Europol zählt die Lücken der digitalen Forensik. Die meisten davon haben Sie auch.

Im Sommer 2026 hat die Europäische Kommission gemeinsam mit Europol eine Bestandsaufnahme veröffentlicht: Digital Forensics: Gap Analysis. Befragt wurden die Forensik-Einheiten der Mitgliedstaaten, ausgewertet wurden Projekte, Werkzeuge und wissenschaftliche Arbeiten. Das Ergebnis ist eine nüchterne Liste von Defiziten – bei Werkzeugen, Standards, Ausbildung, Herstellerkooperation und beim Umgang mit künstlicher Intelligenz.

Man könnte den Bericht als Behördenthema abheften. Das wäre ein Fehler. Denn fast jede Lücke, die Europol bei Polizei und Justiz beschreibt, existiert in mittelständischen Unternehmen in größerer Form – nur ohne jemanden, der sie aufschreibt. Und anders als eine Ermittlungsbehörde entscheidet ein Unternehmen selbst, ob es diese Lücken vor dem Vorfall schließt oder danach erklärt.

Fünf Befunde aus dem Bericht und was sie für Sie bedeuten.

1. Die Beweismittelkette wird noch per Hand geführt.

Europol stellt fest, dass die Dokumentation, wer ein Beweismittel wann übernommen, kopiert, analysiert und weitergegeben hat, in der Praxis überwiegend manuell erfolgt – mit entsprechendem Risiko für Lücken und Fehler. Je mehr Beteiligte, desto schwächer die Kette: Ersthelfer, Labor, Ermittler, Staatsanwaltschaft, Cloud-Anbieter.

Im Unternehmen ist die Kette meist gar nicht vorhanden. Ein Administrator bemerkt den Vorfall, meldet sich am System an, sieht nach, startet neu, spielt ein Backup ein. Jeder dieser Schritte ist nachvollziehbar und jeder zerstört Beweise. Wenn danach Versicherer, Aufsichtsbehörde oder Arbeitsgericht wissen wollen, was passiert ist, gibt es eine Erzählung, aber keinen Beleg.

Das ist kein Vorwurf an Administratoren. Es ist die Folge fehlender Vorbereitung. Was es braucht, passt auf eine Seite: nicht ausschalten, nicht anmelden, vom Netz trennen, Uhrzeit notieren, Forensik anrufen. Europol nennt genau diese Gruppe – die Ersthelfer – als größte Wissenslücke und empfiehlt kurze, auch online vermittelbare Anleitungen statt Ausbildung.

2. Cloud und IoT sprengen die Standards.

Die geltenden Normen für digitale Beweise, ISO/IEC 27037 für die Sicherung und ISO/IEC 27042 für die Analyse, stammen aus einer Zeit, in der Beweise auf Festplatten lagen. Der Bericht benennt die Lücke deutlich: In Cloud-Umgebungen kontrolliert der Ermittler weder Hardware noch Löschfristen, ein vollständiges Abbild ist nicht möglich, Infrastruktur-Logs sind nicht zugänglich, und die Sicherung hängt von der Mitwirkung eines Anbieters in einem anderen Rechtsraum ab. Bei vernetzten Geräten – von der Überwachungskamera bis zur Industriesteuerung – fehlen forensische Schnittstellen vollständig, Daten liegen beim Hersteller und werden nach kurzer Zeit überschrieben.

Für Unternehmen heißt das: Die Frage, welche Protokolle Ihr Cloud-Anbieter wie lange vorhält und wie Sie sie exportieren können, muss vor dem Vorfall beantwortet sein. Danach beantwortet sie sich von selbst, und zwar mit „zu kurz“ und „gar nicht“. Für Betreiber von Produktions- und Versorgungsanlagen ist passives Netzwerk-Monitoring häufig die einzige Spurenquelle, die nicht vom Gerätehersteller abhängt. Wer OT betreibt und nicht mitschneidet, hat im Ernstfall nichts.

3. Werkzeuge werden benutzt, aber nicht geprüft.

Europol beschreibt eine Validierungspraxis, die von Land zu Land und teils von Dienststelle zu Dienststelle unterschiedlich ist, und fordert eine zentrale europäische Prüfstelle für forensische Werkzeuge. Der Bericht berichtet außerdem von Verfahren in Frankreich, die eingestellt wurden, weil Ergebnisse kommerzieller Analysewerkzeuge nicht korrekt interpretiert und belegt werden konnten. Die Anwender hatten den Werkzeugen vertraut, ohne sie zu verstehen.

