Extraktion von Festplatten (Forensische Datensicherung)
Die Extraktion erfolgt mittels write-blocking Hardware und spezialisierter Imaging-Software. Ziel ist die Erstellung eines forensisch einwandfreien 1:1-Abbilds (z. B. im E01- oder RAW-Format), welches als Grundlage für die weitere Analyse dient.
Praxisbeispiel - Forensische Sicherung und Analyse einer Computerfestplatte
Ein Unternehmen aus dem Bereich der Produktentwicklung wandte sich an unser forensisches Institut mit der Bitte um die Analyse einer internen Datenmanipulation. Im Zentrum stand ein Arbeitsplatzrechner eines langjährigen Mitarbeiters der nach seinem Ausscheiden aus dem Unternehmen im Verdacht stand vertrauliche Konstruktionsdaten unerlaubt kopiert oder verändert zu haben. Die interne IT-Abteilung hatte erste Unregelmäßigkeiten festgestellt, konnte jedoch nicht mit der notwendigen Beweissicherheit nachvollziehen welche konkreten Daten betroffen waren und wie die Datenabflüsse stattgefunden hatten.
Nach der Übernahme des betroffenen Rechners durch unser Institut erfolgte zunächst die forensisch einwandfreie Sicherung des Festplatteninhalts. In einer geschützten Laborumgebung wurde ein vollständiges Abbild der Festplatte erstellt um sämtliche vorhandenen Daten einschließlich gelöschter Dateien temporärer Speicherbereiche sowie versteckter Systeminformationen untersuchen zu können. Dabei kam ein spezielles Prüfverfahren zum Einsatz das die Integrität der Daten während des gesamten Analyseprozesses gewährleistete.
Die Auswertung ergab, dass mehrere sensible Projektverzeichnisse in den Tagen vor dem Ausscheiden des Mitarbeiters intensiv bearbeitet worden waren. Es konnten eindeutige Hinweise auf externe Datenträgernutzung festgestellt werden darunter die wiederholte Verbindung eines nicht im System registrierten USB-Sticks sowie umfangreiche Kopiervorgänge zu ungewöhnlichen Tageszeiten. Zusätzlich wurden Hinweise auf das manuelle Löschen von Verzeichnissen und Protokolldateien gefunden, die möglicherweise dazu dienen sollten, Spuren zu verwischen. Diese Dateien konnten durch spezielle Wiederherstellungsverfahren teilweise rekonstruiert und analysiert werden.
Besonders aufschlussreich waren die Zeitstempel und Dateiverlaufsinformationen die ein exaktes Bild der Abläufe ermöglichten. So ließ sich der zeitliche Zusammenhang zwischen bestimmten Dateiänderungen und dem Anschluss externer Geräte exakt nachvollziehen. Darüber hinaus konnte nachgewiesen werden, dass bestimmte sicherheitsrelevante Logdateien kurz nach der letzten bekannten Systemnutzung manuell verändert wurden, was eine gezielte Vertuschung vermuten ließ.
Unser Institut dokumentierte sämtliche Ergebnisse in einem gerichtsverwertbaren Gutachten, das dem Unternehmen als Grundlage für die rechtliche Bewertung des Vorfalls diente. Der Fall zeigte exemplarisch wie selbst komplexe Manipulationsversuche durch präzise digitale Spurensicherung und systematische Analyse aufgedeckt werden können. Die anschließende Beratung durch unsere IT-Forensik ermöglichte dem Unternehmen darüber hinaus konkrete Maßnahmen zur Optimierung der internen Datensicherheit und zur besseren Überwachung kritischer Arbeitsplätze.