Ein Server, den niemand ausschalten darf
Digitale Forensik ist die Kunst, digitale Spuren zu sichern und auszuwerten. Wer dabei einen Beweis verändert, kann ihm später niemand mehr trauen.
In einer Steuerkanzlei fehlen plötzlich Rechnungen auf dem Server. Die Chefin ruft: „Schalten Sie ihn sofort aus!“ Genau das wäre der erste Fehler, denn dabei verschwindet vieles, was noch im Arbeitsspeicher steht.
Am Ende dieser Lektion
Notiz
Ich kann Beweise sichern, ohne sie zu verändern.
Schlüsselwörter
| Begriff | Was er bedeutet | Beispiel |
|---|---|---|
| Beweisstück | ein Gerät, eine Datei oder ein Log, das etwas belegt | |
| Flüchtigkeit | wie schnell Daten verschwinden | |
| Abbild | eine genaue Kopie, Bit für Bit | |
| Arbeitskopie | die Kopie, an der Sie arbeiten | |
| Beweiskette | die Aufzeichnung, wer ein Beweisstück wann hatte | Chain of Custody |
| Schreibschutz | eine Sperre, die jede Änderung verhindert |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Sichern Sie zuerst, was am schnellsten verschwindet
Nicht alle Daten halten gleich lang. Der Arbeitsspeicher ist nach dem Ausschalten leer. Eine Festplatte behält ihre Daten viele Jahre.
Sie sichern deshalb in der Reihenfolge der Flüchtigkeit: erst das, was am schnellsten verschwindet, zuletzt das, was bleibt.
Ein Beispiel: die Reihenfolge der Flüchtigkeit
| Rang | Beweisstück | Wie lange es hält |
|---|---|---|
| 1 | Arbeitsspeicher und laufende Prozesse | Bis zum Ausschalten |
| 2 | Offene Netzwerkverbindungen | Sekunden bis Minuten |
| 3 | Temporäre Dateien | Bis zum Neustart |
| 4 | Festplatte | Bis etwas sie überschreibt |
| 5 | Logs auf einem anderen Server | Tage bis Wochen |
| 6 | Sicherungen und Archive | Monate bis Jahre |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Arbeiten Sie nie am Original
Ein Beweisstück bleibt, wie es ist. Sie machen ein Abbild und untersuchen nur eine Arbeitskopie davon.
Bei einer Festplatte schließen Sie sie an einen Schreibschutz an. Dieses Gerät lässt nur Lesen zu. So kann auch ein Versehen nichts ändern.
Die Belege im Lab sind schon schreibgeschützt
Im Lab liegt der Fall im Ordner case. Die Dateien dort darf Ihr Konto nur lesen. Sie kopieren den Ordner, so wie es ein Abbild tut, und arbeiten in der Kopie.
Der erste Befehl kopiert alles nach arbeit. Er gibt nichts aus, wenn es klappt. Der zweite vergleicht beide Ordner und meldet, ob sie gleich sind.
Den Fall in eine Arbeitskopie kopieren
cp -r case arbeitHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Prüfen, ob Kopie und Original gleich sind
diff -r case arbeit && echo "Kopie gleich"Hier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Die Einträge der obersten Ebene zählen
ls case | wc -lHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Ein häufiger Fehler
Warnung
Viele glauben, ein verdächtiger Rechner gehöre sofort ausgeschaltet. Beim Ausschalten gehen Arbeitsspeicher und Verbindungen verloren, also Spuren. Schalten Sie erst aus, wenn der flüchtige Teil gesichert ist. Oder wenn Weiterlaufen mehr Schaden anrichtet als Verlust.
Die Beweiskette macht einen Beweis glaubwürdig
Jede Übergabe eines Beweisstücks wird aufgeschrieben: wer, wann, was, warum. Dazu gehört ein Hashwert, der zeigt, dass es unverändert blieb. Der nächste Schritt dieses Moduls erklärt ihn.
Hat die Kette eine Lücke, kann eine Gegenseite sagen, jemand habe es verändert. Dann hilft auch der beste Fund nicht.
Ein Beispiel: ein Eintrag der Beweiskette
| Feld | Beispiel |
|---|---|
| Beweisstück | A: Festplatte des Kanzleiservers, 500 GB |
| Übernommen von | Herr Aydin, Geschäftsführung |
| Übernommen durch | Frau Weber, Forensik |
| Datum und Uhrzeit | 14.10.2026, 09:40 Uhr |
| Zweck | Abbild erstellen |
| Zustand | Versiegelt, Siegel unverletzt |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.