Auf der Windows-11-Workstation WKS-ACCT-23 wurde am 14.10.2026 um 09:12 UTC eine unmögliche Anmeldung registriert, gefolgt von der Ausführung verdächtiger Prozesse bis 10:05 UTC. Ein Angreifer benötigte hierfür möglicherweise lediglich gültige Zugangsdaten und einen Weg für die Fernanmeldung, nicht jedoch Schadsoftware, die die Workstation sichtbar beeinträchtigt. Im Rahmen der autorisierten Reaktion auf den Sicherheitsvorfall müssen wir ermitteln, welche Erkenntnisse sich aus Festplatte und Arbeitsspeicher gewinnen lassen, und dabei die Beweismittel so sichern, dass ein anderer Untersucher jede Schlussfolgerung überprüfen kann. Bei den Beweismitteln handelt es sich um EVD-2026-1014-001 (ein Festplatten-Image) und EVD-2026-1014-002 (einen Abzug des Arbeitsspeichers). Der nachstehende Pfad der Beweismittelverarbeitung veranschaulicht, an welchen Stellen Kontrollmaßnahmen zur Wahrung der Beweiskette greifen müssen:
Dieses Diagramm trennt die ursprüngliche Workstation von der Analyseumgebung und dem Beweismittelarchiv. Jeder Übergangspunkt bei Erfassung, Übertragung, Speicherung und Analyse birgt das Risiko, dass Beweismittel verändert oder falsch zugeordnet werden oder verloren gehen; daher müssen für jeden Übergang die verantwortliche Person, der Zeitpunkt, der Ort und die Integritätsprüfung dokumentiert werden.
Der forensische Prozess wandelt die beiden erfassten Dateien durch Identifizierung, Sicherung, Erfassung, Untersuchung, Analyse und Berichterstattung in gerichtsfeste Erkenntnisse um. Die Identifizierung legt den Umfang des Vorfalls fest, einschließlich der Workstation WKS-ACCT-23, des verdächtigen Zeitraums und der Befugnis zur Handhabung des Geräts. Die Sicherung verhindert Veränderungen an den Originalbeweismitteln. Die Erfassung erstellt kontrollierte Kopien. Die Untersuchung extrahiert Artefakte wie Windows-Ereignisprotokolle, Prozessmetadaten und Speicherstrukturen. Die Analyse verknüpft diese Artefakte mit Behauptungen, während die Berichterstattung zwischen belegten Schlussfolgerungen und offenen Fragen unterscheidet.
Die Reihenfolge der Erfassung ist entscheidend, da flüchtige Daten verloren gehen können, solange die Workstation eingeschaltet bleibt. RFC 3227 (BCP 55) etabliert das Prinzip der Volatilitätsreihenfolge: Zuerst werden Informationen erfasst, die sich wahrscheinlich ändern, danach folgen dauerhaftere Beweismittel. Im Fall von WKS-ACCT-23 kann der Speicherabzug EVD-2026-1014-002 laufende Prozesse, Netzwerkverbindungen und im Arbeitsspeicher befindliche Zugangsdaten bewahren, die durch ein Herunterfahren zerstört würden. Das Festplattenabbild EVD-2026-1014-001 sichert dauerhafte Dateien und Dateisystem-Metadaten, kann jedoch keinen bereits beendeten Prozess wiederherstellen.
Wird die Sicherung übersprungen, bricht die Beweiskette bereits vor Beginn der Untersuchung, da Aktivitäten des Analytikers Zeitstempel verändern oder temporäre Artefakte überschreiben könnten. Das Überspringen der Untersuchung führt zu einer bloßen Datenansammlung ohne extrahierte Beweismittel. Ohne Analyse werden Beobachtungen zu Artefakten zu einer unbegründeten Erzählung. Der Prozess schreibt nicht starr vor, dass jeder Vorfall identische Schritte durchlaufen muss; jede Abweichung muss jedoch unter Angabe von Grund und Auswirkung dokumentiert werden.
Prüfungsregel
Erfassen Sie zuerst die flüchtigsten relevanten Beweismittel und dokumentieren Sie, warum eine andere Reihenfolge erforderlich war.
Sobald EVD-2026-1014-001 und EVD-2026-1014-002 vorliegen, dient die Beweiskette (Chain of Custody) als chronologisches Protokoll, das festhält, um welches Objekt es sich handelt, wer es bearbeitet hat, wo es sich befand und wie die Integrität überprüft wurde. Der Datensatz weist vor Beginn der Analyse eindeutige und beständige Beweismittel-IDs zu. Eine aussagekräftige Beschreibung unterscheidet ein Festplatten-Image von einem Speicherabzug, während UTC-Zeitstempel es ermöglichen, Übertragungen zeitlich mit dem Zeitraum der verdächtigen Aktivitäten abzugleichen.
Die Integrität beruht auf einem kryptografischen Hash – einem Prüfwert fester Länge, der aus der Beweismitteldatei berechnet wird. Ergibt das erstellte Festplatten-Image einen bestimmten SHA-256-Prüfwert, während eine spätere Überprüfung einen anderen Wert liefert, kann der Untersucher nicht behaupten, die Datei sei unverändert geblieben. Ein häufiger Fehler, der oft Gegenstand von Prüfungen ist, besteht darin, den Hash-Wert nur einmalig bei der Sicherung zu berechnen. Wir überprüfen den Hash-Wert bei der Sicherung, vor und nach der Übertragung, bei der Entnahme des Beweismittels zur Analyse sowie bei dessen Rückführung in die kontrollierte Lagerung.
Die Einträge zur Verwahrungskette für beide Beweismittel enthalten die für eine spätere Überprüfung erforderlichen Mindestinformationen: