Digitale Forensik – von der Beweissicherung bis zur Zulässigkeit

Die digitale Forensik ist ein Teilgebiet der Forensik, das Daten aus digitalen Systemen identifiziert, erfasst, untersucht und analysiert, wobei deren Integrität gewahrt bleibt, damit der Sachverhalt festgestellt und bewiesen werden kann. Sie wird auch als Cyberforensik oder Computerforensik bezeichnet und dient der Cybersicherheit, anstatt diese zu ersetzen.

Sicherheitsteams in Unternehmen benötigen diese Fähigkeit aus einem praktischen Grund. Die Meldepflichten gemäß den gesetzlichen Vorschriften hängen vom Umfang einer Sicherheitsverletzung ab, und der Umfang ist eher eine Frage der Beweise als der Warnmeldungen. Beweise liegen nur vor, wenn jemand sie gesichert hat, bevor sie gelöscht wurden – daher ist die Forensik ein Architekturproblem, lange bevor es zu einer Untersuchung kommt.

Dieser Leitfaden befasst sich mit dem forensischen Prozess, der Definition digitaler Beweismittel und den Maßnahmen zu deren Schutz, den Teilbereichen dieser Disziplin, den Methoden, mit denen Angreifer die Daten selbst angreifen, den Standards und Regeln, die darüber entscheiden, was als Beweismittel zulässig ist, sowie den Vorbereitungsmaßnahmen, die zuvor getroffen werden müssen.

Was ist digitale Forensik?

Das Fachgebiet ist unter verschiedenen Bezeichnungen bekannt. Das NIST bezeichnet es als „digitale Forensik“ und merkt an, dass es „auch als Computer- und Netzwerkforensik bekannt ist“, wobei es als „die Anwendung wissenschaftlicher Methoden zur Identifizierung, Erfassung, Untersuchung und Analyse von Daten unter Wahrung der Integrität der Informationen“ beschrieben wird (NIST SP 800-86, August 2006). Cyberforensik und Computerforensik sind nahezu Synonyme für dieselbe Praxis, und auf dieser Seite werden sie als ein Thema und nicht als drei separate Themen behandelt.

Auch der Begriff „digitales Beweismaterial“, auf den sich der Begriff bezieht, ist klar definiert. Das National Institute of Justice definiert digitale Beweismittel als „in binärer Form gespeicherte oder übertragene Informationen, auf die sich ein Gericht stützen kann“, und stellt fest, dass sie „mittlerweile zur Verfolgung aller Arten von Straftaten verwendet werden, nicht nur bei Cyberkriminalität“ (NIJ).

Ist digitale Forensik dasselbe wie Cybersicherheit?

Nein. Die digitale Forensik ist ein Teilgebiet der Forensik, das auf digitale Systeme angewendet wird, während die Cybersicherheit den übergeordneten Anwendungsbereich darstellt, dem sie dient. Die Cybersicherheit zielt darauf ab, Angriffe zu verhindern, aufzudecken und zu stoppen. Die Forensik setzt erst ein, nachdem etwas geschehen ist, und stellt eine enger gefasste Frage: Was ist passiert, und lässt sich die Antwort nachweisen?

Diese Unterscheidung lässt sich leichter aufrechterhalten, wenn man die drei Fragen, die die benachbarten Disziplinen beantworten, voneinander trennt.

Bildunterschrift: Die drei Disziplinen überschneiden sich hinsichtlich der Instrumente und der personellen Besetzung, doch sie befassen sich mit unterschiedlichen Fragestellungen und werden anhand unterschiedlicher Ergebnisse bewertet.

Die Incident Response ist für die Eindämmung, Beseitigung und Wiederherstellung zuständig, wobei die Forensik diese Bereiche unterstützt, anstatt sie zu duplizieren. Der Arbeitsablauf, der die Ergebnisse durch die Triage und das Fallmanagement leitet, gehört zur Vorfalluntersuchung, und der integrierte Prozess, der Erkennung, Untersuchung und Reaktion miteinander verbindet, fällt unter die Bereiche Bedrohungserkennung, -untersuchung und -reaktion.

Warum ist die digitale Forensik wichtig?

Denn die Fragen, die eine Aufsichtsbehörde, ein Versicherer oder ein Gericht stellt, beziehen sich eher auf Beweismittel als auf operative Abläufe. Auf welche Daten wurde zugegriffen, von wem und wann? Stimmt die vorgelegte Kopie mit dem Original überein? Kann jemand nachweisen, wer damit umgegangen ist? Eine Organisation, die den Angriff zwar abgewehrt hat, diese Fragen aber nicht beantworten kann, hat zwar das Sicherheitsproblem gelöst, das rechtliche und aufsichtsrechtliche Problem jedoch offen gelassen.

So funktioniert der forensische Prozess

NIST SP 800-86 beschreibt den Prozess anhand von vier grundlegenden Phasen, und auf diesem Modell basieren die meisten Unternehmensprogramme.

