Was ist die Beweiskette (Chain of Custody) bei digitalen Beweisen?
Die Beweiskette ist der schriftliche Nachweis, wer ein Beweisstück wann und wie gesichert hat und wer es seitdem in der Hand hatte. Für ein Festplatten-Abbild, einen Log-Export oder einen Netzmitschnitt heißt das: Quelle, Datum und Uhrzeit, verwendete Methode oder Werkzeug, ein Hash-Wert, der belegt, dass sich die Kopie nicht verändert hat, der Aufbewahrungsort und jede Person, die darauf zugegriffen hat. Ohne diesen Nachweis können Gericht, Versicherer oder Behörde bezweifeln, dass der Beweis das ist, wofür Sie ihn ausgeben. Ein kleines Unternehmen kann das einfach halten: ein Blatt pro Beweisstück, Kopien auf einmal beschreibbarem oder zugriffsgeschütztem Speicher und keine Arbeit an den Originalen. NetSenX führt ein Audit-Log der Alarme, Analystenentscheidungen und Konfigurationsänderungen und ab dem Starter-Plan einen Nachweispfad (Proof Trail), was diese Dokumentation für die Netzseite eines Vorfalls stützt.
Weiterlesen
Verwandte Fragen
- Wie sichern wir Logs, bevor sie überschrieben werden?
- Was bedeutet Beseitigung (Eradication) in der Incident Response?
- Wie setzen wir nach einem Einbruch Passwörter sicher zurück?
- Woher wissen wir, dass der Angreifer wirklich weg ist?
- Können wir unsere Rechner nach einem Ransomware-Angriff weiter nutzen?