ISO/IEC 27037 Informationstechnik – Sicherheitstechniken – Identifizierung, Sammlung, Erfassung und Aufbewahrung digitaler Beweismittel

Die von der Internationalen Organisation für Normung (ISO) veröffentlichte Norm ISO/IEC 27037 „Informationstechnik – Sicherheitstechniken – Leitfaden zur Identifizierung, Sammlung, Erfassung und Aufbewahrung digitaler Beweismittel“ bietet Anleitungen für spezifische Tätigkeiten bei der Verarbeitung digitaler Beweismittel. Diese Tätigkeiten umfassen die Identifizierung, Sammlung, Erfassung und Aufbewahrung digitaler Beweismittel mit Beweiswert. Die Norm bietet Anwendern Hilfestellung in häufig auftretenden Situationen bei der Verarbeitung digitaler Beweismittel und unterstützt Organisationen beim Austausch potenzieller digitaler Beweismittel in Disziplinarverfahren und zwischen verschiedenen Rechtsordnungen.

Diese Norm bietet Richtlinien für die folgenden Geräte oder Funktionen, die in verschiedenen Situationen verwendet werden:

• Digitale Speichermedien, die in Standardcomputern verwendet werden, wie z. B. Festplatten, Disketten, optische und magneto-optische Datenträger, sind Datenspeicher mit ähnlichen Funktionen.
• Mobiltelefone, persönliche digitale Assistenten, persönliche elektronische Geräte (PEDs), Speicherkarten.
• Mobile Navigationssysteme.
• Digitalkameras und Videokameras (einschließlich Überwachungskameras).
• Standardmäßige, netzwerkfähige Computer.
• Netzwerke, die auf TCP/IP und anderen digitalen Protokollen basieren.
• Geräte mit ähnlichen Funktionen wie die aufgeführten.

Diese Geräteliste dient lediglich der Veranschaulichung und ist nicht vollständig. Die oben aufgeführten Geräte existieren in verschiedenen Ausführungen. Beispielsweise kann ein Fahrzeugsystem ein mobiles Navigationssystem, einen Datenspeicher und ein Sensorsystem umfassen.

Die Norm ISO/IEC 27037 ist Teil der umfassenderen Normenfamilie ISO/IEC 27000 für Informationssicherheitsmanagementsysteme, konzentriert sich aber speziell auf den ersten Umgang mit digitalen Beweismitteln im Kontext von digitaler Forensik und elektronischer Beweissicherung. Diese Norm richtet sich primär an Ersthelfer, Experten für digitale Forensik, Strafverfolgungsbehörden, Incident-Response-Teams und Organisationen, die potenziell digitale Beweismittel forensisch einwandfrei sichern müssen.

Bei strafrechtlichen Ermittlungen, internen Untersuchungen, Zivilprozessen oder der Reaktion auf Zwischenfälle kann unsachgemäß behandeltes digitales Beweismaterial zu Folgendem führen:

• Es könnte vor Gericht unzulässig werden.
• Es kann verunreinigt oder verändert sein.
• Aufgrund einer lückenhaften Beweiskette kann der Beweiswert des Dokuments sinken.

Der ISO/IEC 27037-Standard bietet einen weltweit anerkannten Rahmen zur Gewährleistung der Integrität, Authentizität und Zuverlässigkeit der Anfangsphasen des Beweisverarbeitungsprozesses, ab dem Zeitpunkt der Identifizierung potenzieller Beweismittel.

Dieser Standard behandelt explizit die vier grundlegenden Phasen, die vor Beginn der eingehenden forensischen Analyse stattfinden:

• Identifizierung: Feststellung, welche Geräte, Daten oder Medien relevante digitale Beweismittel enthalten könnten.
• Sammlung: Sammeln von potenziellen Beweismitteln am Tatort oder in der Umgebung.
• Datenerfassung: Erstellung forensisch einwandfreier Kopien oder Abbilder der Daten.
• Schutz: Sicherstellen, dass Beweismittel (sowohl Originale als auch Kopien) vor Veränderung geschützt sind und die Beweiskette ordnungsgemäß dokumentiert wird.

Wichtig zu beachten ist, dass die Norm ISO IEC 27037 keine Laboranalysen, Untersuchungen oder Rekonstruktionen von Daten abdeckt (diese werden in verwandten Normen wie ISO IEC 27041, ISO IEC 27042, ISO IEC 27043 und ISO IEC 27050 behandelt).