1. Datenerhebung: Identifizierung, Kennzeichnung, Erfassung und Gewinnung von Daten aus möglichen Quellen.
2. Auswertung: Forensische Auswertung der gesammelten Daten und Extraktion von Daten von besonderem Interesse.
3. Analyse: Die Auswertung von Untersuchungsergebnissen unter Verwendung rechtlich vertretbarer Methoden, um daraus nützliche Informationen zu gewinnen.
4. Berichterstattung: Darstellung der Ergebnisse, Beschreibung der ergriffenen Maßnahmen und Empfehlungen für Verbesserungen.

‍

‍

Verwechseln Sie diese vier Phasen nicht mit der Definition des Fachgebiets durch das NIST, in der die Begriffe Identifizierung, Erfassung, Untersuchung und Analyse genannt werden. Die Definition beschreibt, womit sich das Fachgebiet befasst. Die Phasen beschreiben hingegen, wie ein Fall abläuft.

Die Veröffentlichung geht zudem ungewöhnlich offen auf ihre eigenen Grenzen ein. Das NIST stellt fest, dass der Leitfaden „nicht als Anleitung zur Durchführung einer digitalforensischen Untersuchung verwendet werden sollte“, und fügt hinzu, dass er nicht als Rechtsberatung ausgelegt oder als Grundlage für Ermittlungen bei kriminellen Handlungen herangezogen werden sollte. Es handelt sich um einen Rahmen zum Aufbau von Kompetenzen, nicht um ein Handbuch zur Bearbeitung eines Falles.

Das entsprechende Vorgehen in diesen Phasen stammt aus der britischen Polizeipraxis. Der „ACPO Good Practice Guide for Digital Evidence“ legt vier Grundsätze fest, von denen der erste von zentraler Bedeutung ist: „Keine Maßnahme von Strafverfolgungsbehörden, bei diesen Behörden beschäftigten Personen oder deren Beauftragten darf Daten verändern, auf die später vor Gericht zurückgegriffen werden könnte.“ Das gleiche Dokument weist zwei Datumsangaben auf: Auf dem Deckblatt steht März 2012, in den Kopfzeilen „Version 5 (Oktober 2011)“; daher sollten beide angegeben werden.

In den mittleren Phasen kommen zwei Techniken zum Einsatz. Beim „File Carving“ werden Dateien anhand ihrer Inhaltssignaturen aus dem Rohspeicher wiederhergestellt, wenn die Metadaten des Dateisystems verloren gegangen oder unzuverlässig sind. Bei der Zeitachsenanalyse werden Artefakte aus verschiedenen Quellen zu einer einzigen Abfolge von Ereignissen geordnet – in der Regel entsteht so aus vereinzelten Befunden ein Gesamtbild des Einbruchs.

Die Dokumentation ist keine einzelne Phase. Sie zieht sich durch alle vier Phasen, denn die Aufzeichnung darüber, was mit den Beweismitteln geschehen ist, ist selbst ein Beweis. Der Arbeitsablauf für die Triage, das Fallmanagement und die Berichterstattung, der dort ansetzt, wo der forensische Prozess endet, wird im Rahmen der Vorfalluntersuchung behandelt.

Digitale Beweismittel und wie sie geschützt werden

Was digitale Beweismittel verwertbar macht, ist nicht das Werkzeug, mit dem sie erhoben wurden, sondern die Aufzeichnung darüber, wie mit ihnen umgegangen wurde.

Beweismittel verschwinden mit unterschiedlicher Geschwindigkeit, und wenn man sie in der falschen Reihenfolge sichert, gehen die am schnellsten verschwindenden Materialien zuerst verloren. RFC 3227, der im Februar 2002 als BCP 55 veröffentlicht wurde und nach wie vor als Referenz gilt, bringt es auf den Punkt: „Bei der Beweissicherung sollten Sie von den flüchtigen Daten zu den weniger flüchtigen vorgehen.“ Die darin aufgeführte siebenstufige Beispielreihenfolge wurde für einen einzelnen Host aus dem Jahr 2002 verfasst; daher ist es sinnvoll, jede Stufe dem Speicherort der entsprechenden Daten in einem modernen Unternehmen zuzuordnen.

RFC 3227-Ebene (2002) – Entsprechung in modernen Unternehmen: Register, Cache, CPU- und Hypervisor-Zustand (selten in großem Maßstab erfassbar), Routing-Tabelle, ARP-Cache, Prozesstabelle, Kernelstatistiken, Speicher: Live-Host-Speicher, Container-Prozessstatus, Netzwerkangerätetabellen; temporäre Dateisysteme: kurzlebige Container-Dateisysteme, temporärer Speicher für serverlose Ausführung; Festplatte: Endpunkt- und Server-Volumes, angeschlossener cloud -Blockspeicher; Daten zur Fernprotokollierung und -überwachung: Protokolle von Identitätsanbietern, Audit-Protokolle von cloud , zentral gespeicherte endpoint -Telemetriedaten; physische Konfiguration, Netzwerktopologie: Bestandsaufnahme der Cloud-Ressourcen, Konfiguration der Netzwerkanlagen, Zustand der Infrastructure-as-Code; Archivmedien: Backups, Objektspeicher, Log-Archiv-Ebenen

Bildunterschrift: Die in RFC 3227 festgelegte Rangfolge der Volatilität, angepasst an die Umgebungen, die Enterprise-Teams tatsächlich untersuchen, wobei die volatilsten ganz oben stehen. Die linke Spalte ist ein Zitat aus Abschnitt 2.1 des RFC 3227; die rechte Spalte enthält die Zuordnung dieser Seite.

