Beweisquellen erkennen

Bevor etwas gesichert werden kann, muss jemand erkennen, wo sich Beweise befinden könnten. Die Identifizierung, die erste Phase des forensischen Prozesses (Modul 1), ist schwieriger, als sie aussieht: Spuren eines einzigen Ereignisses können sich auf einem Dutzend Geräten, in mehreren Online-Diensten und im Gedächtnis der beteiligten Personen befinden. Der Laptop auf dem Schreibtisch ist selten die einzige Quelle. Der Router in der Ecke, das alte Telefon in einer Schublade und das zu Hause synchronisierte Tablet können einen Teil des Geschehens dokumentieren, und jemand muss entscheiden, was zuerst bearbeitet werden soll. Die Sicherung des Einsatzortes wird in Lektion 3.2 behandelt, die Datenerfassung in Modul 4.

Beginnen Sie mit den Fragestellungen

Die Fragestellungen des Falls bestimmen, was als Quelle zählt. Bei einem Belästigungsfall sind die Nachrichten sowie die Konten und Geräte, von denen sie gesendet wurden, besonders wichtig; bei einem Datendiebstahl sind es Speichermedien, Cloud-Synchronisierung und die Zugriffsprotokolle des Dateiservers. Fragen Sie sich bei jeder Fragestellung, wo Spuren der relevanten Handlungen erstellt, kopiert oder synchronisiert worden sein könnten. Die Antworten lassen sich in der Regel einigen Gruppen zuordnen: Geräte, das Netzwerk, Online-Dienste und die Personen selbst.

Computer und Speichermedien

Desktop-Computer und Laptops bleiben zentrale Quellen: Dokumente, Browserverlauf, E-Mail-Programme, Chat-Anwendungen, Betriebssystemprotokolle und Aufzeichnungen über angeschlossene Geräte. Ihre Speicher sind in verschiedenen Formen vorhanden.

• Festplattenlaufwerke (HDDs) speichern Daten auf rotierenden magnetischen Scheiben. Gelöschte Daten bleiben häufig erhalten, bis sie überschrieben werden.
• Solid-State-Laufwerke (SSDs) verwenden Flash-Speicher. Viele sind über die SATA-Schnittstelle angeschlossen; NVMe-Laufwerke werden über PCI Express angebunden und sind häufig kleine M.2-Karten. Bei manchen Laptops ist der Speicher auf die Hauptplatine gelötet, sodass kein Laufwerk ausgebaut werden kann.
• USB-Sticks und Speicherkarten, etwa SD- und microSD-Karten, sind klein und leicht zu verstecken. Eine microSD-Karte ist ungefähr so groß wie ein Fingernagel.
• Optische Medien (CDs, DVDs und Blu-ray-Discs) sind heute weniger verbreitet, finden sich aber weiterhin in Archiven und älteren Systemen.

Wechselmedien finden sich an ungewöhnlichen Orten: in Büchern, Manteltaschen, Handyhüllen oder Spielkonsolen, unter Schubladen festgeklebt oder als Schlüsselanhänger oder Stift getarnt. Suchen Sie gezielt danach.

Telefone, Wearables und vernetzte Dinge

Telefone und Tablets enthalten häufig mehr Informationen über das Leben einer Person als jeder Computer: Nachrichten, Anrufe, Kontakte, Fotos mit Standortdaten und App-Daten. Sie sind zugleich die Geräte, die Änderungen aus der Ferne am stärksten ausgesetzt sind. Deshalb werden sie in den Lektionen 3.2 und 3.3 gesondert behandelt.

• Wearables, etwa Smartwatches und Fitness-Tracker, zeichnen Aktivitäten, Herzfrequenz und mitunter den Standort auf und synchronisieren sich üblicherweise mit einer Smartphone-App und dem Cloud-Dienst des Anbieters.
• Smart-Home- und IoT-Geräte (Internet der Dinge), etwa intelligente Lautsprecher, Türklingelkameras, Thermostate und intelligente Türschlösser, führen Ereignisverläufe: wann eine Tür entriegelt oder eine Bewegung erkannt wurde. Ein großer Teil dieses Verlaufs liegt häufig nicht auf dem Gerät, sondern im Cloud-Dienst des Anbieters, auf den über das Benutzerkonto zugegriffen wird.
• Fahrzeuge können im Infotainmentsystem Informationen zu gekoppelten Telefonen, Kontakte, Anruflisten und den Navigationsverlauf speichern, während Telematikeinheiten Standort- und Fahrereignisse an einen Dienstanbieter melden können.
• Spielkonsolen verfügen über Benutzerkonten, Nachrichtenfunktionen, Browser und Speicher und werden leicht übersehen.

