Kriminaltechnik (Modul 2)

• Identifizierung
• Sicherstellung
• Analyse
• Aufbereitung und Präsentation

• Ausgangslage darstellen
• möglichst genaue Dokumentation des Vorgefundenen
• Strukturierung dahingehend welche Form von Beweisen den Beteiligten zugänglich sind.

Am Ende wird durch Sichtung dieser grundlegenden Fakten eine Entscheidung darüber gefällt, welche Mittel zur Beweiserhebung zur Verfügung gestellt werden müssen.

In diesem Prozessschritt ergibt sich bei laufenden Systemen immer wieder eine entscheidende Fragestellung: Ist das betroffene IT-System aufgrund der Gefährdungssituation abzuschalten oder kann es weiter betrieben werden?

(flüchtige Daten können verloren gehen)

Sinn und Zwekc der Analyse liegt in der Veranschaulichung und Untersuchung der Beweise.

Die Analyse findet niemals am originalen System statt.

Berichterstattung

• Ermittlung der Identität des Täters
• Ermittlung des Zeitraums der Tat
• Ermittlung des Umfanges der Tat
• Ermittlung der Motivation der Tat
• Ermittlung der Ursache und Durchführung

• flüchtige Spuren
• nicht-flüchtige Spuren

Flüchtige Daten gibt es sowohl bei laufenden als auch bei ausgeschalteten Systemen.

Die meisten flüchtigen Daten gibt es jedoch bei laufenden Systemen.

Besonder interessant sind abei verschlüsselte Dateien und Laufwerke, welche im geöffneten Zustand unverschlüsselt vorleigen undmit geringem Aufwnad gesichert weren können.

• Ausgeschaltete Systeme nicht einschalten
• Laufende Systeme nicht aussachlten

• Geräte mit genügend eigener jStromversorgung (Notebooks usw.) können wie die nichtflüchtigen Datenspeicher behandelt werden.
• Bei Geräten ohne eigene oder ungenügender Stromverorgung müssen die flüchtigen Daten vor Ort, (allenfalls mit Unterstützung eines IT-Forensikers) gesicher werden bevor das Gerät ausgeschaltet wird.

• Prüfung am laufenden System vornehmen, Blick auf die geöffneten Fenster 
• Suche nach offenen Dateien (z.B. Text und Tabellendokumente)
• Suche nach offenen Onlinedaten (z.B. Hotmail, GMail

Merke!

Nebst dem sollte in jedem Fall nach offenen verschlüsselten Laufwerken gesucht werden. Um offene verschlüsselte Laufwerke finden zu könnenn, vergleicht man am Besten die logischen laufwerde mit den physisch vorhandenen Laufwerken!!

Computerverwaltung

- Klicken mit der rechten Muastaste auf Arbeisplatz und Ausweählen der Opition "Verwalten"

Ich kann Laufwerke erkennen, die keinem pysischen Laufwerk zugeordnet sind. Es handelt sich dabei um ein mit Truecrypt verschlüsseltes Laufwerk.

• eingenes nicht kontaminiertes Medium benützen
• Sicherung des Arbeitsspeichers (RAM) "FTK Imager"
• Totos vom Desktop un der geöffneten Fenter erstellen "Digitalkamera"
• Offene Dateien und Onlinedaten (Mail, Dokumente etc.) sichern. "speichern unter"

• Festplatten
• CD/DVD/Blu-ray Disc
• Flash-Speicher in Mobiltelefon
• USB-Sticks
• Digitalkamera usw.

Eingeschaltete Geräte sollte in den Flugmodus gesetzt werden! (Verhinderung der Fern-Datenlöschung)