Bei der Erfassung entscheidet sich, ob die Integrität gewahrt bleibt oder verloren geht. Bei der forensischen Datensicherung wird eine verifizierte Kopie der Speichermedien auf Bit-Ebene erstellt, sodass das Original niemals verändert wird und ausschließlich die Kopie untersucht wird. Der Hash-Wert liefert den Nachweis: Ein bei der Erfassung berechneter und später erneut berechneter Hash-Wert belegt, dass die Arbeitskopie weiterhin mit der Quelle übereinstimmt. Die Integrität der Beweismittel ist genau diese Eigenschaft, und sie macht eine Datei zu etwas, auf das sich Dritte verlassen können.

Was ist ein Schreibschutz?

Ein Schreibschutz ist eine Hardware- oder Software-Kontrollmaßnahme, die zwischen dem System eines Ermittlers und einem Beweismittelmedium geschaltet wird und Lesevorgänge zulässt, jedoch jeden Schreibvorgang blockiert. Er dient dazu, sicherzustellen, dass die Untersuchung eines Laufwerks dieses nicht verändert – genau das verlangt der erste Grundsatz des ACPO-Leitfadens für bewährte Praktiken.

Die Beweiskette ist die dokumentierte Aufzeichnung darüber, wer ein Beweisstück wann bearbeitet hat und was damit geschehen ist. Es klingt nach Papierkram, entscheidet aber über den Ausgang von Verfahren. Das anschaulichste aktuelle Beispiel stammt aus einer institutionellen Quelle der EU, und dessen Struktur ist nachahmenswert. Die informellen Leitlinien der Kommission zu Notfallvorkehrungen für das E-Evidence-System – die laut den Dienststellen der Kommission nicht die offizielle Position der Kommission darstellen – legen eine funktionale Anforderung fest, die sich aus Artikel 19 Absatz 5 der Verordnung ergibt: Wenn das eigene Übermittlungssystem der EU nicht genutzt werden kann, muss der Ausweichkanal „schnell, sicher und zuverlässig“ sein und es „dem Empfänger ermöglichen, die Echtheit festzustellen“. Anschließend wird für jeden Kanal einzeln aufgeführt, wie diese Anforderung erfüllt werden kann. Bei der sicheren elektronischen Übermittlung kann die Integrität „beispielsweise dadurch bestätigt werden, dass vom Dienstleister verlangt wird, einen Hash-Digest der elektronischen Beweismittel zum Zwecke der Integritätsprüfung zu übermitteln oder anderweitig zur Verfügung zu stellen“. Bei der physischen Zustellung können solche Mittel „es dem Empfänger ermöglichen, die Echtheit festzustellen, wenn sie eine dokumentierte Nachverfolgungskette sowie zuverlässige Nachweise über den Versand und den Empfang liefern“ (Informelle Leitlinien der Kommission zu Notfallvorkehrungen, zuletzt aktualisiert am 11. Juli 2026).

Die Leitlinien zur Beweissicherung auf der Ebene der Praktiker werden fortlaufend aktualisiert und nicht auf einen bestimmten Stand eingefroren. Die „Best Practices for Digital Evidence Collection“ der SWGDE (Dokument 18-F-002-2.0) tragen das Veröffentlichungsdatum 20. November 2025. Zwei Arten von Artefakten, die bei der Beweissicherung immer wieder auftauchen – Indikatoren für Kompromittierung und Netzwerk-Metadaten –, werden in den Leitlinien gesondert behandelt.

Die Teilbereiche der digitalen Forensik

Welcher Zweig benötigt wird, hängt davon ab, wo sich die Beweise befinden, und nicht davon, was der Angreifer getan hat.

Bildunterschrift: Zehn Teilbereiche der digitalen Forensik, geordnet nach der jeweiligen Beweisquelle, die den jeweiligen Teilbereich definiert.

