Seminar ExifTool Digitale Forensik und Beweissicherung

Dieses Seminar behandelt den forensisch sauberen Einsatz von ExifTool zur Analyse von Metadaten. Im Mittelpunkt stehen Beweissicherung, unverändernde Auswertung, Protokollierung, Plausibilitätsprüfung und nachvollziehbare Dokumentation.

Inhaltsübersicht

• Lesende Analyse ohne Veränderung von Originalen
• Zeitachsen und Gerätespuren aus Metadaten
• Widersprüche, Manipulationshinweise und Plausibilisierung
• Berichte für Revision und technische Bewertung
• Arbeit mit Kopien, Hashwerten und gesicherten Exporten

Zielgruppe

IT-Forensiker, Ermittlungsunterstützung, Revisionsstellen, Security-Teams und technische Gutachter.

Voraussetzungen

Sicherer Umgang mit Dateisystemen, Grundkenntnisse digitaler Beweissicherung und Kommandozeile.

Seminarinhalte

Kapitel 1: Forensische Arbeitsgrundlagen

Inhaltsverzeichnis: Originalschutz; Arbeitskopien; Hashwerte; Protokolle

1. Originaldateien unverändert sichern und nur mit Arbeitskopien arbeiten.
2. Hashwerte und Dateilisten vor der Analyse erzeugen.
3. Analyseumgebung, Toolversion und Befehle dokumentieren.
4. Lesende Befehle von schreibenden Optionen strikt trennen.
5. Jede Auswertung mit Zeitstempel und Fallbezug ablegen.

Kapitel 2: Metadaten forensisch auswerten

Inhaltsverzeichnis: Zeitstempel; Gerätehinweise; Softwarepfade; GPS-Daten

1. Zeitfelder aus verschiedenen Gruppen vollständig anzeigen.
2. Geräte-, Serien- und Softwareinformationen auf Konsistenz prüfen.
3. GPS- und Standortinformationen mit Dateikontext abgleichen.
4. Bearbeitungs- und Exportspuren aus XMP-, MakerNote- und Containerdaten analysieren.
5. Verdachtsmomente getrennt von gesicherten Feststellungen dokumentieren.

Kapitel 3: Plausibilität und Widersprüche prüfen

Inhaltsverzeichnis: Zeitlinien; Formatspuren; Feldkonflikte; Vergleichsdateien

1. Zeitachsen aus mehreren Feldern und Dateien aufbauen.
2. Widersprüche zwischen Dateisystemdaten und eingebetteten Metadaten markieren.
3. Ähnliche Dateien und Serien auf abweichende Metadatenprofile prüfen.
4. Nicht vorhandene Felder nicht automatisch als Manipulation bewerten.
5. Plausibilitätsprüfungen nachvollziehbar begründen.

Kapitel 4: Berichte und Übergaben erstellen

Inhaltsverzeichnis: Exportformate; Belegtabellen; Befehlshistorie; Abnahme

1. Analyseergebnisse in tabellarischer und strukturierter Form exportieren.
2. Befehle, Parameter und Prüfzeitpunkte in den Bericht aufnehmen.
3. Kritische Funde mit Datei, Feldgruppe und Wert referenzierbar machen.
4. Arbeitsdateien, Protokolle und Berichte in einer geschlossenen Fallstruktur ablegen.
5. Übergaben so vorbereiten, dass Dritte die Auswertung reproduzieren können.

Praxisübungen

• Forensischer Leselauf mit Protokoll
• Zeitachsenanalyse einer Bildserie
• Widerspruchsprüfung mehrerer Dateien
• Berichtsexport für technische Bewertung

Arbeitsweise

Die Schulung kombiniert Demonstrationen, geführte Übungen und kontrollierte Arbeit an Beispielbeständen. Schreiboperationen werden zuerst an Kopien durchgeführt; jeder produktionsnahe Schritt wird durch Prüf- und Vergleichsausgaben abgesichert.