Was findet die Polizei in einer forensichen Computerdurchsuchung?

>Wahrscheinlich guckt sich die Polizei ja nicht jede einzelne Datei auf
>dem Computer an, oder?

Wie kommst du auf diese absurde Idee?

Wenn ein Mordopfer untersucht wird, sieht sich der Gerichtsmediziner ja 
auch jedes Organ und jeden Quadratzentimeter Haut an. Oder glaubst du, 
wenn er ein Einschussloch sucht und keines findet, dass er dann die 
Stichwunden und Würgemale ignoriert?

Wenn ein Computer auf Grund irgendwelcher Verdachtsmomente konfisziert 
wird, kannst du deinen Arsch oder sonstwas darauf verwetten, dass sich 
die Polizei JEDE Datei ansieht.

Natürlich wird das zum größten Teil automatisiert mit spezieller 
Software passieren.

Doch, da wird komplett durchsucht. Die Festplatte wird ausgebaut und auf 
einem anderen Rechner mit einem speziell für Forensik gedachtem Programm 
vollständig durchsucht und indiziert und davon eine Datenbank erstellt. 
Und diese Datenbank kann dann nach allen möglichen Merkmalen durchwühlt 
werden, Querverweise, Vergleiche usw. sind möglich. Also nix mit Dateien 
einzeln manuell suchen. So ist es viel gründlicher.

Ossi Losskopp schrieb:
> Illegales Material hat man auf ner MicroSD Karte. Wenns morgens klingelt
> legt man sie unter die Zunge. Wenns die Polizei ist schluckt man sie
> runter (die Karte).

Letztes Mal haben verkleidete Kinder geklingelt (Halloween) - vor 
Schreck habe ich die SD-Karte heruntergeschluckt. Mann, hat das zwei 
Tage später wehgetan.

Stephan S. schrieb im Beitrag #3382578:
> Die holen auch Haare und Schuppen aus der Tastatur und speichern
> deren
> DNA in der DNA-Datenbank ab, wie ebenfalls Fingerabdrücke am Gerät.
> Damit wird die Beweisaufnahme gerichtsfest gemacht.
Du kennst den Unterschied zwischen gesunder und krankhafter Paranoia?

Erstens brauchen sie dazu deine schriftliche Einverständniserklärung,
Zweitens kann sich das eine Staatsanwaltschaft nicht leisten, wenn sie 
nicht gerade eine "besonders schwerwiegende Tat"* aufklären wollen.

Normalerweise läuft das so:
Zwei Streifenpolizisten klingeln früh morgens und begehren aufgrund 
eines Durchsuchungsbeschlusses Einlass. In der Regel haben die beiden 
von Computern genausoviel Ahnung wie jeder zweite Deutsche auch (Rentner 
und Kinder eingeschlossen) - sprich sie erkennen einen typischen 
Computer, wenn sie davor stehen.
Ist der noch an und es geht um Internetkriminalität, die vom BKA 
untersucht wird, dann stöpseln die mittels Handbuch "Beipackzettel" 
einen Stick an den PC und ziehen ein Speicherabbild des RAM (die Technik 
ist relativ neu und kaum im Gebrauch).
Dann wird der Comuter eingesackt mit allem, was von den Polizisten als 
"Computerdatenträger" erkannt wird: Die uralten Floppies und Treiber-CDs 
genauso wie die DVD "mein tagebuch", nicht jedoch das CD-Booklett vom 
Weißem Album der Beatles, wo eigentlich "kinder-Strips Vol 1-4" oder 
"der günstigste Pott - Wer liefert welche Drogen" drin steckt.
Das alles landet dann beim LKA (oder BKA) und liegt erstmal 4-20 
Wochen** Lager. Irgendwann hat auch der völlig überarbeitete 
IT_Forensiker dein PC
in der Hand und startet durch - mit dem Papierkram (Alle Teilenummern 
uns SN notieren, alle Platten ausbauen.)
Die werden dann an ein Forensik-PC gesteckt, der nur zwei Besonderheiten 
hat.
Erstens: ein "speziellen" HDD-Anschluß, der elektronisch alle 
Schreiboperationen vom (Forensik-)PC Richtung dieses Anschlusses 
ausfiltert
Zweitens: eine Sammlung von Tools und Scripten, die die gesamte Platte 
Kopieren und Indizieren (Directories mit Fileangaben + zusätzlich je ein 
Hash über die Datei; das ganze noch über die freien Bereiche der 
Platte).
das Kopieren läuft in etwa wie unter Linux mit "dd if=/dev/sde 
of=/dev/sdb"
 auf eine neue Platte.
Dort wird dann grob auf Unregelmäßigkeiten im Dateisystem gesucht 
(versteckte Bereiche) und die Dateien quasi mit "cat /* | grep 
kinderarbeit***" durchsucht. Je nachdem, was gesucht wird, schauen die 
Forensiker genauer hin oder kümmern sich (als überlastete Einzelkämpfer) 
in der Zwischenzeit um den nächsten Fall. (aufschrauben, Inventur, 
Platten raus...). Nach mulimedialem Kinder-prnomaterial wird z.b. 
übrigens mittels einer riesigen Hashliste gesucht, die Hashes aller dem 
BKA bekannten Dateien mit Kinder-prnos enthalten. Und die Sammlung soll 
wohl so groß sein, daß sie der Traum aller Pädophilen sei :D

Verschlüsselungen werden mit StandardPWs mit obiger Toolsammlung 
automatisch "be-bruteForced", ansonsten sein gelassen (nur in bestimmten 
Fällen werden Experten hinzugezogen). Gelegentlich versucht man sich im 
Dummfang: beim Eigentümer nach dem PW zu fragen, "um die Ermittlungen zu 
beschleunigen" -> hier gilt: SCHNAUZE HALTEN!
Üblich ist jedoch, daß verschlüsselte oder mit illegalem Inhalt 
befundene PCs gar nicht zurückgegeben werden, nicht mal ohne Platte!

*das ist keine Floskel, sondern ein definierter Begriff
**Hilfreich ist in_jedem_Fall ein Anwalt mit (Straf-)Prozeßerfahrung. 
Ansonsten dauert die Wartezeit eher 20 statt 4 Wochen. Eifriges nerfiges 
anwaltliches Nachfragen bei der Staatanwaltschaft beschleunigt 
tatsächlich eine mögliche Wiederkehr der Hardware.
*** hier zur Ermittlung passenden Google-Suchbegriff denken

In der Regel läuft die Hausdurchsuchung nach dem alten Schema "guter 
Bulle / böser Bulle" ab und ein Gespräch mit dem Wohnungsinhaber gesucht 
wird, um möglichst viele Informationen zu erlangen.

Es kann auch mal sein, dass der "gute" von denen ein Foto in die Hand 
nimmt und fragt: "Ist das ihr Hund? Ich habe auch einen Border Terrier. 
Der ist ja süß. Wie heißt der denn? Wie alt?". Das hat dann den Zweck, 
die Druchprobierliste für Passwörter um den Hundenamen zu erweitern, zum 
Beispiel "Waldi2008".

Ich hab ganz viele Haustiere hier aufm Bauernhof. Spinnen, Bullen...
http://blog.magerquark.de/wp-content/uploads/2012/05/drei-plakate.jpg

;-)