Software gesucht für Forensic - Beweissicherung welche vor Gericht bestand hat

erstmal hier einschreiben und nach abgeschlossenem Studiengang kannste loslegen...

Gruß, Arch Stanton

wenn ich nur ein paar Jahrzente jünger wäre, würde ich mich da einschreiben. Danach kann man sich seinen Arbeitgeber aussuchen.

Gruß, Arch Stanton

Hi !

ich möcht mal behaupten, dass im Extremfall nicht mal die Logfiles eines Proxy vor Gericht bestand haben, darum speichern manche Tools ihre Logs binär, was aber auch keine absolute Sicherheit gibt....

[ot]
Ohjeee 30 das is schon lange her.....
[/ot]

mrtux

Moin nightwishler,

wenn du jetzt zu deinem Cheffe gehst, um ihm den Tenor der Antworten zu übermitteln, dann mach ihm auch klar,
an welcher Stelle er mit seiner/deiner Frage "ich suche eine Software mit welcher man div. Dinge nachprüfen kann." zu kurz greift.

Falsch wäre jedenfalls, wenn beim Cheffe ankommt:

Richtiger wäre schon, was auch in dem hier diskutierten Studiengang "Digitale Forensik" klar gesagt wird

• das ist kein Job für Tools/Scanner/Maschinen oder Automaten
• sondern eine On-Top-Ausbildung/Zusatzqualifikation für gestandene Systemadmins/Sicherheitsbeauftragte oder Kriminalbeamte, die zwischen Gut und NichtGut unterscheiden können und auch wollen.

Wir haben das Thema ja hier relativ regelmäßig in unterschiedlichen Abstufungen -- ich werde den Teufel tun und jedem ### oder Cheffe ein Werkzeug nennen, mit dem er/sie alles scannen/entschlüsseln/knacken/aushebeln kann.

Bei solchen "Tools" oder "Software" würde ich mich ganz konservativ auf den Standpunkt stellen "Darfst du haben, wenn du die Qualifikation dazu erworben hast"..

Ohne Waffenschein keine Uzi und keine Panzerfaust, auch nicht für zu Hause.

Grüße
Biber

Salute,

als normaler Admin sollte man die Finger von Forensik lassen, wenn diese vor Gericht Standhalten sollen.

Es gibt zuviele Auflagen die zu 100% eingehalten werden müssen, und 99,5 % reichen da nicht.

Software gibt es genug ( ich verwende F.I.R.E ), wenn du diese aber nicht beherrscht, richtest du mehr Schaden als, als dir lieb ist und jede weitere
Professionelle Forensik, hast du hier im Keim erstickt.


Forensik gehört nur in absolut Professionelle Hände, an Firmen die Erfahrung mit Gerichtlicher Beweissicherung haben.

Equinox

Hi,

also dass Ausdrucke "nix aus"-sagen wäre mir neu. Vor Gericht kann (fast) alles als Beweismittel vorgelegt werden. Sonst wäre auch jedes Foto, jede Kopie und dergleichen mehr wertlos. Zunächst einmal müsste sich der ehemalige AN ja wehren. Dann müsste er auch noch die Behauptung aufstellen, der Screenshot sei gefälscht. In diesem Zusammenhang würden dann sicherlich alle Beteiligten als Zeugen vernommen, wie es denn zu den Ausdrucken gekommen ist usw.

Selbst wenn du aber eine Software benutzt: Manipulationen wären dennoch möglich. Vor der "Datensicherung".

Ich würde die Festplatte einfach mal als solche aufbewahren und dokumentieren, dass keine Änderungen am Datenbestand vorgenommen werden konnten, nachdem der Mitarbeiter das letzte Mal auf die HD zugegriffen hat.

Grüße aus Köln
Oliver

Wundervollen Montach-Moin, omix,

Klar kannst du dem Gericht fast alles als Beweismittel vorlegen.
Meiner Katze kann ich auch viele verschiedene Sachen vorlegen, wenn sie eigentlich Futter erwartet.
Es wird aber nicht alles dankbar angenommen.

Na - warum sollte er das denn tun? Nur weil er fristlos gekündigt werden soll? Kaum anzunehmen...
Meinst du, da gäbe es kleine Choleriker, die sich wegen einer solchen Lappalie schon wehren würden?
Klar... alle Beteiligten werden vorgeladen, vereidigt und ggf. in Beugehaft genommen.
Wie es bei diesem Ausbund von Gefährdung der öffentlichen Ordnung auch angemessen ist.
Ja hey - hast du vielleicht schon mal am eigenen Leib miterlebt, welcher Aufwand zum Beispiel seitens der Ordnungsorgane betrieben wird, wenn dir das Auto oder der Keller aufgebrochen wurde oder wenn du auf einem S-Bahnhof von ein paar besoffenen Hooligans zusammengetreten wirst?
Und du meinst, bei einem Internetsurfer trommeln die aber alles zusammen?

