IT-Forensik
IT-Forensik ist die systematische Untersuchung von Computern, Handys und Netzwerken nach einem Angriff oder einer Straftat. Ziel ist es, Spuren so zu sichern und auszuwerten, dass sie später vor Gericht oder im Bericht an die Geschäftsführung Bestand haben.
Wenn in ein Unternehmen eingebrochen wird, kommt die Spurensicherung. Sie fotografiert den Tatort, nimmt Fingerabdrücke und dokumentiert jeden Schritt. IT-Forensik macht genau das für Computer, Handys, Server und Netzwerke. Nach einem Angriff oder einem Datendiebstahl untersuchen Fachleute die betroffenen Geräte. Sie wollen wissen: Wer war drin, wann, auf welchem Weg, und was hat die Person mitgenommen oder verändert? Wichtig ist dabei nicht nur das Ergebnis, sondern auch, dass jeder Arbeitsschritt lückenlos protokolliert wird. Denn nur so hält eine Erkenntnis später auch vor Gericht oder gegenüber einer Versicherung.
Was ohne Spurensicherung verloren geht
Nach einem Angriff ist der erste Impuls meist: alles neu aufsetzen und weiterarbeiten. Das ist verständlich, aber riskant. Wer die Ursache nicht kennt, schließt die Lücke nicht. Angreifer kommen dann oft nach wenigen Wochen über denselben Weg zurück. Forensik liefert die Antwort auf die Frage, wie der Einstieg gelang.
Dazu kommt ein rechtlicher Punkt. Wenn personenbezogene Daten abgeflossen sind, müssen Unternehmen in Europa das der Aufsichtsbehörde melden, in der Regel innerhalb von 72 Stunden. Für diese Meldung braucht man belastbare Aussagen darüber, welche Daten betroffen sind. Auch Cyber-Versicherungen zahlen meist nur, wenn ein forensischer Bericht den Schaden nachweist. Eine Untersuchung ohne saubere Dokumentation ist in solchen Fällen praktisch wertlos.
Ein häufiger Irrtum ist, Forensik mit Abwehr zu verwechseln. Forensik verhindert keinen Angriff. Sie beginnt erst, wenn etwas passiert ist, und arbeitet in die Vergangenheit. Sie ist eher Obduktion als Impfung.
Von der Festplattenkopie zur Zeitleiste
Der erste Schritt ist immer das Sichern, nicht das Untersuchen. Fachleute erstellen eine exakte Kopie des Datenträgers, ein sogenanntes forensisches Image. Gearbeitet wird nur mit dieser Kopie, das Original bleibt unberührt. Damit niemand behaupten kann, die Kopie sei verändert worden, berechnet man eine Prüfsumme. Das ist eine lange Zahlenfolge, die sich bei der kleinsten Änderung an der Datei komplett verändert.
Besonders eilig ist es beim Arbeitsspeicher. Dieser Speicher enthält alles, was der Rechner gerade tut, verliert seinen Inhalt aber beim Ausschalten. Passwörter und aktive Schadprogramme finden sich oft nur dort. Deshalb gilt eine Reihenfolge nach Flüchtigkeit: zuerst das sichern, was am schnellsten verschwindet, danach Festplatten und Protokolldateien.
Ausgewertet wird anschließend vor allem über Zeitstempel. Fast jede Aktion hinterlässt einen Eintrag: ein Login im Systemprotokoll, ein Zugriff auf eine Datei, eine Verbindung nach außen in den Aufzeichnungen der Firewall. Aus diesen Einzelspuren baut die Forensik eine Zeitleiste des Angriffs. Auch gelöschte Dateien lassen sich oft noch rekonstruieren, weil Löschen meist nur bedeutet, dass der Platz zum Überschreiben freigegeben wurde. Lückenlos ist eine solche Rekonstruktion selten, denn geübte Angreifer räumen ihre Spuren gezielt auf.
Ransomware-Fälle, Behörden und Berufsbild
In den Nachrichten taucht IT-Forensik fast immer nach großen Angriffen mit Erpressungssoftware auf. Ein Krankenhaus oder eine Stadtverwaltung wird lahmgelegt, und in der Meldung steht, externe Spezialisten untersuchten den Vorfall. Genau das ist forensische Arbeit. Dass Behörden oft wochenlang keine Details nennen, liegt daran, dass die Auswertung selbst so lange dauert.
Auch abseits von Hackerangriffen kommt die Methode zum Einsatz. Polizei und Staatsanwaltschaft werten beschlagnahmte Handys aus. Unternehmen prüfen Verdachtsfälle von Datendiebstahl durch eigene Mitarbeiter. Große Konzerne haben dafür eigene Teams, oft als Incident Response bezeichnet, also Reaktion auf Sicherheitsvorfälle. Kleinere Firmen kaufen die Leistung bei Dienstleistern ein, was schnell fünfstellige Beträge kostet.
Für die KI-Welt wird das Thema gerade praktisch relevant. Angriffe laufen zunehmend automatisiert, und Auswertungsprogramme nutzen Mustererkennung, um in Millionen Protokollzeilen das Auffällige zu finden. Die Bewertung bleibt aber menschliche Arbeit. Ein Programm kann eine Auffälligkeit markieren, die Verantwortung für die Schlussfolgerung trägt weiter der Gutachter.