Die Norm ISO IEC 27037 basiert auf mehreren grundlegenden Prinzipien:

• Ehrlichkeit: Beweismittel dürfen in keiner Weise verändert werden, die ihre Glaubwürdigkeit beeinträchtigen könnte.
• Authentizität: Es muss möglich sein, nachzuweisen, dass die Beweise so sind, wie behauptet.
• Wiederholbarkeit: Die Prozesse müssen von einer anderen autorisierten Person wiederholbar sein.
• Beweiskette: Jede Person, die die Beweismittel bearbeitet, und jede getroffene Maßnahme muss dokumentiert werden.
• Auswirkungen minimieren: Wo immer möglich, sollten Beweise gesammelt werden, ohne den laufenden Betrieb unnötig zu stören (besonders wichtig in laufenden Unternehmensumgebungen).
• Kompetenz: Das Personal muss entsprechend geschult und kompetent sein.

Die Norm ISO IEC 27037 definiert die verschiedenen Rollen, die am ersten Prozess der Beweismittelverarbeitung beteiligt sind:

• Ersthelfer für digitale Beweismittel: Dies ist in der Regel die erste Person, die am Einsatzort eintrifft.
• Spezialist für digitale Beweismittel: Dies ist jemand mit ausgeprägten technischen Fähigkeiten, der den Datenerfassungsprozess durchführen kann.
• Ermittler/Anforderer: Die Person, die die Ermittlungen leitet.

Die Norm ISO/IEC 27037 bietet detaillierte Anleitungen und Checklisten für gängige Anwendungsfälle. Dazu gehören:

• Sicherung und Beurteilung des Tatorts.
• Identifizierung potenzieller Quellen digitaler Beweismittel (Computer, mobile Geräte, Cloud-Speicher, IoT-Geräte usw.).
• Priorisierung der Beweiserhebung (vorläufige und endgültige Daten).
• Sachgemäßer Umgang mit offenen und geschlossenen Geräten.
• Der Einsatz von Schreibblockern während des Akquisitionsprozesses.
• Erstellung forensischer Images (Bit-für-Bit-Kopien) und Berechnung kryptografischer Hashwerte.
• Etikettierung, Verpackung und Transport digitaler Medien.
• Dokumentvorlagen (Beweisaufzeichnungen, Formulare zur Beweiskettendokumentation).

Die Norm ISO IEC 27037 wird im Allgemeinen von folgenden Organisationen verwendet:

• Strafverfolgungsbehörden und staatliche forensische Labore.
• Unternehmensweite Teams für die Reaktion auf Sicherheitsvorfälle und digitale Forensik.
• Private Rechtsdienstleister.
• Informationssicherheitsexperten, die sich mit dem Vorfallmanagement befassen.
• Rechtsteams, die E-Discovery-Verfahren durchführen.
• Alle Organisationen, die für die ordnungsgemäße Erfassung digitaler Beweismittel gerüstet sein wollen.

Zusammenfassend lässt sich sagen, dass die Norm ISO/IEC 27037 eine wichtige Lücke schließt, indem sie die ersten Schritte der digitalen Beweismittelverarbeitung standardisiert. Diese werden häufig unter Zeitdruck von Nicht-Fachkräften (z. B. Ersthelfern, IT-Personal oder Sicherheitsbeamten) durchgeführt. Die korrekte Durchführung dieser ersten Schritte erhöht die Wahrscheinlichkeit, dass die Beweismittel später vor Gericht oder im Rahmen einer Untersuchung zulässig und verlässlich sind, erheblich.

Auch wenn eine Organisation nie strafrechtlich verfolgt wird, trägt die Einhaltung des ISO/IEC 27037-Standards dazu bei, dass Untersuchungen nachvollziehbar, wiederholbar und zuverlässig sind.

Kurz gesagt: Wenn Sie Beweismaterial von einer Festplatte, einem Telefon oder einem Cloud-Konto sichern oder kopieren müssen, erklärt Ihnen die Norm ISO IEC 27037, wie Sie dies gleich beim ersten Mal richtig machen.

Seit vielen Jahren versteht unsere Organisation mit ihren kompetenten und erfahrenen Mitarbeitern die Bedürfnisse ihrer Kunden, bietet ihnen die benötigten fortschrittlichen Testdienstleistungen und unterstützt sie beim Aufbau, der Implementierung und der Verbesserung von Managementsystemen. In diesem Rahmen bieten wir auch Testdienstleistungen gemäß der Norm „ISO IEC 27037 Informationstechnik – Sicherheitstechniken – Leitfaden zur Identifizierung, Sammlung, Erfassung und Aufbewahrung digitaler Beweismittel“ an.