Cloud ist der Bereich, in dem die Bezugnahme auf das aktuelle Dokument am wichtigsten ist. Die aktuelle Veröffentlichung des NIST ist SP 800-201, die „NIST-Referenzarchitektur für die Computerforensik im Bereich der Informationssicherheit ( Cloud )“, die im Juli 2024 fertiggestellt wurde und deren erklärtes Ziel darin besteht, „Unterstützung für die forensische Einsatzbereitschaft eines Systems im Bereich der Informationssicherheit ( cloud ) zu bieten“. Ihr Vorgänger, NIST IR 8006 zu den Herausforderungen der Computerforensik im Bereich der Informationssicherheit ( cloud ), stammt aus dem August 2020. Orientieren Sie sich an der neueren Version. Die Erkennung in diesem Umfeld ist ein eigenständiges Fachgebiet, das unter „cloud : Detection and Response“ behandelt wird.

Für den Mobilbereich gibt es eigene NIST-Leitlinien in SP 800-101 Rev. 1, „Guidelines on Mobile Device Forensics“ (Leitlinien zur Forensik mobiler Geräte), die im Mai 2014 veröffentlicht wurden und die ursprüngliche Fassung aus dem Jahr 2007 ersetzen. Die überarbeitete Fassung ist aktuell, die ursprüngliche Fassung hingegen nicht, und beide werden häufig miteinander verwechselt.

Die Liste wird immer länger. INTERPOL unterhält ständige Expertengruppen für Drohnenforensik, Kfz- und Fahrzeugforensik sowie digitale Forensik bei schiffsgebundenen Geräten – eine nützliche Erinnerung daran, dass jedes Gerät mit Speicherplatz letztendlich zu einer Beweisquelle wird.

Netzwerkforensik und PCAP-Analyse

Die Netzwerkforensik rekonstruiert einen Einbruch anhand der Daten, die über die Leitung übertragen wurden. Die Analyse von Paketaufzeichnungen – meist als „pcap-Analyse“ abgekürzt – ist dabei die Kerntechnik: Dabei wird der aufgezeichnete Datenverkehr ausgewertet, um festzustellen, welche Hosts miteinander kommuniziert haben, über welche Protokolle und welche Daten übertragen wurden. Flow-Datensätze und der Status von Netzwerkgeräten füllen die Lücken, wo eine vollständige Aufzeichnung nicht praktikabel ist.

Es hat gegenüber hostbasierten Zweigen einen strukturellen Vorteil, da Netzwerknachweise außerhalb des „ endpoint “ generiert und gespeichert werden und somit Maßnahmen am „ endpoint “ überstehen. Es hat aber auch eine strukturelle Schwäche: Eine nachträgliche Erfassung ist nicht möglich, sodass die Entscheidung über die Abdeckung bereits vor dem Vorfall getroffen worden sein muss.

Legen Sie den Untersuchungsumfang klar fest. Auf dieser Seite geht es um Netzwerkbelege, d. h. darum, was gesichert wird und was damit nachgewiesen wird. Die Nutzung von Netzwerkdaten zur Erkennung von Angriffen ist eine andere Aufgabe, die unter den Themen „Netzwerkverkehrsanalyse“ sowie „Netzwerkdetektion und -reaktion“ behandelt wird.

Malware Kriminaltechnik

Malware Forensik im Unternehmenskontext bezeichnet die Sicherung von Beweismitteln nach einem Vorfall, bei dem bösartiger Code eine Rolle gespielt hat: Was wurde abgelegt, was wurde ausgeführt, was wurde davon beeinflusst und welche Spuren hat der Code hinterlassen? Dies ist eine enger gefasste Fragestellung als die Klassifizierung oder Rückentwicklung der Probe, und der Aspekt der Taxonomie gehört auf die malware Seite.

Maßnahmen zur Umgehung forensischer Untersuchungen und Manipulation von Beweismitteln

Der Begriff „Anti-Forensik“ umfasst Techniken, die Beweismaterial zerstören, verändern, verbergen oder fälschen. Die Betrachtung als Problem der Erkennung und Eindämmung ist hier der einzig sinnvolle Ansatz. Im Folgenden wird daher beschrieben, wie sich diese Techniken auf das Beweismaterial auswirken und welche Spuren dabei erhalten bleiben.

Die wichtigste Änderung der letzten Zeit ist struktureller Natur und spiegelt sich im MITRE ATT&CK Katalog. Der Bereich „Anti-Forensik“ umfasst nun zwei Taktiken, die zuvor eine einzige bildeten. TA0005 trägt den Titel „Stealth“ und umfasst Tarnverhalten, bei dem Verteidigungssysteme intakt bleiben. Eine separate Taktik, TA0112 „Defense Impairment“, wurde am 14. April 2026 erstellt und zuletzt am 12. Mai 2026 geändert; sie umfasst Techniken, die „die Wirksamkeit und Vertrauenswürdigkeit von Sicherheitskontrollen und Überwachungsmechanismen beeinträchtigen, außer Kraft setzen oder untergraben“. Sie umfasst 18 Techniken.

Bildunterschrift: Einordnung der wichtigsten Anti-Forensik-Techniken in ATT&CK v19.2. Die aktuellen Einordnungen entsprechen den von MITRE veröffentlichten Angaben. Die Spalte „Früher“ gibt die in der Forschung erfassten Abstammungslinien wieder und nicht die von MITRE auf den Technikseiten angegebenen.

