Die Chain of Custody gilt für Logs, Festplatten-Images, Speicherabbilder, Konfigurations-Snapshots, Geräte und anderes Material, das eine Untersuchung, ein Gerichtsverfahren, einen Versicherungsanspruch oder einen regulatorischen Bericht stützen kann. Sie erfasst Zeitpunkt und Methode der Sammlung, die Identitäten der Bearbeiter, Lagerorte, Integritätswerte wie Hashes sowie jede Übergabe oder jeden Zugriff.
Wichtigste Punkte
Integrität von Anfang anFlüchtige Daten zuerst erfassen, Originale hashen, an verifizierten Kopien arbeiten und jede Aktion mit Zeit und Akteur protokollieren.
ÜbergabeaufzeichnungenFesthalten, wer Material wem, wann, warum und unter welcher Befugnis übergeben hat — einschließlich Übergaben an Dienstleister, Rechtsberatung oder Behörden.
Wichtige EinschränkungDokumentation zeigt Handhabung, nicht Wahrheit. Eine vollständige Chain of Custody kann keine Beweise reparieren, die unvollständig waren, bei der Sammlung kontaminiert wurden oder falsch interpretiert wurden.