Sehr interessant...

... finde ich, dass in Zusammenhang mit COFEE von Forensik-Software
die Rede ist. Ich halte es jedenfalls für keine gute Idee, mit einem
Toolkit nach Beweismaterial zu fahnden, das üblicherweise unter dem
auf dem zu untersuchenden Rechner installierten Betriebssystem
ausgeführt wird. Da sind Abwehrmechanismen doch in jedem Fall zu
erwarten, und das Ergebnis einer solchen Analyse kann selbst von
einem Anwaltsnovizen angefochten werden - zumal so etwas im
Widerspruch zu den Richtlinien zur erfolgreichen Sicherung für
EDV-Beweismittel
(http://www.vogon.at/edv/richtlinien-zur-erfolgreichen-sicherung-von-
edv-beweismitteln.php) steht:

"Wo auch immer EDV-Beweismaterial gesichert und ausgewertet wird, ist
es zum unverzichtbaren Grundsatz geworden, eine Kopie des kompletten
Zielsystems zu machen. Eine Teilkopie oder die Kopie ausgewählter
Daten ist hierzu keine gültige Alternative."

Nee, gute Computerforensik funktioniert nur nach der althergebrachten
Methode: kaltes Image von den Rohdaten auf der Platte ziehen und dann
auf einem eigens für die Analyse bereitstehenden Rechner Stück für
Stück zerpflücken.