Netzwerkgeräte, Kameras und Online-Dienste

• Router und Firewalls zeigen, welche Geräte verbunden waren und wohin der Datenverkehr ging: Listen verbundener Clients, DHCP-Leases (Aufzeichnungen darüber, welche Netzwerkadresse welchem Gerät zugewiesen wurde) und Verbindungsprotokolle. Viele Heimrouter speichern ihre Protokolle nur im Arbeitsspeicher, sodass ein Neustart sie löscht.
• NAS-Geräte (netzgebundene Speicher) sind kleine Dateiserver, die häufig gemeinsam genutzte Dateien und Sicherungskopien mehrerer Computer auf Festplatten enthalten, die zu einem RAID-Verbund zusammengefasst sind.
• Videoüberwachungskameras und -rekorder (DVRs und NVRs, digitale Videorekorder und Netzwerkvideorekorder) zeichnen kontinuierlich auf und überschreiben das älteste Bildmaterial, wenn die Festplatte voll ist, häufig nach Tagen oder Wochen. Ihre Uhren gehen oft falsch, daher muss die Abweichung zwischen der Uhrzeit des Rekorders und einer zuverlässigen Referenz festgehalten werden.
• Cloud-Konten und Online-Dienste, etwa E-Mail, Dateispeicherung, soziale Medien, Nachrichtendienste und Gerätesicherungen, können Daten enthalten, die auf keinem Gerät mehr vorhanden sind. Diese Daten liegen bei einem Anbieter, häufig in einem anderen Land, und werden auf Grundlage einer entsprechenden Befugnis über den Kontoinhaber oder den Anbieter beschafft (Modul 2).

Weniger offensichtliche Quellen

• Drucker und Multifunktionsgeräte können einen Verlauf der Druck-, Kopier- und Scanaufträge speichern; manche Modelle verfügen über internen Speicher.
• SIM-Karten identifizieren den Mobilfunkanschluss. Die Seriennummer der Karte (ICCID) ist auf ihr aufgedruckt, und eine SIM-Karte kann eine kleine Anzahl von Kontakten und Textnachrichten speichern, obwohl moderne Telefone die meisten Daten auf dem Mobiltelefon selbst ablegen.
• Sicherungskopien auf externen Laufwerken, NAS-Freigaben, alten Telefonen und Computern (die häufig Sicherungskopien von Telefonen enthalten) können Daten enthalten, die vom aktuellen Gerät gelöscht wurden.
• Synchronisierte Geräte: Nachrichten, Fotos und der Browserverlauf eines Geräts erscheinen häufig auch auf einem Tablet, einem zweiten Computer oder in einer Desktop-Nachrichten-App, die mit demselben Konto verknüpft ist.
• Schriftlich festgehaltene Passwörter und Notizen: Haftnotizen, Notizbücher und Papiere in der Nähe eines Computers. Sie können später das Entsperren eines verschlüsselten Geräts ermöglichen und werden daher an ihrem Fundort fotografiert und als Asservate behandelt.

Die Person als Quelle

Die Personen an einem Einsatzort wissen häufig, was kein Werkzeug schnell herausfinden kann: welche Geräte sie verwenden, welche Konten sie besitzen, ob Speicher verschlüsselt sind und wie die Passwörter lauten. Allgemeine Fragen dazu können Tage an Arbeit sparen. Ob solche Fragen gestellt werden dürfen und ob jemand antworten muss, hängt vom rechtlichen Rahmen und von der Rolle des Ermittlers ab (Modul 2). In Organisationen wissen IT-Mitarbeiter, wo Protokolle gespeichert werden, wie lange sie aufbewahrt werden und wer administrativen Zugriff hat. Dokumentieren Sie jede Frage, die Antwort und die Uhrzeit. Ein am Einsatzort erlangtes Passwort wird nicht dazu verwendet, das Gerät zu durchsuchen; es wird später bei einer kontrollierten und dokumentierten Datenerfassung eingesetzt (Modul 4).

Entscheiden, was zuerst kommt

Nicht jede Quelle kann gleichzeitig bearbeitet werden. Wägen Sie auf Grundlage der Reihenfolge nach Flüchtigkeit (Modul 1) vier Faktoren ab.

1. Relevanz: wie unmittelbar die Quelle mit den Fragestellungen des Falls zusammenhängt.
2. Flüchtigkeit und Verlustrisiko: wie bald die Daten durch Stromausfall, Überschreiben, Protokollrotation oder Fernlöschung verschwinden könnten.
3. Einzigartigkeit: ob die Daten nur hier oder auch anderswo vorhanden sind, etwa auf einem Server, dessen Daten bereits gesichert wurden.
4. Aufwand und Auswirkungen: wie lange die Sicherung dauert und wie stark sie den Eigentümer oder einen Betrieb beeinträchtigt.

Ein Videoüberwachungsrekorder, der kurz davorsteht, die Aufnahmen der vergangenen Woche zu überschreiben, kann Vorrang vor einem ausgeschalteten Laptop haben, dessen Daten erhalten bleiben. Die Dokumentation der Prioritäten und ihrer Gründe trägt dazu bei, sie nachvollziehbar zu begründen.

Quellen auf einen Blick

Prüfungsschwerpunkt: Behalten Sie die wichtigsten Gruppen von Beweisquellen im Blick (Computer und Speichermedien, Telefone und Tablets, Wearables, IoT- und Smart-Home-Geräte, Fahrzeuge, Netzwerkgeräte, Videoüberwachungsrekorder, Spielkonsolen, Cloud-Konten) sowie die weniger offensichtlichen Quellen: Drucker, SIM-Karten, Sicherungskopien, synchronisierte Geräte und schriftlich festgehaltene Passwörter. Rechnen Sie mit Szenariofragen zur Priorisierung von Quellen anhand von Relevanz, Flüchtigkeit und Verlustrisiko, Einzigartigkeit und Aufwand, zu Routerprotokollen und zum Überschreiben von Videoüberwachungsaufnahmen sowie zur Person als Informationsquelle über Geräte, Konten und Passwörter.