Vielfältige Tools für die IT-Forensik

IT-DIRECTOR: Was versteht man gemeinhin unter dem Begriff der IT-Forensik?
F. Oelmaier: Man unterscheidet in der Kriminalistik zwischen Prävention, also der Vermeidung von unerwünschten Handlungen, und der Forensik, die sich mit der Aufklärung dieser Handlungen beschäftigt. Als IT-Forensik bezeichnet man die Analyse von Spuren die in PCs, Servern und Netzwerken aufgezeichnet wurden. Die IT-Forensik wird dabei nicht nur für die Aufklärung von Hackversuchen oder anderen Computerstraftaten verwendet, sondern auch für viele andere Arten von Straftaten wie Wirtschaftsspionage, Betrugsdelikte oder auch Kapitalverbrechen.

IT-DIRECTOR: Welche Lösungen decken das Feld der IT-Forensik am besten ab?
F. Oelmaier: Die im Bereich der IT-Forensik eingesetzte Hard- und Software ist so vielfältig wie die IT selbst. Grundsätzlich gibt es auch in diesem Feld die Wahl zwischen hochintegrierten Forensikprodukten (z.B. Encase oder FTK) und Best-of-Breed-Ansätzen, in denen viele kleine Spezialtools verwendet werden. Eine gute Sammlung von Tools der letzteren Kategorie bieten z.B. die Backtrack-CD oder das SANS-Investigative-Forensic-Toolkit. Ein wichtiger Teil der IT-Forensik ist die schnelle und gerichtssichere Sicherstellung von Beweisen, welche üblicherweise mit Hilfe einer Festplattenkopie erfolgt. Für diese Arbeit gibt es gute Hardware beispielsweise Atola.

IT-DIRECTOR: Welche Schritte sollte ein Unternehmen bei dem Verdacht auf einen Hackerangriff, Datendiebstahl oder -missbrauch auf jeden Fall einleiten?
F. Oelmaier: Erstens sollten sämtliche Aktionen unterlassen werden, die mögliche Spuren vernichten – oft ist die IT-Abteilung versucht, abgestürzte Systeme wiederherzustellen oder zu rebooten. Wie bei jedem Tatort ist das Wichtigste die Spurensicherung in einer möglichst unveränderten Tatumgebung. Diese Arbeit sollte nur von Personen mit Erfahrung auf dem Gebiet der IT-Forensik erledigt werden, d.h. entweder von einer anerkannten Spezialfirma, die IT-Forensik als Standardangebot anbietet, oder von der Polizei. Auch wenn jeder gerne in der Jugend Räuber und Gendarm gespielt hat, kennt sich nicht jeder IT-Experte mit forensischen Methoden aus.

IT-DIRECTOR: Welche klassischen forensischen Werkzeuge gibt es, um möglicherweise gelöschte Daten wiederherstellen, auslesen und analysieren zu können?
F. Oelmaier: Für verschiedene Systeme gibt es sehr unterschiedliche Werkzeuge: je nach Mailprogramm, Filesystem oder Datenbank sind die Methoden und Erfolgswahrscheinlichkeiten sehr verschieden. Die IT-Forensik ist aber viel mehr als nur gelöschte Dateien. Wann waren welche USB-Platten am Rechner angesteckt? Wie viele Dateien wurden wann wohin transferiert? Welche E-Mails wurden an wen gesandt? An welche Webseiten wurden welche Daten übertragen? Welche Programme wurden wann installiert? Wo und in welchem Ablagesystem wurden Daten gespeichert?

IT-DIRECTOR: Wo liegen derzeit die größten technischen wie organisatorischen Herausforderungen für die IT-Forensik?
F. Oelmaier: Bei allen oben geschilderten Möglichkeiten der Informationssammlung innerhalb der IT ist die größte Schwierigkeit, die sinnvollen und wichtigen Informationen zu identifizieren. Eine IT-forensische Untersuchung, die losgelöst von den Fakten des Falles alle IT-Spuren auswertet, ist nicht nur unnötig teuer, sondern auch für den Fall nur teilweise nützlich. Die größte Herausforderung in der IT-Forensik ist es daher, dass sich die IT-Forensikexperten in den Dienst der führenden Fallermittler (also der Kommissare oder der privaten Ermittlungsleiter) stellen und die Kommunikation der Ergebnisse und der möglichen Interpretationen reibungslos funktioniert.

