EasyELEarning Academy · PECB Authorized Partner
Certified Digital Forensics Examiner (CDFE) – Ausbildung in digitaler Forensik
Was ist bei einem Sicherheitsvorfall tatsächlich passiert? In dieser IT-Forensik-Schulung der EasyELEarning Academy lernen Sie, digitale Spuren systematisch zu sichern, auszuwerten und Ihre Ergebnisse nachvollziehbar zu dokumentieren. Der CDFE-Kurs verbindet Grundlagen der digitalen Forensik mit praktischen Untersuchungsmethoden.
Dauer
5 Tage · 4 Schulungstage + PrüfungLernformat
Live-Online oder PräsenzAbschluss
PECB-Prüfung & ZertifizierungInhalte und Lernziele
- Grundlagen der digitalen Forensik und rechtliche Rahmenbedingungen
- Digitale Beweissicherung, Datenintegrität und Beweismittelkette (Chain of Custody)
- Dateisystem-, Datenträger- und Speicherforensik
- Netzwerkverkehrs- und Protokollanalyse
- Malware-Analyse, Reverse Engineering und Threat Hunting
- Forensische Berichte und Einordnung der Ergebnisse für Incident Response
Praxisbeispiel: Dateizugriff oder tatsächlicher Datenabfluss?
Ein frei erfundenes Beispiel der EasyELEarning Academy zur fachlichen Orientierung. Es ist keine offizielle PECB-Übung und keine Zusage, dass dieser konkrete Fall im gebuchten Kurs bearbeitet wird.
Szenario
Ein Unternehmen bemerkt ungewöhnliche Zugriffe auf einen Projektordner. Im Protokoll erscheinen Downloads außerhalb der üblichen Arbeitszeit. Gleichzeitig läuft auf einem Firmenlaptop eine automatische Synchronisierung. Die ersten Zeitangaben aus Cloud und Endgerät passen nicht zusammen. Noch ist unklar, ob Daten unberechtigt weitergegeben wurden.
Aufgabe
Ein sinnvoller Untersuchungsplan beginnt mit einer klaren Fragestellung und dem autorisierten Umfang. Welche Datenquellen können einen bewussten Download von einer automatischen Übertragung unterscheiden? Denkbare Unterlagen sind Zugriffsprotokolle, Synchronisierungsereignisse und Dateimetadaten. Ordnen Sie Zeitstempel und Zeitzonen ein, dokumentieren Sie die Herkunft der Daten und unterscheiden Sie überprüfbare Beobachtungen von Annahmen. Benennen Sie außerdem fehlende Informationen und deren mögliche Bedeutung.
Mögliches Ergebnis
Das Arbeitsergebnis wäre eine Ereigniszeitleiste mit Quellenverweisen und ein kurzer Befundbericht. Er könnte erklären, welche Übertragungen dokumentiert sind, welche alternative Erklärung ebenfalls zu den Spuren passt und welche zusätzliche Untersuchung die offene Frage klären würde. Genau diese Verbindung von technischer Auswertung und verständlicher Berichterstattung macht die Forensikperspektive des CDFE-Kurses greifbar.
Grenzen
Ein protokollierter Zugriff beweist noch keine Weitergabe an Dritte. Lücken oder widersprüchliche Zeitangaben müssen im Bericht erkennbar bleiben. Der Beispielfall verspricht weder eine eindeutige Täterzuordnung noch die gerichtliche Verwertbarkeit eines späteren Untersuchungsberichts.
Für wen ist der Kurs geeignet?
Forensik-Fachkräfte, Incident-Responder und Sicherheitsanalysten.
Voraussetzungen
Grundkenntnisse in Cybersicherheit und digitaler Forensik werden vorausgesetzt. Die Anforderungen für die spätere PECB-Zertifizierung sind davon zu unterscheiden.
Ablauf und Lernformat
Der Vollkurs umfasst vier Schulungstage und die PECB-Prüfung am fünften Tag. Sie bearbeiten Übungen und Praxisfälle live mit einer qualifizierten Lehrkraft. Online- und Präsenzformat behandeln dieselben Inhalte.
Die Online-Einheiten finden live über alfaview statt. Das Odoo-Portal bündelt Kursinformationen und Materialien. Termine, Unterrichtssprache und Präsenzort werden vor Kursbeginn vereinbart.
Unterlagen, Prüfung und Zertifizierung
Im Vollkurs enthalten: offizielle PECB-Schulungsunterlagen, Unterricht im gebuchten Format und der erste PECB-Prüfungsversuch.
Für die PECB-Zertifizierung sind neben der bestandenen Prüfung die Anforderungen des beantragten Credentials zu erfüllen. Dazu gehören je nach Stufe Nachweise über Berufs- und Praxiserfahrung sowie die Anerkennung des PECB-Ethikkodex. PECB prüft den Antrag. Kursteilnahme und Prüfungserfolg allein garantieren nicht den regulären CDFE-Titel.