Ordnen Sie diese Änderung der richtigen Version zu. Die Umstrukturierung der Taktiken wurde am 28. April 2026 in ATT&CK v19.0 veröffentlicht. Die aktuelle Version, v19.2 vom August 2026, ist die erste „Agile“-Version von ATT&CK – ein Modell mit engerem Anwendungsbereich, bei dem gezielte Aktualisierungen für Gruppen, Software und Kampagnen außerhalb des üblichen halbjährlichen Rhythmus veröffentlicht werden; dabei wurden Gruppen und Software angepasst, nicht jedoch die Taktikstruktur. Die Versionsnummer wurde erhöht, ohne dass die Taxonomie weiterentwickelt wurde.

In der Praxis hat dies zur Folge, dass das Löschen von Protokollen und Manipulationen an Sicherheitstools nun getrennt von der Entfernung von Indikatoren erfasst werden, sodass die Erfassungsrate, die anhand der alten, auf einer einzigen Taktik basierenden Sichtweise ermittelt wurde, vollständiger erscheint, als sie tatsächlich ist.

Auch Anti-Forensik hat sich industrialisiert. Eine bekannte Klasse von Tools nutzt mittlerweile anfällige, signierte Treiber aus, um Erkennungs- und Reaktionsagenten der „endpoint “ zu deaktivieren, bevor der Zugriff auf Anmeldedaten, laterale Bewegungen und schwerwiegende Aktionen wie ransomware Bereitstellung. Was dies für die Beweislage bedeutet, ist wichtiger als die Technik selbst: Wenn die Beweisquelle auf dem vom Angreifer kontrollierten Host läuft, ist sie keine zuverlässige Beweisquelle.

Cloud Die Kurzlebigkeit ist die andere strukturelle Einschränkung. Container und serverlose Funktionen werden routinemäßig beendet und freigegeben, bevor jemand beschließt, sie zu bewahren; daher wurden die Beweise nie von einem Angreifer vernichtet. Sie sind einfach abgelaufen.

Standards, Zulässigkeit und Aktualität

Authentizität und Zuverlässigkeit sind zwei verschiedene Dinge, und zwei Rechtssysteme haben dies im Jahr 2026 im Abstand von wenigen Wochen festgestellt.

Zulässigkeit

In der US-Bundesrechtspraxis ermöglichen die Regeln 902(13) und 902(14) der Federal Rules of Evidence, die beide am 1. Dezember 2017 in Kraft getreten sind, dass bestimmte elektronische Aufzeichnungen durch die Bescheinigung einer qualifizierten Person anstelle einer mündlichen Zeugenaussage selbst beglaubigt werden können. Regel 902(14) ist diejenige, die Unternehmensteams kennen sollten: Sie gilt für „Daten, die von einem elektronischen Gerät, einem Speichermedium oder einer Datei kopiert wurden, sofern sie durch ein Verfahren der digitalen Identifizierung beglaubigt wurden“, was in der Praxis einen übereinstimmenden Hash-Wert bedeutet. Keine der beiden Unterabschnitte ist von dem Änderungszyklus betroffen, der vom 14. August 2026 bis zum 15. Februar 2027 zur öffentlichen Stellungnahme offen ist und die Beweisregeln 104 und 902(1) betrifft.

Selbstbeglaubigung ist nicht dasselbe wie Glaubwürdigkeit. In der Begleitnotiz zu ihrem überarbeiteten Entwurf der vorgeschlagenen Regel 707 schrieb der Beratende Ausschuss für Beweisregeln, dass, wenn KI-Ergebnisse einer Sachverständigenaussage gleichwertig sind, eine Selbstbeglaubigung gemäß Regel 902(13) nicht ausreicht, da „diese Regel zwar die Echtheit abdeckt, jedoch keine Zuverlässigkeit gemäß dem für Sachverständigenaussagen geltenden Maßstabs der Beweiskraft gewährleistet“ (Bericht des Beratenden Ausschusses für Beweisregeln, 17. Mai 2026). Dies ist die prägnanteste grundlegende Aussage, die es zur Kluft zwischen dem Nachweis, dass eine Aufzeichnung das ist, was man behauptet, und dem Nachweis, dass man sich darauf verlassen kann, gibt.

Regel 707 selbst wurde zwar vorgeschlagen, aber nicht verabschiedet und wird seit August 2026 weiterhin im Ausschuss geprüft. In seiner Sitzung vom 7. Mai 2026 lehnte der Beratende Ausschuss eine Empfehlung ab, überarbeitete den Entwurf, benannte ihn in „Von künstlicher Intelligenz erstellte und ohne Sachverständigen vor Gericht vorgelegte Beweismittel“ um, nachdem Kommentatoren den Begriff „maschinell generiert“ als zu weit gefasst empfunden hatten, und verwies ihn unter Berücksichtigung des Problems der Deepfakes zur weiteren Prüfung.

