Ethical Hacking und IT-Forensik

Wer in der IT-Sicherheit ernsthaft arbeitet, braucht beide Perspektiven: die des Angreifers und die des Ermittlers. Ethical Hacking zeigt, wie Systeme kompromittiert werden; digitale Forensik zeigt, was dabei zurückbleibt — und wie diese Spuren gerichtsverwertbar gesichert und ausgewertet werden. Dieser Kurs verbindet beide Disziplinen in einem strukturierten Programm: Der Certified Ethical Hacker (CEH) von EC-Council legt die offensive Grundlage, der Computer Hacking Forensic Investigator (CHFI), ebenfalls von EC-Council, die investigative. Azure AI Fundamentals (AI-900) ergänzt das Programm um ein Verständnis dafür, wie KI-Werkzeuge forensische Analysen bei der Auswertung großer Datenmengen unterstützen können. Im Unterschied zum Geschwisterkurs Ethical Hacking und Malware-Analyse liegt hier der Schwerpunkt nicht auf der technischen Innenwelt von Schadsoftware, sondern auf dem Nachweis von Angriffen: Wie wird eine Kompromittierung forensisch nachvollzogen? Wie werden Beweise integer gesichert, um interne Eskalation oder behördliche Meldungen zu unterstützen?

Modul 1 — Grundlagen der IT-Sicherheit und digitalen Forensik Dieses Einführungsmodul legt die konzeptionelle Basis für das gesamte Programm. Teilnehmende erarbeiten die Schnittmenge aus IT-Sicherheit und digitaler Forensik: Was unterscheidet einen forensischen Ansatz von einer klassischen Sicherheitsanalyse? Wie beeinflusst die forensische Perspektive schon die Art, wie ein Penetrationstest durchgeführt und protokolliert wird? Praktisch steht der Aufbau einer isolierten Testumgebung im Vordergrund — Grundvoraussetzung für alle späteren Übungen.

• Netzwerk- und Systemsicherheit nach CompTIA Security+ SY0-701 als inhaltliche Basis
• Einführung in digitale Forensik: Ziele, Prinzipien, gesetzliche Rahmenbedingungen unter DSGVO und StPO
• Beweissicherungskette (Chain of Custody): Bedeutung, Umsetzung, typische Fehler und ihre Konsequenzen
• Aufbau forensischer Testumgebungen: Arbeit mit Live-Systemen vs. offline gesicherten Disk-Images
• Überblick der Zertifizierungsrahmen CEH und CHFI: Inhalte, Prüfungsvoraussetzungen, Anerkennungswert

Modul 2 — Ethical Hacking nach CEH-Standard Der Kern dieses Moduls ist das strukturierte Verständnis von Angriffstechniken nach CEH-Standard. Teilnehmende führen simulierte Angriffe in der Testumgebung durch und üben, jede Aktion so zu protokollieren, dass sie anschließend forensisch nachvollziehbar bleibt. Der Brückenschlag zur Forensik ist permanent präsent: Wer einen Angriff durchführt, hinterlässt Spuren in Logs, Prozesslisten und Netzwerk-Traces — und diese Spuren zu kennen ist die Grundlage forensischer Arbeit.

• Phasen eines Ethical-Hacking-Engagements: Reconnaissance, Scanning, Exploitation, Post-Exploitation, Reporting
• Werkzeuge und ihre Spuren: Nmap-Scans in Firewall-Logs, Metasploit-Artefakte in System-Events, Netcat-Verbindungen in NetFlow
• Schwachstellenanalyse und -priorisierung nach CVSS v3: technische Tiefe, Ausnutzbarkeit, Auswirkung
• Social Engineering als Angriffsfläche: Phishing-Tests durchführen und protokollieren
• Rechtliche und vertragliche Grundlagen: Scope-Management, Genehmigungsdokumentation, Haftungsaspekte

Modul 3 — IT-Forensik nach CHFI-Methodik Hier wechselt die Perspektive vollständig auf die investigative Seite. Teilnehmende lernen, wie forensische Untersuchungen strukturiert werden — von der Erstreaktion am Tatort (First Response) bis zur Abschlussdokumentation. CHFI-Inhalte decken Dateisystemforensik, Netzwerkforensik und Speicheranalyse ab. Praktische Übungen umfassen die Untersuchung vorab kompromittierter Disk-Images mit Autopsy, FTK Imager und Volatility.

