Erkennen ist nicht beweisen: was digitale Forensik wirklich leisten kann (Teil 2)

In dieser Folge von „Cyber Security ist Chefsache“ setzt Nico das Gespräch mit Ronny Bodach fort. Ronny ist Professor für IT-Sicherheit und Digitale Forensik an der Hochschule Mittweida und war mehr als 15 Jahre bei der Kriminalpolizei tätig, zuletzt in der Leitung der IT-Forensik.

Nachdem es im ersten Teil um Spurensicherung, flüchtige Daten und gerichtsfeste Beweise ging, richtet sich der Blick nun auf die Fälle, in denen die entscheidenden Daten nicht mehr auf einer lokalen Festplatte liegen. Was passiert, wenn sich der digitale Tatort in einer Cloud befindet, der Anbieter im Ausland sitzt oder verschlüsselte Kommunikation den Zugriff verhindert?

Ronny erklärt, welche Möglichkeiten Ermittler über Cloud-Konten, Zugriffstokens und internationale Rechtshilfe haben und wo selbst ein identifizierter Täter unerreichbar bleiben kann. Manchmal kennen die Ermittler den Namen, die Straße und sogar die Hausnummer, können aber nicht zugreifen, weil das betreffende Land nicht mit deutschen Behörden zusammenarbeitet.

Auch die politische Debatte über Ende-zu-Ende-Verschlüsselung wird bewusst nicht ausgespart. Strafverfolgungsbehörden benötigen Möglichkeiten zur Aufklärung schwerer Straftaten. Gleichzeitig schafft jede technische Hintertür ein neues Risiko für Unbefugte und gefährdet die Vertraulichkeit privater Kommunikation. Eine einfache Antwort gibt es nicht.

Im weiteren Verlauf geht es um die Frage, wie lange Unternehmen ihre Logs aufbewahren sollten, warum eine möglichst große Datenmenge nicht automatisch zu besseren Ermittlungen führt und weshalb schlecht konfigurierte Systeme entscheidende Spuren innerhalb kürzester Zeit überschreiben können.

Ein weiterer Schwerpunkt ist die internationale Strafverfolgung. Ronny berichtet, wie sich die Zusammenarbeit über Europol und gemeinsame Ermittlungsgruppen verbessert hat, weshalb große Operationen gegen Ransomware-Gruppen trotzdem Monate oder Jahre benötigen und warum Unternehmen auch dann Strafanzeige erstatten sollten, wenn der laufende Betrieb zunächst wichtiger erscheint.

Zum Abschluss sprechen Nico und Ronny über eine neue Herausforderung: KI-generierte Bilder, Videos, Dokumente und digitale Spuren. Deepfakes und künstlich erzeugte Inhalte machen es zunehmend schwieriger, die Echtheit vermeintlicher Beweismittel zu beurteilen. Wer versteht, wie Forensiker nach Artefakten suchen, kann theoretisch auch versuchen, passende Spuren zu legen.

Im Gespräch geht es außerdem um:

Warum gelöschte oder überschriebene Spuren nicht immer endgültig verloren sindWie schnell Logfiles durch Fehlkonfigurationen unbrauchbar werden könnenWelche Möglichkeiten Cloud-Tokens bei einer laufenden Durchsuchung eröffnenWarum verschlüsselte Cloud-Daten über ein sichergestelltes Endgerät teilweise doch zugänglich werdenDas Spannungsfeld zwischen Ende-zu-Ende-Verschlüsselung, Privatsphäre und StrafverfolgungWeshalb es keine allgemeingültige Aufbewahrungsfrist für Logs gibtWarum mehr gesammelte Daten nicht automatisch bessere Forensik bedeutenWie Europol und internationale Ermittlungsgruppen die Strafverfolgung verändert habenWas passiert, wenn Name und Adresse eines Täters bekannt sind, aber kein Zugriff möglich istWarum Unternehmen nach einem Cyberangriff trotzdem Strafanzeige erstatten solltenWie sich Beweissicherung und die Wiederaufnahme des Geschäftsbetriebs miteinander vereinbaren lassenWie KI, Deepfakes und manipulierte Artefakte die digitale Forensik verändernWarum eine theoretisch mögliche Manipulation noch lange keine plausible Erklärung für Tausende Dateien ist

Eine Folge für Geschäftsführungen, IT- und Security-Verantwortliche, Ermittler, Krisenteams und alle, die verstehen wollen, wo digitale Forensik an technische, rechtliche und internationale Grenzen stößt.

Das ist Teil 2 des Gesprächs. Teil 1 ist bereits im Podcast-Feed verfügbar.

____________________________________________