Quelltext der Seite IT-Forensik

Der Begriff '''IT-Forensik''' setzt sich zusammen aus&nbsp;[[Informationstechnik|IT]], d.&nbsp;h. der Abkürzung von [[Informationstechnik]], und [[Forensik]]. Eine einheitliche Begriffsdefinition hat sich noch nicht durchgesetzt. Im allgemeinen Sprachgebrauch bezeichnet IT-Forensik die wissenschaftliche [[Expertise]], die eine Beurteilung und Würdigung von Informationstechnik durch die Öffentlichkeit oder innerhalb eines [[Gerichtsverfahren|Gerichtsverfahrens]] ermöglicht.<ref name="FAQ">{{Internetquelle|url=http://computer-forensics.safemode.org/indexcc78.html?page=Computer_Forensics_FAQ|titel=The Computer Forensics FAQ |hrsg=The Computer Forensics Open Guide |zugriff=2020-02-03}}</ref>  Da Daten und Systemzustände nicht direkt in Augenschein genommen werden können, wird hierfür meist auf ein [[Gutachten]] eines [[Sachverständiger|Sachverständigen]] oder den Bericht eines sachverständigen [[Zeuge|Zeugens]] zurückgegriffen.<ref name="CyLaw-Report">{{Internetquelle|url=https://tuprints.ulb.tu-darmstadt.de/2848/4/2012_03_15_CyLawReport_XXXV_Bauer_Version2_exit.pdf|titel=XXXV: Zur "Beweiskraft informationstechnologischer Expertise", |hrsg=Schmid, Viola|zugriff=2019-03-24|datum=2012-12-07}}</ref> 

In dem vom [[Bundesamt für Sicherheit in der Informationstechnik]] (BSI) veröffentlichten Leitfaden IT-Forensik wird die IT-Forensik als „die streng methodisch vorgenommene Datenanalyse auf [[Datenträger|Datenträgern]] und in [[Computernetz|Computernetzen]] zur Aufklärung von Vorfällen, unter Einbeziehung der Möglichkeiten der strategischen Vorbereitung, insbesondere aus der Sicht des Anlagenbetreibers eines IT-Systems“ definiert. Das BSI bettet damit die IT-Forensik in die Prozesse des IT-Betriebs ein und bezeichnet damit die Vorbereitung und die Aufklärung von Vorfällen.<ref name="BSI Leitfaden">{{Internetquelle|url=https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Cyber-Sicherheit/Themen/Leitfaden_IT-Forensik.pdf?__blob=publicationFile&v=2|titel=Leitfaden „IT-Forensik“, Version 1.0.1|hrsg=Bundesamt für Sicherheit in der Informationstechnik|zugriff=2019-03-24|datum=2011-03-01}}</ref>

Die großen Beratungsdienstleister hingegen, wie Rechtsanwalts- oder Wirtschaftsprüfungsgesellschaften, schränken die IT-Forensik ein auf den Nachweis und die Ermittlungen von [[Delikt|Straftaten]] im Bereich der [[Computerkriminalität]].<ref>Alexander Geschonneck: ''Computer-Forensik. Computerstraftaten erkennen, ermitteln, aufklären. 5. aktualisierte und erweiterte Auflage.''  dpunkt Verlag, Heidelberg 2011, ISBN 978-3-89864-774-8. S. 2.</ref>

== Vorgehensmodell ==
Nach dem Secure-Analyse-Present (S-A-P) Modell werden die Tätigkeiten des IT-Forensikers in drei Phasen eingeteilt.<ref name="BSI Grundschutz">{{Internetquelle|url=https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKataloge/Inhalt/_content/m/m06/m06126.html|titel=IT Grundschutz M 6.126 Einführung in die Computer-Forensik|hrsg=Bundesamt für Sicherheit in der Informationstechnik|zugriff=2019-03-24|datum=2009}}</ref> Diesen Phasen geht die Vorbereitung voraus, in der organisatorische und technische Voraussetzungen geschaffen werden. Hierbei sind beispielsweise die jeweils gültigen gesetzlichen Bestimmungen (z.&nbsp;B. des Datenschutzes) zu
erheben und deren Einhaltung sicherzustellen. In Unternehmen wird diese Vorbereitung als „Forensic Readiness“ bezeichnet.<ref name="Stefan_Meier">{{Internetquelle|url=https://epub.uni-regensburg.de/35027/1/Dissertation_Veroeffentlichung_Stefan_Meier_A5_digital.pdf|titel=Digitale Forensik in Unternehmen.|hrsg= Dissertation. Universität Regensburg|zugriff=2019-03-24|datum=2016}}</ref>

=== Secure ===
[[Datei:Portable forensic tableau.JPG|miniatur|Sicherung einer Festplatte mit Hilfe eines Schreibschutzadaptors]]
In der Secure-Phase werden die im jeweiligen Sachverhalt potentiell relevanten Daten identifiziert und gesichert. Ziel der Phase ist es, alle Daten möglichst unverändert zu sichern. Regelmäßig muss hierbei abgewogen werden, welche Datenveränderung akzeptiert wird, um z.&nbsp;B. flüchtige Daten zu sichern. Entscheidungen und das Vorgehen sind dabei so zu dokumentieren, dass diese von einem Dritten nachvollzogen und bewertet werden können. Um ungewollte und vermeidbare Veränderungen der Daten auszuschließen, werden bei der Erstellung eines [[forensisches Duplikat|forensischen Duplikats]] sog. Write-Blocker (engl. für Schreibschutz) eingesetzt, welche die Schreibzugriffe auf die Datenträger unterbinden. Die Identität der Kopie mit dem Original wird über die Berechnung, den Abgleich von kryptografischen Hashwerten, sichergestellt.

=== Analyse ===
In der Analyse-Phase werden die gesicherten Daten analysiert und bewertet. Die gewählten Analysemethoden richten sich dabei nach dem zu untersuchenden Sachverhalt, orientieren sich am [[Stand der Wissenschaft#Risikobetrachtung|Stand der Wissenschaft und Technik]] und müssen durch Dritte nachvollziehbar sein.

=== Present ===
In der Present-Phase werden die Analyseergebnisse zielgruppengerecht dargestellt. Neben den Ergebnissen sind hierbei die Schlussfolgerungen darzustellen, damit die Ergebnisse durch Dritte nachvollzogen und bewertet werden können.

== Untergebiete der IT-Forensik ==
* [[Betriebssystem]]-Forensik 
* [[Cloud Computing|Cloud]]-Forensik
* [[Digitale Multimediaforensik]]
* [[Malware]]-Forensik
* [[Netzwerk]]-Forensik
* [[Smartphone]]-Forensik

== Weblinks ==
{{Wikibooks|Disk-Forensik}}
*[https://forensicswiki.xyz forensicswiki.xyz]
*[https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Cyber-Sicherheit/Themen/Leitfaden_IT-Forensik.html Leitfaden IT-Forensik] – Grundlagenwerk des BSI zur IT-Forensik (2011).
*[https://www.nist.gov/topics/digital-evidence NIST Digital Evidence]
*[https://dfrws.org/ Digital Forensic Research Workshop]

== Einzelnachweise ==
<references/>

{{Normdaten|TYP=s|GND=4774034-6}}

{{SORTIERUNG:It-Forensik}}
[[Kategorie:Kriminalistik]]
[[Kategorie:IT-Sicherheit]]
[[Kategorie:Rechtsinformatik]]
[[Kategorie:Forensik]]