• Dateisystemforensik: NTFS-Metadaten, $MFT-Analyse, gelöschte Dateien wiederherstellen, Zeitstempel-Interpretation
• Netzwerkforensik: Paketanalyse mit Wireshark, Rekonstruktion von Datenflüssen, laterale Bewegungen nachverfolgen
• Speicherforensik: RAM-Dumps erstellen und mit Volatility analysieren, injizierte Prozesse und Rootkit-Artefakte erkennen
• Malware-Spuren in forensischen Untersuchungen: Persistenz-Mechanismen in Registry, Scheduled Tasks, WMI-Abonnements
• Forensische Berichterstellung: Struktur, Zielgruppen (technisch/juristisch), Anforderungen an Beweissicherheit

Modul 4 — Verzahnung von Angriffspfad und forensischer Nachverfolgung In diesem Integrationsmodul führen Teilnehmende vollständige Szenarien durch: Ein simulierter Angriff wird gestartet, und die Aufgabe besteht darin, den gesamten Angriffspfad forensisch nachzuverfolgen. Dieser Ansatz schärft das Bewusstsein dafür, welche Artefakte ein Angreifer hinterlässt — und wie man sie auch dann findet, wenn Verschleierungsversuche stattgefunden haben.

• Attack-Timeline vs. Evidence-Timeline: Gegenüberstellung von Angriffspfad und forensischer Spur
• Antiforensische Techniken erkennen und bewerten: Zeitstempel-Manipulation (Timestomping), Log-Clearing, Steganographie
• IoC-Extraktion und Integration in Threat-Intelligence-Plattformen
• Vollständige Fallbearbeitung von der Kompromittierung bis zum forensischen Abschlussbericht
• Abstimmung mit Incident-Response-Teams und behördlichen Meldepflichten (BSI, Datenschutzbehörden, DSGVO Art. 33)

Modul 5 — KI-Grundlagen im forensischen Kontext (AI-900) Dieses Abschlussmodul ordnet KI-Werkzeuge in den forensischen Alltag ein. Anhand des Azure-AI-Fundamentals-Rahmens verstehen Teilnehmende, welche KI-Dienste — Anomaly Detection, Natural Language Processing, Computer Vision — in forensischen und sicherheitsoperativen Workflows sinnvoll einsetzbar sind und wo ihre Grenzen liegen. Der Azure-AI-900-Baustein ergänzt das Programm um eine Perspektive auf die wachsende Automatisierung in Forensik und SOC-Betrieb.

• Grundkonzepte maschinellen Lernens: Klassifikation, Clustering, Anomalie-Erkennung
• KI-gestützte Mustererkennung in großen Log-Datenmengen (SIEM-Kontext)
• Automatisierte Klassifikation verdächtiger Artefakte mit Azure Cognitive Services
• Chancen und Grenzen von KI in der forensischen Beweisbewertung: Erklärbarkeit, False-Positive-Rate, Akzeptanz vor Gericht

Praxiseinheiten (kursbegleitend)

• Aufbau und Betrieb einer isolierten virtuellen Forensik-Laborumgebung (VMware/VirtualBox, Netzwerkisolation)
• Durchführung eines vollständigen CEH-Engagements mit simultaner forensischer Protokollierung aller Aktionen
• Forensische Untersuchung eines vorab kompromittierten Disk-Images mit Autopsy und FTK Imager
• RAM-Dump-Analyse mit Volatility: Prozessbaum extrahieren, injizierte DLLs und Rootkit-Spuren identifizieren
• Netzwerk-Traffic-Aufzeichnung mit Wireshark während eines simulierten Angriffs und anschließende Rekonstruktion des Angriffspfads
• Erstellung einer vollständigen Chain-of-Custody-Dokumentation für gesicherte forensische Beweise
• Dateisystemforensik: $MFT-Analyse, Zeitstempel-Interpretation, gelöschte Dateien wiederherstellen
• Registry-Forensik auf kompromittierten Windows-Systemen: Autorun-Einträge, zuletzt verwendete Dateien, Shellbags
• Erkennen antiforensischer Manipulationen: Timestomping mit Zeitstempel-Vergleich aufdecken, Log-Gaps identifizieren
• KI-gestützte Logfile-Analyse: Azure Anomaly Detector in einer Übungsumgebung anwenden
• Verfassen eines professionellen forensischen Abschlussberichts mit Chain-of-Custody, Befunden und IoC-Liste
• Abschluss-Szenario: Vollständiger Angriff + forensische Nachverfolgung von der Erstreaktion bis zum Abschlussbericht

Die Praxiseinheiten sind konsequent in die Modulstruktur eingebettet. Jede neue Technik wird unmittelbar in einer kontrollierten Laborumgebung angewendet, bevor der nächste konzeptionelle Schritt folgt.