Wie "als solche"? In Kunstharz giessen?
Das is' ja mal ein geiler Plan! Menno, das da noch niemand drauf gekommen ist außer dir...einfach "dokumentieren, dass keine Änderungen am Datenbestand vorgenommen werden konnten" - dat is' ge-ni- al.

Is da grad Karneval oder so was?

Grüße & Alaaf
Biber

Hi,

bau die Festplatte aus und leg sie in den Safe. Falls es zu Gericht geht kann euer Anwalt ja vorschlagen, die besagte HD einem gerichtlich anerkannten Unternehemen zu übergeben. Die machen dann die Untersuchungen. Vorher noch darauf hinweisen, dass im falle eines (für den Arbeitnehmer) negativen Ergebnisses der die Kosten tragen muß. Das wird der sich sicher 3 mal überlegen (mit Hilfe seines Anwalts), da das nicht gerade billig ist.
Am besten ist noch ihr hinterlegt die HD z.b. bei einem Notar.

Gruß

Na Biber,

du scheinst ja ein echter Spezialist zu sein.


Er ist bereits gekündigt.


Korrekt. Vereidigt wird allerdings nur im Ausnahmefall.


Ja. So rein beruflich. Mehr oder weniger täglich. Im übrigen wäre das hier ein arbeitsgerichtlicher und kein strafrechtliche Prozess. Aber das weißt du - bei deinen scheinbar so fundierten Kenntnissen des deutschen Prozessrechts - ja sicherlich.

Nein. Nicht mal "oder so was". Deshalb habe ich mir auch die Zeit genommen auf deinen - wirklich frisch wirkenden - Kommtar zu antworten.

Grüße (immer noch aus Köln)

Hi !


Was ja hier auch ganz klar erkennbar zur Debatte steht....Könnte es sein, dass Herr Advokat etwas empfindlich auf andere Meinungen reagiert? Nur so eine Vermutung meinerseits...

Darf man fragen, wie lange die Kanzlei schon besteht?

Ich selbst bin jetzt schon seit über 20 Jahren in der IT tätig und habe aus der Erfahrung heraus schon Sachen erlebt, die ich früher niemals für möglich gehalten hätte.....Ich habe u.a. auch schon im Auftrag von IT-Gutachtern gearbeitet und Dinge gesehen, die mich nur zu einem Schluss haben kommen lassen, nämlich dass mit genügend krimineller Energie in dem Bereich so ziemlich alles möglich ist und auch gemacht wird. Von Bildmanipulation über Manipulation von Steuerdaten/Buchhaltungsdaten bis hin zu frisierten Logfiles war da schon alles dabei....

Von daher stimme ich Biber zu, wenn er sagt, dass ein Richter die sogenannten Beweise erst mal anerkennen muss, da ich das bei einem Prozess eines Kunden gegen seinen Francisegeber schon selbst so erlebt habe. Wir betreuten damals die IT des Beklagten...Übrigens, die Beweise (von einem vereidigten IT-Sachverständigen vorgetragen!) wurden damals nicht anerkannt, der Kunde hat den Prozess verloren, die Firma musste dicht machen, obwohl der Beklagte seine Unschuld immer wieder beteuerte und die Beweislage das eigentlich auch klar untermauerte...aber eben nur eigentlich, denn wie gesagt, die Beweise (Überwachungsprotokolle des Netzwerkverkehrs) wurden nicht zugelassen...

Was in der theoretischen Jurisdiktion plausibel klingt, muss in der Praxis noch lange nicht funktionieren....Denn auch noch in hundert Jahren gilt: "Vor Gericht und auf hoher See...." Das ist jetzt klar laienhaft ausgedrückt aber auch nicht von der Hand zu weisen...

mrtux

Hi mrtux,

nein, "Herr Advokat" hat rein gar nichts gegen andere Meinungen; sofern es sich um Meinungen handelt. Wie auch immer. Ich bin seit 10 Jahren als Strafverteidiger tätig, um deine Frage zu beantworten.

Es geht bei der Eingangsfrage offentsichtlich nicht, wenn ich nicht etwas total falsch verstehen sollte, um eine strafrechtiche Problematik, sondern um eine arbeitsrechtliche. Nicht nur das, sondern eine allgemein zivilrechtliche. Strafverfolgungsbehörden nehmen mit, was sie finden (übrigens selten alles, wenn geschickt angestellt). Die Auswertung findet dann nach bestimmten Regeln statt. Die Ergebnisse werden dann als "objektiv" angesehen. Eine Behörde eben. Hier sind wird wir aber gerade nicht. Keine Straftat, keine Behörde, kein Polizist, kein Staatsanwalt.

Sollte sich der ehemalige Mitarbeiter wehren und behaupten, die Ausdrucke seien "gefälscht", müsste die GmbH beweisen, dass er privat im Netz unterwegs war. Dies gelänge u. U. über ein Gutachten (du erwähnst es). Der Gutachter würde die HD unter die Lupe nehmen und schauen, was er findet. Deshalb auch "die Festplatte mal als solche aufbewahren" (@Biber: "als solche" nicht etwa als Backup). Das ist aber nur eine Möglichkeit "privates Surfen" (als Kündigungsgrund, ob es einer ist, ist eine andere Frage) zu beweisen. Irgendwie müssen sie ihm ja auf die schliche gekommen sein. Und da wiederum kommen die Zeugen ins Spiel: Der GF, der Admin oder wer sonst noch was sagen kann.

