Seminar IPED Daten-Carving, OCR und Hash-Analyse

Dieses Seminar vertieft die technischen Auswertefunktionen von IPED für Dateien, Fragmente und Inhalte, die nicht sofort offensichtlich sind. Data Carving, OCR und Hash-Analyse werden nicht als Zauberei verkauft, sondern als Werkzeuge mit klaren Möglichkeiten, Kosten und Grenzen.

Inhaltsübersicht

• Grundlagen von Hashwerten, Hashsets und Duplikaterkennung
• Dateisignaturen, unbekannte Dateien und Containerbezüge
• Data Carving für gelöschte oder fragmentierte Inhalte
• OCR für Bilddateien, Dokumente und gescannte Inhalte
• Bewertung von False Positives und Qualitätskontrolle
• Zusammenführung von Carving-, OCR- und Hash-Funden

Seminarinhalte Schritt für Schritt

1. Hash-Analyse einordnen

Die Teilnehmenden arbeiten mit Hashwerten zur Identifikation, Deduplizierung und Priorisierung. Es wird gezeigt, wie Hashsets vorbereitet und Ergebnisse fachlich bewertet werden.

2. Dateitypen und Signaturen prüfen

Dateiendungen, Signaturen und erkannte Dateitypen werden verglichen. Abweichungen werden nicht sofort dramatisiert, sondern anhand von Struktur, Quelle und Kontext geprüft.

3. Carving konfigurieren

Carving-Optionen werden anhand des Fallziels ausgewählt. Die Teilnehmenden lernen, warum mehr Carving nicht automatisch bessere Ergebnisse bedeutet und wie Laufzeit, Datenmenge und Trefferqualität zusammenhängen.

4. Carving-Treffer bewerten

Gefundene Fragmente werden anhand von Vorschau, Metadaten, Dateistruktur und Kontext geprüft. Unvollständige, doppelte oder falsch erkannte Dateien werden systematisch ausgesondert.

5. OCR sinnvoll einsetzen

OCR wird für gescannte Dokumente, Bilder und bildbasierte Textfunde eingesetzt. Sprache, Qualität, Laufzeit und erwartete Fehlerraten werden berücksichtigt.

6. Funde konsolidieren

Zum Abschluss werden Hash-, Carving- und OCR-Funde zusammengeführt. Die Teilnehmenden bauen eine prüfbare Fundliste auf und halten Einschränkungen fest.

Praxisübungen

• Aufbau eines kleinen Hashsets und Auswertung der Treffer
• Carving eines vorbereiteten Datenbestands mit gelöschten Dateien
• OCR-Lauf auf bildbasierten Dokumenten mit Suchabgleich
• Qualitätsprüfung einer gemischten Trefferliste

Zielgruppe und Vorkenntnisse

Zielgruppe: IT-Forensiker, Ermittler und technische Analysten, die versteckte, gelöschte oder nur bildhaft erkennbare Inhalte auswerten.

Vorkenntnisse: Solide IPED-Grundlagen und Grundverständnis für Dateitypen, Hashwerte und digitale Beweismittel.

Praxisnutzen

Die Teilnehmenden können spezialisierte IPED-Funktionen gezielt einsetzen und deren Ergebnisse mit dem nötigen Misstrauen prüfen. Genau dieses Misstrauen ist in der Forensik keine Schwäche, sondern Berufshygiene.