Digitale Spuren vs. Physische Spuren

in der physischen Welt versteht man unter einer Spur ein hinterlassenes Zeichen das können z.B wie in einem alten Märchen Brotkrumen sein die ein Entführungsopfer unbemerkt aus seiner Tasche fallen lässt damit dermittler später die pferte aufnehmen können oder eben die klassischen Fußabdrücke in den forensischen Wissenschaften verstehen wir unter einer Spur ein Objekt was ein Argument plausibler Macht über dieses Objekt werden Behauptungen gemacht oder Annahmen getroffen man kennt solche Spuren juristischen Umfeld auch unter dem Begriff Beweismittel als Beispiel dafür betrachten wir den Fingerabdruck am Tatort dieser macht das Argument plausibler dass eine bestimmte Person am Tatort war weil Fingerabdrücke einzigartig sind und somit direkt mit einer spezifischen Person in Verbindung gebracht werden können wenn also der Fingerabdruck einer Person an einem Ort gefunden wird an dem ein Verbrechen stattgefunden hat verstärkt dies die Plausibilität der Annahme dass diese Person auch wirklich am Tatort war theoretisch kann jeder Gegenstand bzw jedes Objekt aus der physischen Welt zu einer Spur werden wenn darüber bestimmte Behauptungen gemacht bzw Annahmen getroffen werden um einen tathgang rekonstruieren zu können suchen Ermittler an einem Tatort nach Spuren dabei sind vor allem Spuren interessant die vom Täter unbeabsichtigt hinterlassen werden wie beispielsweise Fingerabdrücke oder Haare damit die gesammelten Spuren später vor Gericht verwendet werden können müssen sie von Spezialist gesichert und sauber dokumentiert werden diesen Prozess der Suche nach Spuren von Spezialisten an einem Tatort nennt man Spurensicherung bei Spuren unterscheidet man grundsätzlich zwischen dem sogenannten spurträger und der eigentlichen spurinformation die spurinformation ist dabei die Bedeutung der Spur die an dem spurträger haftet schauen wir uns dazu mal ein paar Beispiele an hier haben wir eine Mütze an der Haare gefunden werden die Haare können darauf hinweisen wer sie getragen hat das ist die spurinformation bzw die Bedeutung der Spur der spurträger ist die Mütze hier haben wir ein Glas auf dem Fingerabdrücke zu erkennen sind die Fingerabdrücke können darauf hinweisen wer das Glas berührt hat das ist die spurinformation der spurträger ist das Glas am Tatort wird ein Brief gefunden der mit blauer Tinte geschrieben wurde die spurinformation ist die Bedeutung dessen was auf dem Brief geschrieben wurde als spurträger haben wir hier das Papier auf dem der Brief geschrieben wurde und die Tinte mit der auf das Briefpapier geschrieben wurde oft werden spurträger und spurinformation als Einheit betrachtet die gegebenenfalls auch nicht voneinander getrennt werden können in vielen Fällen ist nur die spurinformation für einen bestimmten Fall relevant doch insbesondere in dem letzten Beispiel mit dem Brief können weitere wertvolle Informationen in dem spurträger schlummern wie beispielsweise das verwendete Papier und die Tinte hier ist z.B relevant wo man das Papier und die Tinte überall kaufen kann und auch die Handschrift kann für die fallaufklärung relevant sein im Zusammenhang mit Spuren sind zwei Begriffe wichtig die du bereits aus der IT-Sicherheit kennst nämlich Integrität und Authentizität mit integrität ist gemeint dass die Spur seit ihrer Sicherung nicht verändert wurde was bei physikalischen Spuren natürlich so gut wie unmöglich ist bei Materie ständig im Wandel bzw vergänglich ist Blut das an Kleidungsstücken haftet gerinnt beispielsweise sehr schnell ohne dass man aktiv dazu beiträgt um gerichtsfest zu bleiben muss die Integrität durch den Schutz vor bewusst herbeigeführten Manipulationen an der Spur geschützt werden die Integrität bezieht sich dabei in der Regel auf die Spur Information die nicht verändert werden darf wie auch in der itserheit meint man mit Authentizität dass die Spur wirklich die ist von der behauptet wird dass sie es ist wenn von einem blutigen Messer behauptet wird dass es vom Tatort stammt dann ist diese Spur authentisch wenn sie wirklich vom Tatort stammt und es sich nicht beispielsweise um ein blutiges Messer aus einer metzkerei handelt die Authentizität bezieht sich in der Regel also auf den spurträger schauen wir uns ein zweites Beispiel an ein Ermittler findet eine handgeschriebene Notiz am Tatort die auf einem handelsüblichen DINA 4 Blatt geschrieben wurde die spurinformation ist die Bedeutung der auf dem Papier geschriebenen Worte der spurträger ist das dinfierblatt bzw die zum Schreiben der Notiz verwendete Tinte die Integrität der Notiz bezieht sich darauf dass seit dem Zeitpunkt ihrer Sicherstellung keine Veränderungen vorgenommen wurden dies könnte bedeuten dass niemand zusätzliche Linien oder Wörter hinzugefügt Teile der Notiz ausradiert oder die Notiz in irgendeiner Weise physisch verändert hat um den Inhalt oder die Bedeutung der ursprünglichen Nachricht zu manipulieren um die interität zu bewahren wird die Notiz in einem versiegelten Beutel aufbewahrt und in einem beweissicherungsraum also der Aservatenkammer gelagert wo jeder Zugriff sorgfältig dokumentiert wird die Authentizität der Notiz bezieht sich darauf dass sie tatsächlich