Erklärung
Ein einfaches Kopieren von Dateien erfasst nur die sichtbaren Inhalte. Ein forensisches Abbild dagegen kopiert den gesamten Datenträger Sektor für Sektor, einschließlich nicht zugewiesener Bereiche, in denen Reste gelöschter Daten liegen können. Beim Erstellen werden Schreibzugriffe auf das Original durch geeignete Hardware oder Software verhindert (Schreibschutz).
Zur Kontrolle wird ein Hashwert des Originals und des Abbilds berechnet. Stimmen sie überein, ist das ein starker Hinweis, dass die Kopie inhaltlich identisch ist (Integritätsprüfung). Die Analyse arbeitet danach am Abbild oder an Arbeitskopien, sodass das Original als Referenz erhalten bleibt.
Nicht jedes Medium lässt sich einfach abbilden. Verschlüsselte Geräte, Smartphones, SSDs mit Bereinigungsfunktionen und Cloud-Speicher erfordern angepasste Vorgehensweisen, die nicht immer zu einer vollständigen Kopie führen. Was gesichert werden konnte und was nicht, gehört in die Dokumentation.
Typisches Beispiel (schematisch)
Die Festplatte eines Arbeitsplatzrechners wird ausgebaut, über einen Schreibschutz angeschlossen und als Abbild gesichert. Der Hashwert wird notiert. Die Auswertung erfolgt am Abbild.
Bedeutung für Forensik und Ermittlungen
Das Abbild erlaubt wiederholbare Analysen, ohne das Original zu verändern. Es ist Voraussetzung, um Aussagen später überprüfbar zu machen.
Erkennung und Prävention
Betroffene Geräte sollten ausgeschaltet beziehungsweise nicht weiter genutzt werden, bis geklärt ist, wie sie gesichert werden. Eigene „Rettungsversuche“ verändern häufig Spuren.
Auch gesucht als Forensic Image, Disk Image, Image, bitgenaue Kopie, Datenträgerabbild, Forensische Kopie, Bit-für-Bit-Kopie, Sektorkopie, Forensik-Image