Die Analyse, Aufbereitung und Auswertung digitaler Datenträger sind in der heutigen Zeit wesentlicher Bestandteil der Kriminalitätsbekämpfung und Terrorismusabwehr. Dabei sehen sich Sicherheitsbehörden wie das Bundeskriminalamt und die Landeskriminalämter mit riesigen Datenmengen konfrontiert - wenn beispielsweise große Firmennetzwerke, Tausende Chatnachrichten oder Zehntausende Bilder auf strafrechtlich relevante Spuren untersucht werden müssen. So waren im Cyberbunker von Traben-Trarbach bis zu 1000 Datenträger mit mehr als zwei Petabyte (entspricht etwa 1000 Milliarden Seiten Text) sichergestellt worden, die es zu untersuchen galt.
Digitale Forensik zur Beweisfindung
Die Aufbereitung der gespeicherten Inhalte und Artefakte ist die Aufgabe der „Digitalen Forensik“. Hierzu werden zuerst vorhandene und bekannte Datenstrukturen wie Dateisysteme und Datenbanken analysiert und die enthaltenen Daten wie Dokumente, Bilder oder Chatnachrichten extrahiert. Anschließend erfolgt eine Reduktion der Datenmenge anhand der durch das Ermittlungsverfahren gegebenen Randbedingungen. Weitaus schwieriger dagegen ist die Suche nach Informationsresten in Bereichen außerhalb dieser Daten wie in teilweise oder komplett unstrukturierten Daten.
Deep Learning soll die Wiederherstellung von Daten verbessern und beschleunigen
Im Projekt CARVE-DL untersuchen und entwickeln das Landeskriminalamt Rheinland-Pfalz, der Softwareentwickler Binary Impact GmbH und das Deutsche Forschungszentrum für Künstliche Intelligenz (DFKI) mit Unterstützung des Bundeskriminalamts (BKA) neue Methoden und Werkzeuge des tiefen maschinellen Lernens (Deep Learning), um die Suche nach Informationsresten durch die IT-Forensik der Ermittlungsbehörden zu vereinfachen und zu beschleunigen. Dabei werden unterschiedliche Technologien des Deep Learning eingesetzt, um den Prozess des sogenannten Carving (englisch für „Schnitzerei“) zu automatisieren und zu optimieren.
Das erste Treffen des Forschungsverbundes fand am 15. Dezember 2022 in Traben-Trarbach statt, dem Ort, in dem mit dem Cyberbunker auch eines der datenreichsten Ermittlungsverfahren der letzten Jahre seinen Ausgang nahm.
Wiederherstellung gelöschter Informationen
„In der digitalen Forensik ist das Carving eine Schlüsseltechnik, um versteckte oder gelöschte Dateien auf digitalen Medien zu finden und unterstützt somit erheblich das Auffinden von be- oder entlastenden Beweisen in Ermittlungsverfahren. Wir werden mit entsprechenden KI-Ansätzen unsere Partner beim Bundeskriminalamt und Landeskriminalamt Rheinland-Pfalz im Kampf gegen die Cyberkriminalität nachhaltig unterstützen“, so Prof. Dr. Andreas Dengel, Geschäftsführender Direktor des DFKI in Kaiserslautern.
Die Spezialisten der digitalen Forensik setzen die neuen Werkzeuge ein, um Fragmente in unstrukturierten Teilen von Datenspeichern zu finden und zusammenzusetzen. Ein weiteres Ziel ist, in den enormen Datenbeständen heutiger IT-Systeme genügend Reste einer gelöschten oder überschriebenen Datei zu finden, damit Bilder, Texte, Audio- oder Videodateien teilweise oder komplett wiederhergestellt werden können. „Diese Beschleunigung ist wichtig, um den verfahrensführenden Staatsanwaltschaften möglichst schnell die Ergebnisse der digitalen Beweismittelauswertung übergeben zu können. Insoweit ist das Projekt ein ganz wichtiger Schritt, um im Ermittlungsverfahren den oft gigantischen Datenmengen digitale wirksame Auswertemethoden und -werkzeuge entgegensetzen zu können“, betont LKA-Präsident Johannes Kunz.
Intelligente Visualisierung für die Forensik
Eine weitere Herausforderung von CARVE-DL ist die Entwicklung einer intelligenten Visualisierung des gesamten Carving Prozesses. Auch dafür wollen die Projektpartner bedienerfreundliche Werkzeuge entwickeln, die Forensiker und Ermittler bei ihrer Arbeit effektiv unterstützen. „Wir freuen uns, dass wir mit unserer Erfahrung aus der innovativen Visualisierung und der Interaktion auf Large Scale Data aus dem Gamingbereich dieses Projekt unterstützen können und somit einen Technologietransfer aus der Computerspielindustrie in den Bereich der forensischen Sicherheitsforschung ermöglichen“, so Jens Wiechering, der Geschäftsführer des Projektpartners Binary Impact GmbH.
Aus Bundesmitteln gefördertes Projekt
Das Projekt CARVE-DL wird aus Mitteln des Bundesministeriums für Bildung und Forschung (BMBF) im Rahmen des Programms „Forschung für die zivile Sicherheit 2018-2023“ über einen Zeitraum von drei Jahren gefördert. Dabei ermöglicht der Zusammenschluss aus Forschungsinstitut, Ermittlungsbehörde und Industrie die bestmögliche Ausgangsposition zur Erforschung neuer Methoden in der Digitalen Forensik.