Ein Mitarbeiter verlässt das Unternehmen und kurz darauf tauchen Kundenlisten beim Wettbewerber auf. Oder ein Gerät fehlt für drei Stunden und erscheint wieder an seinem Platz. Solche Situationen sind keine Seltenheit: Laut einer Studie des Digitalverbands Bitkom entstand der deutschen Wirtschaft durch Datendiebstahl, Spionage und Sabotage allein 2023 ein Schaden von rund 206 Milliarden Euro. Der Verdacht auf digitalen Informationsabfluss ist in vielen Betrieben längst keine Ausnahme mehr, sondern ein reales Risikoszenario, auf das man vorbereitet sein muss.
Was digitale Forensik leisten kann und was nicht
IT-Forensik bezeichnet die systematische Sicherung, Analyse und Dokumentation digitaler Spuren auf Computersystemen, Netzwerken und mobilen Endgeräten. Das Ziel ist nicht nur die Aufklärung eines Vorfalls, sondern die gerichtsfeste Aufbereitung von Beweismitteln. Das klingt selbstverständlich, ist es aber nicht: Wer nach einem Verdachtsfall selbst im System herumstöbert, verändert Zeitstempel, überschreibt Protokolldateien und macht Beweise unbrauchbar. Eine IT-forensische Untersuchung beginnt deshalb grundsätzlich mit der Sicherung eines bitgenauen Images des betroffenen Datenträgers. Auf dieser Kopie wird gearbeitet, das Original bleibt unberührt.
Wichtig ist auch die Abgrenzung: IT-Forensik klärt, was passiert ist, wann, von welchem Gerät und unter welchem Benutzerkonto. Sie klärt nicht automatisch, wer physisch die Tastatur bedient hat. Diese Frage erfordert oft die Kombination aus digitalen Befunden und klassischer Ermittlungsarbeit, etwa Zugangsprotokollen, Videoüberwachung oder Zeugenaussagen.
Mobile-Forensik: Das Smartphone als Tatwaffe und Zeuge
Mobilgeräte sind in vielen Fällen das zentrale Beweismittel. Messenger-Verläufe, Standortdaten, App-Aktivitäten und synchronisierte Cloud-Inhalte lassen sich auf einem Smartphone häufig rekonstruieren, selbst wenn der Nutzer Chats gelöscht hat. Tools wie Cellebrite UFED oder Oxygen Forensic Detective extrahieren dabei Daten aus dem Gerätespeicher auf mehreren Ebenen: Dateisystem, logische Ebene und, wenn möglich, physische Rohdaten.
Besondere Herausforderungen entstehen bei modernen iPhones mit aktivem Chip-Verschlüsselungsschutz oder bei Android-Geräten mit Full Disk Encryption. Hier ist technische Expertise gefragt, die über Standard-IT-Administration weit hinausgeht. Zudem regelt das Strafgesetzbuch in § 202a das unbefugte Ausspähen von Daten, was bedeutet: Auch der Auftraggeber einer forensischen Untersuchung muss sicherstellen, dass die Datenerhebung auf einer rechtlichen Grundlage beruht, sei es eine Einwilligung, ein Gestattungsrecht als Geräteeigentümer oder eine staatsanwaltschaftliche Anordnung.
Netzwerkforensik: Wann verlassen Daten das Unternehmen?
Neben Endgeräten liefern Netzwerkprotokolle oft den klarsten Befund. Firewall-Logs, DNS-Abfragen und NetFlow-Daten zeigen, welche IP-Adressen zu welchen Uhrzeiten kontaktiert wurden und welche Datenmengen übertragen worden sind. Ein Transfer von 4,7 Gigabyte aus dem internen Dateiserver auf einen privaten Cloud-Speicher um 23:14 Uhr fällt in diesen Auswertungen auf, vorausgesetzt, die Logs sind vollständig und werden ausreichend lang vorgehalten.
Genau hier liegt ein strukturelles Problem vieler KMU: Logging ist nicht standardmäßig konfiguriert oder wird nach 72 Stunden überschrieben. Wer einen Vorfall erst eine Woche später bemerkt, hat möglicherweise keine Netzwerkspuren mehr. Forensisch belastbare Netzwerkanalyse setzt also voraus, dass Unternehmen vorher in geeignete Logging-Infrastruktur investiert haben. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt in seinen Grundschutz-Katalogen konkrete Mindestvorgaben für die Protokollierung, die als Orientierung dienen können.
