BIN434: Digitale Forensik

Wahlpflicht-Module

BIN434: Digitale Forensik

Kurzporträt BIN434: Digitale Forensik
Worum geht es? Digitale Forensik befasst sich mit der methodischen Sicherung, Untersuchung und Bewertung digitaler Spuren. Studierende analysieren Daten aus Datenträgern, Betriebssystemen, Arbeitsspeicher, Netzwerken und Protokolldateien. Ziel ist eine nachvollziehbare Rekonstruktion von Ereignissen.
Wofür braucht man es? Forensische Kompetenzen werden in Incident-Response-Teams, Security Operations Centern, Beratungsunternehmen, internen Sicherheitsabteilungen und Strafverfolgungskontexten benötigt. Sie schaffen belastbare Grundlagen für Eindämmung, Wiederherstellung und weitere Entscheidungen nach Sicherheitsvorfällen.
Wieso ist es interessant? Digitale Angriffe und Fehlhandlungen hinterlassen Spuren, die oft über viele Quellen verteilt sind. Das Modul zeigt, wie aus fragmentarischen Daten eine begründete Geschichte entsteht und warum Integrität, Reproduzierbarkeit und saubere Dokumentation entscheidend sind.
Modulverantwortung

Prof. Dr. Nils Kopal

Lehrperson(en)
  • Prof. Dr. Nils Kopal
  • Prof. Dr.-Ing. Martin Grothe
Verwendbarkeit

Bachelor Informatik

Fächergruppe

Informatik

Modultyp
Wahlpflicht
Sprache

Deutsch

Angebot

Wintersemester

Dauer

1 Semester

Credits

5 ECTS

Benotung

Deutsche Notenskala 1-5

SWS

2 V | 2 Ü | - P | - S

Workload
Präsenzstudium: 45 Std. Selbststudium: 90 Std.
Engl. Titel

Digital Forensics

Empfohlene Voraussetzungen
  • BIN008: Grundlagen der IT-Sicherheit: Angriffe, Schwachstellen, Sicherheitsvorfälle.
  • BIN005: Systemsoftware: Betriebssysteme, Dateisysteme, Prozesse.
  • BIN007: Datennetze: Protokolle, IP-Netze, Netzwerkdienste.
  • BIN432: Sichere Ausführungsumgebungen: Isolation, Härtung, Systemkonfiguration.
  • BIN433: Ethisches Hacken: Schwachstellen, Angriffswege, Reporting.
Lernergebnisse / Kompetenzen
WAS

Mit erfolgreichem Abschluss des Moduls sind die Studierenden in der Lage, einen digitalen Sicherheitsvorfall methodengerecht zu untersuchen, relevante Spuren nachvollziehbar zu sichern und aus den erhobenen Befunden eine fachlich belastbare Ereignisrekonstruktion abzuleiten.

WOMIT

Die Studierenden erreichen dieses Lernergebnis, indem sie

  • Untersuchungsauftrag, rechtliche Rahmenbedingungen und Zuständigkeiten bestimmen,
  • digitale Spuren und Beweismittel identifizieren und hinsichtlich Flüchtigkeit und Bedeutung priorisieren,
  • forensische Sicherungen unter Wahrung von Integrität, Nachvollziehbarkeit und Chain of Custody planen,
  • Datenträger-, Dateisystem-, Betriebssystem-, Speicher-, Netzwerk- und Logdaten untersuchen,
  • Zeitangaben, Benutzeraktivitäten, Prozesse, Dateien und Netzwerkverbindungen korrelieren,
  • Hypothesen über Ablauf, Ursache und Auswirkungen eines Sicherheitsvorfalls entwickeln und prüfen,
  • Grenzen und Unsicherheiten forensischer Verfahren bewerten,
  • Untersuchungsschritte, Befunde und Ergebnisse reproduzierbar für technische und nichttechnische Adressaten aufbereiten.
WOZU

Die Studierenden nutzen diese Kompetenzen, um digitale Sicherheitsvorfälle nachvollziehbar zu rekonstruieren und belastbare Grundlagen für Reaktion, Wiederherstellung und weitere Entscheidungen bereitzustellen. Das Modul bereitet auf das Capstone-Projekt IT-Sicherheit vor.

Inhalte
  • Ziele, Phasen und Grenzen digitaler Forensik
  • Rechtliche und organisatorische Rahmenbedingungen, Autorisierung und Datenschutz
  • Chain of Custody, Beweissicherung, Schreibschutz, forensische Abbilder und Hashwerte
  • Datenträger- und Dateisystemforensik
  • Betriebssystemforensik, Benutzerkonten, Sitzungen, Persistenz und Dienste
  • Loganalyse, Korrelation und Manipulationserkennung
  • Netzwerkforensik und Grenzen verschlüsselter Kommunikation
  • Speicherforensik, Prozesse, Module, Verbindungen und Indikatoren
  • Zeitlinienanalyse und Ereignisrekonstruktion
  • Hypothesenbildung, Befundbewertung, Unsicherheiten und Lücken
  • Incident Response, Eindämmung, Wiederherstellung und Lessons Learned
  • Forensische Berichterstattung und adressatengerechte Präsentation
Prüfungsvorleistung

Erfolgreiche Bearbeitung ausgewählter forensischer Laborübungen mit Kurzprotokollen; unbenotet.

Prüfungsleistung

Studien- oder Projektarbeit. Das Prüfungskonzept ist als Projektarbeit in Form einer forensischen Falluntersuchung mit schriftlichem Untersuchungsbericht und individuellem Fachgespräch (20 Minuten) ausgestaltet. Grundlage ist ein bereitgestellter Datensatz zu einem simulierten Sicherheitsvorfall.

Literatur
  • Brian Carrier: File System Forensic Analysis. Addison-Wesley, 2005.
  • Eoghan Casey: Digital Evidence and Computer Crime. 3. Auflage, Academic Press, 2011.
  • Bill Nelson, Amelia Phillips, Christopher Steuart: Guide to Computer Forensics and Investigations. 6. Auflage, Cengage, 2019.
  • Jason Luttgens, Matthew Pepe, Kevin Mandia: Incident Response and Computer Forensics. 3. Auflage, McGraw-Hill, 2014.
  • Michael Hale Ligh, Andrew Case, Jamie Levy, Aaron Walters: The Art of Memory Forensics. Wiley, 2014.
  • National Institute of Standards and Technology: Guide to Integrating Forensic Techniques into Incident Response. NIST SP 800-86, 2006.