Führ mich durch deinen Umgang mit Beweisen, damit sie später Bestand haben.

Dokumentier alles und fass so wenig wie möglich an. Halt fest, wer was wann von wo und mit welchem Tool gesichert hat, hash die Beweise bei der Sicherung und verifizier den Hash nach jedem Transfer, arbeite nur auf Kopien, lager Originale mit eingeschränktem, protokolliertem Zugriff, und dokumentier jeden Wechsel der Verwahrung. Führ zeitnahe Notizen mit Zeitstempeln, und nutz Write Blocking oder forensisch saubere Sicherung, damit du belegen kannst, dass du die Quelle nicht verändert hast.

Ich arbeite unter der Annahme, dass jeder Fall zu einer arbeitsrechtlichen Sache oder einer Versicherungsforderung werden kann, denn in Stunde eins weiß man das nie. Bei der Sicherung halte ich Quellsystem, Zeit in UTC, Tool und Version fest, dazu wer es macht, und hashe das Image sofort und trage den Hash in die Fallnotizen ein. Ich arbeite auf einer Kopie, nie am Original, und verifiziere den Hash nach jedem Transfer erneut, damit ich zeigen kann, dass sich in meinen Händen nichts geändert hat. Das Original geht in eingeschränkte Lagerung mit protokolliertem Zugriff, und jedes Mal, wenn es sich bewegt, bekommt das Verwahrungsprotokoll eine Zeile: wer, wann, warum. Meine Notizen sind zeitnah, laufend geschrieben und mit Zeitstempeln versehen, und ich räume sie danach nicht auf, denn eine sauber umgeschriebene Erzählung ist weniger wert als unordentliche Echtzeitnotizen. Wenn es irgendeinen Hinweis auf Straftaten oder regulierte Daten gibt, halte ich an und hole Recht dazu, bevor ich irgendetwas anderes anfasse.