Cloud und Mobility erhöhen Risiko von Hackerangriffen

IT-DIRECTOR: Was versteht man gemeinhin unter dem Begriff der IT-Forensik?
R. Noll: Wir nennen diesen Bereich Forensic Technology Solutions und verstehen darunter einerseits die Sicherung digitaler Beweise und Spuren in IT-Systemen sowie auf mobilen Endgeräten. Auch die Suche in E-Mails oder sonstigen Nutzerdaten mit sogenannten E-Discovery-Systemen ist dazu zu zählen. Die ausgereifteren Analysesysteme nutzen dazu Data-Mining-Techniken oder verwenden Methoden aus dem Bereich der künstlichen Intelligenz. Darüber hinaus gehört hierzu die Unterstützung von forensischen Sonderuntersuchungen mit geeigneten IT-Analysesystemen, also beispielsweise die Analyse strukturierter Massendaten aus ERP-Systemen und deren Untersuchung hinsichtlich typischer Fraud-Schemen. Eine weitere typische IT-forensische Aufgabenstellung ist es, komplexe Zusammenhänge durch geeignete Visualisierungssysteme zu veranschaulichen.

IT-DIRECTOR: Welche Lösungen decken das Feld der IT-Forensik am besten ab?
R. Noll: Es gibt im Forensikbereich eine Fülle von hoch spezialisierten Systemen, die bei der Aufklärung von Sachverhalten zum Einsatz kommen. Oft ist es auch eine Kombination von speziell entwickelter Hardware und dazu passenden Softwarelösungen. Das Spektrum reicht von Systemen zur Beweissicherung von Computern, Servern oder mobilen Endgeräten über Analysewerkzeuge für strukturierte datenbankbasierte Daten bis hin zu Plattformen für die Analyse unstrukturierter Daten wie beispielsweise E-Discovery-Systeme. Darüber hinaus unterstützen Visualisierungssysteme die forensische Arbeit der Sachverhaltsaufklärung. Jedes System hat seine Vorteile und eignet sich besonders für einzelne forensische Untersuchungen. Es gibt leider keine „One size fits all“-Lösung.

IT-DIRECTOR: Welche Schritte sollte ein Unternehmen bei dem Verdacht auf einen Hackerangriff, Datendiebstahl oder -missbrauch auf jeden Fall einleiten?
R. Noll: Wird ein Vorfall entdeckt, ist schnelles Handeln erforderlich. Im besten Fall verfügt das Unternehmen über einen Notfallplan, in dem alle notwendigen Schritte und Zuständigkeiten vorher definiert wurden. Es kommt insbesondere darauf an, schnell alle Daten zu sichern, die digitale Spuren enthalten könnten und später der Sachverhaltsaufklärung dienen. Um schnell agieren zu können, haben einige Unternehmen bereits im Vorfeld Rahmenverträge mit Forensikdienstleistern geschlossen.

IT-DIRECTOR: Welche klassischen forensischen Werkzeuge gibt es, um möglicherweise gelöschte Daten wiederherstellen, auslesen und analysieren zu können?
R. Noll: Gelöschte Daten lassen sich mit einer Vielzahl forensischer Standardwerkzeuge wieder herstellen. Welches Tool ein Forensiker in welchem Fall einsetzt, hängt vom Sachverhalt und der betroffenen IT-Systemumgebung ab. So werden zur Analyse von iPads, iPhones & Co. andere Forensik-Software-Lösungen eingesetzt als zur Wiederherstellung von Lotus-Notes-E-Mails oder zur Suche von Dateifragmenten in den Slack Spaces von Windows-Dateisystemen. Wir empfehlen bei der Auswahl des Tools möglichst auf Lösungen zurückzugreifen, die auch von den Ermittlungsbehörden eingesetzt werden und damit in der Regel als gerichtsfest angesehen werden können.

IT-DIRECTOR: Wo liegen derzeit die größten technischen wie organisatorischen Herausforderungen für die IT-Forensik?
R. Noll: Als Forensiker sehe ich die größten Hürden, die es zu meistern gilt, in den aktuellen IT-Trends Cloud Computing, Bring your own device (BYOD) und mobile Computing. Diese Lösungen bieten den Unternehmen große Chancen. Die neuen Lösungen erhöhen jedoch auch die Risiken für Hackerangriffe oder Datendiebstähle und stellen neue Anforderungen an den Datenschutz.

IT-DIRECTOR: Welche Schwachstellen haben IT-forensische Verfahren derzeit? Wie können diese künftig geschlossen werden?
R. Noll: Die IT-Forensik muss sich parallel mit den neuen Technologien, die auch die Täter nutzen, fortlaufend weiterentwickeln. Die IT-Forensiker beschäftigen sich intensiv mit neuen Geräten, analysieren deren Arbeitsweise und prüfen, an welchen Stellen digitale Spuren zu finden sind. Die notwendigen Verfahren für forensische Untersuchungen an neuen Geräten sind grundsätzlich verfügbar. Doch die Systeme werden immer komplexer, die Datenmengen immer größer, so dass auch Ermittler, Richter und Staatsanwälte immer stärker gefordert sind, um zu verstehen, wie IT-Forensiker zu einem bestimmten Ergebnis kommen und hierauf basierend ihr Urteil zu fällen. Künftig brauchen wir noch viel mehr IT-Verständnis, um die Straftaten in der Cyberwelt aufzudecken.

IT-DIRECTOR: Welchen Stellenwert können die Ergebnisse der IT-Forensik für interne, zivil- oder strafrechtliche Ermittlungen besitzen?
R. Noll: Der Stellenwert der Analyseergebnisse für Ermittlungen wird weiter steigen. Computersysteme sind aus unserem Alltag nicht mehr wegzudenken. Nahezu jede Handlung hinterlässt Spuren in irgendwelchen Systemen. Deswegen beinhaltet heute praktisch jede forensische Untersuchung auch IT-forensische Dienstleistungen.

IT-DIRECTOR: Inwieweit arbeiten Unternehmen im Rahmen der IT-Forensik Hand in Hand mit behördlichen Einrichtungen, wie beispielsweise BSI, LKA, BKA, BND, etc.?
R. Noll: Das hängt vom Einzelfall ab. Unternehmen haben ein Eigeninteresse daran, einen Compliance-Verstoß oder gar den Verdacht auf eine Straftat vollständig aufzuklären und diese künftig zu verhindern. Unternehmensinterne Projektteams, die zur Aufklärung eines Sachverhaltes gebildet wurden, unterstützen deshalb in der Regel auch die Ermittlungsbehörden.