Im Zivilrecht sieht Regel 37(e) der Federal Rules of Civil Procedure Rechtsbehelfe vor, wenn elektronisch gespeicherte Informationen, die hätten aufbewahrt werden müssen, verloren gehen, weil eine Partei es versäumt hat, angemessene Maßnahmen zu ihrer Aufbewahrung zu ergreifen. Dadurch wird die forensische Bereitschaft zu einer gesetzlichen Verpflichtung.

Grenzüberschreitende Beweismittel

Die Verordnung (EU) 2023/1543 über europäische Anordnungen zur Datenoffenlegung und -sicherung gilt ab dem 18. August 2026, die dazugehörige Richtlinie (EU) 2023/1544 gilt ab dem 18. Februar 2026. Gemäß der Verordnung sind Dienstleister „verpflichtet, eine Niederlassung zu benennen oder einen Rechtsvertreter in der Union zu bestellen“ und müssen „innerhalb von 10 Tagen, in dringenden Fällen innerhalb von 8 Stunden“ reagieren – im Vergleich dazu gibt die Kommission für eine europäische Ermittlungsanordnung bis zu 120 Tage und für ein Rechtshilfeverfahren durchschnittlich 10 Monate an (Europäische Kommission). Die Geldbußen betragen bis zu 2 % des weltweiten Jahresumsatzes eines Anbieters (Verordnung (EU) 2023/1543, Text im Amtsblatt).

Die Kommission selbst hat bereits im Vorfeld einen Ausweichplan veröffentlicht. In der Erwartung, dass das dezentrale IT-System nicht einheitlich betriebsbereit sein würde, haben die Dienststellen der Kommission informelle Leitlinien zum Notfallverfahren gemäß Artikel 19 Absatz 5 herausgegeben, die zuletzt am 11. Juli 2026 aktualisiert wurden und mit der Feststellung beginnen, dass die Verordnung „ab dem 18. August 2026 gelten wird“. Jede Nutzung dieser Leitlinien muss mit einem Haftungsausschluss einhergehen: Die Leitlinien „wurden von den Dienststellen der Kommission erstellt“, „stellen nicht den offiziellen Standpunkt der Europäischen Kommission dar und sind für die Kommission in keiner Weise bindend“, und nur der Gerichtshof der Europäischen Union kann das EU-Recht verbindlich auslegen. Die technischen Spezifikationen für das System sind in der Durchführungsverordnung (EU) 2025/1550 der Kommission enthalten, und der Leitfaden verweist auf Abschnitt 3.3 dieses Rechtsakts.

Die britische Praxis fügt eine dritte Ebene hinzu: In Version 2 des Verhaltenskodex der Aufsichtsbehörde für Forensik, über die im Jahresbericht der Aufsichtsbehörde für den Zeitraum 2024 bis 2025 berichtet wurde, wurde die Akkreditierungsanforderung für die Untersuchung von Vorfällen gestrichen und deren Wiedereinführung angekündigt.

Normen und gesetzliches Zahlungsmittel, überprüft am 25.08.2026

Bildunterschrift: Normen und Rechtsinstrumente, auf die sich diese Seite stützt, mit dem jeweiligen Stand zum Zeitpunkt der Überprüfung am 25. August 2026.

Die Behauptung, diese Standards seien ausnahmslos veraltet, hält einer Überprüfung anhand des SWGDE-Katalogs nicht stand. Manche Dokumente sind alt, weil sie von Anfang an richtig waren, und RFC 3227 ist eines davon.

Bildunterschrift: Vier Quellen zu diesem Thema, die es wert sind, noch einmal überprüft zu werden, und die Art und Weise, wie jede einzelne davon einen unaufmerksamen Leser in die Irre führt.

Forensische Bereitschaft versus forensische Reaktion

Unter „forensischer Bereitschaft“ versteht man die vor einem Vorfall durchzuführenden Vorbereitungsmaßnahmen, die eine Untersuchung erst ermöglichen: Einstellungen zur Datenaufbewahrung, eine Bestandsaufnahme der Beweisquellen sowie Entscheidungen darüber, welche Daten vor ihrer Löschung gesichert werden müssen. Die Reaktion erfolgt erst im Anschluss daran. NIST SP 800-86 untermauert diesen unternehmensweiten Ansatz und stellt fest, dass „praktisch jede Organisation über die Fähigkeit verfügen muss, digitale Forensik durchzuführen“.

Bildunterschrift: Bereitschaft und Reaktion sind unterschiedliche Aktivitäten mit unterschiedlichen Verantwortlichen, und nur eine davon scheitert im Verborgenen.

