Manchmal entscheidet in der IT-Forensik nicht die größte Rechenleistung, sondern die bessere Idee. In diesem anonymisierten Fall lag ein verschlüsseltes MacBook vor, an dem sich eine Ermittlungsbehörde über Wochen die Zähne ausgebissen hatte. Wir haben den Zugang nicht mit roher Gewalt erzwungen, sondern mit dem Wissen, dass Menschen ihre Passwörter fast nie zufällig wählen. Alle Details sind aus Gründen der Vertraulichkeit verändert; das Vorgehen ist echt.
Übergeben wurde ein Apple-Notebook mit aktivierter Festplattenverschlüsselung. Bei modernen Macs sind die Daten standardmäßig vollständig verschlüsselt, der Schlüssel ist an das Anmeldepasswort der Person gebunden. Ohne dieses Passwort ist der Inhalt des Laufwerks nicht mehr als eine Wand aus Zufallszahlen.
Die ermittelnde Stelle hatte bereits über einen längeren Zeitraum versucht, das Passwort zu ermitteln, ohne Erfolg. An diesem Punkt kam der Auftrag zu uns: alle verfügbaren Daten des Geräts bereitstellen.
Der naheliegende Gedanke, einfach alle möglichen Passwörter der Reihe nach auszuprobieren, führt bei guter Verschlüsselung ins Leere. Das Verfahren ist bewusst so gebaut, dass jeder einzelne Rateversuch aufwendig ist: Aus dem eingegebenen Passwort wird der eigentliche Schlüssel erst nach vielen tausend Rechenschritten abgeleitet. Das bremst einen Angreifer massiv aus.
Rechnerisch bedeutet das: Ein zufälliges, ausreichend langes Passwort würde selbst mit spezialisierter Hardware länger standhalten, als jedes Ermittlungsverfahren dauern darf. Wer hier nur auf Rechenleistung setzt, hat den Fall bereits verloren. Genau deshalb war die Behörde nicht weitergekommen.
Die zentrale Erkenntnis der forensischen Praxis lautet: Passwörter sind fast nie zufällig. Sie stammen aus dem Wortschatz eines Menschen, aus seinem Leben, seinen Vorlieben, Namen, Orten, Bands, Haustieren, Redewendungen und wiederkehrenden Zahlen. Wer diesen persönlichen Wortschatz kennt, muss nicht mehr Milliarden Kombinationen prüfen, sondern nur noch einige tausend wirklich wahrscheinliche.
Uns lag zusätzlich zum MacBook eine Sicherung des Smartphones derselben Person vor. Ein Smartphone-Backup ist in dieser Hinsicht eine Fundgrube: Es enthält praktisch den kompletten schriftlichen Wortschatz eines Menschen der letzten Jahre.
Der Unterschied ist gewaltig: Nicht die Zahl aller theoretisch möglichen Passwörter zählt, sondern nur die überschaubare Menge derer, die zu genau diesem Menschen passen.
Das Passwort war tatsächlich in dieser persönlichen Wortliste enthalten. Nachdem die Behörde wochenlang nicht weitergekommen war, konnten wir den Datenträger nach nur zwei Tagen entschlüsseln und den vollständigen Datenbestand für die weitere Auswertung übergeben.
Der Fall zeigt exemplarisch, worauf es in der digitalen Forensik ankommt: nicht die teuerste Hardware entscheidet, sondern das Verständnis dafür, wie Menschen mit Technik umgehen, und die Fähigkeit, aus vorhandenen Spuren die richtige Abkürzung zu finden.
Nein, und das ist auch gut so. Eine starke Verschlüsselung mit einem zufälligen, langen Passwort ist mit vertretbarem Aufwand nicht zu überwinden. Erfolgversprechend wird es, wenn das Passwort einen menschlichen Ursprung hat und wenn zusätzliche Datenquellen vorliegen, aus denen sich der persönliche Wortschatz rekonstruieren lässt. Ob ein Fall lösbar ist, klären wir vorab ehrlich.
Wir werden ausschließlich im Auftrag der berechtigten Stelle tätig, etwa von Ermittlungsbehörden, Gerichten oder den rechtmäßigen Eigentümern eines Geräts, und ausschließlich im gesetzlichen Rahmen. Die forensische Auswertung erfolgt an einer beweissicheren Kopie, das Original bleibt unverändert.
Indem Passwörter nicht aus Namen, Hobbys oder Geburtsdaten gebildet werden, sondern zufällig durch einen Passwortmanager erzeugt und wo möglich um einen zweiten Faktor ergänzt werden. Was gegen kriminelle Angreifer schützt, ist dieselbe Hygiene, die eine berechtigte forensische Auswertung erschwert, deshalb gehört sie zu jeder Sicherheitsstrategie.
Ob verschlüsselter Datenträger, verdächtiger Datenabfluss oder die Aufarbeitung eines Angriffs: In der IT-Forensik sichern wir Spuren gerichtsfest und werten sie methodisch aus. Einen verwandten Fall aus der Praxis der Angriffsaufklärung finden Sie unter Ransomware-Angriff: Die ersten 24 Stunden entscheiden. Wenn Sie eine konkrete Fragestellung haben, klären wir sie in einem kostenlosen Analysegespräch.
Hinweis: Die Informationen stellen keine Rechtsberatung dar. Maßgeblich sind die jeweils geltenden gesetzlichen Regelungen und die individuelle Situation des Unternehmens.
Wir unterstützen Sie bei Eindämmung, forensischer Analyse und der strukturierten Aufarbeitung. Schnell, diskret und nachvollziehbar.