IT-forensische Analysen

Die Kosten einer IT‑forensischen Analyse richten sich nach dem individuellen Aufwand. Dabei ist die Dauer der Analyse ausschlaggebend. Es ist wesentlich, wie viele und was für Systeme untersucht werden.Zum Beispiel eine einzelne Festplatte, mehrere Server oder Logfiles. Zusätzlich spielen die Art des Angriffes (interner Datendiebstahl, DDoS-Angriff, etc.) und die individuellen Fragestellungen des Kunden eine Rolle. Demnach ist auch entscheidend, wie viele Spuren und Informationen gefunden werden können und in ein gerichtsfestes IT‑Gutachten überführt werden

Wir schätzen in der IT‑Forensik einen Aufwand, der auf unseren tiefgreifenden Erfahrungswerten basiert. Bei einem ersten Telefonat mit dem Kunden werden die Rahmenbedingungen geklärt. Um ein Gesamtbild von dem Auftrag zu erlangen, werden von uns viele Fragen gestellt, damit der Aufwand der Analyse vorab eingegrenzt werden kann. Für die Auftragsbearbeitung ist eine transparente Zusammenarbeit mit dem Auftraggeber notwendig. Dieser muss einen Ansprechpartner zur Verfügung stellen, damit alle benötigten Informationen und Systemzugänge für die untersuchenden IT‑Forensiker zugänglich sind.

In einem gerichtsfesten IT‑Gutachten wird das Ergebnis der IT‑forensischen Analyse dokumentiert. Dabei werden jeder Schritt des Ermittlungsprozesses und alle Einzelergebnisse angemessen dokumentiert, zu einer Gesamtbetrachtung zusammengefasst und dem entsprechenden Adressatenkreis dargelegt. Bei diesem Prozess müssen alle rechtlichen Vorgaben eingehalten werden, um die Gerichtsverwertbarkeit gewährleisten zu können. Dieses IT‑Gutachten kann anschließend vor Gericht als Beweismittel verwendet werden und dient somit der Wahrheitsfindung eines Vorfalls.

Damit ein solches IT‑Gutachten gerichtsfest ist, müssen fünf Anforderungen erfüllt sein. Die angewandten Methoden und Schritte müssen in der Fachwelt beschrieben und allgemein akzeptiert sein. Des Weiteren ist die Robustheit und Funktionalität von Methoden gefordert und müssen nachgewiesen werden können. Weiterhin müssen die eingesetzten Hilfsmittel und Methoden bei der erneuten Anwendung auf dem gleichen Arbeitsmaterial dieselben Ergebnisse liefern. Diese Replizierbarkeit spielt dann eine Rolle, wenn ein zweites IT‑Gutachten angefordert wird, um die Ergebnisse zu verifizieren. Natürlich dürfen sichergestellte Spuren nicht durch eine IT‑forensische Untersuchung verändert werden. Dies kann durch die Erstellung und das Abgleichen von Hash‑Werten gewährleistet werden. Abschließend müssen durch die verwendeten Methoden logische nachvollziehbare Verbindungen zwischen Ereignissen und Beweisspuren hergestellt werden können.

Ein gerichtsfestes IT‑Gutachten wird immer dann benötigt, wenn zwei oder mehrere Parteien sich uneinig sind, oder z. B. Entlassungen abweichend von Verträgen veranlasst werden sollen. Durch gerichtsfeste IT‑Gutachten werden die Tatsachen eines Vorfalls festgestellt und begründet. Aufgrund dessen können anschließend Entscheidungen getroffen werden.

