DigitalForensics.
Digitale Forensik sichert, untersucht und erklärt technische Spuren, ohne ihre Herkunft und Integrität zu verlieren. Der Werkzeugbedarf unterscheidet sich deutlich zwischen schneller Enterprise-Triage, vollständiger Datenträgeranalyse, Arbeitsspeicher, mobilen Geräten und Cloud-Daten.
Marktdichte: hoch und spezialisiert. Zwölf Werkzeuge im Marktbild zeigen die unterschiedlichen Beweisquellen und Betriebsmodelle.
Kein Werkzeug deckt alles ab.
Endpoint-Triage beantwortet andere Fragen als ein forensisches Image. Mobile Extraktion, Memory Forensics und Cloud Acquisition benötigen eigene Zugriffsmethoden, Parser und rechtliche Freigaben.
Ein gefundener Artefakt ist noch keine belastbare Schlussfolgerung. Zeitachsen, Zeitzonen, Hashwerte, Chain of Custody, Wiederholbarkeit und alternative Erklärungen gehören zur Untersuchung.
Zwölf Werkzeuge im Vergleich.
Der Markt für digitale Forensik teilt sich in Labor- und Analyseplattformen für Computer, Mobilgeräte und Cloud-Quellen (Magnet Axiom, Exterro FTK, Belkasoft X), Spezialisten für die Extraktion von Mobilgeräten (Cellebrite, MSAB) und Werkzeuge für die Remote-Sammlung auf Endpoints im Unternehmensmassstab (Binalyze AIR, Velociraptor, Remote-Module der Plattformen). Open Source ist mit Autopsy für die Datenträgeranalyse, Volatility für die Arbeitsspeicheranalyse und Velociraptor für die Endpoint-Sammlung breit vertreten. Konsolidierung zeigt sich etwa darin, dass Thoma Bravo Magnet Forensics im April 2023 übernommen und mit Grayshift zusammengeführt hat und dass EnCase heute als OpenText Forensic geführt wird. Mit X-Ways (Deutschland) und MSAB (Schweden) sind Anbieter mit DACH- bzw. EU-Bezug vorhanden.
Akquisition: Datenträger-Imaging und Akquisition · Speicher: Arbeitsspeicher-Analyse · Mobile: Mobilgeräte · Remote: Remote- oder Endpoint-Collection im Unternehmen · Cloud: Cloud- und SaaS-Quellen · Timeline: Timeline- und Artefaktanalyse · Open Source: Open-Source-Lizenz. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Magnet Axiom (inkl. Axiom Cyber)
Magnet Forensics
Analyse von Computer-, Mobil- und Cloud-Quellen in einem Fall; Extraktion aktueller iOS- und Android-Geräte; Axiom Cyber sammelt Artefakte von physischen Laufwerken und aus dem Arbeitsspeicher.
Magnet One verbindet die Magnet-Produkte über die Cloud für Fallverwaltung und Zusammenarbeit.
Axiom Cyber für Unternehmensuntersuchungen, Magnet Nexus für Remote-Endpoint-Sammlung, Graykey und Verakey für Mobilzugriff.
Axiom Cyber läuft in der Cloud, On-Premises oder hybrid; Auswertung mit KI-gestützter Analyse, Connections und Timeline.
Breite Artefaktanalyse über Computer, Mobilgeräte und Cloud in einem Fall.
Remote- und Mobilfunktionen liegen teils in separaten Produkten (Nexus, Graykey, Verakey) mit eigener Lizenz.
Exterro FTK (FTK, FTK Imager, FTK Enterprise)
Exterro
Forensische Analyseplattform mit Indexierung und Verarbeitung grosser Datenbestände; FTK Imager für die Akquisition.
Chain of Custody und wiederholbare Abläufe für gerichtsfeste und interne Untersuchungen.
Module für Remote Endpoint Collection, Cloud- und SaaS-Connectoren sowie Remote Mobile Discovery.
Skalierbare Architektur für Labor- und Unternehmensumgebungen; KI-gestützte Auswertung beworben. FTK stammt von AccessData, das Exterro im Dezember 2020 übernommen hat.
Verarbeitung und Suche grosser Fallbestände mit dokumentierter Beweiskette.
Funktionen verteilt auf mehrere FTK-Produkte und Lizenzen; Timeline- und Arbeitsspeicheranalyse auf den Produktseiten nicht belegt.
Belkasoft X (Forensic, Corporate)
Belkasoft
Akquisition und Analyse von Computern, Mobilgeräten, Arbeitsspeicher, Fahrzeugen, Drohnen und Cloud-Diensten.
Forensisch saubere Sicherung und Darstellung der Beweise; kostenloser Belkasoft Live RAM Capturer für Windows.