Dieser Kurs richtet sich an IT-Fachkräfte mit soliden Grundlagenkenntnissen in Netzwerken und Betriebssystemen, die sich auf forensisch fundierte Sicherheitsarbeit spezialisieren möchten.

• IT-Sicherheitsfachkräfte, die ihre offensive Methodik durch forensisches Ermittlungs-Know-how ergänzen wollen
• Systemadministratoren und Netzwerktechniker, die Sicherheitsvorfälle eigenständig untersuchen müssen
• Incident Responder, die ihr Handwerk mit strukturierten forensischen Untersuchungsmethoden vertiefen wollen
• IT-Prüfer und Auditoren, die Sicherheitsvorfälle im Rahmen von Audits selbstständig nachvollziehen müssen
• Berufswechsler aus verwandten IT-Bereichen mit nachgewiesener technischer Grundkompetenz

Das Programm findet im Combined-Learning-Format statt — interaktiver Live-Unterricht im virtuellen Klassenzimmer wird mit eigenständigen Laborübungen kombiniert. Der Live-Anteil umfasst Demonstrationen, moderierte Fallbesprechungen und gemeinsame Szenario-Analysen; im selbstständigen Teil arbeiten Teilnehmende in ihrer virtuellen Laborumgebung und vertiefen Techniken durch wiederholte Anwendung. Das Programm wird sowohl in Vollzeit als auch in Teilzeit angeboten. Dozenten bringen praktische Erfahrung aus realen Sicherheits- und Forensik-Engagements mit.

Das Programm wird sowohl in Vollzeit als auch in Teilzeit angeboten. Ein Vollzeitdurchlauf dauert typischerweise mehrere Wochen bis zu drei Monaten; Teilzeitvarianten laufen entsprechend länger. Die genaue Semesterlänge variiert je nach gewählter Modulkombination. Aktuelle Termine sind beim Anbieter erhältlich.

Der Kurs bereitet auf drei externe Zertifizierungsprüfungen vor: Certified Ethical Hacker (CEH) von EC-Council, Computer Hacking Forensic Investigator (CHFI) ebenfalls von EC-Council sowie Azure AI Fundamentals (AI-900) von Microsoft. Alle drei Prüfungen werden von den jeweiligen Herstellern abgenommen und sind international anerkannt. CEH und CHFI gelten als Industriestandard in der IT-Sicherheit und digitalen Forensik; AI-900 ist eine Einstiegszertifizierung im Azure-KI-Ökosystem. Zusätzlich wird eine qualifizierte Teilnahmebescheinigung ausgestellt.

Auf dem Arbeitsmarkt für IT-Sicherheitsfachkräfte entstehen zunehmend Rollen, die offensive und investigative Kompetenz vereinen — etwa in spezialisierten Forensik-Dienstleistern, in internen Sicherheitsteams großer Unternehmen oder in Behörden mit Cybercrime-Zuständigkeit. Wer Angriffe nicht nur durchführen, sondern forensisch lückenlos nachverfolgen und dokumentieren kann, besetzt eine Nische, die für diese Arbeitgeber besonders attraktiv ist. Der CEH-CHFI-Doppelabschluss ist genau dieses Qualifikationssignal. Die Integration von AI-900 ist strategisch sinnvoll: Forensische Analysen erzeugen heute Datenmengen, die manuell kaum beherrschbar sind — Log-Dateien in Gigabyte-Größe, Tausende von Netzwerk-Events, umfangreiche Speicher-Images. Werkzeuge, die maschinell klassifizieren, priorisieren und Anomalien erkennen, sind im professionellen Forensik-Betrieb längst verbreitet. Das Grundlagenverständnis dieser KI-Dienste erlaubt eine qualifizierte Beurteilung und eigenständige Nutzung solcher Werkzeuge im Arbeitsalltag. Langfristig eröffnet diese Qualifikationskombination Wege in spezialisierte Rollen wie Digital Forensics Analyst, Threat Intelligence Engineer oder IT-Sicherheitsgutachter — Berufsbilder, die durch den steigenden regulatorischen Druck in Deutschland (NIS-2-Richtlinie, DORA, BSI-Anforderungen) stark nachgefragt werden. Beide EC-Council-Zertifikate sind international anerkannt und unterstützen eine Karriere bei international tätigen Unternehmen ebenso wie bei nationalen Behörden und spezialisierten Forensik-Dienstleistern.