In der IT-Forensik beschreibt das SAP-Vorgehensmodell einen strukturierten Ermittlungsprozess, um digitale Spuren gerichtsfest zu sichern, zu analysieren und zu dokumentieren. Der Begriff SAP steht für die drei Phasen dieser forensischen Untersuchung: "Secure, Analyze, Present". Entsprechend der Aufgabenstellung werden in der Sicherungsphase forensische Speicherabbilder der Asservate erstellt, in der Analysephase werden relevante Daten aus dieser Kopie untersucht und miteinander in Beziehung gesetzt und in der Präsentationsphase werden die gewonnenen Informationen zur Beantwortung der Beweisfragen plausibel dargelegt.
1. Sicherungs-Phase
Zunächst werden im Rahmen einer nachvollziehbaren Beweiskette (Chain of Custody) die möglichen digitalen Beweismittel identifiziert. Die forensische Sicherung dieser Datenquellen ist ein kritischer Schritt in der IT-forensischen Untersuchung. Daher gelten für eine korrekte IT-forensische Sicherung Regeln und Prinzipien, deren Einhaltung für eine spätere Gerichtsverwertbarkeit entscheidend sind. Je nach Charakter der Datenquellen und Daten (flüchtig, semipersistent, persistent) ist korrekte Sicherungs-Reihenfolge einzuhalten und das jeweils geeignete Werkzeug zu wählen. An forensische Speicherabbilder werden hinsichtlich der verwendeten Soft- und Hardware hohe Anforderungen gestellt. Zur Sicherstellung der Integrität der Speicherabbilder ist ihre kryptografische Sicherung obligatorisch.
2. Analyse-Phase
In der Analyse-Phase werden die Spuren ausgewertet und korreliert. Eine forensische Untersuchung findet ausschließlich auf dem forensischen Speicherabbild statt ("Never Touch Original"). Während der Sicherungsphase fallen in großem Umfang unterschiedliche Daten an. Ziel ist es zunächst, aus dieser Menge die für den Vorgang relevanten digitale Spuren für den untersuchten Vorgang zu finden. Dieser Suchfokus bestimmt beispielweise die gezielte Wiederherstellung gelöschter Dateien, die Untersuchung des Dateisystems und vielfältige Metadaten, die Analyse von Benutzeraktivitäten, die Auswertung von Browser- und Systemprotokollen, Emails und vieles mehr. Die Analyse muss grundsätzlich reproduzierbar und nachvollziehbar sein.
3. Präsentations-Phase
Die Präsentation bereitet die Ergebnisse für eine bestimmte Zielgruppe in Form eines forensischen Berichts oder eines forensischen Gutachtens auf. Dabei werden kausale Zusammenhänge und Ereignisse z.B. in Form einer Timeline veranschaulicht. Ein IT-forensischer Bericht ist eine detaillierte Zusammenfassung der Ergebnisse einer IT-forensischen Untersuchung und beinhaltet die Beantwortung beauftragter Untersuchungsfragen. Ein IT-forensisches Gutachten ist ein formelles Dokument, das von einem anerkannten IT-forensischen Sachverständigen erstellt wird. Wenn in einem Gerichtsverfahren digitale Beweismittel eingeführt werden, wird das Gericht in der Regel auf der Grundlage eines IT-forensischen Gutachtens eines Sachverständigen entscheiden.
