Flüchtigkeit und Veränderungsanfälligkeit

Digitale Beweismittel warten nicht. Der Arbeitsspeicher verliert seinen Inhalt, wenn die Stromversorgung ausfällt, Protokolle überschreiben sich selbst, Telefone empfangen Nachrichten und Befehle zur Fernlöschung, und Solid-State-Laufwerke bereinigen gelöschte Daten selbstständig. Selbst der Prüfer verändert ein System, sobald er es berührt. Die ersten Entscheidungen in jedem Fall betreffen daher die Zeit: Was wird zuerst verschwinden, und was muss gesichert werden, bevor es so weit ist? Wie Geräte sichergestellt werden, wird in Modul 3 behandelt, und wie Kopien erstellt werden, in Modul 4.

Flüchtig und veränderungsanfällig sind nicht dasselbe

• Flüchtige Daten verschwinden, wenn ein Gerät seine Stromversorgung verliert oder ein Prozess endet: der Inhalt des Arbeitsspeichers (RAM), laufende Prozesse, offene Netzwerkverbindungen und Verschlüsselungsschlüssel, die vorgehalten werden, solange ein Datenträger entsperrt ist.
• Veränderungsanfällige Daten überstehen einen Stromausfall, ändern sich aber leicht: Dateien, Protokolle und Zeitstempel, die durch normale Nutzung, automatische Wartung oder unachtsamen Umgang verändert werden.

Beides führt zur gleichen Regel: Entscheiden Sie frühzeitig, was verloren gehen könnte, sichern Sie es in einer sinnvollen Reihenfolge und dokumentieren Sie, was Sie getan haben und warum.

Die Reihenfolge nach Flüchtigkeit

RFC 3227, „Richtlinien zur Erhebung und Archivierung von Beweismitteln“, veröffentlicht im Jahr 2002, empfiehlt, Beweismittel von den flüchtigsten bis zu den am wenigsten flüchtigen zu erheben. Die dort angegebene Reihenfolge ist weiterhin die maßgebliche Referenz:

1. Register und Cache
2. Routingtabelle, ARP-Cache, Prozesstabelle, Kernelstatistiken und Arbeitsspeicher
3. Temporäre Dateisysteme
4. Datenträger
5. Für das System relevante Daten aus entfernter Protokollierung und Überwachung
6. Physische Konfiguration und Netzwerktopologie
7. Archivmedien

In der Praxis lassen sich Register und Caches nicht für sich allein erfassen; Prüfer können den Inhalt des Arbeitsspeichers und den vom Betriebssystem gemeldeten aktuellen Systemzustand sichern, etwa laufende Prozesse und Netzwerkverbindungen. Entscheidend ist das Prinzip: Wenn zwei Quellen gefährdet sind, beginnen Sie mit derjenigen, die zuerst verschwinden wird.

Was digitale Beweismittel verändert

Zeitstempel verdienen besondere Aufmerksamkeit. Das Öffnen einer Datei, das Durchsuchen eines Ordners oder allein das Starten eines Betriebssystems kann Zeitstempel und Systemaufzeichnungen aktualisieren. Unter Windows beispielsweise erzeugt das Anschließen eines USB-Geräts zur Untersuchung neue Einträge in der Registrierung und in den Setup-Protokollen. Daten auf dem Originalgerät sollten anhand verifizierter Kopien untersucht werden, nicht durch direktes Durchsuchen des Geräts.

Jede Handlung hinterlässt eine Spur

Ein dem Kriminologen Edmond Locard zugeschriebenes Prinzip besagt, dass jeder Kontakt eine Spur hinterlässt. Das gilt auch für Prüfer. Wenn Sie ein Werkzeug zur Arbeitsspeichersicherung ausführen, wird dieses Werkzeug in den Arbeitsspeicher geladen, den Sie gerade sichern; das Anschließen eines Speichergeräts erzeugt Aufzeichnungen darüber; die Eingabe von Befehlen auf einem laufenden System erzeugt neue Prozesse. Diese Änderungen lassen sich nicht immer vermeiden. Vertretbar sind sie, wenn sie auf ein Minimum beschränkt, bewusst gewählt und so dokumentiert werden, dass jeder die Spuren des Prüfers von denen des Benutzers unterscheiden kann.

Stromversorgung, Verschlüsselung und Konnektivität

Drei Fragen bestimmen die ersten Minuten beim Umgang mit jedem Gerät.

Ist es ein- oder ausgeschaltet?

