Seminar Incident Response: Digitale Forensik und Beweissicherung

Technische Maßnahmen verändern den Zustand eines betroffenen Systems. Das Seminar vermittelt deshalb eine begründete Reihenfolge für Datenerhebung und Untersuchung. Flüchtigkeit, Zeitdruck, Datenumfang und mögliche Geschäftsschäden werden gegeneinander abgewogen. Die Sicherung wird so dokumentiert, dass Herkunft, Bearbeitung und Aufbewahrung der untersuchten Daten später nachvollzogen werden können.

Im Labor werden vorbereitete Datenträger- und Speicherabbilder ausgewertet und mit Protokollspuren zusammengeführt. Gegenstand sind ausgewählte Artefakte und eine belastbare Zeitachse, keine vollständige Spezialausbildung für sämtliche Dateisysteme oder Betriebssysteme. Ein Hashwert belegt eine Integritätsprüfung innerhalb des dokumentierten Ablaufs; Echtheit, Vollständigkeit und rechtliche Verwertbarkeit müssen gesondert beurteilt werden.

Lernziele

• Eine zum Vorfall passende Sicherungsstrategie mit dokumentierten Prioritäten entwickeln.
• Original, Arbeitskopie und abgeleitete Untersuchungsergebnisse getrennt verwalten.
• Hashwerte, Sicherungsprotokoll und Zugriffsdokumentation sinnvoll einsetzen.
• Ausgewählte Datenträger-, Speicher- und Protokollartefakte zeitlich korrelieren.
• Technische Feststellungen mit ihren Aussagegrenzen nachvollziehbar berichten.

Inhaltsverzeichnis

1. Untersuchungsauftrag und Sicherungsstrategie
2. Integrität und Beweismittelverwaltung
3. Datenträgerartefakte untersuchen
4. Speicher und Laufzeitzustand
5. Zeitachse und Hypothesenprüfung
6. Befundbericht und technische Übergabe

Seminarinhalte

Untersuchungsauftrag und Sicherungsstrategie

• Fragestellung, Freigabe, betroffene Daten und Untersuchungstiefe abgrenzen.
• Flüchtigkeit und laufende Schadenswirkung bei der Reihenfolge berücksichtigen.
• Live-Sicherung und Offline-Abbild anhand ihrer Eingriffe und Grenzen vergleichen.

Integrität und Beweismittelverwaltung

• Datenträgerabbild, Arbeitskopie und Export eindeutig kennzeichnen.
• Hashwerte vor und nach Kopier- und Übertragungsschritten vergleichen.
• Übergaben, Zugriffe, Werkzeuge und Abweichungen in einer Beweismittelkette erfassen.

Datenträgerartefakte untersuchen

• Dateisystemmetadaten und ausgewählte Benutzerartefakte auf Arbeitskopien auswerten.
• Dateizeitstempel im Zusammenhang mit Systemzeit und Kopiervorgängen beurteilen.
• Gelöschte oder unvollständige Informationen als begrenzte Befunde behandeln.

Speicher und Laufzeitzustand

• Ein vorbereitetes Speicherabbild mit einer passenden Analyseumgebung öffnen.
• Prozesse, Eltern-Kind-Beziehungen und Netzwerkhinweise im Zusammenhang prüfen.
• Werkzeug- und Betriebssystemkompatibilität sowie unvollständige Erfassung berücksichtigen.

Zeitachse und Hypothesenprüfung

• Artefakte aus mehreren Quellen mit ihrer jeweiligen Zeitbasis zusammenführen.
• Widersprüche, Zeitlücken und alternative Erklärungen prüfen.
• Die Reichweite einer Schlussfolgerung auf tatsächlich verfügbare Belege begrenzen.

Befundbericht und technische Übergabe

• Auftrag, Vorgehen, gesicherte Objekte und Feststellungen strukturiert beschreiben.
• Beobachtung, Interpretation und offene Fragen im Bericht trennen.
• Einen Befund anhand der Beweismittelverwaltung durch eine zweite Person überprüfen lassen.

Praxisübungen

Praxisfall: Untersuchung eines verdächtigen Arbeitsplatzes anhand vorbereiteter Datenträger- und Speicherabbilder

1. Den Untersuchungsauftrag eingrenzen und die übergebenen Abbilder inventarisieren.
2. Integrität prüfen, eine Arbeitskopie anlegen und die Bearbeitung protokollieren.
3. Ausgewählte Dateisystem- und Speicherartefakte untersuchen und Fundstellen erfassen.
4. Die Befunde mit Protokollauszügen zu einer nachvollziehbaren Zeitachse verbinden.
5. Einen technischen Befundbericht erstellen und eine unabhängige Nachprüfung durchführen.

Schulungsumgebung

Isolierte Analyse-VMs, vorbereitete Abbilder und Werkzeugpakete für Hashprüfung, Datenträger- und Speicheranalyse, beispielsweise Autopsy und Volatility 3; alle Übungen nutzen freigegebene Testdaten.

Passendes Intensivseminar

Der Schwerpunkt wird auch gebündelt angeboten: Incident Response Intensiv: Forensik, Windows, Linux und Netzwerke.