Die Retentionsarithmetik

Hier wird die Bereitschaft zu einer Frage der Kalkulation. Aktuelle Untersuchungsdaten für das Jahr 2025 beziffern die weltweite mittlere Verweildauer auf 14 Tage – ein Anstieg von 11 Tagen – und den Medianwert für Vorfälle im Zusammenhang mit Cyberspionage und nordkoreanischen IT-Fachkräften auf 122 Tage (M-Trends 2026, 23. März 2026, basierend auf über 500.000 Stunden Ermittlungsarbeit). Es sind die Extremfälle, die die Ermittlungen zum Scheitern bringen: „Da Bedrohungen wie BRICKSTORM Verweildauern von fast 400 Tagen erreichen, lassen standardmäßige Richtlinien zur 90-tägigen Protokollaufbewahrung Unternehmen völlig im Dunkeln hinsichtlich des ursprünglichen Zugangsvektors und des vollen Ausmaßes des Eindringens.“

Vergleichen Sie dies mit einer gängigen Standardeinstellung: Die Aufbewahrungsdauer für Audit-Protokolle in einer weit verbreiteten Unternehmens-Produktivitätssuite beträgt standardmäßig 180 Tage, nachdem sie am 17. Oktober 2023 von 90 Tagen geändert wurde (Dokumentation zu Audit-Lösungen). Eine Verweildauer von 122 Tagen liegt außerhalb des 90-Tage-Fensters und innerhalb des 180-Tage-Fensters, und im Vergleich zu einem 400-tägigen Einbruch scheitern beide. Noch deutlicher wird dies bei Audit-Datensätzen von Nicht-Benutzer-Entitäten wie Service-Principal-Aktionen und Systemereignissen: Diese „werden für einen festen Zeitraum von einem Jahr aufbewahrt“, und diese „Aufbewahrungsfrist ist nicht über benutzerdefinierte Richtlinien konfigurierbar“. Eine Aufbewahrungsdauer von zehn Jahren erfordert eine benutzerspezifische Zusatzlizenz und gilt nicht rückwirkend, sodass sie eine Untersuchung von bereits vergangenen Vorfällen nicht retten kann.

Bei allen 2025 durchgeführten Untersuchungen wurden böswillige Aktivitäten in 52 % der Fälle zunächst intern von den Organisationen selbst entdeckt – ein Anstieg gegenüber 43 % im Jahr 2024. Wenn man Eindringversuche selbst aufdeckt, verkürzt sich der Zeitraum, in dem Beweismittel erhalten bleiben müssen. Erkennung und Aufbewahrung sind zwei Seiten ein und desselben Problems.

Was in den Leitlinien der sechs Regierungen gefordert wird

Die relevanteste Norm in diesem Bereich ist keine forensische Norm. Im Februar 2025 veröffentlichte das NCSC gemeinsam mit dem Australian Signals Directorate, der CISA, dem Canadian Centre for Cyber Security, dem FBI und dem NCSC-NZ Leitlinien zur digitalen Forensik und zur Schutzüberwachung von Netzwerkgeräten und -anwendungen, in denen „die Mindestanforderungen an die forensische Transparenz“ festgelegt wurden, „um Netzwerkverantwortlichen dabei zu helfen, Unternehmensnetzwerke sowohl vor als auch nach einer Kompromittierung zu schützen“.

Die Liste der flüchtigen Datensätze entspricht im Wesentlichen einer für Netzwerkgeräte des Jahres 2025 überarbeiteten Version von RFC 3227 und umfasst Prozessbäume, Speicherkarten, geladene Module, Kernel- und prozessspezifischen Speicher, Firewall- und Paketverarbeitungsregeln, Netzwerkverbindungen, ARP-Einträge, CAM-Tabellen, DHCP-Leases, aktive Sitzungen, Absturzberichte und Systemprotokolle.

Ein Blogbeitrag vom 29. Juli 2026 führte die Argumentation unter einer neuen Bezeichnung weiter, und diese Änderung ist von Bedeutung, wenn man nach einem der beiden Dokumente sucht: In den Leitlinien von 2025 ist von „forensischer Transparenz“ die Rede, im Blogbeitrag von 2026 hingegen von „forensischer Beobachtbarkeit“. In dem Blogbeitrag heißt es, dass „forensische Beobachtbarkeit besonders wichtig für Edge-Geräte wie Firewalls, VPN-Gateways und andere Netzwerkgeräte ist“, und es wird beschrieben, wie Sicherheitsverantwortliche bei einem kompromittierten Gerät auf Reverse Engineering zurückgreifen müssen, mit der unverblümten Feststellung, dass „ihnen möglicherweise weniger Werkzeuge zur Verfügung stehen als dem Angreifer“.

Eine Checkliste zur Vorbereitung

• Erfassen Sie alle Beweisquellen, bevor Sie eine davon benötigen.
• Erfassen Sie das Aufbewahrungsfenster für jede Quelle.
• Prüfen Sie, welche Aufbewahrungsfristen Sie nicht konfigurieren können.
• Bewahren Sie die Protokolle des Identitätsanbieters und des Helpdesks gezielt auf.
• Bewahren Sie Netzwerkdaten nicht auf den Endgeräten auf, auf die sie sich beziehen.
• Prüfen Sie, ob ein Export tatsächlich abgerufen werden kann.
• Überprüfen Sie die Standardeinstellungen nach jeder Plattformmigration erneut.

