Vergängliche Informationen zuerst erkennen

Nicht jede Datenquelle bleibt gleich lange verfügbar. Ein Cloudprotokoll kann eine kurze Aufbewahrung haben, während eine Originalmail im Postfach erhalten bleibt. Erstellen Sie deshalb eine Liste relevanter Quellen mit Verantwortlichem und bekannter Frist. Diese einfache Zuordnung verhindert, dass wichtige Informationen erst nach Ablauf angefordert werden.

Flüchtige Systeminformationen erfordern besondere Fachkenntnis und passende Werkzeuge. Unkoordinierte Neustarts oder Installation beliebiger Analyseprogramme können den Zustand verändern. Notieren Sie deshalb bereits erfolgte Eingriffe und überlassen Sie weitere Sicherungsschritte einem entsprechend abgestimmten Vorgehen.

Herkunft und Änderungen dokumentieren

Eine Kopie wird nachvollziehbarer, wenn Quelle, Zeitpunkt, ausführende Person und Methode feststehen. Prüfsummen können helfen, spätere Veränderungen an gesicherten Dateien zu erkennen; sie beweisen allein jedoch nicht die inhaltliche Wahrheit des ursprünglichen Datensatzes. Der gesamte Entstehungs- und Sicherungskontext bleibt relevant.

Originale, Arbeitskopien und Auswertungsergebnisse sollten klar getrennt sein. Zugriffe werden auf erforderliche Personen begrenzt. Gerade Protokolle können personenbezogene oder vertrauliche Unternehmensinformationen enthalten. Ihr Austausch braucht deshalb einen geeigneten Kanal und eine zum Untersuchungszweck passende Datenmenge.

Handlungsfähigkeit trotz Sicherungsbedarf erhalten

Beweissicherung darf nicht als pauschaler Grund dienen, einen laufenden Schaden unbegrenzt fortzusetzen. Die Verantwortlichen müssen abwägen, welche Eindämmung sofort nötig ist und welche Informationen vorher oder parallel gesichert werden können. Entscheidung und verbleibende Untersuchungslücken werden dokumentiert.

Für eine Anfrage nennen Sie Systemtyp, Vorfallszeitraum und bereits vorgenommene Änderungen. Wenn Daten bei einem Provider liegen, sollte dessen Aufbewahrung früh geklärt werden. Das Ergebnis ist ein nachvollziehbarer Bestand mit klarer Herkunft und Grenzen; eine universelle rechtliche Verwertbarkeit wird dadurch nicht automatisch zugesichert.

Ihre Checkliste für den nächsten Schritt

  • Datenquellen und Aufbewahrungsfristen früh erfassen.
  • Sicherungszeit, Methode und bisherige Änderungen festhalten.
  • Originale und Arbeitskopien geschützt voneinander trennen.

Häufige Fragen

Reicht ein Bildschirmfoto?

Es kann eine Beobachtung belegen, enthält aber häufig weniger Kontext als die Originalquelle. Beide können unterschiedliche Zwecke erfüllen.

Soll ich vor jeder Schutzmassnahme alles kopieren?

Nein. Dringende Schadensbegrenzung und Beweissicherung müssen nach Risiko und technischer Möglichkeit priorisiert werden.

Quellen & weiterführende Informationen

CISA: Umgang mit Vorfallspuren und Wiederherstellung ↗

Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.