Der unabhängige IT- und Tech-Kanal!
internet.board.entertainment.games.hardware
Unter IT-Forensik beziehungsweise Computer-Forensik versteht man die Untersuchung von Rechnern mit dem Ziel, festzustellen, was mit diesen Rechnern zuvor getan wurde. Es gibt zwei wesentliche Einsatzgebiete für die Computer-Forensik. Das Erste ist das Aufklären von Einbrüchen in das Rechnersystem selbst mit dem Ziel, den angerichteten Schaden zu quantifizieren, die verantwortlichen Sicherheitslücken zu identifizieren und wenn möglich Hinweise auf den oder die Täter zu finden. Das zweite Einsatzgebiet dient der Aufklärung von Verbrechen, bei denen Computer verwendet wurden – sei es zum Verfassen von Drohbriefen oder Bekennerschreiben, zur Recherche, als Tatmittel bei IT-Verbrechen oder einfach als Kommunikationsmittel zwischen Komplizen. Im dritten Fall werden computer-forensische Methoden eingesetzt, um Daten, die versehentlich gelöscht oder durch einen Hardware-Schaden unlesbar gemacht wurden, wiederherzustellen, weil sie einen großen materiellen oder ideellen Wert besitzen und keine Backups vorhanden sind. Hier spricht man auch von Data Recovery.
Experten im Bereich Computer-Forensik müssen eine Reihe von Fähigkeiten mitbringen. Neben umfassendem Wissen über Hardware, Betriebssysteme, Dateiformate, Programmierung und IT-Sicherheit müssen sie auch das notwendige kriminalistische Gespür haben, relevante Informationen zu erkennen und entsprechend zu interpretieren.
Wichtig zur korrekten Durchführung einer computer-forensischen Analyse ist es, dass das zu untersuchende System nicht modifiziert wird. Es wird daher nur ein Abbild des Rechners erstellt, das dann von einem unkompromittierten System (oft einer Live-CD) aus untersucht wird. Auch sonst sind einige Verhaltensregeln zu beachten: So müssen Datenschutz-Aspekte in sofern berücksichtigt werden, als man sich bemühen sollte, nicht mehr (möglicherweise private oder vertrauliche) Daten zu analysieren, als notwendig. Arbeitet man in einem Unternehmen, kann auch eine Informierung des Personalrates und des Datenschutzbeauftragten abgebracht sein. Es versteht sich von selbst, dass man nur auf einen entsprechenden Auftrag hin computer-forensisch tätig werden darf. Dieser Auftrag wird entweder (bei Einbrüchen in Rechnersysteme oder zur Datenrettung) vom Besitzer des Rechners beziehungsweise dem zuständigen Firmenangehörigen erteilt oder, wenn es um die Aufklärung eines Verbrechens geht, vom zuständigen Richter. Damit die im Rahmen der forensischen Analyse gewonnenen Daten auch Aussagekraft haben (und womöglich vor Gericht verwendet werden können) ist zudem eine umfassende Dokumentation von großer Bedeutung.
Bei einer computer-forensischen Analyse werden die verschiedensten Bereiche eines Rechners, vom Arbeitsspeicher über normale Daten, gelöschte Dateien und Logfiles bis hin zur Browser-History, untersucht. Dabei helfen spezielle Tools, die beispielsweise gelöschte Dateien wiederherstellen, Informationen in ein übersichtlicheres Format bringen oder Dateien mit Hashwerten bekannter Dateien (beispielsweise von Schadsoftware oder auch von kinderpornographischem Material) vergleichen. Teilweise gibt es auch spezielle Live-CDs, auf denen viele dieser Tools bereits enthalten sind. Einige Experten erstellen auch eigene Tool-Sammlungen und Live-CDs, die sie ganz ihren persönlichen Bedürfnissen und ihren Fällen anpassen.
Eines zeigt die Beschäftigung mit dem Bereich Computer-Forensik ganz sicher: Was wir auf unserem Rechner tun, hinterlässt Spuren, ob uns dies nun bewusst ist oder nicht. Informationen sind nur solange flüchtig, wie wir sie nicht unserem Rechner anvertrauen. Haben wir das nämlich einmal getan, können sie von entsprechend geschulten Menschen gesehen und gedeutet werden – mit teilweise weitreichenden Folgen.
Annika Kremer am 20. Juli 2010
Angefangen bei den notwendigen Grundlagen, welche das Wirkungsprinzip beim Filesharing erklären, über die verschiedenen Möglichkeiten und Tools, bis hin zu den wichtigen rechtlichen Details für Deutschland. Erfahre mehr:
mehr lesen...