Die forensische Begutachtung digitaler Asservate ist das methodische Rückgrat moderner Strafverfahren. Ob es um sichergestellte Smartphones, verschlüsselte NVMe-SSDs, Cloud-Backups oder Enterprise-Server geht: Die Zuverlässigkeit eines Sachverständigengutachtens steht und fällt mit der wissenschaftlichen Exaktheit der forensischen Methodik. Jede Abweichung von anerkannten Standards eröffnet im Strafverfahren wirksame Ansätze zur Beweiswert-Erschütterung.
Forensische Containerformate: RAW/DD vs. E01
Bei der Sicherung von Massenspeichern kommen primär zwei Image-Formate zum Einsatz:
- RAW / DD (Bitstream Image): Eine sektorweise, unkomprimierte 1:1-Kopie des Datenträgers. Vorteil: Universell von jedem Analysewerkzeug lesbar. Nachteil: Keine integrierten Metadaten oder laufende Integritätsprüfsummen.
- Expert Witness Format (E01 / Ex01): Das internationale Standardformat in Strafverfolgung und Gerichtsgutachten. Es speichert nicht nur die Sektordaten (optional komprimiert), sondern bettet umfassende Metadaten (Fallnummer, Asservatennummer, Prüfername, Erstellungszeitpunkt) sowie segmentweise Prüfsummen ein. Wird auch nur ein einzelnes Bit im Container manipuliert, schlägt die integrierte CRC-/MD5-/SHA-256-Validierung sofort fehl.
Analyse von MACB-Zeitstempeln im NTFS- und APFS-Dateisystem
Im Windows-Dateisystem NTFS führt die Master File Table (MFT) für jede Datei zwei separate Attribute mit Zeitstempeln: $STANDARD_INFORMATION (SI) und $FILE_NAME (FN).
Diese Dualität ist von herausragender forensischer Bedeutung: Während die Zeitstempel in $STANDARD_INFORMATION durch gängige Anti-Forensik-Tools manipuliert werden können (sogenanntes „Timestomping“), wird das Attribut $FILE_NAME vom Windows-Kernel verwaltet und spiegelt bei Zeitstempel-Abweichungen unzweifelhaft eine nachträgliche Manipulation wider. Erfahrene Sachverständige decken gezielte Fälschungen von Dateierstellungsdaten durch die minutiöse Gegenüberstellung dieser MFT-Einträge auf.
Flüchtige Speicheranalysen (Memory Forensics)
Mit zunehmender Verbreitung von Vollverschlüsselungen (BitLocker, FileVault, LUKS) verlagert sich der Schwerpunkt der Ermittlungen auf die Live-Forensik und die Analyse des flüchtigen Arbeitsspeichers (RAM). Mittels forensischer Werkzeuge wie Volatility oder Rekall können aus einem unverschlüsselten Speicherabbild:
- im Klartext im RAM liegende kryptographische Schlüssel extrahiert werden,
- flüchtige Chatprotokolle (z. B. Signal, Telegram) vor deren Verschlüsselung auf Festplatte rekonstruiert werden,
- aktive Prozessbäume und injizierter Schadcode (DLL-Injections) nachgewiesen werden.
Zurück zur Hauptseite oder konsultieren Sie unsere Factsheets zu den StPO-Eingriffsbefugnissen.