Forensic Imaging und IT-Datensicherung

Arbeitsweg

• Rolle, Ziel und gewünschtes Arbeitsprodukt klären: Wer handelt, welche Entscheidung steht an, welche Frist läuft und welcher Output wird gebraucht?
• Fristen und Eilrisiken zuerst markieren: nur die Fristen des konkreten Rechtsgebiets und der Akte verwenden; Widerspruch, Klage, Einspruch, Rechtsmittel, Verjährung, Verwirkung, Rüge-, Anzeige-, Anmelde- und Ausschlussfristen strikt trennen und nie aus einem anderen Fachgebiet übernehmen.
• Tragende Normen verifizieren: DSGVO Art. 5, 6, 7, 9, 12-22, 25, 28, 30, 32, 33-34, 35, 51-58, 77-83, BDSG §§ 22-25, 26, 30; StPO §§ 53, 97, 102, 110, 136, 137, 152, 153a, BGB §§ 280, 626, BRAO § 43a, GwG, AntiDopG, HinSchG; StPO; HinSchG — Fundstellen über gesetze-im-internet.de, dejure.org, openJur, BVerfG-/BGH-/EuGH-Datenbank live prüfen; keine Modellwissen-Zitate.
• Zuständige Stelle bestimmen und Adressaten richtig wählen: Mandant, Gegner, zuständige Behörde oder Gericht, Sachverständige, ggf. EU-/internationale Stelle (siehe Skill-Detail).
• Dokumente und Beweismittel sammeln und auf Lücken prüfen: Verwaltungsakte, Vertragsurkunden, Schriftsätze, Bescheide, Protokolle, Sachverständigengutachten und externe Beweismittel des Fachgebiets — fehlende Belege durch Akteneinsicht oder Rückfrage beim Mandanten beschaffen, Live-Check für tagesaktuelle Normänderungen und Verwaltungspraxis.

Rechtlicher Rahmen

Forensic Imaging ist die Erstellung einer bit-genauen Kopie eines digitalen Datenträgers, um Beweise integer zu sichern. Es unterliegt keiner spezifischen deutschen Gesetzesnorm, muss aber DSGVO-konform sein (§ 26 BDSG, Art. 5 Abs. 1 lit. c DSGVO – Datenminimierung) und den technischen Standard ISO/IEC 27037 (Guidelines for identification, collection, acquisition and preservation of digital evidence) einhalten. Bei fehlerhafter Durchführung drohen Beweisverwertungsverbote, und die Integrität des gesamten Ermittlungsergebnisses kann in Frage gestellt werden.

Ziel dieses Skills

Dieser Skill stellt sicher, dass forensische Sicherungsmaßnahmen technisch korrekt, rechtlich zulässig und beweissicher durchgeführt werden.

Arbeitsprogramm

1. Vorbereitung und Rechtsgrundlage

• DSGVO-Rechtsgrundlage für die Verarbeitung der gesicherten Daten (§ 26 BDSG bei Beschäftigtendaten; Art. 6 Abs. 1 lit. f DSGVO).
• Verhältnismäßigkeit: Ist ein vollständiges Disk-Image erforderlich, oder reicht Selective Collection?
• Betriebsratszustimmung (§ 87 Abs. 1 Nr. 6 BetrVG) bei systematischer Überwachung prüfen.
• Auftragserteilung an externen IT-Forensiker: NDA und Auftragsverarbeitungsvertrag (Art. 28 DSGVO) abschließen.

2. Forensic-Imaging-Standard

• Write-Blocker: Hardware-Write-Blocker verwenden, um keine Spuren auf dem Original zu hinterlassen.
• Hash-Werte: SHA-256-Hash von Originalmedium und Image berechnen; Übereinstimmung dokumentiert Integrität.
• Image-Format: EnCase (E01), FTK-Image, DD-Format – dokumentieren, welches Format und welche Software verwendet wurde.
• Dokumentation: Gerätebeschreibung (Seriennummer, Hersteller, Modell), Zeitstempel, Name des Forensikers, Zeuge.
• ISO/IEC 27037: Identifikation → Sicherung → Dokumentation → Übergabe.