Dasselbe Muster findet sich bei Dienstleistern, die nach einem Vorfall gerufen werden: ein Bericht mit Screenshots, ohne Angabe der Werkzeuge, Versionen und Methoden, ohne Hashwerte, ohne Möglichkeit, das Ergebnis zu reproduzieren. So ein Bericht hilft beim Aufräumen. Vor Gericht, gegenüber dem Versicherer oder im IKS-Audit ist er wertlos.

Fragen Sie Ihren Forensik-Dienstleister vor der Beauftragung drei Dinge: Welche Werkzeuge setzen Sie ein und wie validieren Sie sie? In welchem Format erhalte ich Rohdaten und Ergebnisse? Kann ein zweiter Sachverständiger Ihr Ergebnis mit denselben Daten nachvollziehen? Wer hier ausweicht, liefert Erzählungen.

4. Die Abhängigkeit von außereuropäischen Werkzeugen ist ein Risiko.

Europäische Anbieter halten laut Bericht nur einen kleinen Anteil am Markt forensischer Werkzeuge. Bei der Analyse von Kryptowährungs-Transaktionen – relevant nach jeder Ransomware-Zahlung – dominieren US-Unternehmen; historische Daten liegen teils bei einem einzigen Anbieter, und die Lizenzkosten steigen so stark, dass Behörden Abonnements kündigen. Proprietäre Ausgabeformate verhindern, dass Ergebnisse zwischen Werkzeugen ausgetauscht werden. Europol spricht von einem Souveränitätsproblem: Sensible Ermittlungsdaten liegen bei Unternehmen außerhalb der EU.

Diese Diagnose gilt eins zu eins für Unternehmens-IT. Die Werkzeugwahl entscheidet, wer Ihre Vorfallsdaten sieht, in welchem Format Sie sie zurückbekommen und ob Sie in fünf Jahren noch darauf zugreifen können. Der Bericht hält dem quelloffene Werkzeuge entgegen – The Sleuth Kit, Autopsy, Volatility, Wireshark – deren Methode offenliegt und deren Ergebnisse deshalb erklärbar sind. Dass wir bei NEOSEC seit Jahren auf einen offenen Werkzeugstapel setzen, hat genau diesen Grund: Was wir im Bericht schreiben, können wir herleiten.

5. KI darf helfen, aber nicht entscheiden.

Der Bericht widmet dem Einsatz künstlicher Intelligenz ein eigenes Kapitel und stellt zwei Ketten gegenüber. Die unkontrollierte: Beweismittel, KI-Analyse, Black Box, nicht prüfbares Ergebnis. Die kontrollierte: Beweismittel, KI-Analyse, protokollierte Aktionen, menschliche Prüfung, dokumentiertes Ergebnis, Bericht. Nur die zweite ist verwertbar. Europol formuliert den Maßstab unmissverständlich: Ein Ergebnis mit 99 Prozent Trefferquote ist unbrauchbar, wenn die Schritte dahinter nicht gezeigt werden können. Forensik beruht auf Wiederholbarkeit, KI auf Wahrscheinlichkeit – das lässt sich nur verbinden, wenn jede KI-Aktion protokolliert wird, Ausgangsdaten unverändert bleiben und ein Mensch das Ergebnis verantwortet.

Das betrifft nicht nur Forensik. Dieselbe Anforderung stellen Abschlussprüfer an KI-gestützte Kontrollen im internen Kontrollsystem, und dieselbe stellt der AI Act an jeden Betreiber. Wer KI zur Alarmbewertung im SOC einsetzt – wir tun das – muss zeigen können, welcher Alarm warum herabgestuft wurde. Eine KI, die Alarme still verwirft, ist keine Entlastung, sondern eine unprotokollierte Entscheidung.

Was der Bericht zwischen den Zeilen sagt.

Europol beschreibt Behörden mit Budget, Rechtsgrundlage und Fachpersonal, die trotzdem an Standardisierung, Validierung und Nachweisbarkeit scheitern. Ein mittelständisches Unternehmen hat von alledem weniger und steht nach einem Vorfall vor denselben Fragen – mit dem Unterschied, dass es NIS2-Meldefristen von 24 und 72 Stunden einhalten, einem Versicherer die Ursache belegen und gegenüber Prüfern zeigen muss, dass seine Kontrollen funktioniert haben.

Die gute Nachricht ist, dass die Lösung nicht in besseren Werkzeugen nach dem Vorfall liegt, sondern in Vorbereitung davor. Konkret:

Alles davon ist eine Entscheidung der Geschäftsführung, keine der IT-Abteilung. Die IT kann protokollieren, wenn sie darf, und Dienstleister auswählen, wenn sie soll. Ob ein Unternehmen nach dem Vorfall Beweise hat oder Erinnerungen, ist vorher festgelegt worden.