Flüchtige Daten
Auch bekannt als: Volatile Daten, Live-Daten, RAM-Forensik
Informationen, die nur im laufenden Betrieb existieren – Arbeitsspeicher, Netzwerkverbindungen, laufende Prozesse, Sitzungsschlüssel – und beim Abschalten verloren gehen.
Viele Angriffe hinterlassen auf der Festplatte wenig und im Arbeitsspeicher alles: entschlüsselte Schadsoftware, Zugangsdaten, aktive Verbindungen zum Angreifer. Wer ein kompromittiertes System ausschaltet, vernichtet diese Spuren. Die Reihenfolge der Sicherung folgt deshalb der Flüchtigkeit: erst Speicher und Netzwerkzustand, dann Datenträger. Cloud-Dienste verschärfen das Problem, weil Daten dort automatisch gelöscht oder überschrieben werden können, ohne dass das Unternehmen Einfluss darauf hat.