Disk Image
Datenträger-Abbild
Disk Image
Ein Disk Image ist eine vollständige, bitgenaue Kopie eines Datenträgers in einer Datei — die Grundlage jeder seriösen Datenträgerforensik. Es enthält nicht nur die sichtbaren Dateien, sondern auch gelöschte Bereiche, Slack Space und Dateisystemstrukturen. Auf ihm wird gearbeitet, damit das Original unangetastet bleibt.
Historie & Fakten. Das Disk Image ist das Ergebnis des forensischen Imaging: Mit Schreibschutz wird der gesamte Datenträger Sektor für Sektor erfasst und über einen Hashwert gegen unbemerkte Veränderung abgesichert. Gängige Formate speichern neben den Rohdaten auch Metadaten zur Sicherung. Weil das Abbild alles enthält — auch das, was im normalen Betrieb unsichtbar ist —, ist es die Voraussetzung, gelöschte Daten (File Carving), Slack Space und vollständige Zeitleisten zu untersuchen.
Ausblick & Empfehlung. Der Umgang mit dem Image folgt klaren Regeln: niemals am Original arbeiten, Hashes vor und nach der Sicherung bilden und festhalten, alle Schritte dokumentieren. Bei sehr großen Speichern und in der Cloud stößt das klassische Voll-Image an Grenzen, weshalb gezielte (logische) Sicherungen an Bedeutung gewinnen. Unverändert gilt: Das Abbild und sein Hash sind das Fundament, auf dem die Beweiskraft der gesamten Untersuchung ruht.