Ein Mitarbeiter wird verdächtigt, Kundendaten an einen Wettbewerber weitergegeben zu haben. Die IT-Abteilung prüft den Laptop, findet verdächtige Dateien und löscht sie versehentlich beim Neuaufsetzen. Die Beweislage ist vernichtet, eine arbeitsrechtliche Konsequenz unmöglich. A.5.28 fordert Verfahren für die korrekte Identifizierung, Sammlung und Aufbewahrung von Beweismitteln bei Sicherheitsvorfällen.
Was verlangt die Norm?
- Verfahren definieren. Die Organisation hat dokumentierte Verfahren für die Identifizierung, Sammlung, Sicherung und Aufbewahrung von Beweismitteln.
- Integrität sicherstellen. Beweismittel werden so gesichert, dass ihre Unversehrtheit nachweisbar ist (Hash-Werte, Write-Blocker, forensische Images).
- Chain of Custody dokumentieren. Lückenlose Dokumentation, wer wann auf das Beweismittel zugegriffen hat.
- Rechtliche Anforderungen beachten. Die Verfahren entsprechen den rechtlichen Anforderungen der relevanten Rechtsordnungen, damit Beweise vor Gericht verwertbar sind.
In der Praxis
Beweissicherung vor Bereinigung. Goldene Regel: Erst sichern, dann bereinigen. Bevor ein kompromittiertes System neu aufgesetzt wird, wird ein forensisches Image erstellt (Bit-für-Bit-Kopie der Festplatte). RAM-Inhalte werden gesichert, wenn das System noch läuft.
Hash-Werte für Integrität. Erstelle sofort nach der Sicherung einen kryptographischen Hash (SHA-256) des Beweismittels. Der Hash beweist, dass das Beweismittel nach der Sicherung nicht verändert wurde. Dokumentiere den Hash im Chain-of-Custody-Protokoll.
Chain-of-Custody-Formular nutzen. Für jedes Beweismittel: Was wurde gesichert? Wann? Von wem? Wo wird es aufbewahrt? Wer hatte seitdem Zugriff? Das Formular begleitet das Beweismittel von der Sicherung bis zur Entsorgung.
Aufbewahrung sicher gestalten. Beweismittel werden verschlüsselt und an einem zugangsgeschützten Ort aufbewahrt. Physische Datenträger: verschlossener Tresor. Digitale Beweise: verschlüsselter, zugangsgeschützter Speicher mit Zugriffsprotokollierung.
Typische Audit-Nachweise
Auditoren erwarten bei A.5.28 typischerweise diese Nachweise:
- Beweissicherungsverfahren — dokumentierte Prozesse für die forensische Sicherung
- Chain-of-Custody-Formulare — ausgefüllte Formulare für tatsächliche Vorfälle
- Forensisches Toolkit — Nachweis der Verfügbarkeit geeigneter Werkzeuge
- Hash-Dokumentation — Integritätsnachweise für gesicherte Beweismittel
- Schulungsnachweise — Nachweis, dass zuständiges Personal in Beweissicherung geschult ist
KPI
% der IS-Vorfälle mit ordnungsgemäß gesicherter und aufbewahrter Beweisdokumentation
Gemessen am Vorfallregister: Wie viele Vorfälle ab Schweregrad 2 haben eine dokumentierte Beweissicherung? Ziel: 100% für alle Vorfälle, bei denen rechtliche oder disziplinarische Konsequenzen möglich sind.
Ergänzende KPIs:
- Anteil der Beweismittel mit vollständiger Chain of Custody
- Verfügbarkeit des forensischen Toolkits (getestet und aktuell)
- Anzahl des in Beweissicherung geschulten Personals
BSI IT-Grundschutz
A.5.28 mappt auf den BSI-Baustein zur forensischen Analyse:
- DER.2.2 (Vorsorge für die IT-Forensik) — enthält Anforderungen an die Vorbereitung forensischer Untersuchungen: Toolkit, geschultes Personal, Verfahren, rechtliche Rahmenbedingungen.
Verwandte Kontrollen
A.5.28 unterstützt die Vorfallbehandlung mit Beweissicherung:
- A.5.26 — Reaktion auf Vorfälle: Während der Reaktion werden Beweise gesichert.
- A.5.27 — Lernen aus Vorfällen: Die gesicherten Beweise unterstützen die Ursachenanalyse.
- A.5.5 — Kontakt mit Behörden: Beweise können für Behördenmeldungen und Strafverfolgung erforderlich sein.
Quellen
- ISO/IEC 27001:2022 Annex A, Control A.5.28 — Sammlung von Beweismitteln
- ISO/IEC 27002:2022 Abschnitt 5.28 — Umsetzungshinweise
- BSI IT-Grundschutz, DER.2.2 — Vorsorge für die IT-Forensik