Der dokumentierte Prozess und die Maßnahmen, die durchgeführt werden, wenn digitale Medien oder Geräte erstmals von einer forensischen Einheit entgegengenommen werden: Identifikation, Sicherung, erste Priorisierung, Vergabe eindeutiger Kennungen, Erfassung der Beweismittelkette und Entscheidungen über Erstellung von Images oder die Erfassung flüchtiger Daten.

Prinzip

Veränderung minimieren und Erhalt maximieren: Die Aufnahme muss Zustand und Kontext des Objekts dokumentieren, flüchtige Beweise schützen und eine prüfbare Übergabe schaffen, sodass die spätere Analyse von einer verifizierten Ausgangsbasis ausgeht.

Demonstration

Bei der Entgegennahme eines sichergestellten Smartphones: Marke/Modell und Seriennummer erfassen, das Gerät im erhaltenen Zustand fotografieren, Stromzustand und sichtbare Schäden notieren, in eine manipulationssichere Verpackung legen, eine Beweismittelnummer zuweisen, Übergeber und Übernehmer mit Zeitstempeln dokumentieren und einen Plan für Imaging und Erfassung flüchtiger Daten erstellen.

Fehlanwendung

Das Gerät einschalten, ad-hoc-Suchen durchführen oder nicht-forensische Werkzeuge einsetzen, bevor eine ordnungsgemäße Dokumentation und Imaging erfolgt sind; Beweismittel annehmen, ohne die Kette der Verwahrung oder eindeutige Kennungen zu verifizieren; oder das Erfassen flüchtiger Systemzustände unterlassen, wenn rechtlich erforderlich.

Konsequenz

Ein korrekter Intake liefert einen authentifizierten Ausgangspunkt für die nachfolgende forensische Arbeit, erhält die Zulässigkeit vor Gericht, reduziert Kontaminationsrisiken und dokumentiert Entscheidungen, die die spätere Interpretation beeinflussen.

Umkehrung

Eine unkontrollierte Entgegennahme — fehlende Dokumentation, nicht dokumentierte manuelle Untersuchungen oder Unterlassen des Images flüchtiger Speicherdaten — kann Beweismittel kontaminieren, flüchtige Daten zerstören und die Gültigkeit späterer Befunde untergraben.

Abgrenzung

Umfasst die Erstannahme, Dokumentation, Verpackung und Entscheidungen zu sofortigen Erhaltungsmaßnahmen; umfasst jedoch nicht die vollständige forensische Untersuchung, die Interpretation extrahierter Artefakte oder abschließende Gutachten, obwohl die Intake-Aufzeichnungen diese Phasen informieren.

Semantische Spannung

Überlappt mit Triage, Übergabe- und Beweismittelmanagement: Intake konzentriert sich auf die Etablierung eines sicheren, dokumentierten Eintrittspunkts in den forensischen Arbeitsfluss, während Triage auf schnelle Priorisierung und Übergabe auf juristische Kontinuität abzielt.

Synthese

Der Intake in der digitalen Forensik ist das disziplinierte, dokumentierte Eingangstor, das beschlagnahmte digitale Gegenstände in nachvollziehbare, bewahrte Beweisartefakte überführt, die für reproduzierbare forensische Verfahren bereit sind.