Es gibt drei Hauptgründe für das Duplizieren von Festplatten: System Rollouts, Datensicherung und Beweisaufnahme. Softwarelösungen und andere relativ unkomplizierte Methoden reichen oftmals für die ersten beiden aus. Der dritte benötigt mehr Komplexität. Der Logicube Forensic SF-5000, mit dem eine perfekte Kopie einer Quellplatte, ohne das Original zu verändern, erstellt werden kann, kann in diesem Fall das Gerät Ihrer Wahl sein. Dieser tragbare Festplatte-zu-Festplatte Duplizierer erstellt eine exakte Sektor für Sektor Kopie des Originals.

Digitale Kriminalität ist auf dem Vormarsch und Angriffe innerhalb des eigenen Unternehmens sind wahrscheinlicher als Hackerattacken von außen. Viele Unternehmen beobachten mit wachsender Besorgnis, wie kritische Informationen und Betriebsgeheimnisse nach außen gelangen, müssen jedoch hilflos zusehen, da die technische Expertise zur Beweissicherung fehlt. Ein Systemadministrator, der mit dem Anfertigen einer perfekten Kopie einer Festplatte konfrontiert wird, gibt entweder meist auf oder macht Fehler, die das Ergebnis unbrauchbar als Beweismittel machen.

Der einfach zu handhabende, robust ausgeführte SF-5000u verändert den Prozess. Die Einheit wird mit mehreren IDE-Kabeln, einem PC CloneCard Adpater für Laptops, einem tragbaren Drucker und einem Schraubenzieher sowie einer Taschenlampe ausgeliefert. Die beiden letztgenannten erscheinen ein wenig seltsam, solange, bis man während eines Einsatzes vor Ort seine Werkzeuge vergessen hat. Um einen makellosen Einsatz durch IT- Administratoren, Ermittlungsbehörden und andere zu gewährleisten, ist alles in einem stabilen, luft- und wasserdichten Koffer untergebracht. Die Einheit an sich wiegt nur etwa 450 Gramm und mit seiner Größe und Form, kombiniert mit dem knallgelben Finish, LCD Display, IDE Anschluss und 7 Tasten Keypad, sieht es aus wie Darth Vader´s Sport GameBoy.

"Die Einheit an sich wiegt nur etwa 450 Gramm und mit seiner Größe und Form, kombiniert mit dem knallgelben Finish, LCD, IDE Anschluss und 7 Tasten Keypad, sieht es aus wie Darth Vader´s Sport GameBoy."

Der Kopierprozess ist relativ einfach und menügesteuert. Am Anfang überprüft das Gerät, ob die Zielplatte (muss von Benutzer gestellt werden) mindestens gleich groß oder größer als die Quellplatte ist und ermittelt die optimale Übertragungsgeschwindigkeit. Das SF-5000 tut dies mittels eines Lesetests. Man kann auch die Übertragungsgeschwindigkeit manuell einstellen. Es besteht die Möglichkeit den langsamen oder mittelschnellen PIO (Programmed Input/Output) Modus oder UDMA (Ultra Direct Memory Access) Modi 0 bis 2 auszuwählen. Vor dem Überschreiben der Zielplatte wird vom SF-5000 eine Bestätigung gefordert. Während des Kopiervorgangs wird ein
32-bit CRC (cyclical redundancy check) durchgeführt, um die Genauigkeit zu gewährleisten. Treten keine Diskrepanzen auf, wird der Übertragungsvorgang mit der Ausgabe von "End Capture Successfully" auf dem LCD beendet. Bei einem Versuch, eine Platte mit einer Anzahl von schlechten Sektoren oder Blöcken, kann der Benutzer entscheiden, ob der Vorgang abgebrochen, der schlechte Sektor übersprungen oder der Vorgang bis zu 50 mal wiederholt wird. Der Endbericht kennzeichnet die nicht erfolgreich kopierten Sektoren.

Der SF-5000u berechnet CRC-32 Signaturen für Quell- und Ziellaufwerk, einerseits, um sicherzustellen, dass die Daten auf dem Quellaufwerk unverändert sind und andererseits, dass die Zielplatte eine exakte Kopie enthält. Die Verifizierung benötigt zusätzliche Zeit, jedoch wurde in unserem Test mit einer Maxtor 30 GB, 7.200 rpm (Quelle und Ziel) ein Durchsatz von 1,2 GB pro Minute ermittelt - beeindruckend. Der Durchsatz variiert selbstverständlich, abhängig von den eingesetzten Festplatten und deren Zustand. Schlechte Sektoren, zum Beispiel, verlangsamen den Prozess signifikant.

Der SF-5000u hat einen unidirektionalen Kopierfluss (es werden keine Daten auf die Quellplatte geschrieben). Sektor-für Sektor wird gelesen und die dazu benötigte Firmware ist in die Einheit integriert, somit werden keine zusätzlichen Treiber benötigt. Dadurch werden Änderungen auf der Quellplatte verhindert. Sollte keine direkte Verbindung zur Quellplatte bestehen, kann sie über USB 1.1/2.0, dem Parallelport oder mit der mitgelieferten PC Karte CloneCard Pro. Diese eignet sich insbesondere zum Klonen von Laptop Festplatten. Dabei ist jedoch zu beachten, dass der Durchsatz limitiert ist auf die jeweiligen Kapazitäten der gewählten Interfaces.

Der Preis kann etwas hoch erscheinen, allerdings beinhaltet das Kit einen tragbaren Canon Drucker zu Drucken von Berichten vor Ort. Die detaillierten Berichte enthalten die CRC-32 Checksummen, Seriennummern der Festplatten, Fabrikat, Modell und Informationen über die Festplattengeometrie beider Platten. Das ist insbesondere dann wichtig, wenn jeglicher Aspekt der Beweisaufnahme dokumentiert werden muss und eine Kette der Ereignisse notwendig ist.

Uns gefällt das Logicube Forensic SF-5000u wegen seiner einfachen Bedienung. Zwar sollte man die grundlagen der Festplattengeometrie beherrschen, jedoch ist der LCD Schirm gut lesbar und die Eingaben klar und einfach. Des weiteren ist das gerät robust und handlich zugleich. Für eine Beweissicherung, die möglicherweise später auch vor Gericht verwendet werden soll, sollten Sie ernsthaft über die Anschaffung des SF-5000u nachdenken.