Eine digitale forensische Untersuchung beginnt in der Regel mit der Sicherung von digitalen Beweismitteln, um eine Veränderung oder Löschung von Daten zu verhindern. Anschliessend erfolgt die Analyse der gesicherten Daten, um relevante Informationen und Beweise zu extrahieren. Dabei werden forensische Prozesse und anerkannte Werkzeuge angewandt und eingesetzt, um gelöschte Dateien wiederherzustellen, Metadaten zu analysieren, Netzwerkkommunikation zu überprüfen und verdächtige Aktivitäten zu identifizieren. Die gewonnenen Erkenntnisse werden dokumentiert und können als Beweismittel in rechtlichen Verfahren verwendet werden.

Im Idealfall sind nach einer digitalen forensischen Untersuchung die klassischen W-Fragen beantwortet:

• Was ist geschehen?
• Welches Motiv verfolgten die Angreifer?
• Seit wann und wie lange hatte die Angreifer Zugriff auf die Systeme?
• Welche Daten wurden eingesehen / kopiert / gelöscht / manipuliert?
• Wer steckt hinter dem Zugriff?
• …

Für Aussenstehende ist es immer wieder überraschend, wie viele Informationen sich aus den Systemen gewinnen lassen. Voraussetzung dafür ist, dass entsprechende Daten auf den zu untersuchenden Systemen vorhanden sind, also zum Beispiel Logdateien zu An- und Abmeldungen, Verbindungsaufbau oder zur Ausführung von Programmen. Um sicherzustellen, dass für den Ernstfall genügend Daten der relevanten Systeme zur Verfügung stehen, empfiehlt es sich, ein entsprechendes Logging-Konzept umzusetzen.

Es gibt zahlreiche Anwendungsfälle. Nachfolgend sind einige Beispielszenarien aufgeführt, in denen eine IT-forensische Untersuchung empfehlenswert ist:

• Die eigenen IT-Sicherheitssysteme melden die Ausführung eines Schadprogramms.
• Die Netzwerküberwachung zeigt ungewöhnliches Verhalten und verdächtige Verbindungen zu den eigenen Systemen.
• Benutzerkennungen und Passwörter des eigenen Unternehmens tauchen im Darknet auf.
• Eine Mitarbeiterin hat ihre Login-Daten im Rahmen einer bösartigen Phishing-Kampagne angegeben und dies wird erst viele Tage / Wochen später intern bekannt.
• Ein Mitarbeiter verlässt das Unternehmen und es besteht ein begründeter Anfangsverdacht, dass er sich unbefugt Daten zur weiteren Verwendung gesichert hat. Aufgrund der Sorgfaltspflicht der Geschäftsführung kann sich in solchen Fällen eine rechtliche Aufklärungspflicht ergeben.

Darüber hinaus ist eine Untersuchung in allen Fällen gesetzlich vorgeschrieben, in denen ein System sehr wahrscheinlich oder sogar nachweislich kompromittiert wurde. Eine Pflicht zur Untersuchung kann sich u.a. aus Art. 32, 33 und 34 DSGVO (EU) oder Art. 24 DSG (Schweiz) ergeben.