Sicherung digitaler Spuren

IT-DIRECTOR: Was versteht man gemeinhin unter dem Begriff der IT-Forensik?
R. Kreter: Unter dem Begriff werden alle Maßnahmen – in erster Linie: die Erfassung, Analyse und Auswertung – zur Sicherung digitaler Spuren in IT-Systemen im Hinblick auf verdächtige oder überraschende Ereignisse zusammengefasst. Damit verfolgt die IT-Forensik die Aufgabe, systematisch kriminelle Handlungen in Zusammenhang mit IT-Systemen zu identifizieren, nach Möglichkeit auszuschließen, zu analysieren sowie gegebenenfalls zu rekonstruieren, um den Tatbestand sowie die Identität möglicher Täter festzustellen.

IT-DIRECTOR: Welche Lösungen decken das Feld der IT-Forensik am besten ab?
R. Kreter: Eine Loganalyse in Verbindung mit SIEM-Tools (Security Information and Event Management), Daten der Geolokalisierung, Netzwerk-Visualisierungstechniken und Techniken zur Aufzeichnung von Client-Beziehungen bietet entscheidende forensische Hinweise sowie die Möglichkeit unmittelbar und proaktiv auf verdächtige Ereignisse zu reagieren.

IT-DIRECTOR: Welche Schritte sollte ein Unternehmen bei dem Verdacht auf einen Hackerangriff, Datendiebstahl oder -missbrauch auf jeden Fall einleiten?
R. Kreter: Der Einsatz von Lösungen wie SIEM-Tools kann es Unternehmen ermöglichen die Prozesse – gespeichert in Logdateien – systematisch zu sammeln, aufzubewahren, zu analysieren und darüber zu berichten. Damit wird diese Information zu einer vortrefflichen Quelle zur Auffindung von betroffenen Systemen und deren Ursachen.

IT-DIRECTOR: Welche klassischen forensischen Werkzeuge gibt es, um möglicherweise gelöschte Daten wiederherstellen, auslesen und analysieren zu können?
R. Kreter: Techniken wie beispielsweise die Wiedererkennung typischer Muster, welche Echtzeitüberwachung mit einer genauen Zielbeschreibung sowie mit einer Host-/Nutzerüberwachung und einer ebenfalls erweiterten Korrelations-/Mustererkennung in sich vereinen, stellen für Unternehmen den einzigen Ansatzpunkt dar, auffälliges Verhalten schneller und exakter auszumachen. Durch das Sammeln und Analysieren von Logdateien ist es daher möglich festzustellen, wo Traffic entsteht und herkommt.

IT-DIRECTOR: Wo liegen derzeit die größten technischen wie organisatorischen Herausforderungen für die IT-Forensik?
R. Kreter: Leider verwenden viele Unternehmen immer noch reaktive IT-Sicherheitssysteme wie beispielsweise traditionelle Anti-Viren-Software, welche lediglich bekannte Bedrohungen ausgrenzen. Stattdessen sollten Unternehmen auf Systeme setzen, die proaktiv und kontinuierlich alle Logdateien, die im IT-System entstehen, überwachen. Nur so sind Unternehmen in der Lage sinnvoll forensische Untersuchungen im Falle eines Cyberangriffs durchzuführen. Rein reaktive Sicherheitssysteme können dies nicht leisten.

IT-DIRECTOR: Welche Schwachstellen haben IT-forensische Verfahren derzeit? Wie können diese künftig geschlossen werden?
R. Kreter: IT-Netzwerke werden zunehmend disparater, was es deutlich schwieriger macht, forensische Untersuchungen durchzuführen. Die automatisierte und kontinuierliche Überwachung der Logdateien eines IT-Netzwerkes kann als „Sicherheitsnetz“ fungieren und die Nachvollziehbarkeit scheinbar nicht zusammenhängender Ereignisse garantieren. Dieses Vorgehen ermöglicht es, Strategien zur Schadensbegrenzung zu ergreifen, bevor tatsächlich Schäden entstehen.

IT-DIRECTOR: Welchen Stellenwert können die Ergebnisse der IT-Forensik für interne, zivil- oder strafrechtliche Ermittlungen besitzen?
R. Kreter: Mittlerweile wird der Stellenwert für forensische Daten immer höher angesehen, da es auch immer mehr Datenmissbräuche in Unternehmen gibt. Mitarbeiter fügen Firmen enormen Schaden zu, indem sie zugunsten eines Dritten sensible Daten löschen, verändern oder unbrauchbar machen. Dies passiert mittlerweile sehr häufig und kann ohne ein Security-Information- und Event-Management-Tool (SIEM) nicht mehr ermittelt oder unter Kontrolle gebracht werden. Zwar kann Schadensbegrenzung, durch eine zeitnahe Sicherung oder Recovery von Datenbeständen betrieben werden, doch stellt sich hierbei immer die Frage, wie die Verantwortlichen schnell ermittelt und durch ein zivil- oder strafrechtliches Verfahren zu Rechenschaft gezogen werden können.

IT-DIRECTOR: Inwieweit arbeiten Unternehmen im Rahmen der IT-Forensik Hand in Hand mit behördlichen Einrichtungen, wie beispielsweise BSI, BKA, BND, etc.?
R. Kreter: Hierauf ist die Antwort nicht so einfach: Nachdem viele Unternehmen versuchen diese „Angriffe“ nicht öffentlich zu publizieren, ist die Antwort von „wir erstatten keine Anzeige“ bis zu der kompletten Strafverfolgung über die Behörden oder Verbände gegeben.