Was ist ein forensisches Abbild, und wann brauchen wir eines?
Ein forensisches Abbild ist eine exakte, überprüfte Kopie einer Festplatte oder des Arbeitsspeichers eines Rechners, angefertigt, damit Ermittler sie untersuchen können, ohne das Original zu verändern. Es wird mit speziellen Werkzeugen erstellt, mit einem Hash wie SHA-256 versehen, damit jede spätere Änderung erkennbar ist, und mit einem Nachweis aufbewahrt, wer es in der Hand hatte. Sie brauchen eines, wenn der Vorfall zu einem Rechtsstreit, einem Versicherungsfall, einem Polizeiverfahren oder Fragen einer Behörde führen kann, und wenn Sie wissen wollen, wie der Angreifer hereinkam, bevor Sie den Rechner neu aufsetzen. Gewöhnliche Backups ersetzen es nicht, weil sie gelöschte Dateien, Arbeitsspeicher und Systembereiche auslassen. Lassen Sie es nach Möglichkeit von Fachleuten erstellen. Netzbeweise ergänzen es: NetSenX hält fest, was über das Netz lief, was das Abbild eines einzelnen Rechners nicht zeigen kann.