Digitale Forensik sichert und untersucht elektronische Spuren, damit Ergebnisse in einer Prüfung nachvollziehbar bleiben.
Die Disziplin achtet auf eine unveränderte Geschichte dessen, was gesammelt wurde, wer es bearbeitet hat und was die Untersuchung zeigen kann und was nicht.
So funktioniert es
Prüfende arbeiten nach Möglichkeit an Kopien, notieren Zeit und Quelle und halten das Original davon ab, durch beiläufiges Ansehen verändert zu werden.
Ergebnisse sollten beobachtete Tatsache und Deutung trennen, weil eine spätere Leserin beides anzweifeln können muss.
Forensik stützt interne Vorfälle, Betrugsstreit und rechtliche Verfahren, ist aber keine Abkürzung zu privater Überwachung von Beschäftigten ohne rechtliche Grundlage.
Umfang, Befugnis und Aufbewahrung der Spuren müssen feststehen, bevor die Sammlung ausufert.
Konkrete Beispiele
- Eine Einsatzperson kopiert Protokolle eines verdächtigen Kontomissbrauchs und notiert den Prüfwert und die Person, die die Kopie erstellt hat.
- Ein Betrugsstreit vergleicht Bestellsätze mit dem, was die Sicherungskopie am Tag der Sammlung gezeigt hat.
- Ein Bericht stellt fest, dass eine Datei vorhanden war und später geändert wurde, und er rät das Motiv nicht aus dieser Tatsache allein.
Schutzmaßnahmen
- Genehmigen Sie den Umfang einer forensischen Sammlung schriftlich, bevor Sie mehr erheben, als der Vorfall erfordert.
- Sichern Sie Originale oder treue Kopien und notieren Sie jede Person, die auf dieses Material zugreift.
- Trennen Sie in den schriftlichen Ergebnissen beobachtete Fakten von Deutungen.
- Begrenzen Sie die Aufbewahrung forensischer Kopien und nutzen Sie sie nach Abschluss des Falls nicht für einen fremden Zweck.