Selektive Datensicherungen in der IT-Forensik

Zusammenfassung

Eine digital-forensische Auswertung beginnt heute üblicherweise mit der Erstellung einer vollständigen 1:1-Kopie des zu untersuchenden Datenträgers. Aufgrund der steigenden Datenmenge und der Komplexität moderner Computersysteme stößt dieser Ansatz in der Praxis immer häufiger an Grenzen. Selektive Datensicherungen versprechen hier Abhilfe, auch wenn bisher unklar ist, in welchen Fällen man wie viele Daten sichern muss. Dieser Beitrag postuliert, dass selektierte Daten zwei Eigenschaften erfüllen müssen: Sie müssen für den Fall relevant sein und ihre Sicherung muss erlaubt sein. Beide Begriffe werden formal entwickelt, woraus sich Einsichten für die Suche nach geeigneten Datenmengen in der Praxis ergeben.