windows Explorer angezeigt und kann von Programmen über gewöhnliche Systemfunktionen geändert werden; Werkzeuge, die Zeitstempel absichtlich verändern und als Timestomping-Werkzeuge bekannt sind, ändern üblicherweise diesen Satz. Der Satz in $FILE_NAME wird vom Dateisystem selbst verwaltet und in weniger Situationen aktualisiert, beispielsweise wenn eine Datei erstellt, umbenannt oder verschoben wird. Eine Erstellungszeit in $STANDARD_INFORMATION, die deutlich vor der Erstellungszeit in $FILE_NAME liegt, kann ein Anzeichen für Manipulation sein. Allerdings können auch normale Vorgänge zu Unterschieden zwischen den beiden Sätzen führen. Solche Unterschiede sind ein Anlass für weitere Untersuchungen, aber für sich genommen noch keine Schlussfolgerung.

Zeitzonen und Sommerzeit

UTC (Koordinierte Weltzeit) ist die weltweite Referenz. Die Ortszeit entspricht UTC zuzüglich oder abzüglich eines Zeitversatzes, der sich im Jahresverlauf beim Beginn oder Ende der Sommerzeit ändern kann. Windows speichert seine konfigurierte Zeitzone in der Registry unter SYSTEM\CurrentControlSet\Control\TimeZoneInformation; andere Systeme führen ähnliche Einstellungen.

• Ermitteln Sie, auf welche Zeitzone jedes Gerät eingestellt war und ob sich diese Einstellung im Laufe der Zeit geändert hat.
• Klären Sie, ob jede Quelle UTC oder Ortszeit speichert und wie Ihr Werkzeug diese anzeigt.
• Achten Sie auf Sommerzeitumstellungen: Im Frühjahr wird eine lokale Stunde übersprungen, im Herbst tritt eine Stunde zweimal auf.
• Geben Sie Zeiten im Bericht in UTC mit Angabe des Zeitversatzes an, beispielsweise 2026-03-14T12:47:05Z, oder als Ortszeit mit ihrem Zeitversatz, 2026-03-14T09:47:05-03:00.

Falsch gehende Uhren

Zeitstempel sind nur so genau wie die Uhr, die sie erzeugt hat. Die Uhr eines Computers, der sich nicht mit einem Zeitserver synchronisiert, kann um Sekunden oder Minuten abweichen. Eine Uhr kann auch versehentlich oder absichtlich falsch eingestellt werden. Es ist bewährte Praxis, bei der Erfassung die angezeigte Gerätezeit zusammen mit einer verlässlichen Referenzzeit zu erfassen und die Differenz zu dokumentieren, die als Uhrabweichung oder Zeitversatz bezeichnet wird. Geht die Uhr eines Laptops 4 Minuten vor, werden seine Zeitstempel beim Vergleich mit den Protokollen eines Servers um 4 Minuten korrigiert, und der Bericht erläutert diese Korrektur. Der Zeitversatz bei der Erfassung beweist nicht, wie groß der Zeitversatz Monate zuvor war. Auch diese Einschränkung ist anzugeben.

Kopieren, Verschieben und andere Überraschungen

Normale Vorgänge erzeugen Zeitstempelmuster, die einen unaufmerksamen Prüfer in die Irre führen können. Beim Kopieren einer Datei unter Windows erhält die Kopie typischerweise eine neue Erstellungszeit, während die ursprüngliche Änderungszeit erhalten bleibt. Dadurch scheint die Kopie vor ihrer Erstellung geändert worden zu sein. Beim Verschieben einer Datei innerhalb desselben Volumes bleiben ihre Zeitstempel im Allgemeinen erhalten. Beim Entpacken von Dateien aus einem ZIP-Archiv, beim Herunterladen oder beim Synchronisieren aus der Cloud können Zeitangaben auf eine Weise gesetzt werden, die vom verwendeten Programm abhängt. Wenn ein Zeitstempel unmöglich erscheint, sollte die erste Hypothese ein gewöhnlicher Vorgang sein. Diese Hypothese ist zu prüfen, bevor Schlussfolgerungen über eine Manipulation gezogen werden.

Eine Zeitleiste erstellen

Eine Zeitleiste ordnet Ereignisse aus vielen Quellen in einer gemeinsamen Abfolge an: Zeitstempel des Dateisystems, Registry-Einträge, Ereignisprotokolle, Browserverlauf, Telefonaufzeichnungen, Serverprotokolle. Kostenlose Werkzeuge wie Plaso (log2timeline) können Zeitstempel aus vielen Artefakten extrahieren und zusammenführen. So erstellen Sie eine belastbare Zeitleiste:

1. Wandeln Sie jede Zeitangabe in UTC um und korrigieren Sie dabei bekannte Uhrabweichungen.
2. Führen Sie bei jedem Ereignis dessen Quelle und zeitliche Auflösung mit auf, da eine FAT-Zeitangabe mit einer Auflösung von 2 Sekunden und eine ext4-Zeitangabe mit Nanosekundenauflösung nicht gleich präzise sind.
3. Suchen Sie nach gegenseitiger Bestätigung: Ein Ereignis, das von zwei unabhängigen Quellen erfasst wurde, ist wesentlich aussagekräftiger als eines, das nur durch einen einzigen Zeitstempel erfasst wurde.

Ein durchgerechnetes Beispiel

Ein Unternehmen gibt an, dass am 14. März eine vertrauliche Datei auf einen USB-Datenträger kopiert wurde. Die NTFS-Zeitstempel des Laptops liegen in UTC vor; der USB-Datenträger verwendet FAT32 und speichert Ortszeit; der Laptop war auf UTC−03:00 eingestellt. Die Kopie auf dem USB-Datenträger zeigt 09:47:04 Ortszeit, was 12:47:04 UTC entspricht. Die Aufzeichnungen des Laptops zum USB-Gerät und zum Öffnen der Datei zeigen 12:47:05 UTC. Der Unterschied von einer Sekunde ist mit der FAT-Auflösung von 2 Sekunden vereinbar. Der Prüfer gibt die Ereignisse im Bericht in UTC an, erläutert die Umrechnung und die Auflösung und wertet die Übereinstimmung zwischen den beiden unabhängigen Quellen als gegenseitige Bestätigung.

Prüfungsschwerpunkt: Sie sollten MACB interpretieren können und wissen, dass die Bedeutungen je nach Dateisystem variieren (Linux-ctime bezeichnet eine Metadatenänderung, nicht die Erstellung), warum Zugriffszeiten unzuverlässig sind und welche wesentlichen Speicherformate es gibt: NTFS FILETIME (100-Nanosekunden-Intervalle seit 1601, UTC), FAT-Ortszeit mit einer Auflösung von 2 Sekunden, Unix-Sekunden seit 1970. Kennen Sie die beiden NTFS-Zeitstempelsätze und wissen Sie, was durch Timestomping verändert wird. Rechnen Sie mit Szenarien zur Umrechnung von Ortszeit in UTC, zur Sommerzeit, zur Uhrabweichung bei der Erfassung, zu Mustern beim Kopieren im Vergleich zum Verschieben und zur gegenseitigen Bestätigung von Zeitangaben aus verschiedenen Quellen.