Belkasoft Remote Acquisition sammelt Beweise von entfernten Computern und Mobilgeräten.
Ausprägungen für Behörden (Forensic) und Unternehmen (Corporate, Incident Response, eDiscovery); Analyse mit Verbindungsgraph und Timeline.
Breite Quellenabdeckung einschliesslich Arbeitsspeicher in einem Werkzeug.
Remote Acquisition nur in Belkasoft X Corporate enthalten; Firmensitz und Eigentum auf der Unternehmensseite nicht belegt, Teamworkflow im Pilot prüfen.
X-Ways Forensics
X-Ways Software Technology
Datenträgerforensik mit Zugriff auf Disks, RAIDs und Images sowie zahlreiche Dateisysteme.
Disk-Cloning und -Imaging, Lesen und Schreiben von .e01-Beweisdateien, Analyse ohne Veränderung des Originals.
Analyse entfernter Computer in Verbindung mit F-Response (Drittprodukt); Zugriff auf logischen Speicher laufender Prozesse.
Der Anbieter bezeichnet das Werkzeug als Computerforensik-Software «made in Germany»; Ereignisse lassen sich chronologisch als Timeline darstellen.
Effiziente Low-Level-Datenträgeranalyse mit geringem Ressourcenbedarf.
Remote-Analyse nur mit Drittprodukt; Einarbeitung anspruchsvoll, Mobil- und Cloud-Quellen nicht belegt.
OpenText Forensic (ehemals EnCase Forensic)
OpenText
Sammlung digitaler Beweise von Windows, Mac, Linux, Mobilgeräten und Cloud-Plattformen; Analyse von iOS- und Android-Backups.
Images in den Formaten E01, L01 und AFF4 mit Hashing zur Prüfung der Datenintegrität.
Cloud-Quellen wie Microsoft 365 und Facebook sowie Cloud-Speicher; tiefere Mobilanalyse über OpenText Mobile Investigator, Live-Untersuchung von Endpoints über OpenText Endpoint Investigator.
Laboranalyse beschlagnahmter oder ausgeschalteter Geräte; Timeline-Ansicht für die Auswertung.
Etabliertes Laborwerkzeug mit verbreiteten Beweisformaten und dokumentierter Integritätsprüfung.
Remote- und vertiefte Mobilfunktionen in separaten OpenText-Produkten; Arbeitsspeicheranalyse auf der Produktseite nicht belegt.
Cellebrite UFED (Inseyets)
Cellebrite
Datenextraktion von aktuellen Android- und iOS-Geräten.
Extraktion des vollständigen Dateisystems (Full File System) einschliesslich containerisierter und verschlüsselter Daten.
Teil der Suite Cellebrite Inseyets mit Physical Analyzer und Genesis für KI-gestützte Auswertung.
Workflows für Labor- und Frontline-Einsatz.
Spezialisierte Extraktion von Mobilgeräten einschliesslich geschützter Daten.
Auf Mobilgeräte ausgerichtet; Rechtsgrundlage und Gerätesupport je Fall prüfen, Cloud- und Remote-Funktionen nicht belegt.
MSAB XRY (Extract) mit XAMN
MSAB
Extraktion von Daten aus Mobilgeräten im Labor und im Feldeinsatz.
Varianten XRY Logical, XRY Physical und XRY Pro; Erhalt der Beweisintegrität laut Anbieter.
XRY Cloud für Cloud-Quellen; Auswertung mit XAMN.
Laut Anbieter in Schweden entwickelte Technologie, eingesetzt von Behörden in mehr als 100 Ländern.
Mobile-Extraktion mit eigenem Cloud-Modul und Auswertung aus einer Hand.
Auf Mobilgeräte ausgerichtet; Computer-, Arbeitsspeicher- und Remote-Quellen nicht belegt.
Oxygen Forensic Detective
Oxygen Forensics
Extraktion aus gesperrten und verschlüsselten Smartphones und Tablets (laut Anbieter über 35 000 Geräte) sowie Artefakte aus Windows, Linux und macOS.
Entschlüsselung von Daten ohne Passwort laut Anbieter; Import von Speicherkarten und Daten anderer Forensikwerkzeuge.
Extraktion aus über 100 Cloud-Anwendungen; Import von Drohnen-Logs und Verbindungsdaten (CDR).
Link-Analyse und Visualisierung von Beziehungen und Timelines; unbefristetes Lizenzmodell.
Mobil-, Computer- und Cloud-Quellen in einer Auswertungsoberfläche.
Firmensitz und Eigentum auf der Produktseite nicht genannt; Arbeitsspeicher- und Remote-Sammlung nicht belegt.
