Digitale Chain of Custody | Decripte Security

Die Chain of Custody ist der dokumentierte Prozess, der die Abfolge von Kontrolle, Übergabe, Analyse und Verbleib digitaler Beweise erfasst. Sie ist grundlegend, um die rechtliche Zulässigkeit und Integrität der Beweise in Ermittlungen und Gerichtsverfahren zu gewährleisten.

Rechtliche Bedeutung der Chain of Custody

Damit digitale Beweise in Gerichtsverfahren zulässig sind, ist es notwendig, nachzuweisen, dass sie integer erhoben, bewahrt und analysiert wurden, ohne Manipulation oder Kontamination.

Ein Bruch in der Chain of Custody kann zum Ausschluss von Beweisen führen und so strafrechtliche Ermittlungen oder zivilrechtliche Klagen beeinträchtigen. Im Unternehmenskontext können schlecht bewahrte Beweise Maßnahmen gegen böswillige Mitarbeiter verunmöglichen oder die Schadensregulierung begrenzen.

Grundlegende Prinzipien

Reihenfolge der Flüchtigkeit: Beweise in absteigender Reihenfolge der Flüchtigkeit erheben - zuerst Speicheraufzeichnungen, dann Logs, Festplatten, Backups, physische Dokumentation.

Nicht-Veränderung: Originalbeweise dürfen nicht verändert werden. Stets mit bitgenauen forensischen Kopien arbeiten, die per Hash verifiziert sind.

Vollständige Dokumentation: Jede Handlung muss dokumentiert werden: wer sie erhoben hat, wann, wo, wie, welche Werkzeuge verwendet wurden, welche Hashes berechnet wurden.

Nachverfolgbarkeit: Eine Aufzeichnung jeder Person führen, die Zugang zum Beweis hatte, einschließlich Verwahrung, Analyse und Übergaben.

Phasen der Chain of Custody

1. Identifizierung: Potenzielle Beweisquellen lokalisieren und dokumentieren. Den Ausgangszustand vor jeder Handhabung fotografieren und festhalten.

2. Erhebung: Beweise mit geeigneten forensischen Methoden erfassen. Für Festplatten bitgenaue Images mit Write Blockern erstellen. Für den Speicher einen vollständigen Dump erfassen.

3. Hash/Integrität: Kryptografische Hashes (MD5, SHA-256) der Originalbeweise und Kopien zur Integritätsprüfung berechnen.

4. Bewahrung: Originalbeweise an einem sicheren, versiegelten Ort lagern, mit physischer und umgebungsbezogener Zugangskontrolle (Temperatur, Luftfeuchtigkeit).

5. Analyse: Ausschließlich mit verifizierten Kopien arbeiten, niemals mit Originalen. Alle durchgeführten Analysen dokumentieren.

6. Präsentation: Einen Sachverständigenbericht erstellen, der Methodik, Befunde und Schlussfolgerungen detailliert darlegt, mit beigefügter Chain of Custody.

7. Rückgabe/Entsorgung: Nach Abschluss des Falls die Beweise an den Eigentümer zurückgeben oder gemäß den Aufbewahrungsrichtlinien sicher entsorgen.

Chain-of-Custody-Formular

Jeder Beweis muss ein eigenes Formular haben, das Folgendes enthält:

Beweisidentifikation: Eindeutige Kontrollnummer, detaillierte Beschreibung (Marke, Modell, Seriennummer), Erhebungsort.

Erste Erhebung: Name des Erhebenden, Datum/Uhrzeit, anwesende Zeugen, Zustand des Beweises, verwendete Werkzeuge.

Hashes: MD5, SHA-256 des Originalbeweises und jeder erstellten Kopie.

Übergabeprotokoll: Tabelle mit jeder Übergabe, einschließlich: Name des Übergebenden, Name des Empfängers, Datum/Uhrzeit, Zweck, Unterschriften.

Lagerort: Wo der Beweis physisch aufbewahrt wird, Siegel-/Plombennummer.

Durchgeführte Analysen: Log jeder Analyse: Analyst, Datum, Werkzeuge, zusammengefasste Befunde.

Erhebung Digitaler Beweise

Festplatten und Speichermedien: Write Blocker verwenden, um versehentliches Schreiben zu verhindern. Forensische Images mit Werkzeugen wie dd, FTK Imager, EnCase erstellen. Hashes berechnen und dokumentieren.

RAM-Speicher: Vor dem Herunterfahren des Systems erfassen, da er flüchtig ist. Werkzeuge: LiME, DumpIt, FTK Imager (memory dump).

Systemlogs: Zentralisierte (SIEM) und lokale Logs erheben. Im nativen Format und auch als reinen Text zur Analyse exportieren.

Netzwerkbeweise: Paketmitschnitte (PCAPs), Firewall-/Proxy-Logs, Dumps aktiver Verbindungen.

Cloud und SaaS: APIs und Werkzeuge des Anbieters für den Datenexport verwenden, unter Wahrung der Chain of Custody. Erhebungsbeschränkungen dokumentieren.

Mobilgeräte: Spezialisierte Werkzeuge wie Cellebrite, Oxygen Forensics. Flugmodus, um Fernveränderungen zu verhindern.

Forensische Werkzeuge

Erfassung: FTK Imager, dd/dcfldd, Guymager, Magnet ACQUIRE.

Analyse: Autopsy, Sleuth Kit, EnCase, X-Ways Forensics, Volatility (Speicher).

Hash/Verifizierung: md5sum, sha256sum, HashMyFiles, in forensische Werkzeuge integrierte Verifizierung.

Timeline: log2timeline/Plaso zur Erstellung detaillierter forensischer Timelines.

