Die Praxis, originale Metadaten (Dateisystem‑Zeitstempel, EXIF, Header, MAC‑Times, Dateienbelege und verwandte Artefaktinformationen) bei Erfassung, Analyse, Speicherung und Offenlegung zu bewahren und zu dokumentieren, sodass Kontext, Zeitablauf und Provenienz für forensische und rechtliche Zwecke erhalten bleiben.

Prinzip

Metadaten als Beweismittel erhalten: bit‑für‑bit‑Abbilder mit Schreibblocker erstellen, Werkzeuge vermeiden, die originale Metadaten überschreiben, außer wenn dokumentiert, und alle Transformationen protokollieren, um eine prüfbare Aufzeichnung zu haben.

Demonstration

Ein forensisches Abbild erfasst Dateizuordnungstabellen, MFT‑Einträge, EXIF‑Daten von Fotos und E‑Mail‑Header; der Untersucher dokumentiert das Imaging‑Tool, den Hash und exportierte Ansichten, damit originale Zeitstempel und Provenienz für die Zeitlinienrekonstruktion erhalten bleiben.

Fehlanwendung

Verwendung handelsüblicher Datei‑Kopiertools, die Zeitstempel normalisieren, EXIF entfernen oder Dateisystemmetadaten ohne Dokumentation neu schreiben, wodurch zeitlicher Kontext zerstört und die Beweiskraft geschwächt wird.

Konsequenz

Korrekte Metadatenerhaltung ermöglicht präzise Zeitlinienrekonstruktion, Zuordnung und Korrelation von Artefakten; Versäumnisse führen zu Lücken, die Ermittlungen und Zulässigkeit gefährden können.

Umkehrung

Aktives Entfernen oder Normalisieren von Metadaten (absichtlich oder versehentlich), das Verbindungen zwischen Inhalt und Kontext kappt und die Rekonstruktion von Ereignissen erschwert oder unmöglich macht.

Abgrenzung

Gilt für originale Metadaten, die bei forensischer Erfassung erfasst wurden, sowie für Aufzeichnungen über nachfolgende Ableitungen; schließt vom Analysten erzeugte Annotationen oder abgeleitete Metadaten aus, sofern diese deutlich als sekundär gekennzeichnet und nachverfolgt werden.

Semantische Spannung

Spannung zwischen Erhaltung und Datenschutz/Offenlegung: Metadatenerhaltung kann sensible Informationen offenlegen und mit Schwärzungsanforderungen kollidieren; Erhaltung erfordert Strategien, um Provenienz zu bewahren und gleichzeitig datenschutzfreundliche Offenlegung zu ermöglichen.

Synthese

Erhaltung Von Metadaten ist die disziplinierte Erfassung und Dokumentation originaler Metadaten während der Beweismittelbearbeitung, um Kontext zu erhalten, forensische Zeitlinien zu ermöglichen und den rechtlichen Wert zu sichern, während erlaubte Transformationen protokolliert werden.