Auf eingeschalteten Systemen befinden sich viele Hinweise und Spuren im Arbeitsspeicher.
Jeder Prozess der ausgeführt wird, existiert als Kopie im Arbeitsspeicher und hat dort seine Verknüpfungen,
wie offene Dateien, DLLs, Handles u.a. Somit sind wertvolle Informationen im Arbeitsspeicher vorhanden,
die beim Ziehen des Stromkabels verloren gehen. Die traditionelle Datenforensik/Datenforensik arbeitet
fast ausschließlich mit stromlosen Systemen, an denen die Analysen durchgeführt wurde.