Erkennen ist nicht beweisen: was digitale Forensik wirklich leisten kann (Teil 1)

In dieser Folge von „Cyber Security ist Chefsache" sprechen Nico und Ann-Katrin mit Ronny Bodach, Professor für IT-Sicherheit und Digitale Forensik an der Hochschule Mittweida und über 15 Jahre bei der Kriminalpolizei, davon zuletzt in der Leitung der IT-Forensik, über ein Feld, das die meisten nur aus dem Fernsehen kennen: digitale Forensik. Was passiert eigentlich wirklich, wenn ein Rechner beschlagnahmt wird, und wie weit ist es von „Ich weiß, was passiert ist" bis „Ich kann es beweisen"?Ronny räumt zuerst mit zwei verbreiteten Erwartungen auf. Die Polizei ist für die Strafverfolgung zuständig, nicht für die Wiederherstellung von Systemen: „Ich kenne keine Polizei, die für die Wiederherstellung von Daten zuständig ist." Und die Forensik-Abteilungen der Cyberversicherungen sind noch jung und verfolgen ein eigenes Interesse, nämlich unter anderem zu klären, ob fahrlässig gehandelt wurde und ob sich eine Lösegeldzahlung vermeiden lässt. Wer nach einem Vorfall darauf wartet, dass jemand anderes aufräumt, verliert genau die Zeit, in der flüchtige Spuren verschwinden.Danach wird es praktisch. Forensik heißt wörtlich „fürs Gericht arbeiten", und genau daran hängt das Handwerk: Spuren erkennen, sichern, dokumentieren, interpretieren. Ronny erklärt, warum bei einem Ransomware-Fall der Hauptspeicher essenziell ist, weil moderne Schadsoftware oft nur noch im RAM läuft und auf der Festplatte gar nicht mehr auftaucht, warum Verschlüsselung die Reihenfolge der Arbeitsschritte diktiert und wie mit Schreibblockern und einer 1:1-Kopie die Chain of Custody gehalten wird, damit vor Gericht Bestand hat, was man gefunden hat. Dazu ein ehrlicher Blick auf die Grenzen: Nicht alles lässt sich zu 100 Prozent beweisen, oft macht erst die Menge unterschiedlicher Spuren das Indiz.Im dritten Teil geht es um Ausbildung und Alltag: warum Kriminalistik, Hypothesenbildung und Programmierung für Forensiker genauso dazugehören wie Betriebssystem-Wissen, warum Mittweida eigene Tools entwickelt und frei zur Verfügung stellt, und warum Incident Response im Unternehmenskontext anders arbeitet als die klassische Forensik in der Behörde, wo man auch mal Wochen Zeit hat.Im Gespräch geht es außerdem um:Warum die Polizei Spuren sichert, aber keine Systeme wiederherstelltWelches Interesse Cyberversicherungen bei der Aufklärung eines Vorfalls tatsächlich habenWas digitale Forensik umfasst, von Smartphone und ERP-System bis 3D-Tatort-ScanWarum moderne Malware oft nur im RAM existiert und was das für den ersten Zugriff bedeutetVerschlüsselte Geräte: warum „niemals ausschalten" mehr als eine Faustregel istSchreibblocker, 1:1-Kopie und Chain of Custody, also wie Beweiskraft entstehtMetadaten, Logs, Zeitstempel und gelöschte Dateien und warum sie immer schwerer zu bekommen sindDer Unterschied zwischen „Ich weiß es" und „Ich kann es beweisen", inklusive Wahrscheinlichkeiten in GutachtenIncident Response im Unternehmen vs. klassische Forensik in der BehördeWarum es den goldenen Schlüssel nicht gibt und wo der Rechtsrahmen Grenzen setztWie man Forensiker ausbildet: Kriminalistik, Python, eigene Tools und DurchhaltevermögenEine Folge für Geschäftsführungen, IT- und Security-Verantwortliche, Krisenteams und alle, die verstehen wollen, was nach dem Alarm technisch und rechtlich wirklich passiert.Das ist Teil 1 des Gesprächs, Teil 2 folgt.____________________________________________👤 Mehr InformationenRonny Bodach - LinkedIn Profil____________________________________________🎧 Reinschauen lohnt sich!🎙Podcast - Cybersecurity ist Chefsache: @cybersec_ist_chefsache🎙Podcast - Cybersecurity shall be C-Level priority: @cybersec_clevel_priority🎙Podcast - Die Zwei Auftrag: Cybersicherheit: @diezweicyberSchließe dich uns an, um tiefer in die Welt der digitalen Sicherheit einzutauchen.____________________________________________Du findest mich auf folgenden Social Media Kanälen:📸 Instagram: cybersec_ist_chefsache🕺 TikTok: cybersec_ist_chefsache🤝 LinkedIn - Nico: nicofreitag🤝 LinkedIn - Ann-Katrin: annkatrin📌 Kontaktaufnahme - Podcast: Cybersecurity ist Chefsache____________________________________________Deine Reise in die Welt der Cyber Security startet hier – ich freue uns darauf, mich mit dir zu vernetzen.