3. Chain of Custody

• Jeder Zugriff auf das Originalmedium und das Image wird protokolliert (wer, wann, warum).
• Physische Sicherung: Image auf verschlüsseltem Datenträger in versiegeltem Behälter.
• Keine Auswertung des Originals – nur des Images.
• Für gerichtliche Verwertung: Chain-of-Custody-Protokoll als Anlage zum Ermittlungsbericht.

4. Scope: Vollbild vs. gezielte Sicherung

• Vollständiges Disk-Image: höchste Beweissicherung, aber datenschutzrechtlich eingriffsintensiver.
• Selective Collection (z. B. nur bestimmte Ordner, Dateitypen, Zeiträume): datenschutzfreundlicher, aber Beweislücken möglich.
• Keyword-Suche auf Image: erstes Selektionsmittel; Liste der Keywords dokumentieren und begründen.
• Responsive vs. non-responsive Dokumente trennen (für US-Discovery relevant).

5. Besondere Datenträger

• Mobile Devices: Chip-off, JTAG oder forensische Software (Cellebrite, Oxygen Forensics) – Passwortschutz und Verschlüsselung beachten (vgl. inv-018-mobile-devices).
• Cloud-Dienste: Exportfunktionen nutzen (Google Workspace, M365 eDiscovery); Drittstaatentransfer prüfen.
• Encrypted Devices: BitLocker/FileVault – Schlüssel bei IT sichern oder Entschlüsselungshilfe vom Gerätehersteller anfordern.
• Collaboration Tools: Teams-Compliance-Center, Slack eDiscovery API.

6. DSGVO-Anforderungen bei der Auswertung

• Keine Auswertung privater Kommunikation, wenn private Nutzung erlaubt oder unklar ist.
• Filter für private E-Mails/Dokumente vor Übergabe an Rechtsanwalt einsetzen.
• Drittbetroffene (Kunden, Geschäftspartner): personenbezogene Daten minimieren.
• Löschkonzept: wann werden forensische Images vernichtet?

7. Dokumentation für den Bericht

• Forensik-Summary: welche Systeme, welche Zeiträume, welche Keywords, Treffer-Übersicht.
• Nicht verwertbare Dateien dokumentieren (defekte Sektoren, verschlüsselte Bereiche).
• Expert Witness Report für US-Discovery oder Strafverfahren.

Normenregister

Ausgabeformate

• Forensik-Auftragsvorlage (Scope, Standards, NDA, Art. 28 DSGVO)
• Chain-of-Custody-Protokoll
• Forensik-Summary-Vorlage
• DSGVO-Konformitätsprüfung für Forensic Imaging
• Expert Witness Report (Vorlage für US-Discovery)

Rechtsprechungszitate nur mit Gericht, Datum, Aktenzeichen und frei prüfbarer Quelle.

Ausformulierungspflicht und Formatstandard. Das Endprodukt wird in vollständigen, ausformulierten Sätzen geliefert — keine Stichwortskelette, keine leeren Klauselrümpfe, keine reinen Aufzählungen. Klauseln stehen als ausformulierte Rechtsfolgen-Sätze; Platzhalter wie [Name der Mandantin] werden klar markiert, der umgebende Text bleibt vollständig.

Schriftbild: Wenn ein Schriftsatz, Vertrag, Memo, Beschluss, Vermerk oder sonstiges Enddokument als DOCX, PDF oder formatierter Text ausgegeben wird, ist Times New Roman 11 pt als Grundschrift zu verwenden. Überschriften bleiben in derselben Schrift und dürfen nur fett oder abgestuft sein. Bei reiner Markdown- oder Chat-Ausgabe wird dieser Formatwunsch als Exporthinweis aufgenommen.

Nummerierung: Gliederung ausschließlich dezimal (1, 1.1, 1.1.1 und so weiter). Keine römischen Ziffern, keine Buchstaben- oder Mischgliederung.