Hochschüler trainieren Spurensicherung, Microsoft unterstützt Ermittler IT-Forensik wird immer wichtiger für Ermittlungsbehörden und Unternehmen

Während vorbeugende IT-Security als Thema in aller Munde ist, wurden IT-forensischen Methoden im Kampf gegen die Cyberkriminalität bisher weniger Beachtung geschenkt. Das soll sich ändern, im polnischen Zamosc fand ein internationales Intensivtraining für Studenten statt und Microsoft hat auf einer Tagung Tools für Ermittlungsbehörden vorgestellt.

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Arctic Wolf Networks Germany GmbH

valvisio international AG

Microsoft Deutschland GmbH

„IT-Forensik ist eine Beweismittelsicherung um festzustellen, was auf einem Computer passiert ist“, erklärt Johann Haag, Studiengangsleiter IT Security an der österreichischen Fachhochschule St. Pölten. Sein Fachgebiet umfasst die Analyse von Angriffen aus dem Internet und die Informationssicherung durch Behörden.

Rekonstruktion von Dateien und Informationen ist ein wesentlicher Teil der Arbeit. Zukünftige Spezialisten aus sechs Nationen haben in diesem Monat an einem Erasmus-Intensivprogramm zum Thema IT-Forensik teilgenommen. Auch Microsoft hat erkannt wie wichtig die digitale Spurensuche in Zeiten wachsender Cyberkriminalität geworden ist und hat auf der Tagung „Law Enforcement Technology“ ein Tool präsentiert.

Der „Computer Online Forensic Evidence Extractor“, kurz COFEE, ist Software für einen USB-Stick. Damit lassen sich Daten zur Beweissicherung schnell speichern. „Wenn ein Angriff passiert ist, wird eine Analyse notwendig“, beschreibt Haag eine der Kernaufgaben der IT-Forensik. Dabei müssten Nachwirkungen wie geöffnete Backdoors oder installierte Malware aufgespürt werden. Entscheidend sei auch, wie ein Angreifer ins System gelangen konnte.

„Offline-Verbrechen“ mit „Online-Komponente“

Aber auch herkömmliche Verbrechen verfügen immer öfter über eine „Online“-Komponente, so Microsoft. Daher will der Konzern den Ermittlungsbehörden ein Werkzeug an die Hand geben, um „den Vorsprung vor den Kriminellen zu behalten“, so Tim Cranton, Direktor des Safety Enforcement Team von Microsoft. Dieses Werkzeug besteht in diesem Fall aus 150 Programmbefehlen, die Kennwörter entschlüsseln, Dateien durchsuchen oder Verhaltensweisen des Benutzers analysieren.

Ob nach Angriffen oder bei der Suche nach belastendem Material auf Computersystemen direkt vor Ort – Datenwiederherstellung ist ein wichtiger Aspekt der Spurensicherung. „Eine Datei zu löschen heißt nicht, dass sie wirklich weg ist“, betont Haag. Aber was für die Spurensicherung gut ist, macht in der Wirtschaft bisweilen Probleme.

Des einen Freud, des and‘ren Leid

Dort sei es laut Haas häufig wichtig, Daten unwiederbringlich zu vernichten. Dabei könne davon ausgegangen werden, dass nur Dateien, die ein IT-Forensiker nicht mehr aufspüren kann, auch wirklich sicher gelöscht wurden. Auch der Inhalt des Arbeitsspeichers ist bei der Spurensuche wichtig. „Es gibt teils Lücken in Betriebssystemen, die für die forensische Analyse genutzt werden können“, meint Haag in diesem Zusammenhang.

Die Aufgabe des IT-Forensikers ist besonders anspruchsvoll, wenn eine Analyse auch für ein juristisches Verfahren verwertbar sein soll. „Es ist ein wesentlicher Aspekt, Daten so zu sichern, dass sie vor Gericht anerkannt werden“, betont Haag. Konkret werden in der Praxis Prüfsummen gebildet, die nachweisen, dass sichergestellte Daten nicht verändert wurden.

Globalisierte Cyberkriminalität

„Angriffe können von überall her erfolgen und machen nicht vor Grenzen halt“, schließt Haag ab. Daher sei eine frühzeitige internationale Vernetzung für Experten im Bereich der IT-Security und IT-Forensik von besonders großer Bedeutung, um in der Praxis rechtzeitig reagieren zu können.

Dieser Vernetzung diente das Erasmus-Intensivtraining zur IT-Forensik im polnischen Zamosc vom 14. bis 25. April. Sieben seiner Studierenden an der FH St. Pölten konnten gemeinsam mit Studenten aus Belgien, Spanien, Portugal und der Türkei sowie dem Gastgeberland von vielen internationalen Sprechern und praktischen Übungen profitieren. „Im Training am Computer konnten wir sehen, welche Zugangsweisen Studenten anderer Hochschulen an Problemstellungen haben“, meint Thomas Konrad, Student der IT-Security an der FH St. Pölten. „Das war neben dem Lehrstoff ein echter Erfahrungsgewinn.“

(ID:2012461)