Vermeintlich Gelöschtes sichtbar machen

IT-DIRECTOR: Was versteht man gemeinhin unter dem Begriff der IT-Forensik?
L. Grunwald: Als IT-Forensik bezeichnet man das Auffinden von so genannten Evidenten, sprich eindeutigen Beweisen für einen definierten IT-Sachverhalt. Dazu zählen beispielsweise die Existenz eines bestimmten Dokuments, eine Manipulation an einem IT-System oder der Nachweis für das Vorhandensein bestimmter digitaler Daten.

IT-DIRECTOR: Welche Lösungen decken das Feld der IT-Forensik am besten ab?
L. Grunwald: IT-Forensik ist kein Produkt sondern ein Prozess. Hilfssysteme wie Vulnerability-Management-Lösungen zum Feststellen von Schwachstellen, Security Information and Event Management (SIEM) zur Sicherheitsanalyse in Echtzeit oder Logserver eignen sich gut, um bestimmte Sachverhalte wie zum Beispiel remote Einbrüche, Manipulation von Benutzer- und Geschäftsdaten sowie Audittrails zu dokumentieren. Mit Werkzeugen wie Festplattenduplikation oder Filesystem-Analysetools lassen sich darüber hinaus Beweise sichern. Letztlich kommt es jedoch auf die Art und Weise an, wie der Ermittler sein Werkzeug einsetzt. Ein Beweismittelsicherungskasten ersetzt ja ebenfalls keinen ermittelnden Kommissar bei der Kriminalpolizei.

IT-DIRECTOR: Welche Schritte sollte ein Unternehmen bei dem Verdacht auf einen Hackerangriff, Datendiebstahl oder -missbrauch auf jeden Fall einleiten?
L. Grunwald: 1. In erster Linie gilt es, Ruhe zu bewahren und nicht zu versuchen, eigenständig Schritte einzuleiten. Durch unbedachtes Vorgehen können wichtige Beweise vernichtet werden.
2. Unternehmen sollten Logs und Backups soweit wie möglich sichern. Dabei ist es wichtig, diese aus der Rotation der Datensicherung zu nehmen, so dass unbeschädigte und nicht betroffene Daten erhalten bleiben.
3. Die Rechner sollten auf keinen Fall ausgeschaltet, sondern lediglich in den Ruhezustand versetzt werden.
4. Unternehmen sollten sich umgehend an einen Experten wenden oder die hausinterne zuständige Dienststelle zu Rate ziehen.

IT-DIRECTOR: Welche klassischen forensischen Werkzeuge gibt es, um möglicherweise gelöschte Daten wiederherstellen, auslesen und analysieren zu können?
L. Grunwald: Mit so genannten forensischen Toolkits lässt sich das vermeintlich Gelöschte wieder sichtbar machen. Diese gibt es in unterschiedlichen Versionen und mit verschiedenen Funktionslevels – von der Gratissoftware bis hin zum scriptsteuerbaren Expertenanalysesystem.

IT-DIRECTOR: Wo liegen derzeit die größten technischen wie organisatorischen Herausforderungen für die IT-Forensik?
L. Grunwald: Es muss eine Balance zwischen technischen Maßnahmen, Kosten und der Organisation der Forensik getroffen werden. Bestimmte technische Tätigkeiten können sehr schnell teuer werden, ohne dass sie einen wirklichen Erkenntnisgewinn liefern. Daher braucht man neben Organisation und Technik auch eine Bewusstseinssteuerung, das heißt, wer muss, darf und sollte wann welche Informationen erhalten.

IT-DIRECTOR: Welche Schwachstellen haben IT-forensische Verfahren derzeit? Wie können diese künftig geschlossen werden?
L. Grunwald: Häufig werden bei Untersuchungen nur belastende Beweise gefunden, aber entlastende Hinweise übersehen. Ein Beispiel: Ein Familienvater wird verhaftet, da kinderpornographisches Material auf seinem System gefunden wurde. Dabei übersahen die Ermittler, dass der Rechner des mutmaßlichen Täters Ziel einer Trojaner-Infektion gewesen war, in deren Folge ihm die Bilder als verdeckte Maßnahme untergejubelt wurden.

IT-DIRECTOR: Welchen Stellenwert können die Ergebnisse der IT-Forensik für interne, zivil- oder strafrechtliche Ermittlungen besitzen?
L. Grunwald: Zuerst muss der IT-Forensikprozess „gerichtsfest“, also für ein Gericht nachvollziehbar werden. Sobald er dokumentier- sowie IT-technisch offengelegt werden kann, sind diese Beweise als Teil der gesamten Beweisaufnahme und als reguläres Beweismittel zu betrachten.

IT-DIRECTOR: Inwieweit arbeiten Unternehmen im Rahmen der IT-Forensik Hand in Hand mit behördlichen Einrichtungen, wie beispielsweise BSI, BKA, BND, etc.?
L. Grunwald: Gerade wenn es zu so genannten APT-Angriffen (Advanced Persistant Threat) kommt, gibt es einen regen Austausch zwischen staatlichen Organisationen und Unternehmen. Aktuell gibt es darüber hinaus gemeinsame Bestrebungen, Angriffe auf kritische Infrastrukturen zugänglich zu machen, ebenso wie die durch IT-Forensik erworbenen Erkenntnisse anderen Behörden und Zivilstellen.

IT-DIRECTOR: Können Sie uns bitte ein konkretes Beispiel nennen, bei dem Computerkriminalität mithilfe von IT-Forensik aufgeklärt werden konnte?
L. Grunwald: Vor einiger Zeit gab es einen Einbruch bei einem sogenannten "Hidden Champion", also einem weniger bekannten kleinen oder mittleren Unternehmen, das in seinem speziellen Markt führend ist. Da das Unternehmen nur ein kleines Zulieferteil für ein europäisches Projekt lieferte, agierte es weitestgehend unter dem Radar der Konkurrenz. Der Hersteller bot seinen Kunden jedoch topaktuelle Produktionszeichnungen, die das Unternehmen zunehmend auch von Mitbewerbern am Markt wahrgenommen wurde. Diese engagierten Hacker, um an unternehmenskritische Informationen wie Zeichnungen und Patente zu gelangen. Nach der Entdeckung des Angriffs und der darauf folgenden Untersuchung gelang es mittels IT-Forensik, den Informationsabfluss und auch den Einbruchsvektor zu erkennen und zu verfolgen.