Live-Forensik — Live-Forensik

Live-Forensik ist die Untersuchung eines laufenden, eingeschalteten Systems, um flüchtige Daten zu sichern, die beim Abschalten verloren gingen — etwa den Arbeitsspeicher, aktive Netzwerkverbindungen, laufende Prozesse und entschlüsselte Inhalte. Sie ist unverzichtbar, wenn die entscheidenden Spuren nur im laufenden Betrieb existieren. Jeder Eingriff verändert das System jedoch geringfügig.

Historie & Fakten. Viele moderne Angriffe hinterlassen kaum Spuren auf dem Datenträger und leben im Arbeitsspeicher — speicherresidente Schadsoftware, entschlüsselte Daten, aktive C2-Verbindungen. Wird ein solches System abgeschaltet, sind diese Beweise verloren. Live-Forensik sichert sie im Betrieb, akzeptiert dafür aber, dass jeder Zugriff den Zustand minimal verändert. Diese unvermeidliche Veränderung wird durch dokumentiertes, möglichst zurückhaltendes Vorgehen beherrschbar. Ausblick & Empfehlung. Die zentrale Abwägung — flüchtige Beweise sichern versus das System nicht verfälschen — verlangt eine bewusste, begründete und dokumentierte Entscheidung. In der Praxis wird zuerst der Arbeitsspeicher gesichert (Memory-Forensik), bevor weitere Schritte folgen. Da im Ernstfall die Zeit drängt, gehören Vorgehen und Werkzeuge vorbereitet — improvisiertes Eingreifen vernichtet oft mehr Spuren, als es sichert.

Auch interessant