Digitale Forensik: Untersuchungsumfang, Sicherung und Kosten
Digitale Forensik untersucht technische Spuren zu einer konkreten Frage. Sie kann einen Sicherheitsvorfall aufklären oder vorhandene Daten fachlich bewerten. Datensicherung, Analyse und Wiederherstellung sind unterschiedliche Leistungen. Eine Untersuchung garantiert weder einen vollständigen Ablaufnachweis noch einen bestimmten Verfahrensausgang.
Eine beantwortbare Untersuchungsfrage vereinbaren
Klären Sie, ob Spuren erst gesichert, vorhandene Kopien analysiert oder ein bestehender Bericht überprüft werden sollen. Ein allgemeiner Auftrag, alles zu finden, lässt Aufwand und Ergebnis offen. Benennen Sie sachlich den Zeitraum und die zu klärende Frage.
Bei einem laufenden Angriff kann schnelle Eindämmung parallel nötig sein. Forensik allein stellt den Betrieb nicht wieder her. Die Verantwortlichen müssen Beweiserhalt, Sicherheit und Betriebsbedarf zusammen abstimmen.
Quellen und Grenzen vor der Analyse bestimmen
Arbeitsgeräte, Server, Smartphones, Cloud-Dienste und Protokolle liefern unterschiedliche Spuren. Zugriff, Aufbewahrung, Verschlüsselung und bereits vorgenommene Änderungen beeinflussen die Untersuchung. Eine fehlende Quelle wird nicht durch einen ausführlichen Bericht ersetzt.
| Quelle | Für den Auftrag klären |
|---|---|
| Gerät / Datenträger | Anzahl, Typ, Zustand und Sicherungsmöglichkeit |
| Cloud / Benutzerkonto | Berechtigung, Exportmöglichkeiten und Aufbewahrung |
| Protokolle / vorhandene Kopien | Zeitraum, Herkunft und Umfang |
| Bestehender Bericht | Konkrete Prüffrage und verfügbare Grundlagen |
Sicherung fachlich planen statt selbst bereinigen
Unkoordinierte Neuinstallation, Bereinigung oder weitere Nutzung kann Spuren verändern. Vermeiden Sie eigenmächtige Eingriffe und holen Sie rasch qualifizierte Anleitung ein. Es gibt keinen für alle Geräte richtigen pauschalen Ein- oder Ausschaltbefehl.
Die Fachperson wählt eine passende Sicherung unter Berücksichtigung flüchtiger Daten und technischen Zustands. Eingriffe und unvermeidbare Veränderungen müssen dokumentiert werden. Eine Sicherungskopie ist nicht automatisch eine vollständig geeignete forensische Abbildung.
Befugnisse und vertrauliche Übergabe festlegen
Vor Zugriff und Auswertung sind Auftraggeberbefugnisse, zulässige Datenbereiche und beteiligte Rollen zu klären. Bei strittigen Rechten oder einem Verfahren braucht es passende rechtliche Abstimmung. Das Anfrageformular erteilt keine Erlaubnis, fremde Konten zu untersuchen.
Vereinbaren Sie geschützte Übergabe, Zugangsbeschränkung, Aufbewahrung und Rückgabe oder Löschung. Persönliche Daten unbeteiligter Personen gehören nicht ohne Zweck in die Untersuchung. Keine Kennwörter, Namen Betroffener oder Beweisdateien in der ersten Anfrage.
Nachvollziehbaren Bericht statt Gewissheitsversprechen verlangen
Der Bericht sollte Frage, untersuchte Quellen, Methoden, relevante Befunde und Grenzen verbinden. Zeitangaben und Zeitzonen müssen nachvollziehbar sein. Beobachtungen und Schlussfolgerungen sind auseinanderzuhalten.
Vereinbaren Sie Ergebnisbesprechung, gewünschte Berichtssprache und gegebenenfalls zusätzliche Erläuterungen für Beteiligte. Technische Dokumentation verbessert Nachvollziehbarkeit, garantiert aber keine gerichtliche Anerkennung oder Identifizierung einer bestimmten Person.
Sicherung, Analyse und Folgeleistungen getrennt vergleichen
Aufwand hängt von Quellenzahl, Datenumfang, Zustand, Verschlüsselung, Zeitraum und Untersuchungsfrage ab. Beschädigte Medien oder komplexe Cloud-Zugriffe können eigene Arbeit erfordern. Gerätezahl allein beschreibt keine gleichwertige Analyse.
Lassen Sie Etappen, Aufwandgrenzen und Freigaben für Zusatzarbeiten festhalten. Reise, Datenspeicher, vertiefte Auswertung, Bericht und spätere Erläuterungen müssen erkennbar sein. Ein niedriger Einstiegspreis ohne Analyseumfang ist kein vollständiger Vergleich.
| Kostenposition | Offerte abgrenzen |
|---|---|
| Ersteinschätzung | Frage, Quellen und Machbarkeit |
| Sicherung | Erfassung, technische Hindernisse und Dokumentation |
| Analyse | Zeitraum, Suchumfang und vereinbarte Fragestellung |
| Bericht | Befunde, Grenzen und Besprechung |
| Zusatzarbeiten | Wiederherstellung, Vorfallhilfe oder Verfahrensbegleitung |
Anfrage und geordnete Übergabe vorbereiten
Für die erste Auswahl reichen gewünschte Leistung, Quellenarten, bekannte Stückzahlen, Bearbeitungsstand und Dringlichkeit. Beschreiben Sie die Frage im einzigen gemeinsamen Textfeld ohne sensible Inhalte. Den genauen Bestand übergeben Sie später geschützt.
Beginnen Sie mit einem abgegrenzten Auftrag. Prüfen Sie nach der Ersteinschätzung, ob weitere Quellen wirklich nötig sind. Abschliessend sollten Ergebnisse, offene Fragen, Aufbewahrung und Rückgabe nachvollziehbar übergeben werden.
Häufige Fragen
Ist Forensik gleich Datenrettung?
Nein. Forensik beantwortet Untersuchungsfragen anhand digitaler Spuren. Datenrettung soll nutzbare Daten wiederherstellen und kann ein gesonderter Auftrag sein.
Soll ich das verdächtige Gerät ausschalten?
Lassen Sie den konkreten Zustand fachlich beurteilen. Ein pauschaler Befehl kann flüchtige oder zugängliche Daten verlieren lassen.
Können vorhandene Kopien genügen?
Je nach Frage, Herkunft und Vollständigkeit. Die Fachperson muss Eignung und verbleibende Grenzen prüfen.
Ist eine vollständige Chronologie garantiert?
Nein. Fehlende, veränderte oder nicht aufbewahrte Daten können Lücken verursachen. Diese gehören in den Bericht.
Kann ein Cloud-Konto untersucht werden?
Nur mit geklärter Befugnis und tatsächlich verfügbaren Daten. Export, Protokollierung und Aufbewahrung unterscheiden sich.
Welche Daten gehören in die erste Anfrage?
Quellenarten, Mengen, gewünschte Aufgabe und Dringlichkeit. Keine Zugangsdaten, Beweisdateien oder Namen beteiligter Personen.
