Stephan Siebenrock
Master Thesis, Hochschule Wismar, Septmber 2025
Autor: Stephan Siebenrock
Titel: Automatisierte forensische Analyse von Datenträgerabbildern täterseitiger Infrastruktur im polizeilichen Kontext
Abstrakt
Diese Arbeit präsentiert einen modularen Ansatz zur automatisierten forensischen Erstbewertung von Datenträgerabbildern täterseitiger Infrastrukturen. Der Workflow trennt Read-only-Einbindung, artefaktspezifische Analyse und standardisierte Ergebnisaufbereitung. Implementiert sind zentrale Linux-Module, die gängige Dienste und systemrelevante Artefakte erfassen, zudem werden verbreitete Image- und Dateisystemformate unterstützt. Eine Evaluation mit standardisierten Leistungstests zeigt die Ermittlertauglichkeit des Prototyps und weist zugleich Optimierungspotenziale aus, insbesondere hinsichtlich redundanzarmer Indizierung und Laufzeiten einzelner Module. Einschränkungen betreffen den Fokus auf Linux, die bewusste Nichtabdeckung von Live-Forensik sowie mögliche Befundlücken bei nicht standardisierten Pfaden. Als Weiterentwicklungen werden eine datenbankgestützte Persistenz des Dateibaums, modulgranulares Scheduling und eine Erweiterung um Windows-Artefakte benannt. Insgesamt leistet die Arbeit einen skalierbaren, modularen und reproduzierbaren Beitrag für eine beschleunigte, nachvollziehbare Erstbewertung von Datenträgerabbildern im polizeilichen Einsatz.
Abstract
This thesis proposes a modular approach to automated forensic triage of disk images from offender-controlled infrastructure. The workflow separates read-only mounting, artifact-specific analysis, and standardized reporting. Core Linux modules captu- re common services and system-relevant artifacts, additionally the implementation supports prevalent image and file-system formats. An evaluation using standardized performance tests demonstrates investigator readiness while revealing optimizati- on levers — most notably reduced indexing redundancy and shorter runtimes in selected modules. Current limitations include a focus on Linux, deliberate exclusi- on of live forensics, and potential gaps for non-standard installation paths. Planned enhancements comprise database-backed file-tree persistence, module-granular sche- duling, and support for Windows artifacts. Overall, the work contributes a scalable, modular, and reproducible method that accelerates forensic triage of disk images and supports accountable, law-enforcement-oriented reporting.
