Das Bundesamt für Sicherheit in der Informationstechnik (BSI) definiert die IT‑Forensik, auch als Digitale Forensik oder Computer Forensik bezeichnet, so: „IT‑Forensik ist die streng methodisch vorgenommene Datenanalyse auf Datenträgern und in Computernetzen zur Aufklärung von Vorfällen unter Einbeziehung der Möglichkeiten der strategischen Vorbereitung insbesondere aus der Sicht des Anlagenbetreibers eines IT‑Systems.“ (Leitfaden „IT‑Forensik“).
Vorfälle, die untersucht werden, haben meistens mit dem Verlust von Kunden- oder geheimen Unternehmensdaten zu tun. Diese können durch Hacker-Angriffe, internen Datendiebstahl/ Sabotage, oder ungewollte Veröffentlichungen ein Unternehmen schädigen.
Das streng methodische Vorgehen ist dabei von hoher Bedeutung, da nur so ein gerichtsfestes Gutachten erstellt werden kann. Streng methodisch heißt dabei, dass durchgehend eine Verifizierung aller Spuren besteht und alle angewandten Methoden in einer wiederholten Anwendung dieselben Ergebnisse liefern. Somit können IT‑Forensiker nicht nur die Geräte auswerten und feststellen, was passiert ist; sie erarbeiten mit den Betroffenen zudem, wie ein weiterer Vorfall verhindert und die IT‑Systeme sicherer gemacht werden können.
Dabei gibt es eine Unterscheidung, wann die IT‑forensische Analyse stattfindet. In der Post‑mortem‑Analyse wird der Vorfall nachträglich aufgeklärt, indem Spuren aus einer Kopie des Datenträgers gewonnen werden. In der Live‑Forensik wird die Analyse während der Laufzeit der Datenträger und Computernetze durchgeführt. Somit besteht die Möglichkeit, weitere Daten aus dem sogenannten flüchtigen Speicher gewinnen zu können.