Netzwerkforensik

In aller Regel ja. Vollmitschnitte liegen fast nie vor, und die Untersuchung stützt sich deshalb ohnehin überwiegend auf Fluss-, DNS-, Proxy- und Firewall-Protokolle. Daraus lässt sich der Ablauf meist belastbar rekonstruieren. Was fehlt, ist der Inhalt der Verbindungen — nicht die Verbindung selbst.

Häufig ja, und das ist meist die entscheidende Frage. Aus Flussdaten ergibt sich, wie viel in welche Richtung ging; aus DNS und Proxy, wohin. Was ohne Vollmitschnitt in der Regel offenbleibt, ist der genaue Inhalt. Wir schreiben in den Bericht, was belegt ist und was nicht — eine Vermutung als Befund auszugeben hilft Ihnen bei der Meldung nicht.

Zwischen Erstzugang und Entdeckung liegen in der Praxis oft Wochen bis Monate. Protokolle, die nach zwei Wochen überschrieben werden, decken den Anfang des Vorfalls dann nicht mehr ab. Wir empfehlen eine Aufbewahrung, die deutlich darüber hinausgeht — die genaue Dauer klären wir gegen Ihre Datenschutzvorgaben ab.

Eine Zeitleiste entsteht, indem Ereignisse aus verschiedenen Quellen nebeneinandergelegt werden. Gehen die Uhren um Minuten auseinander, verschiebt sich die Reihenfolge — und damit die Aussage darüber, was Ursache und was Folge war. Vor Gericht ist eine solche Zeitleiste angreifbar. Zeitsynchronisation kostet nichts und entscheidet nachträglich über die Verwertbarkeit.

Nein. Wir arbeiten auf Kopien der Protokolle, nicht auf den Systemen selbst. Wo ein Mitschnitt eingerichtet werden muss, geschieht das über einen Spiegelport oder einen passiven Abgriff — der Datenverkehr läuft unverändert weiter.