Binalyze AIR
Binalyze
Forensisch saubere Sammlung von Artefakten auf Endpoints und Cloud-Systemen für Triage, Incident Response und Threat Hunting.
Ereignisse werden zu einer Untersuchungs-Timeline korreliert.
Überführt Signale aus SIEM, EDR und XDR in Untersuchungen; Cloud Evidence Collector als eigenes Modul.
Ausrichtung auf Unternehmens-SOC und IR-Teams; Betriebsmodell und Datenstandort im Abruf nicht belegt.
Remote-Sammlung und Timeline-Analyse im Unternehmensmassstab.
Vollständige Datenträger-Images und Mobilgeräte nicht belegt; Betriebsmodell und Datenstandort prüfen.
Velociraptor
Rapid7 (Open-Source-Projekt Velociraptor)
Endpoint-Sammlung und Live-Abfragen über VQL (Velociraptor Query Language) auf verwalteten Clients.
Artefakte für Event Logs, Volatile State, File- und Bulk-File-Acquisition; Offline Collections für nicht angebundene Systeme.
Server-API, Server-Automation und Collections über SSH; Quarantäne von Clients; Zusammenspiel mit Rapid7 InsightIDR laut Dokumentationsstruktur. Das Artefakt Windows.Memory.Acquisition erstellt ein vollständiges Speicherabbild mit WinPmem.
Eigenbetrieb mit Server und Clients; die Dokumentation fordert wegen mehrerer CVEs die Aktualisierung auf die aktuelle Version (im Abruf 0.77.3).
Skalierbare, gezielte Endpoint-Sammlung mit offener Abfragesprache.
Eigenbetrieb, Härtung und Patchstand liegen beim Betreiber; Speicherabbilder werden gesammelt, die Analyse erfolgt mit separaten Werkzeugen.
Autopsy
Sleuth Kit Labs
End-to-End-Plattform für digitale Forensik, gebaut von Sleuth Kit Labs.
Erweiterbar über Add-on-Module, darunter Cyber Triage Malware Scanner und Law Enforcement Bundle.
Verzeichnis für Drittmodule; mitgeliefertes Modul Timeline Analysis mit grafischer Ereignisansicht.
Kostenloser Download; kommerzieller Support und Custom Development über Sleuth Kit Labs.
Freie, modulare grafische Forensikplattform für Ausbildung, Labore und kleinere Fälle.
Akquisition (Imaging) auf den abgerufenen Seiten nicht beschrieben; Performance und Teamworkflow für grosse Fälle prüfen.
Volatility 3
The Volatility Foundation
Analyse von Arbeitsspeicherabbildern.
Seit 2007 als Open-Source-Werkzeug in Python entwickelt; frei verfügbar über GitHub.
Volatility 3 ist die aktuelle Generation des Frameworks.
Getragen von der Volatility Foundation mit Schulungen und Community-Contest.
Tiefe Analyse von Arbeitsspeicherabbildern für Malware- und Incident-Untersuchungen.
Erzeugt keine Speicherabbilder selbst; braucht passende Images und Expertenwissen.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- OpenText Endpoint Investigator / Mobile Investigator: Remote- bzw. Mobile-Ergänzungen zu OpenText Forensic
- Cellebrite Endpoint Inspector: Remote-Sammlung von Cellebrite
- KAPE (Kroll): Windows-Triage-Werkzeug von Kroll
- GRR Rapid Response (Google): Open-Source-Werkzeug für Remote-Live-Forensik
- Nuix Neo / Nuix Investigate: Verarbeitung und Review grosser Datenbestände; Schwerpunkt Investigations und eDiscovery, Akquisition nicht belegt
- Magnet Graykey / Verakey, Magnet Nexus: Mobile-Zugriff bzw. Remote-Endpoint-Sammlung von Magnet Forensics; als Ergänzung zu Axiom genannt
- Cyber Triage (Sleuth Kit Labs): automatisierte DFIR-Triage, kommerziell
- Cado Security (Darktrace): Cloud-Forensik, heute bei Darktrace
Mit einem bekannten Datensatz prüfen.
- Akquisition, Hashprüfung und Zeitzonen reproduzieren.
- Bekannte Artefakte und absichtlich fehlende Spuren erkennen.
- Rollen, Notizen, Export und Chain of Custody testen.
- Ergebnis durch ein zweites Werkzeug oder manuell plausibilisieren.
Forensik liefert Evidenz an Incident Response und Case Management. Für die erste technische Sicht ergänzen EDR, NDR und SIEM die Untersuchung.
Security Tool Navigator · Gebiet 09
Im Gebiet Security Operations einordnen.
Diese Werkzeugklasse gehört zum Gebiet Security Operations. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.