Inhalt
Wer glaubt, digitale Spuren entstehen nur bei Bankraub oder Spionage, irrt sich. Jedes Mal, wenn jemand eine Datei verschiebt, eine Nachricht löscht oder sich in ein WLAN einloggt, hinterlässt er Datenspuren. IT Forensik macht genau diese Spuren sichtbar, rekonstruierbar und vor Gericht verwertbar. Das Fachgebiet ist längst kein Nischenthema mehr für Ermittlungsbehörden, sondern wird von Unternehmen, Anwälten und Privatpersonen regelmäßig beauftragt.
Was IT Forensik überhaupt bedeutet
IT Forensik bezeichnet die systematische Sicherung, Analyse und Dokumentation digitaler Daten zu Beweiszwecken. Der Prozess folgt strengen Protokollen, weil Gerichte nur Beweise akzeptieren, deren Integrität lückenlos nachgewiesen ist. Bereits das Öffnen einer Datei kann den Zugriffszeitstempel verändern und den Beweiswert mindern. Deshalb arbeiten Forensiker grundsätzlich mit forensischen Kopien, sogenannten Images, nie mit den Originaldatenträgern.
Zum Einsatzspektrum gehören Strafverfolgung, Zivilprozesse, interne Unternehmensermittlungen, Datenschutzverletzungen und arbeitsrechtliche Streitigkeiten. In Deutschland steigt die Nachfrage: Laut einer Studie des Digitalverbands Bitkom waren 2023 rund 72 Prozent aller deutschen Unternehmen von Cyberangriffen, Sabotage oder Datendiebstahl betroffen. In vielen dieser Fälle wird anschließend ein forensisches Gutachten benötigt.
Was auf einem Gerät wirklich gespeichert bleibt
Die größte Überraschung für Laien ist oft, wie wenig „Löschen“ tatsächlich löscht. Wenn jemand eine Datei in den Papierkorb verschiebt und diesen leert, entfernt das Betriebssystem lediglich den Verweis auf die Datei. Die eigentlichen Daten bleiben auf dem Speichermedium, bis der Bereich von neuen Daten überschrieben wird. Forensische Software wie Autopsy oder EnCase kann diese Fragmente wiederherstellen, selbst Jahre nach dem vermeintlichen Löschen.
Konkret bedeutet das: Gelöschte WhatsApp-Chats, entfernte Fotos, frühere Dokumentversionen und deinstallierte Apps hinterlassen Spuren in Systemdateien, Cache-Verzeichnissen und Datenbank-Logs. Auf einem durchschnittlichen Smartphone finden Forensiker erfahrungsgemäß Daten aus mehreren Jahren, auch wenn der Nutzer das Gerät mehrfach zurückgesetzt hat, sofern keine vollständige kryptografische Überschreibung stattgefunden hat.
Typische Einsatzfelder abseits von Kriminalfällen
IT Forensik begegnet einem häufiger als gedacht, und zwar nicht nur im Strafrecht. Drei Szenarien aus der Praxis:
- Arbeitsrecht: Ein Mitarbeiter wird verdächtigt, Kundendaten an einen Wettbewerber weitergegeben zu haben. Forensiker untersuchen Dienstlaptop und USB-Protokolle. Zeitstempel zeigen, dass kurz vor der Kündigung 4.200 Dateien auf ein externes Laufwerk kopiert wurden.
- Familienrecht: In Sorgerechtsstreitigkeiten werden Kommunikationsverläufe, Standortdaten und Metadaten von Fotos ausgewertet, um Aufenthaltsorte oder Absprachen zu belegen.
- Vertragsstreitigkeiten: Ein Dienstleister behauptet, eine Datei am 3. März geliefert zu haben. Die Metadaten zeigen: erstellt am 9. März, 14:22 Uhr, nachträgliche Änderung am Dateidatum manuell vorgenommen.
Wer sich regelmäßig über neue Entwicklungen informieren möchte, findet auf Seiten wie den IT Forensik News aktuelle Fälle, Methoden und Branchentrends aus dem deutschsprachigen Raum.
Smartphones als ergiebigste Datenquelle
Das Smartphone ist für Forensiker das aufschlussreichste Gerät überhaupt. Es protokolliert Bewegungsprofile über GPS und WLAN-Verbindungen, speichert Kommunikation aus dutzenden Apps, enthält biometrische Daten und synchronisiert sich mit Cloud-Diensten. Auf einem modernen iPhone oder Android-Gerät können bis zu 50 verschiedene Datenquellen ausgewertet werden, darunter Anrufprotokolle, Browserverläufe, Kalendereinträge, Sprachassistenten-Abfragen und App-spezifische Datenbanken.
Besonders relevant: Messenger wie Signal oder Telegram werden oft als „sicher“ eingestuft, weil Nachrichten verschlüsselt übertragen werden. Das schützt die Übertragung, nicht aber die lokale Speicherung. Wer Nachrichten nicht aktiv und vollständig löscht, hinterlässt sie im Klartext in der App-Datenbank des Geräts. Forensische Tools wie Cellebrite UFED oder Oxygen Forensic Detective lesen diese Datenbanken direkt aus.
Metadaten: Die unsichtbaren Zeugen
Metadaten sind Informationen über Informationen. Eine Textdatei enthält nicht nur den sichtbaren Text, sondern auch Angaben darüber, wer sie erstellt hat, wann, auf welchem Gerät und wie oft sie bearbeitet wurde. Ein Word-Dokument kann bis zu 50 Felder unsichtbarer Metadaten enthalten, darunter frühere Autoren, frühere Versionen und der Druckerverlauf.
Fotos speichern EXIF-Daten mit GPS-Koordinaten, Kameramodell, Belichtungszeit und dem exakten Aufnahmezeitpunkt. In einem realen Fall konnte ein Alibi widerlegt werden, weil das Foto, das ein Beschuldigter als Beweis für seinen angeblichen Aufenthaltsort eingereicht hatte, laut EXIF-Daten 40 Kilometer entfernt aufgenommen worden war.
Grenzen der IT Forensik
Trotz ihrer Möglichkeiten hat IT Forensik klare Grenzen. Vollverschlüsselte Geräte, bei denen das Passwort unbekannt ist, lassen sich in der Regel nicht entschlüsseln. Moderne iPhones mit aktiviertem Geräteschutz gelten selbst für spezialisierte Labore als extrem schwer zugänglich. Cloud-Daten unterliegen den Datenschutzgesetzen des jeweiligen Landes, was den Zugriff für private Auftraggeber praktisch ausschließt.
Auch Beweisverwertbarkeit ist kein Automatismus. Wurde ein Gerät ohne Rechtsgrundlage durchsucht oder das forensische Protokoll nicht korrekt eingehalten, können Gerichte Beweise als unzulässig ausschließen. Wer IT Forensik in rechtlichen Auseinandersetzungen einsetzen will, sollte daher von Anfang an auf zertifizierte Dienstleister mit gerichtsfester Dokumentation setzen.
Zusammengefasst zeigt sich: Digitale Geräte sind zuverlässige, unbestechliche Zeugen. Sie erinnern sich an Dinge, die Menschen vergessen oder verleugnen. IT Forensik macht diese Erinnerungen lesbar und verwertbar, in Gerichtssälen, Personalbüros und Anwaltskanzleien.
