IT-Forensik

IT-Forensik (auch digitale Forensik) bezeichnet die wissenschaftlich fundierte Untersuchung von IT-Systemen, Datenträgern, Netzwerken und Anwendungen mit dem Ziel, digitale Spuren eines Vorfalls so zu sichern und auszuwerten, dass die Ergebnisse vor Behörden und Gerichten Bestand haben. Anders als die reine technische Störungsbeseitigung folgt sie einem strengen Prozessmodell aus Identifikation, Sicherung (Akquise), Analyse und Dokumentation. Leitend sind dabei die Grundsätze der Integrität (die Beweise dürfen nicht verändert werden), der Authentizität (Herkunft und Echtheit sind belegbar) und der lückenlosen Beweiskette (Chain of Custody), die jeden Zugriff auf das Beweismaterial protokolliert.

Methodisch wird zwischen Post-mortem-Analyse (Auswertung abgeschalteter Systeme und forensischer Datenträger-Images) und Live-Forensik (Sicherung flüchtiger Daten wie Arbeitsspeicher, offener Netzwerkverbindungen oder laufender Prozesse) unterschieden. Zentrale Techniken sind die bitgenaue Erstellung von Images mit Hashwert-Verifikation (z. B. SHA-256), die Wiederherstellung gelöschter Dateien, die Auswertung von Log-Daten und Zeitstempeln (Timeline-Analyse) sowie die Untersuchung von Schadsoftware. In Deutschland orientiert sich die Praxis am BSI-Leitfaden "IT-Forensik" und am Standardmodell forensischer Untersuchungen; international ist die ISO/IEC 27037 für die Identifikation, Sicherung und Erhaltung digitaler Beweise maßgeblich.

Im Compliance-Kontext ist IT-Forensik eng mit dem Incident-Response-Prozess und gesetzlichen Meldepflichten verzahnt. Nach der NIS2-Richtlinie und dem deutschen Umsetzungsrecht müssen besonders wichtige und wichtige Einrichtungen Sicherheitsvorfälle innerhalb enger Fristen melden und Maßnahmen zur Bewältigung sowie Ursachenanalyse vorhalten; auch die DSGVO verlangt bei Datenschutzverletzungen eine dokumentierte Aufarbeitung. Eine forensisch saubere Sicherung schon zu Beginn eines Vorfalls entscheidet darüber, ob später Schadensersatzansprüche, Versicherungsfälle, arbeitsrechtliche oder strafrechtliche Verfahren belastbar geführt werden können. Forensische Bereitschaft (Forensic Readiness) sollte deshalb bereits vor dem Ernstfall organisatorisch und technisch verankert sein.