Das mit krimineller Energie so einiges erreichbar ist, ist hinlänglich bekannt. Auch hierum geht es beider Frage nicht.

Nein, Gerichte müssen Beweise nicht "anerkennen". Beweismittel sind Beweismittel und das Gericht muss sich mit ihnen auseinander setzen, außer sie sind unzulässig ("Mach's Maul auf sonst hau ich dich"). Das ist aber eher selten. Die Qualität, die Wahrhaftigkeit, die Kraft eines Beweismittels ist eine andere Frage. Das macht der Richter im stillen Kämmerlein ganz alleine. Damit liegst du mit dem alten Spruch "Vor Gericht und auf hoher See..." gar nicht mal falsch.

Was den von dir angeführten Prozess angeht, kann ich nur spekulieren. "Überwachung" ist immer irgendwo problematisch. Gerade wenn es um die Verwendung von IT geht (hier muss man schon bei der Formulierung der Arbeitsverträge achtsam sein). Köchelt ganz aktuell vor sich hin (s. hier)

Daher besser immer im Vorfeld beraten lassen, was geht und was nicht

Grüße und danke für den sachlichen Beitrag...

o

Moin omix,

erstmal danke, dass du den Beitrag (und auch mich) wieder auf eine sachliche Ebene zurückgeholt hast.

Zu meinem ...hmmja... etwas unsachlichen Kommentar:

• zu zwei Dritteln war es durch den Wochentag bedingt. (sorry, ist ein persönliches Problem)
• zu einem Drittel allerdings war ich ein wenig albern geworden durch die Verselbständigung dieser Diskussion, die aus meiner Sicht schon ein paar gewagte Schlenker vollzogen hat

Nach meiner Wahrnehmung (ganz subjektiv) war der Aufhänger der Fall eines (so wie ich es las) ohnehin unliebsamen Mitarbeiters, der wegen "surft gerne privat am Arbeitsplatz" gekündigt wurde.

Was ich für mich doch eher so interpretiert habe: "Okay, dieser Grund kam gerade recht."
Denn bei diesem "privaten Surfen" sind zwei Wahrheiten unumstösslich:

• Ja, dem Arbeitgeber und der Volkswirtschaft wird ohne jede Frage und ohne jede Beschönigung ein horrender Schaden zugefügt. Nicht durch die paar Cent Breitbandbelegung, sondern durch die verdaddelte und verbrannte Arbeitszeit.
• Ebenso wahr - jede/r, die die technische Möglichkeit und Gelegenheit zum privaten Surfen hat nimmt sie wahr. Punkt.

Wenn es aber um dieses Surfverhalten geht (und nicht um beispielsweise gewerbsmäßiges Herunterladen und Verbreiten von Software/Filmen/Bildern), dann finde ich das in der Folgediskussion aufgezeigte Szenario mit "Digitaler Forensik", manipulationssichererer Beweissicherung und eben auch der Zeugenbefragung mit der gesamten Abteilung ein bisschen arg überzogen.

Meine Erfahrungen als Geschädigter wie oben angedeutet bei Einbruch, Diebstahl oder Betrug waren eher ernüchternd - die spürbaren Aktivitäten und damit auch das spürbare Interesse an Verfolgung oder Klärung dieser Fälle waren für mich bestenfalls eine kurze vorgefertigte Mitteilung mit "Strafanzeige gegen Unbekannt aufgenommen" und "...Verfahren wurde eingestellt".

Ich kann da nicht so recht die Verhältnismäßigkeit nachvollziehen.

Grüße
Biber

Hi Biber,

kein Problem. Schon vergessen.

Du hast vollkommen recht, dass ein "mal privat rumsurfen" kein Problem sein sollte. Ist es bei mir im Betrieb jedenfalls nicht. Die Frage nach der "Beweissicherung" ist dennoch - unabhängig vom Ausgangsfall - ganz interessant. Nochmals: es geht hier nicht um eine Straftat, bei der Behörden mit allen möglichen Mitteln Beweise sammeln. Das Problem ist vielmehr: wie sichere ich als Privatperson Beweise. Ohne vermutbare und mögliche Manipulation geht das nämlich kaum. Und da kann ich eben aus der Praxis nur sagen: dokumentieren was eben geht (und natürlich ist der Hinweis auf die "digital forensic" hier fehl am Platz). Was man letzlich in einem Prozess verwenden kann oder muss ist steht auf einem anderen Blatt. Wenn aber eine Dokumentationslücke entstanden ist, hebele ich dir fast alles aus.

Auch deinen Unmut über die (zumindest scheinbare) Untätigkeit der Behörden bei Einbrüchen und dergleichen kann ich verstehen.

Also nochmal: Grüße aus Köln
Oliver