vom Tatort stammt man könnte jedoch auch eine andere Behauptung aufstellen in einem Kriminalfall könnte die Behauptung lauten dass der Verdächtige die Notiz als Drohung gegen das Opfer geschrieben hat die Authentizität würde durch einen Vergleich der Handschrift mit anderen bekannten Schriftproben des Verdächtigen überprüft zusätzlich könnte die Verwendung von spezifischenem Papier oder einzigartigen tintenmerkmalen die zur selben Person oder einem bestimmten Ort zurückverfolgt werden können die Authentizität der Notiz unterstützen Integrität und Authentizität sollten für Spuren unbedingt gegeben sein betrachten wir noch einmal das Beispiel mit dem blutigen Messer diese Spur behauptet dass sie das blutige Messer vom Tatort ist das in der Leiche gesteckt hat das Opfer selbst hat jedoch auch ein Messer dabei das es zur Selbstverteidigung eingesetzt hat das vorliegende Messer ist das dass das Opfer in der Hand hatte auf dem auch sein Blut zu finden ist die Spur ist somit zwar in tger aber nicht authentisch weil der spurträger nicht der Richtige ist wenn das Messer tatsächlich das ist das in der Leiche gesteckt hat ist aber abgewaschen wurde dann ist die Spur zwar authentisch jedoch nicht in teger da die spurinformation verändert wurde doch wie verhält sich das bei digitalen Spuren und was sind digitale Spuren überhaupt nun eine digitale Spur ist eine Spur die auf Daten basiert die in einem Computersystem gespeichert oder übertragen worden sind soweit so einfach oder würde dann aber nicht auch ein Rechenschieber digitale Spuren produzieren weil man mit ihm ja auch z.B logarithmische SC multiplizieren und dividieren kann h wenn wir als Bedingung allerdings formulieren dass digital Spuren mit der Verarbeitung von Null und ein zusammenhängen könnte jede händisch durchgeführte binäre addition auch digitale Spuren produzieren wir gehen im Folgenden deshalb davon aus dass auch physische Spuren wie beispielsweise die Magnetisierung der Oberfläche einer HDD die in unmittelbaren Zusammenhang zu der Verarbeitung von Null und ein in Computersystem stehen digitale Spuren produzieren dadurch ist es auch möglich die bereits aus der physischen Welt bekannten Begriffe spurinformation und spurträger in die digitale Welt zu übertragen eine digitale spurinformation ist eine diskrete Repräsentation von auf einem spurträger gespeicherten Daten diese diskrete Repräsentation folgt einem bestimmten codierungsschema das beschreibt wann man eine 1 und wann man eine ull lesen soll also z.B 1 für Strom an und 0 für Strom aus der spurträger ist dann z.B eine Festplatte wie eine HDD oder eine SSD je nach Bauart entstehen dabei andere digitale Spuren denn HDDs funktionieren beispielsweise durch magnetisierte Scheiben während SSDs integrierte Schaltkreise besitzen um Daten elektronisch zu speichern und abzurufen spurinformation und spurträger sind dabei sehr lose miteinander gekoppelt es ist möglich Dateien wie z.B Bilder oder Dokumente quasi perfekt zu kopieren also eine exakte Kopie auf einem anderen Speichermedium anzufertigen was es ermöglicht Spuren zu kopieren in der physischen Welt ist das nicht so einfach möglich man kann keine Kopie eines blutigen Messers anfertigen und dieses dann analysieren sondern man muss das Original untersuchen was gegebenenfalls dessen Integrität gefährden kann bei der Analyse digitaler Spuren kann man z.B zuerst eine Kopie der untersuchten Festplatte bzw der darauf befindlichen Daten anfertigen und diese dann untersuchen dafür setzen dermittler in der Regel einen sogenannten WR Blocker ein den wir uns im nächsten Video näher anschauen werden um die Integrität digitaler Spuren zu wahren kann man Hashwerte bilden und dadurch sehr leicht Manipulation an den spurinformationen erkennen zum haschen und Hashfunktion habe ich bereits einige Videos erstellt die du ebenfalls in dieser Playlist findest man könnte also z.B nach der Sicherstellung einer Festplatte einen Hashwert über den gesamten Inhalt anfertigen und diesen dokumentieren wenn die auf der Festplatte gespeicherten spurinformationen manipuliert werden kann man das sehr leicht nachprüfen indem man erneut den Hashwert bildet bereits kleinste Änderungen sorgen in der Regel für einen vollständig anderen Hashwert das ist der sogenannte avalancheeekt Authentizität im Kontext von digitalen Spuren wird meistens über digitale Signaturen sichergestellt dabei kommt ein asymmetrisches Verfahren zum Einsatz bei dem es einen öffentlichen und einen privaten Schlüssel gibt mit dem privaten Schlüssel können Nachrichten digital signiert werden was quasi dem Setzen einer Unterschrift gleich kommmt mit Hilfe des dazugehörigen öffentlichen Schlüssels kann jede Person überprüfen ob die digitale Unterschrift wirklich von demjenigen stammt der behauptet sie gesetzt zu haben aus Gründen der Effizienz wird im Regelfall jedoch nicht die gesamte Nachricht sondern nur der Hashwert signiert eine digitale Spur ist demzufolge genau dann authentisch wenn Sie den richtigen Hash besitzt der von dem Spurensicherer signiert wurde solltest du weitere Fragen haben kannst du sie gerne unten in den Kommentaren posten vielen Dank fürs zusehen und bis zum nächsten Video