Beobachten, sichern, untersuchen, erklären.
Digitale Forensik befasst sich mit Daten auf Geräten, Datenträgern und in Diensten sowie mit ihren technischen Zusammenhängen. Die Untersuchung soll dokumentiert und für andere nachvollziehbar sein. Je nach Fragestellung sind besondere Werkzeuge, Berechtigungen und Fachkenntnisse erforderlich.
OSINT ergänzt diesen Blick durch rechtmäßig zugängliche öffentliche Quellen. Eine Recherche im Web und eine forensische Untersuchung eines Geräts sind unterschiedliche Tätigkeiten. Gemeinsam ist ihnen die Pflicht, Herkunft, Methode und Unsicherheit offenzulegen.
Der Umfang dieses Angebots: Grundlagen, Orientierung und Werkzeugübersichten. Es wird keine individuelle Geräteuntersuchung, Fallbearbeitung oder gerichtlich verwertbare Beweissicherung angeboten.
Ein nachvollziehbarer Prüfweg.
- Fragestellung und Berechtigung klären.
Was soll untersucht werden? Welche Daten dürfen verwendet werden? Welche Aussage wäre überhaupt möglich? - Herkunft und Zustand festhalten.
Fundstelle, Zeitpunkt einschließlich Zeitzone, Dateiversion und bekannte Verarbeitungsschritte dokumentieren. - Material möglichst unverändert erhalten.
Geeignete Sicherungsverfahren wählen, Original und Arbeitskopie trennen und Zugriff dokumentieren. Eine gewöhnliche Dateikopie ersetzt kein vollständiges forensisches Abbild. - Prüfen und gegenprüfen.
Werkzeug, Version, Einstellungen und Ergebnis festhalten. Alternative Erklärungen und Fehlerquellen berücksichtigen. - Ergebnis mit Grenzen berichten.
Beobachtung, Schlussfolgerung und offene Fragen getrennt darstellen. Ein Werkzeugergebnis allein ist keine abschließende Bewertung.
Was eine digitale Spur belegt — und was nicht.
| Spur | Aussage & Grenze |
|---|---|
| Hashwert | Ein Vergleich geeigneter Hashwerte hilft, Änderungen an den erfassten Daten zu erkennen. Er beweist weder deren ursprüngliche Echtheit noch die Urheberschaft. |
| Zeitstempel | Ein Zeitbezug innerhalb eines Systems. Uhrzeit, Zeitzone, Kopiervorgänge und Änderbarkeit können seine Bedeutung beeinflussen. |
| IP-Adresse | Ein technischer Netzwerkbezug. NAT, VPN, Tor, gemeinsame Anschlüsse und dynamische Vergabe begrenzen die Zuordnung. |
| Bildmetadaten | Zusätzliche Angaben zu einer Datei. Sie können fehlen, verändert sein oder beim Export verloren gehen; sie bestätigen nicht allein Ort und Zeitpunkt. |
Ein Befund braucht eine begrenzte Aussage.
- Beobachtung
- Zwei rechtmäßig erhaltene Dateien haben denselben SHA-256-Hashwert.
- Schlussfolgerung
- Das spricht mit sehr hoher Sicherheit für identische erfasste Dateiinhalte.
- Was offen bleibt
- Ob der Inhalt wahr ist, wer ihn erstellt hat und wie die Dateien vor ihrer Erfassung entstanden sind.
- Dokumentation
- Dateinamen, Quelle, Erfassungszeit, verwendetes Werkzeug und Hashwerte festhalten.
Der Unterschied zwischen Beobachtung und Interpretation macht einen Bericht glaubwürdig. Ungewissheit ist ein Bestandteil sorgfältiger Analyse.
Sorgfalt vor Aktion.
Wenn ein Gerät oder eine Datei als mögliches Beweismittel benötigt wird, vermeiden Sie unüberlegte Änderungen, Neuinstallationen und eigenständige Bereinigungsversuche. Bei laufenden Sicherheitsvorfällen können Schutz, Verfügbarkeit und Beweiserhalt unterschiedliche Maßnahmen erfordern. Eine pauschale Empfehlung zum Ausschalten oder Weiterlaufenlassen wäre deshalb unangebracht.
Für rechtliche Verfahren, akute Vorfälle und sensible Untersuchungen braucht es geeignete fachliche Unterstützung. Diese Seite liefert Orientierung; sie ersetzt keine auf den konkreten Fall abgestimmte Untersuchung.
Unterstützung in Österreich finden. Beratung, Meldestellen und technische Notfallteams haben unterschiedliche Aufgaben. Unsere Übersicht österreichischer Anlaufstellen → hilft bei der Orientierung.
Weiterlesen an der Quelle.
Fachliche Grundlage zur Erhaltung digitaler Beweismittel: NISTIR 8387 – Digital Evidence Preservation ↗. Die Publikation richtet sich an Personen, die mit digitalen Beweismitteln arbeiten.
Redaktionelle Einordnung vom 10. Oktober 2026. Keine Zertifizierung, kein Gutachten und keine Zusage eines bestimmten Untersuchungsergebnisses.