Memory Dump
Speicherabbild
Memory Dump
Ein Memory Dump ist eine Momentaufnahme des Arbeitsspeichers (RAM) eines Systems zu einem bestimmten Zeitpunkt. Er enthält, was zur Laufzeit aktiv war: Prozesse, geladene Module, Netzwerkverbindungen, entschlüsselte Daten und mitunter Schadcode. Er ist die Grundlage der Speicherforensik und oft der Schlüssel zu dateilosen Angriffen.
Historie & Fakten. Weil viele Spuren ausschließlich im Arbeitsspeicher existieren und beim Abschalten verschwinden, ist das Speicherabbild ein besonders wertvolles, aber flüchtiges Artefakt. Es wird im laufenden Betrieb gezogen und anschließend mit spezialisierten Werkzeugen wie Volatility analysiert, die daraus Prozesse, Verbindungen und versteckten Code rekonstruieren. Entschlüsselte Inhalte und im Speicher gehaltene Schlüssel können hier sichtbar werden, die auf dem Datenträger nicht zu finden sind.
Ausblick & Empfehlung. In der Order of Volatility steht der Arbeitsspeicher ganz oben: Seine Sicherung sollte vor dem Datenträger-Abbild erfolgen. Wer ein verdächtiges System reflexhaft ausschaltet, vernichtet häufig den wichtigsten Beweis. Das Ziehen eines Speicherabbilds verändert das System minimal — diese unvermeidliche Veränderung wird durch dokumentiertes, zurückhaltendes Vorgehen beherrschbar. Das Speicherabbild ist damit der zentrale Beleg der Live-Forensik.