Ein bestimmtes Fallmuster macht den Identitätsvorgang konkret. Wenn es sich beim ersten Zugriff um eine rechtmäßige Zurücksetzung der Zugangsdaten handelt, die über einen Helpdesk erfolgt ist, weisen die Host-Artefakte keine Anomalien auf, da auf dem Host nichts Ungewöhnliches passiert ist. Der Vorgang ist ausschließlich in den Protokollen des Identitätsanbieters und des Helpdesks dokumentiert – also genau in den Protokollen, die am wenigsten wahrscheinlich lange genug aufbewahrt werden.

Was ein Protokoll aus forensischer Sicht nützlich macht, ist enger gefasst als das, was es aus operativer Sicht nützlich macht: ein vertrauenswürdiger Zeitstempel, ein identifizierbarer Akteur, eine interpretierbare Aktion und ein Aufbewahrungszeitraum, der länger ist als die zu erwartende Verweildauer. Welche Quellen es gibt und welche Daten sie liefern, gehört zur Sicherheitstelemetrie und zu Netzwerk-Metadaten; die Aggregation dieser Daten erfolgt im Rahmen von SIEM sowie der Netzwerk-Erkennung und -Reaktion. Zwei Arten von Untersuchungen stützen sich am stärksten auf diese Grundlagen: Insider-Bedrohungen, bei denen die Aktivität autorisiert ist, aber die Absicht nicht, sowie die Ermittlung des Ausmaßes von Datenpannen, bei der die Meldefrist davon abhängt, ob Sie Beweismittel aufbewahrt haben oder nicht.

Moderne Ansätze in der digitalen Forensik

Fragen zu Werkzeugen werden hier meist in der Form „Welches Werkzeug ist das beste?“ gestellt und lassen sich am besten nach Kategorie beantworten, da die Kategorie darüber entscheidet, welche Informationen man erhält, und der Wartungszustand darüber, ob man diesen Informationen vertrauen kann.

Bildunterschrift: Forensische Werkzeuge nach Kategorie, mit dem Wartungshinweis, der angibt, ob ein bestimmtes Werkzeug zuverlässig eingesetzt werden kann.

Zwei Fehlerarten werden hier in einen Topf geworfen, was nicht sein sollte. Die erste betrifft veraltete Software, die als aktuell dargestellt wird. Am deutlichsten wird dies bei der Speicherforensik: Die Volatility Foundation gab am 16. Mai 2025 bekannt, dass mit der offiziellen Veröffentlichung von Volatility 3 die Version Volatility 2 als veraltet eingestuft und ihr Repository archiviert wurde; das Repository selbst trägt dieses Archivierungsdatum. Dennoch taucht es nach wie vor in Tool-Listen auf, die für das aktuelle Jahr gekennzeichnet sind.

Die zweite Variante wird zwar gepflegt, ist jedoch anfällig, was bei einer Überprüfung des letzten Veröffentlichungsdatums als „intakt“ gewertet wird. Im Rahmen einer dokumentierten Angriffskampagne wurde auf kompromittierten Hosts eine veraltete Version einer Open-Source-Plattform zur DFIR-Erfassung und -Orchestrierung installiert und dazu genutzt, weitere Tools abzurufen, wodurch die Notwendigkeit des Einsatzes benutzerdefinierter „ malware “ verringert wurde (Berichterstattung über die Kampagne, 11. Oktober 2025). Das Projekt wird aktiv gepflegt, und es existiert eine gepatchte Version. Der Angreifer wählte lediglich eine ungepatchte Version aus und nutzte dabei eine Autorisierungsschwachstelle mittlerer Schwere aus, die von der CNA mit einer Basisbewertung von 5,5 eingestuft wurde (NVD, CVE-2025-6264, Datensatz zuletzt geändert am 17. Juni 2026). Bei einer Sortierung der Tool-Liste nach dem Jahr der letzten Veröffentlichung würde dies völlig übersehen werden.

Wie „ Vectra AI “ die digitale Forensik betrachtet

Vectra AIDiese Position ergibt sich aus dem roten Faden dieser Seite: Wenn die Beweisquelle auf einem Host läuft, den der Angreifer kontrolliert, ist sie keine zuverlässige Beweisquelle. „ Attack Signal Intelligence “ basiert auf kontinuierlich beobachteten Verhaltensmustern über Netzwerk, Identität und cloud hinweg, die zentral und unabhängig von den beschriebenen Endpunkten gespeichert werden – was eine Rekonstruktion im Nachhinein und nicht nur während des Vorfalls ermöglicht. Die zweite Hälfte ist genauso wichtig wie die erste. Die Ergebnisse müssen auch für Personen nachvollziehbar sein, die nicht vor Ort waren; daher ist die Darstellung sowohl für Führungskräfte, Prüfer und Betreiber als auch für den Analysten, der sie erstellt hat, strukturiert.

‍