Ein ausgeschaltet vorgefundenes Gerät bleibt normalerweise ausgeschaltet: Beim Einschalten startet das Betriebssystem, wodurch Daten verändert werden. Ein laufend vorgefundenes Gerät enthält flüchtige Daten, die wertvoll sein können. Daher muss entschieden werden, ob diese gesichert werden sollen, bevor die Stromversorgung unterbrochen wird.

Sind die Daten verschlüsselt?

Vollständige Datenträgerverschlüsselung, etwa BitLocker unter Windows, FileVault unter macOS oder LUKS unter Linux, schützt ruhende Daten. Solange das System läuft und entsperrt ist, sind die Daten lesbar, und die Schlüssel können sich im Arbeitsspeicher befinden. Das Ausschalten des Systems kann dazu führen, dass die Daten ohne Passwort oder Wiederherstellungsschlüssel nicht mehr lesbar sind. Das Erkennen einer Verschlüsselung auf einem laufenden System gehört daher zu den wichtigsten frühen Beobachtungen.

Ist es verbunden?

Telefone, Laptops und mit der Cloud synchronisierte Ordner verändern sich weiter, solange sie verbunden sind. Eine Fernlöschung, eine neue Nachricht oder eine Synchronisierung kann Beweismittel verändern oder zerstören. Das Trennen des Geräts von Mobilfunknetzen, WLAN und Bluetooth, beispielsweise durch den Flugmodus oder eine gegen Funkfrequenzen abgeschirmte Tasche, unterbindet diese Änderungen. Jede Methode hat jedoch Nebenwirkungen, die in Modul 3 behandelt werden.

Flüchtigkeit über das Gerät hinaus

Einige der wertvollsten Beweismittel befinden sich zu keinem Zeitpunkt auf dem Gerät vor Ihnen.

• Netzwerkverkehr existiert nur während seiner Übertragung. Sofern ihn nicht bereits jemand aufgezeichnet hat, bleiben nur Aufzeichnungen darüber: Firewall-, Proxy- und DNS-Protokolle, Flow-Datensätze und die auf einem laufenden System aufgeführten Verbindungen.
• Protokolle auf Servern und bei Onlinediensten werden nur für begrenzte Zeit aufbewahrt. Die Aufbewahrungsfristen reichen von Tagen bis zu Monaten und hängen vom Anbieter, vom gebuchten Tarif und von den eigenen Einstellungen der Organisation ab.
• Gemeinsam genutzte und synchronisierte Daten können von überall aus verändert werden. Eine auf einem Gerät gelöschte Datei kann aus der Cloud und von jedem anderen mit dem Konto verknüpften Gerät verschwinden.

Bei diesen Quellen ist der erste Schritt oft eine Anfrage statt des Einsatzes eines Werkzeugs: Fordern Sie den Systemverantwortlichen oder den Dienstanbieter auf, die relevanten Aufzeichnungen vor Ablauf ihrer Aufbewahrungsfrist zu sichern, und dokumentieren Sie, wann und wie diese Anfrage gestellt wurde. Organisationen, die vorausschauend planen, indem sie Protokolle zentral und ausreichend lange aufbewahren, erleichtern spätere Untersuchungen erheblich.

Es gibt selten eine perfekte Entscheidung

Flüchtigkeit erfordert Abwägungen. Die Sicherung des Arbeitsspeichers verändert das System geringfügig, bewahrt aber, was sonst verloren ginge; das Ziehen des Netzsteckers erhält den Datenträger exakt in seinem Zustand, führt jedoch zum Verlust des Arbeitsspeicherinhalts und kann ein verschlüsseltes Volume sperren. Es gibt keine einzige richtige Antwort für jeden Fall. ISO/IEC 27037 fordert Begründbarkeit: Die Entscheidung muss unter Berücksichtigung des Untersuchungsziels, der Risiken und der vorliegenden Befugnis als die unter den gegebenen Umständen beste Option erklärbar sein. Erst das zeitnahe Festhalten der Gründe macht aus einer Ermessensentscheidung eine vertretbare Entscheidung.

Prüfungsschwerpunkt: Viele Fragen drehen sich um den Unterschied zwischen flüchtigen und veränderungsanfälligen Daten, die Reihenfolge nach Flüchtigkeit gemäß RFC 3227 (Arbeitsspeicher vor Datenträger, Datenträger vor entfernten Protokollen und Archivmedien) und darum, warum SSD-TRIM und Garbage Collection, Protokollrotation und Fernlöschung Beweismittel gefährden. Rechnen Sie mit Szenariofragen zu verschlüsselten laufenden Systemen, zur Trennung von Telefonen von Netzwerken und dazu, warum Prüfer die von ihnen verursachten Änderungen minimieren und dokumentieren müssen.