Keine Beweise vernichten

IT-DIRECTOR: Was versteht man gemeinhin unter dem Begriff der IT-Forensik?
S. Strobel: Bei der IT-Forensik geht es um die Untersuchung von verdächtigen Vorfällen. Dabei werden typischerweise digitale Spuren auf Datenträgern oder im Hauptspeicher betroffener Computersysteme analysiert.

IT-DIRECTOR: Welche Lösungen decken das Feld der IT-Forensik am besten ab?
S. Strobel: Es gibt unterschiedliche Arten von Lösungen, die in der IT-Forensik zum Einsatz kommen. Am bekanntesten sind dabei Werkzeuge zur Analyse von Datenträgern wie zum Beispiel FTK von Access Data oder Encase von Guidance Software. Daneben gibt es Tools zur Analyse von Datenverkehr, zur Duplizierung von Festplatten, zur Analyse von laufenden Servern und vieles mehr.

IT-DIRECTOR: Welche Schritte sollte ein Unternehmen bei dem Verdacht auf einen Hackerangriff, Datendiebstahl oder -missbrauch auf jeden Fall einleiten?
S. Strobel: Die ersten Schritte fasst man unter dem Oberbegriff „Incident Handling“ zusammen. Da zunächst meist noch gar nicht klar ist, ob tatsächlich ein Sicherheitsvorfall vorliegt oder ob es sich nur um eine Störung handelt, muss der Verdacht erhärtet oder verworfen werden, ohne dass dabei Spuren vernichtet oder unbrauchbar gemacht werden. Im Idealfall gibt es im Unternehmen bereits definierte Prozesse und Checklisten für solche Fälle sowie entsprechend ausgebildetes Personal. Falls dies nicht existiert, sollten lieber früher als später externe Spezialisten eingeschaltet werden.

IT-DIRECTOR: Welche klassischen forensischen Werkzeuge gibt es, um möglicherweise gelöschte Daten wiederherstellen, auslesen und analysieren zu können?
S. Strobel: Zum Wiederherstellen und analysieren von gelöschten Daten gibt es besonders viele kommerzielle aber auch Open-Source-Lösungen. Am bekanntesten sind dabei sicher FTK von Access Data sowie Encase von Guidance Software.

IT-DIRECTOR: Wo liegen derzeit die größten technischen wie organisatorischen Herausforderungen für die IT-Forensik?
S. Strobel: Die größten Herausforderungen liegen gar nicht in der IT-Forensik selbst, sondern in der davor stattfindenden Phase des Incident Handlings. Oft reagieren die betroffenen Unternehmen zunächst falsch. Administratoren suchen bei verdächtigem Verhalten der Systeme nach Fehlern und zerstören dabei Spuren. Die meisten Unternehmen sind nicht auf Sicherheitsvorfälle vorbereitet. Das beginnt bei der Konfiguration der IT-Systeme, so dass später auch relevante Protokolle vorhanden sind, geht über fehlende Prozessdefinitionen für das Incident Handling bis zur fehlenden Ausbildung. Die spätere forensische Analyse von Spuren kann zwar durch einen externen Spezialisten erfolgen, aber die ersten Reaktionen bzw. Sofortmaßnahmen bei Verdacht erfolgen im betroffenen Unternehmen selbst und hier gilt es vorbereitet zu sein.

IT-DIRECTOR: Welche Schwachstellen haben IT-forensische Verfahren derzeit? Wie können diese künftig geschlossen werden?
S. Strobel: Die forensischen Verfahren sind nicht das Problem. Wenn Spuren vorhanden sind und rechtzeitig gesichert werden konnten, dann können sie mit geeigneten Werkzeugen und dem nötigen Wissen auch ausgewertet werden. Die Probleme liegen vielmehr darin, dass betroffene Unternehmen oft nicht auf Vorfälle vorbereitet sind und dann in der ersten Panik vieles falsch gemacht wird.

IT-DIRECTOR: Welchen Stellenwert können die Ergebnisse der IT-Forensik für interne, zivil- oder strafrechtliche Ermittlungen besitzen?
S. Strobel: Ergebnisse aus IT-Forensik können über den Ausgang eines Verfahrens entscheiden.

IT-DIRECTOR: Inwieweit arbeiten Unternehmen im Rahmen der IT-Forensik Hand in Hand mit behördlichen Einrichtungen, wie beispielsweise BSI, BKA, BND, etc.?
S. Strobel: Die Zusammenarbeit mit Behörden oder Strafverfolgung ist eher wenig ausgeprägt. Oft ist den betroffenen Unternehmen eine diskrete Klärung sehr wichtig.