Professionelle Unterstützung: Wann externe Spezialisten nötig sind
Viele Unternehmen unterschätzen, wie schnell ein interner IT-Administrator an seine Grenzen stößt. Die Sicherung forensischer Beweise erfordert zertifizierte Werkzeuge, dokumentierte Verfahren und im besten Fall externe Unabhängigkeit. Letztere ist besonders dann relevant, wenn der Verdacht auf Innentäter fällt oder wenn arbeitsrechtliche oder strafrechtliche Konsequenzen folgen sollen. Eine interne Untersuchung wirkt vor Gericht schnell befangen.
Neben der rein digitalen Spurensicherung wird in sensiblen Verdachtsfällen oft auch physische Abhörtechnik in Betracht gezogen. Wer befürchtet, dass Besprechungsräume oder Büros mit Wanzen bestückt wurden, kann spezialisierte Anbieter hinzuziehen: Die Lauschabwehr Regensburg ist ein Beispiel für Dienstleister, die technische Gegenmaßnahmen und Abhörschutz kombinieren und dabei IT-Forensik und physische Raumprüfung zusammenführen.
Rechtliche Rahmenbedingungen im Überblick
Jede forensische Maßnahme bewegt sich in einem rechtlichen Spannungsfeld. Relevant sind vor allem das Bundesdatenschutzgesetz, die DSGVO sowie arbeitsrechtliche Bestimmungen. Selbst wenn ein Arbeitgeber Geräteinhaber ist, darf er bei Privatnutzung des Dienstgeräts nicht ohne weiteres auf persönliche Daten zugreifen. Eine vorherige Regelung in der IT-Nutzungsrichtlinie, idealerweise mit Betriebsrat abgestimmt, ist daher Grundvoraussetzung.
- Beweissicherung: Bitgenaue Kopie vor jeder Analyse, Hash-Werte dokumentieren
- Datenschutz: Nur anlassbezogene Auswertung, kein anlassloses Monitoring
- Betriebsrat: Bei Auswertung personenbezogener Daten regelmäßig Mitbestimmungsrecht
- Strafrecht: Bei konkretem Verdacht frühzeitig Staatsanwaltschaft einschalten
- Chain of Custody: Lückenlose Dokumentation der Beweismittelkette
Das Thema Beweisverwertbarkeit ist dabei nicht akademisch. Gerichte haben in der Vergangenheit digitale Beweise abgelehnt, weil Zeitstempel nicht verifizierbar waren oder die Sicherungsmethode nicht dokumentiert war. Wer Täter zivilrechtlich oder strafrechtlich zur Verantwortung ziehen will, kommt um eine saubere forensische Methodik nicht herum.
Erste Schritte bei konkretem Verdacht
Tritt ein Verdachtsfall auf, gelten einige Grundregeln. Erstens: Nichts anfassen, nichts löschen, keine Systeme neu starten. Ein laufendes System enthält im Arbeitsspeicher flüchtige Informationen, die nach dem Neustart unwiederbringlich verloren sind. Zweitens: Vorfall intern auf den kleinsten Kreis beschränken, da Innentäter sonst gewarnt werden. Drittens: Externe Forensiker sowie, je nach Schwere, Rechtsanwalt und Staatsanwaltschaft kontaktieren.
Parallel lohnt ein Blick auf bestehende Sicherheitskonzepte. Wer Data-Loss-Prevention-Systeme, konsequentes Rechtemanagement und regelmäßige Logs vorweisen kann, hat nicht nur bessere Chancen auf eine erfolgreiche Aufklärung, er kann im Schadensfall auch nachweisen, dass er zumutbare Schutzmaßnahmen ergriffen hat. Das ist für versicherungsrechtliche und haftungsrechtliche Fragen oft entscheidend. Einen guten Überblick zu technischen und organisatorischen Schutzmaßnahmen bietet das Bundesamt für Sicherheit in der Informationstechnik, dessen IT-Grundschutz-Kompendium frei verfügbar ist.
IT- und Mobile-Forensik ist kein Allheilmittel, aber sie ist die einzige Methode, digitale Spuren so zu sichern, dass sie Bestand haben. Wer erst im Ernstfall damit beginnt, die richtigen Fragen zu stellen, verliert wertvolle Zeit und im schlimmsten Fall entscheidende Beweise.