Gelöscht oder gestohlen- Wann ein Datenverlust zuerst in die IT-Forensik gehört

Montagmorgen, die Projektfreigabe auf dem Fileserver ist leer. Kein Laufwerksgeräusch, keine Fehlermeldung, das RAID meldet alle Platten in Ordnung. Der IT-Leiter spielt das Backup vom Freitag zurück, um elf Uhr arbeitet die Abteilung wieder. Drei Wochen später fragt die Rechtsabteilung, wer die Ordner gelöscht hat, denn ein Mitarbeiter hatte am selben Freitag gekündigt. Die Spuren, die das belegen könnten, liegen unter dem zurückgespielten Backup. Das Leipziger Datenrettungslabor DATA REVERSE® erläutert, woran Unternehmen erkennen, dass ein Datenverlust zuerst forensisch gesichert werden muss, warum der erste Zugriff die Beweislage verändert und wie ein forensisches Duplikat entsteht.

Zwei Fragen, zwei Aufträge

Datenrettung beantwortet eine Frage: Sind die Daten noch da, und wie kommen sie zurück? IT-Forensik beantwortet andere Fragen: wer, was, wann und von wo. Beide Disziplinen arbeiten am selben Datenträger, aber mit gegensätzlichen Prioritäten. Bei der Wiederherstellung zählt das Ergebnis, bei der forensischen Sicherung zählt der unveränderte Zustand. Wer den zweiten Auftrag braucht und den ersten erteilt, bekommt seine Dateien zurück und verliert dabei möglicherweise die Spuren, mit denen sich der Hergang belegen lässt.

Ob ein Fall forensisch ist, entscheidet sich an wenigen Anzeichen. Daten fehlen, ohne dass ein Laufwerk Symptome zeigt. Die Löschung fällt zeitlich mit einem Personalwechsel, einer Kündigung oder einem Streit um Kundendaten zusammen. Im Ereignisprotokoll tauchen Anmeldungen zu ungewöhnlichen Uhrzeiten auf, neue Administratorkonten oder Zugriffe von unbekannten IP-Adressen. Eine Erpressernachricht liegt auf dem Desktop. Trifft eines davon zu, ändert sich die Reihenfolge: erst sichern, dann wiederherstellen.

Warum der erste Zugriff Spuren überschreibt

Ein Dateisystem vergisst nichts sofort, aber es räumt ständig auf. Wird unter Windows eine Datei gelöscht, bleibt ihr Eintrag in der Master File Table (MFT) von NTFS zunächst als frei markiert stehen, mit Namen, Zeitstempeln, Größe und Verweisen auf die Datenblöcke. Diese Einträge vergibt das System an die nächsten neuen Dateien. Jede Installation und jedes Update belegt einige davon, ein Backup, das auf dasselbe Volume zurückgespielt wird, belegt sie in großer Zahl. Mit jedem neu beschriebenen Sektor verschwindet ein Stück des gelöschten Bestands.

Dazu kommen die Protokolle. Das Änderungsjournal von NTFS und das Transaktionsprotokoll des Dateisystems sind Ringpuffer mit fester Größe, ältere Einträge werden überschrieben, sobald neue nachkommen. Das Sicherheitsprotokoll von Windows verhält sich in der Standardkonfiguration ähnlich. Ein Server, der nach dem Vorfall noch Tage im Normalbetrieb läuft, schreibt die Nacht der Löschung Stück für Stück aus seinem Gedächtnis.

Bei SSDs kommt ein Effekt hinzu, den viele Administratoren unterschätzen. Nach dem Löschen meldet das Betriebssystem dem Laufwerk per TRIM-Befehl, welche Blöcke frei sind, und der Controller kann sie im Hintergrund leeren, um sie für neue Schreibvorgänge vorzubereiten. Wie schnell das geschieht, hängt von Betriebssystem, Dateisystem, Controller und Laufwerk ab, in ungünstigen Fällen setzt der Vorgang kurz nach dem Löschen ein, ohne dass jemand eine Datei anfasst. Eine SSD, die nach einer verdächtigen Löschung weiterläuft, verliert damit unter Umständen Beweise, die auf einer klassischen Festplatte noch Monate lesbar wären.

Wie ein forensisches Duplikat entsteht

Die forensische Sicherung dreht die Logik der Datenrettung um. Am Anfang steht die Zusage, dass sich am Original nichts mehr ändert. Dafür wird der Datenträger in der Forensik hinter einem hardwareseitigen Schreibschutz angeschlossen, der jeden Schreibbefehl des Analyserechners abfängt, und anschließend bitweise kopiert: Sektor für Sektor, einschließlich der freien Bereiche und des Slack Space, in denen gelöschte Daten liegen können und die ein normaler Dateikopierer auslässt.

DATA REVERSE® fertigt für die Auswertung solche 1:1-Kopien an und berechnet direkt nach dem Kopieren einen Hashwert über das Original und über die Kopie, einen digitalen Fingerabdruck, der sich schon bei einem einzigen veränderten Bit ändert. Stimmen beide Werte überein, ist belegt, dass das Duplikat vollständig und unverändert ist. Die Werte werden dokumentiert, alle weiteren Analysen laufen ausschließlich auf der Kopie, das Original bleibt im Ausgangszustand und kann als Beweismittel dienen. Ist das Laufwerk physisch beschädigt, geht die Datenrettung der Forensik voraus: Der lesbare Bestand wird zunächst unter dokumentierten Bedingungen gesichert, und erst diese Sicherung geht in die Auswertung.