IT-DIRECTOR: Welche Schwachstellen haben IT-forensische Verfahren derzeit? Wie können diese künftig geschlossen werden?
F. Oelmaier: Die größte Schwachstelle ist die fehlende Vorbereitung in den Unternehmen. Die meisten Softwareprodukte werden mit unzureichenden Logeinstellungen ausgeliefert. Die Anpassung dieser Einstellungen wird von den Administratoren nicht standardmäßig gemacht, sondern nur im Fehlerfall. Dabei sind gute, ausreichend in die Vergangenheit laufende Logdateien der wichtigste Schlüssel zum Erfolg. Die zweite Schwachstelle sind lose synchronisierte Uhren, die die Aufstellung einer sogenannten Timeline von Ereignissen erschweren. Da viele Unternehmen regelmäßig Penetrationstests durchführen, empfiehlt es sich, präventiv einmal ein IT-Forensikteam mit der „Aufklärung“ des Penetrationstests zu beauftragen. Dabei können dann die oben genannten Schwächen dokumentiert und korrigiert werden.

IT-DIRECTOR: Welchen Stellenwert können die Ergebnisse der IT-Forensik für interne, zivil- oder strafrechtliche Ermittlungen besitzen?
F. Oelmaier: Richtig gemacht kann die IT-Forensik maßgeblich zur Be- oder Entlastung von Personen beitragen. Da die Möglichkeiten in der IT vielfältig sind, ist die Argumentation, dass Beweise gefälscht oder untergeschoben wurden nicht unüblich. Um eine gerichtssichere Beweisführung zu ermöglichen sind drei Kriterien unerlässlich: Erstens muss der IT-Forensik-Experte so unabhängig von Ankläger und Beklagtem sein, wie nur möglich. Innerhalb eines Großunternehmens kann dies z.B. eine direkt dem Konzernvorstand unterstellte Innenrevision sein, ansonsten sind anerkannte IT-Forensikfirmen oder natürlich die Polizei gute Optionen. Zweitens muss der IT-Forensik-Experte seine Erkenntnisse klar und in einfachen, nicht-technischen Worten vor Gericht darstellen können und muss dabei genau zwischen Fakten und möglichen Interpretationen trennen können. Drittens müssen alle Beweismittel so gesichert sein, dass diese von einem zweiten Experten gesichtet werden können.

IT-DIRECTOR: Inwieweit arbeiten Unternehmen im Rahmen der IT-Forensik Hand in Hand mit behördlichen Einrichtungen, wie beispielsweise BSI, BKA, BND, etc.?
F. Oelmaier: Die Kriminalämter und das BSI haben eigene IT-Forensikabteilungen. Auftragsgemäß engagiert sich das BSI hauptsächlich bei Angriffen auf staatliche Einrichtungen, die IT-Forensiker in den Kriminalämtern arbeiten im Falle einer Anzeige auf Anfrage der jeweiligen Ermittler. Für Unternehmen stellt sich oft die Frage, wann Anzeige erstattet werden soll. Polizei und Staatsanwaltschaft wollen in erster Linie eine Straftat aufklären. Dazu kommt, dass diese Behörden keine Geheimhaltung des Falles garantieren können. Da eine Rufschädigung oft sehr schwer wiegt, werden meist eigene Voraufklärungen beauftragt, um sicher zu stellen, dass eine Strafverfolgung auch im Firmeninteresse sinnvoll ist. Im Bereich der Wirtschaftsspionage ist der BND in jedem Fall eine gute Anlaufstelle, da hier auch Stillschweigen vereinbart werden kann. Um ein möglichst gutes Lagebild zu bekommen, arbeiten die namhaften IT-Forensikfirmen im Rahmen der Allianz für Cyber Security eng mit dem BSI zusammen.

IT-DIRECTOR: Können Sie uns bitte ein konkretes Beispiel nennen, bei dem Computerkriminalität mithilfe von IT-Forensik aufgeklärt werden konnte?
F. Oelmaier: Wir machen grundsätzlich keine konkreten Angaben zu unseren Fällen. Die Corporate Trust arbeitet pro Jahr an einer dreistelligen Zahl von Fällen rund um die Themen White Collar Crime, Mitarbeiterkriminalität, Wirtschafts- und Industriespionage sowie Computerkriminalität. In mehr als 75 Prozent der Ermittlungen werden auch Methoden der IT-Forensik verwendet um den Aufklärungserfolg sicherzustellen. Diese Kombination aus klassischen Ermittlungsmethoden und IT-Forensik hat z.B. zur Überführung eines böswilligen IT-Administrators und zur Aufdeckung mehrerer großer Fälle von Industriespionage geführt.