Imaging — Forensische Datenträgersicherung

Imaging bezeichnet das Erstellen einer exakten, bitgenauen Kopie eines Datenträgers für die forensische Untersuchung. Anders als eine normale Kopie erfasst es jeden Sektor — auch gelöschte Bereiche und Slack Space — und wird über einen Hashwert gegen unbemerkte Veränderung abgesichert. Auf dieser Kopie, nicht am Original, wird anschließend gearbeitet.

Historie & Fakten. Das forensische Image ist die Grundlage einer sauberen Untersuchung: Mit Schreibschutz wird vom Original ein vollständiges Abbild gezogen und unmittelbar ein Hash gebildet; ein zweiter Hash nach dem Vorgang belegt, dass Original und Abbild identisch sind. Alle weiteren Schritte erfolgen auf einer Arbeitskopie des Images, sodass das Original unangetastet und beweiskräftig bleibt. Gängige Formate speichern neben den Rohdaten auch Metadaten zur Sicherung. Ausblick & Empfehlung. Bei großen Speichern und in der Cloud stößt das klassische Voll-Image an Grenzen, weshalb gezielte (logische) Sicherungen an Bedeutung gewinnen. Unverändert gilt jedoch das Grundprinzip: niemals am Original arbeiten, immer Hashes bilden und festhalten. Wer diesen Schritt überspringt, riskiert, dass die gesamte spätere Analyse rechtlich wertlos wird.

Auch interessant