Was die Auswertung liefert und was sie braucht

Auf dem Duplikat rekonstruieren die Forensiker anschließend, was sich auf dem Datenträger befand und was damit geschah: gelöschte Dateien und Fragmente mit ihren Metadaten, Zeitstempel, Protokolleinträge, Spuren angeschlossener USB-Geräte, Anmeldungen und Zugriffe. Das Ergebnis ist ein zeitlicher Ablauf des Vorfalls in einem Analysebericht, der für interne Untersuchungen, Versicherer, Aufsichtsbehörden oder ein Gerichtsverfahren aufbereitet wird.

Damit das gelingt, braucht der Forensiker vorab eine Zielstellung. „Finden Sie heraus, was passiert ist“ reicht dafür nicht aus, weil dann Tausende Einträge ohne Filter durchsucht werden müssen. Tragfähig sind Fragen wie: Wurde der Ordner „Projekte 2026″ zwischen dem 5. und dem 8. September gelöscht, und von welchem Konto? Wurde in diesem Zeitraum ein externer Datenträger angeschlossen, und welche Seriennummer hatte er? Je präziser die Frage, desto belastbarer die Antwort. Der Aufwand wird nach Stunden abgerechnet, das Budget vorab abgesteckt.

Meldepflicht und Versicherung hängen am Hergang

Ist nach einem Vorfall eine Meldung nach Artikel 33 DSGVO erforderlich, muss sie unter anderem die Art der Verletzung, die betroffenen Datenkategorien, die ungefähre Zahl der Betroffenen und die wahrscheinlichen Folgen beschreiben. Wer nach einem Backup-Restore nur noch weiß, dass Daten fehlten, kann diese Angaben nicht machen. Versicherer verlangen für die Regulierung eines Cybervorfalls in der Regel ebenfalls eine nachvollziehbare Dokumentation. Beides setzt voraus, dass die Spuren am ersten Tag gesichert wurden.

Was vor dem ersten Wiederherstellungsversuch geschehen sollte

– Das betroffene System vom Netzwerk trennen und nicht weiter bedienen. Ob es eingeschaltet bleibt oder kontrolliert heruntergefahren wird, sollte der Forensiker im Einzelfall entscheiden, weil sowohl der Arbeitsspeicher als auch Hintergrundprozesse des Laufwerks für die Analyse eine Rolle spielen können.

– Kein Backup auf dasselbe Volume zurückspielen, keine Reparaturwerkzeuge, kein chkdsk, keine Recovery-Software.

– Die Backup-Rotation anhalten, damit die letzte Sicherung vor dem Vorfall nicht turnusmäßig überschrieben wird.

– Jeden Zugriff seit dem Vorfall notieren: wer, wann, was, mit welchem Konto.

– Nicht selbst nach Spuren suchen. Das Durchsuchen der Freigaben durch Administratoren erzeugt neue Protokolleinträge und verdrängt alte.

– Eine konkrete Zielstellung formulieren, bevor der Datenträger das Haus verlässt.

DATA REVERSE® bietet IT-Forensik ergänzend zur Datenrettung an, mit Schwerpunkt auf Dateisystem-, Betriebssystem- und Smartphone-Forensik. Das Unternehmen ist nach ISO 9001 und ISO/IEC 27001 zertifiziert, arbeitet mit Geheimhaltungsvereinbarung und Vertrag zur Auftragsverarbeitung und beschäftigt einen eigenen Datenschutzkoordinator. Aufträge mit der Einstufung „VS-Vertraulich“ werden von Mitarbeitern mit Sicherheitsüberprüfung Ãœ1 nach § 8 SÃœG bearbeitet. Ob ein Vorfall am Ende arbeitsrechtlich, strafrechtlich oder gar nicht weiterverfolgt wird, entscheidet sich oft erst Wochen später. Diese Entscheidung bleibt nur offen, wenn die Beweise am ersten Tag gesichert wurden.

DATA REVERSE® mit Sitz in Leipzig ist auf die professionelle Datenrettung von digitalen Speichermedien spezialisiert. Mit über 20 Jahren Erfahrung, TÜV-zertifiziertem Kundenservice und einer Erfolgsquote von über 95 % bietet das Unternehmen zuverlässige und qualitativ hochwertige Lösungen bei Datenverlusten jeglicher Art. Durch umfangreiches Know-how in Reverse Engineering und eine konsequente Datengarantie zählt DATA REVERSE® zu den führenden Anbietern der Branche.

Neben Festplatten, Flash-Speichern und RAID-Systemen werden auch komplexe logische Speicherarchitekturen wie Software Defined Storage erfolgreich wiederhergestellt. Zur optimalen Qualitätssicherung setzt DATA REVERSE® ausschließlich auf individuell entwickelte Softwarelösungen, ein eigenes Reinraumlabor sowie eine interne Forschungs- und Entwicklungsabteilung.