Durch jahrelange Erfahrung in der IT‑Forensik können wir in der Regel im Erstgespräch den Umfang der IT‑forensischen Untersuchung präzise einschätzen. VieleFaktoren spielen bei IT‑forensischen Analysen eine wichtige Rolle. Um eine Analyse so kurz wie möglich halten zu können, ist es wichtig, den Zeitraum der Tat so genau wie möglich eingrenzen zu können. Wurden z. B. Daten seit drei Wochen abgezogen oder ist nur ein Tag betroffen? Anschließend werden Artefakte nur aus diesem Zeitraum untersucht und nicht aus der gesamten Laufzeit eines Systems. Der Aufwand einer Untersuchung wird also individuell mit Ihnen abgestimmt.

Ein weiterer maßgebender Faktor ist die Größe und die Anzahl der Datenträger, welche untersucht werden sollen. Zu Beginn eines jeden Auftrages werden forensische Master- und Arbeitskopien angefertigt. Hierbei werden forensische Kopien der Datenträger erstellt. In diesem Prozess werden die Inhalte 1:1 auf einen neuen Datenträger kopiert. Die Dauer hängt also von der Größe der zu kopierenden Datenträger ab.

Auch notwendige Tools zur Aufklärung des Falls sind für den Umfang entscheidend. Das liegt vor allem daran, dass die forensischen Tools ebenfalls Zeit benötigen, um die erstellten Kopien nach Informationen zu durchsuchen. Auch das Auslesen der Informationen aus den Datenträgern auf dem Auswertungsrechner variiert bei jeder Untersuchung. Die Ergebnisse einer Analyse werden daraufhin von uns per Hand verifiziert. Abschließend zu der IT‑forensischen Analyse wird ein gerichtsverwertbares IT‑Gutachten erstellt, worin sich die aufbereiteten Informationen befinden und für den entsprechenden Adressatenkreis beschrieben werden. In diesem Bericht werden die vorgenommenen Schritte und Ergebnisse der Analyse detailliert beschrieben.

Die Anzahl an Cyberangriffen steigt stetig. Hierbei sind die Erscheinungsformen sehr vielfältig. Häufig stellt sich bei Cyberbedrohungen die Frage nach der korrekten Klassifizierung. Bei der Frage, um was für eine Schadsoftware es sich handelt, stößt man häufig auf zwei Begriffe – Malware und Ransomware.

Der Begriff Malware setzt sich aus den Wortteilen „malicious“ (schädlich) und „Software“ zusammen und lässt sich somit insgesamt unter schädliche Software, kurz Schadsoftware, zusammenfassen. Es geht also um Angriffe durch bösartige Software, die gewollt Schaden anrichtet. Malware stellt damit einen Überbegriff für verschiedenste Cyber-Bedrohungen dar, wie z. B. Viren oder Trojaner. Behörden und Unternehmen werden beispielsweise häufig Opfer von Angriffen mit der Schadsoftware Emotet, welche mittlerweile zahlreiche Evolutionsstufen durchlebte und vielseitig bei Angriffen zum Einsatz kommt. Das gleiche gilt zum Beispiel auch für Gootkit Trojaner.

Aus unterschiedlichen Arten von Malware resultieren auch unterschiedliche Schadenszenarien. Häufig sind die Angriffe auf die Schutzziele der Informationssicherheit gerichtet. Somit auf die Integrität, Vertraulichkeit oder die Verfügbarkeit Ihrer Daten. Neben Datendiebstahl kann Malware IT‑Systeme infizieren und Schäden oder Störungen in diesen hervorrufen.

Neben Malware existiert auch der Begriff Ransomware. Ransomware ist eine bestimmte Art von Malware und bedeutet so viel wie Erpressungstrojaner (aus dem Englischen: Ransom = Lösegeld). Somit bezeichnet Ransomware einen speziellen Trojaner mit dem Ziel der Erpressung. In der Regel verschlüsselt die Ransomware dazu Ihre Daten oder sperrt den Zugriff auf Ihr System. Die Erpresser senden daraufhin eine Lösegeldforderung, die nach Erfüllung dieser die Entschlüsselung der Daten mit sich bringen soll. Ein klassisches Beispiel für einen Erpressungstrojaner wäre die Schadsoftware Petya.