IT-Forensik ist die gerichtsfeste Sicherung und Auswertung digitaler Spuren nach einem Sicherheitsvorfall, um Ablauf, Ausmaß und Ursache zu rekonstruieren und Nachweise zu erbringen.
IT-Forensik beantwortet nach einem Vorfall die Fragen, auf die Geschäftsführung, Datenschutzbeauftragte, Versicherer und Behörden eine belastbare Antwort erwarten: Wie kam der Angreifer hinein? Wann? Welche Systeme und Konten hat er benutzt? Welche Daten hat er eingesehen oder kopiert? Ist er noch da? Dazu sichern Forensiker Datenträger, Arbeitsspeicher, Logs und Cloud-Protokolle so, dass die Beweismittel unverändert bleiben und ihre Herkunft lückenlos dokumentiert ist (Chain of Custody).
In der Praxis ist Forensik eng mit der Incident Response verzahnt; die Kombination wird als DFIR (Digital Forensics and Incident Response) bezeichnet. Während die Reaktion den Schaden begrenzt, liefert die Forensik die Grundlage dafür, dass die Bereinigung vollständig ist und die Ursache tatsächlich behoben wird.
So läuft eine forensische Untersuchung ab
- Sicherung: Speicherabbilder, Festplattenkopien, Export von Ereignisprotokollen und Cloud-Audit-Logs; flüchtige Daten (Arbeitsspeicher, Netzwerkverbindungen) zuerst, da sie beim Abschalten verloren gehen.
- Integritätsnachweis: Jedes Beweismittel erhält eine Prüfsumme; jeder Zugriff wird protokolliert.
- Zeitleiste: Aus Dateisystem-Zeitstempeln, Logs, Registry und Browser-Artefakten entsteht eine Chronologie der Angreiferaktionen.
- Analyse: Identifikation von Werkzeugen, Konten, Persistenzmechanismen und IOCs; Abgleich mit anderen Systemen, um das Ausmaß zu bestimmen (Scoping).
- Bericht: Nachvollziehbare Darstellung von Ablauf, Ursache und betroffenen Daten, verwendbar für Meldungen nach DSGVO und NIS2, für Versicherer und gegebenenfalls Strafverfolgung.
Bedeutung für Unternehmen
Ohne Forensik bleibt nach einem Vorfall Unsicherheit. Wer nicht weiß, ob Daten abgeflossen sind, muss im Zweifel so melden, als wäre es geschehen; wer nicht weiß, welche Konten kompromittiert waren, muss alle zurücksetzen oder riskiert, dass der Angreifer bleibt. Laut Mandiant M-Trends 2026 beträgt die mediane Dwell Time 14 Tage; die Forensik muss also regelmäßig Wochen zurückblicken, was nur mit ausreichend lange aufbewahrten Logs gelingt.
Was wir in Einsätzen sehen: Die Voraussetzungen für Forensik werden im Alltag zerstört. Betroffene Systeme werden sofort neu installiert, Ereignisprotokolle sind auf wenige Megabyte begrenzt und überschreiben sich nach Stunden, Cloud-Audit-Logs sind nicht aktiviert, und niemand weiß, wie ein Speicherabbild erstellt wird. Nach einem Red Teaming prüfen wir mit dem Blue Team, ob es unsere Schritte im Nachhinein rekonstruieren kann. Oft fehlen genau die Datenquellen, die für die Zeitleiste entscheidend wären.
Praxis: Forensikfähigkeit herstellen
- Logging als Voraussetzung: Zentrale Sammlung mit mehrmonatiger Aufbewahrung, erweiterte Audit-Richtlinien, Skript-Protokollierung, Cloud-Audit-Logs. Siehe Logging und Monitoring.
- Isolieren statt abschalten: Ein kompromittiertes System wird per EDR vom Netz getrennt, bleibt aber eingeschaltet, bis Speicher und Datenträger gesichert sind.
- Werkzeuge und Zuständigkeit vorab klären: Wer erstellt Abbilder, wo werden sie gespeichert, welcher externe Dienstleister ist vertraglich gebunden und in welcher Frist erreichbar?
- Übung mit echten Spuren: Unsere Zeitleiste aus dem Red Teaming ist ein vollständiger Lösungsbogen. Lassen Sie Ihr Team die Untersuchung durchführen, bevor es den Bericht sieht, und vergleichen Sie. Lücken in Logs und Prozessen werden so sichtbar, ohne dass ein echter Vorfall sie offenlegt.
- Angreifer wissen um die Forensik: Das Löschen von Ereignisprotokollen und das Deaktivieren von Protokollierung gehören zum Standardrepertoire. Ein Alarm auf genau diese Aktionen ist eine der verlässlichsten Erkennungen.