Im ersten Schritt muss zwischen „lebenden” und „toten” Computersystemen unterschieden werden (s.u.).
Arbeitet das Computersystem, wird zuerst eine forensische Analyse des Arbeitsspeichers
durchgeführt (wie Inhalt von Cache, Status der Netzverbindungen, laufende Prozesse,
angemeldete Benutzer usw.).