94
Datenträger physisch befinden, ist für den Cloud‐Anwender, aber auch für
den Forensiker, in den meisten Fällen nicht feststellbar.
Für die forensische Datenerfassung in der Cloud müssen alternative − aber
ebenso qualitative − Verfahren angewendet werden. Der Forensiker muss
die Daten über logische Schnittstellen (z.B. virtuelle Verzeichnisse,
Datenbanken) sichern. Einige Cloud‐Provider speichern bereits heute zu
jedem Datensatz entsprechende „Hashes“ (digitale Fingerabdrücke), die im
Falle einer forensischen Analyse verwendet werden könnten. Wenn solche
Möglichkeiten für den Cloud‐Nutzer wesentlich sind, ist es wichtig, dass
bereits vorab entsprechende Verfahren vertraglich vereinbart werden. Des
Weiteren sollte auch eine entsprechende technische Dokumentation
existieren, um die Glaubwürdigkeit der Daten sicherzustellen.
Ein wesentlicher Erfolgsfaktor für computerforensische Untersuchungen ist
das Vorhandensein von ausreichenden Log‐Daten. So sollten für Netzwerke,
Systeme und Applikationen die entsprechenden Aufzeichnungen vorhanden
sein. Auch die Verfügbarkeit der Log‐Daten für den Forensiker und die
Aufbewahrungsdauer sollten gemäß gesetzlicher und interner
Vereinbarungen festgelegt werden. Wichtig ist hier eine Synchronisation der
Systemzeiten bei allen Systemen. Bei Analysen werden oft die Log‐Daten
verschiedener Systeme miteinander verknüpft, um Sachverhalte zu
analysieren. Nur anhand synchronisierter Aufzeichnungen können Abläufe
rekonstruiert und Tatvorgänge verstanden werden.
Cloud‐Provider könnten ihre Cloud‐Dienste sogar mit Zusatzleistungen
ergänzen, um mögliche forensische Untersuchungen proaktiv zu
unterstützen. Eine Versionierung von Datenständen, alternative forensische
Speicherung von Daten (wie beispielsweise Kopien aller E‐Mails),
automatische Hashes, entsprechende Schnittstellen zu den Daten, aber auch
die Bereitstellung von Analysetools könnten in den Leistungspaketen
enthalten sein.
Clouds können viele Länder umspannen. Dadurch gelten bei forensischen
Untersuchungen auch unterschiedliche Rechtssysteme. Auch hier sollte
vorab bewertet werden, wie dies im Falle von forensischen Untersuchungen
zu berücksichtigen ist und welche Maßnahmen zu ergreifen sind.
Regelungen für den Fall von Hausdurchsuchungen (Disclosure Management)
sollten vorhanden sein, um hier ein ordnungsmäßiges, aber auch
kontrolliertes Vorgehen sicherzustellen.
Eine entsprechende Organisationsstruktur, die Cloud‐Anwender, Cloud‐
Provider und weitere interessierte Parteien umspannt, sollte geschaffen