Mobile: Cellebrite UFED, Oxygen Forensics, XRY, Andriller.

Integritätsprüfung

Kryptografische Hashes sind unerlässlich, um zu beweisen, dass ein Beweis nicht verändert wurde:

MD5: Veralteter Algorithmus, noch in Gebrauch, aber aufgrund theoretischer Kollisionen nicht mehr als alleiniger Hash empfohlen.

SHA-256/SHA-512: Empfohlen für neue Fälle, kollisionsresistent.

Re-Hashing: Periodisch die Hashes bewahrter Beweise neu berechnen, um Mediendegradation oder Korruption zu erkennen.

Write Once Media: Für die Langzeitbewahrung WORM-Medien in Betracht ziehen (Write Once Read Many).

Physische Bewahrung

Verpackung: Beweise in antistatischen Beuteln mit Identifikationsetiketten versiegeln. Vor und nach der Versiegelung fotografieren.

Kontrollierte Umgebung: In einem Raum mit Temperatur-, Luftfeuchtigkeits- und Zugangskontrolle lagern. Idealerweise ein Safe oder Tresorraum.

Protokollierter Zugang: Physisches Zugangskontrollsystem, das erfasst, wer den Beweislagerbereich betritt und wann.

Beweis-Backup: Mehrere verifizierte Kopien erstellen und sie an getrennten Orten zur Redundanz lagern.

Analysedokumentation

Jeder Schritt der forensischen Analyse muss dokumentiert werden:

Methodik: Den Ansatz und die verwendeten Techniken beschreiben, mit Verweis auf anerkannte Frameworks (NIST, ISO 27037).

Werkzeuge und Versionen: Alle Werkzeuge mit den exakten Versionen auflisten, die in der Analyse verwendet wurden.

Ausgeführte Befehle: Bei Analysen über CLI die exakten Befehle und relevanten Outputs festhalten.

Befunde: Gefundene Beweise mit Screenshots, Log-Auszügen, Verweisen auf spezifische Dateien dokumentieren.

Timeline: Die Chronologie der Ereignisse auf Basis digitaler Artefakte rekonstruieren (Datei-Timestamps, Logs usw.).

Sachverständigenbericht

Der Abschlussbericht muss vollständig und für Laien verständlich sein:

Executive Summary: Management-Zusammenfassung mit den wichtigsten Befunden für Nicht-Techniker.

Chain of Custody: Vollständige Chain-of-Custody-Formulare beifügen.

Detaillierte Methodik: Technischer Abschnitt, der erklärt, wie die Analyse durchgeführt wurde.

Beweise und Befunde: Detaillierte Darstellung jedes Beweises mit Analyse und Interpretation.

Schlussfolgerungen: Technische Schlussfolgerungen auf Basis der Beweise, unter Vermeidung von Spekulationen über das hinaus, was die Daten stützen.

Anhänge: Vollständige Logs, Screenshots, Hashes, Tabellen analysierter Dateien.

Spezifische Herausforderungen

Verschlüsselung: Verschlüsselte Beweise erfordern die Beschaffung von Schlüsseln oder Passwörtern. Entschlüsselungsversuche und Beschränkungen dokumentieren.

Anti-Forensik: Gegner können Anti-Forensik-Techniken einsetzen (wiping, timestomp, Steganografie). Anzeichen von Anti-Forensik dokumentieren.

Cloud: Jurisdiktion, Anbieterabhängigkeit, Daten in mehreren Regionen. Erhebungsbeschränkungen dokumentieren.

IoT: IoT-Geräte mit begrenztem Speicher und proprietären Protokollen stellen einzigartige Erfassungsherausforderungen dar.

Rechtliche Aspekte in Brasilien

Strafprozessordnung: Art. 158-184 behandeln die Begutachtung. Art. 159 bestimmt, dass die Untersuchung des Corpus Delicti von offiziellen Sachverständigen durchgeführt wird.

Bürgerrechtsrahmen für das Internet: Gesetz 12.965/2014, Art. 10-11 behandeln die Aufbewahrung von Logs und die Anforderungen an die Aufhebung der Vertraulichkeit.

LGPD: Gesetz 13.709/2018 wirkt sich auf die Erhebung und Verarbeitung personenbezogener Daten während Ermittlungen aus. Berechtigtes Interesse und die Erfüllung einer rechtlichen Verpflichtung sind anwendbare Grundlagen.

Carolina-Dieckmann-Gesetz: Gesetz 12.737/2012 stellt Eindringen in Geräte unter Strafe und ist häufig die Grundlage für forensische Ermittlungen.

Zertifizierungen und Schulung

Fachkräfte, die mit digitalen Beweisen umgehen, sollten eine anerkannte Qualifikation anstreben:

International: GCFE (GIAC Certified Forensic Examiner), EnCE (EnCase Certified Examiner), CHFI (Computer Hacking Forensic Investigator), CCFP (Certified Cyber Forensics Professional).

National: Zertifizierungen, die von offiziellen Sachverständigen und brasilianischen Institutionen der Kriminalbegutachtung angeboten werden.

Auf dem Laufenden zu bleiben mit der Entwicklung von Technologien, Anti-Forensik-Techniken und rechtlichen Änderungen ist grundlegend.

Automatisierung und Management

LIMS (Laboratory Information Management Systems): Software zur Verwaltung von Beweisen, Fällen und Chain of Custody in Organisationen mit signifikantem Volumen.

RFID/Barcodes: Tags zur automatisierten Nachverfolgung der Beweis- bewegung.

Digital Signatures: Digitale Signatur auf Chain-of-Custody-Dokumenten zur Nichtabstreitbarkeit.