Option: 4 Stunden Prüfungsvorbereitung
Zusätzlich ist eine vierstündige Live-Prüfungsvorbereitung für 650 € buchbar. Sie richtet sich an Teilnehmende, die den Stoff bereits selbstständig erarbeiten, und ersetzt keinen vollständigen PECB-Kurs. Unterlagen und Prüfungsbuchung werden für diese Variante vorab gesondert abgestimmt.
Unterrichts- und Prüfungssprache
Unterrichtssprachen: Deutsch, Englisch oder Ungarisch. Die gewählte Unterrichtssprache wird bei der Terminabstimmung festgehalten. Ungarisch ist ausschließlich eine Unterrichtssprache dieses PECB-Kurses und keine zugesagte Prüfungssprache. Prüfungssprache und Sprache der offiziellen PECB-Unterlagen werden vor der Buchung separat abgestimmt.
Selbstständig? KOMPASS vor der Buchung prüfen.
Für Solo-Selbstständige kann KOMPASS eine passende Weiterbildung fördern. Vereinbaren Sie zuerst ein Beratungsgespräch mit uns zur Kursauswahl. Die verpflichtende Förderberatung und Prüfung erfolgen durch eine offizielle KOMPASS-Anlaufstelle. Erst nach Ausstellung des Qualifizierungsschecks verbindlich buchen. Voraussetzung ist unter anderem ein Umfang von mindestens 20 Stunden; nicht jedes Angebot erfüllt diese Bedingung. Eine Förderung wird im Einzelfall geprüft.
PECB-Kursprofil und Abschlussbedingungen
Weitere Schulungen in Informations- und Cybersicherheit
Häufige Fragen zu diesem Kurs
Kann ich ohne Forensik-Vorkenntnisse einsteigen?
PECB erwartet Grundlagen in Cybersicherheit und digitaler Forensik. Der Kurs ist deshalb kein vollständiger IT-Einstieg.
Ist digitale Forensik nur für Polizei und Gerichte relevant?
Nein. Auch Unternehmen nutzen sie, um Sicherheitsvorfälle anhand von Dateien, Systemdaten und Netzwerkspuren nachzuvollziehen.
Warum genügt es nicht, verdächtige Dateien einfach zu kopieren?
Eine nachvollziehbare Sicherung dokumentiert Herkunft, Vorgehen und Übergaben. Dadurch bleiben Untersuchungsmaterial und Beweismittelkette überprüfbar.
Beweist ein Hashwert bereits, wer eine Datei verändert hat?
Nein. Ein Hashvergleich prüft die Datenintegrität. Die Zuordnung zu einer Person benötigt zusätzliche, nachvollziehbar ausgewertete Belege.
Weshalb können Arbeitsspeicher und Netzwerkdaten entscheidend sein?
Flüchtige Daten können beim Ausschalten verschwinden. Netzwerkspuren ergänzen Datenträgerbefunde und helfen, Abläufe zeitlich einzuordnen.
Reicht der automatisch erzeugte Bericht eines Forensiktools?
Meist nicht. Ein Untersuchungsbericht erläutert Auftrag, Methoden, Ergebnisse und Schlussfolgerungen; Tool-Ausgaben können ihn als Anlagen unterstützen.
Bin ich nach der Prüfung automatisch vollständig CDFE-zertifiziert?
Nein. PECB prüft zusätzlich die Anforderungen des beantragten Credentials, insbesondere Erfahrung. Ohne entsprechende Nachweise kommt gegebenenfalls ein Provisional-Credential infrage.
Kann ich CDFE auf Ungarisch lernen und die Prüfung separat planen?
Ja. Ungarisch ist bei uns als Unterrichtssprache möglich. Prüfungssprache und Sprache der offiziellen Unterlagen vereinbaren wir vor der Buchung separat.
Ausgewählte Kursangebote im Vergleich
Welche Inhalte passen zu Ihrem Ziel, welche Fähigkeiten werden geübt und was dokumentiert der Abschluss? Die folgende Auswahl vergleicht dieses Angebot mit zwei konkreten Marktangeboten.
Auf kleinen Bildschirmen können Sie die Tabelle seitlich verschieben.
| Angebot | Inhalte | Kompetenzerwerb | Nachweiskraft des Abschlusses |
|---|---|---|---|
| EasyELEarning Academy Dieses Kursangebot | Beweissicherung, Datenintegrität und Beweismittelkette stehen neben Datenträger-, Speicher- und Netzwerkforensik. Ergänzt werden sie durch Malware-Analyse und nachvollziehbare Berichte für die Vorfallaufklärung. | Sie lernen, digitale Spuren methodisch zu sichern, Untersuchungen zu strukturieren und Ergebnisse verständlich zu dokumentieren. Der Kurs setzt grundlegende Cybersicherheits- und Forensikkenntnisse voraus. | PECB bewertet Prüfung, Antrag und die Anforderungen des gewünschten Credentials einschließlich einschlägiger Erfahrung. Kursteilnahme und Prüfungserfolg allein garantieren keinen regulären CDFE-Titel. |
| SANS Institute / GIAC FOR500: Windows Forensic Analysis / GCFE Verwandte Forensikqualifikation mit stärkerem Windows-Schwerpunkt; anderes Zertifizierungssystem. AnbieterangebotWeitere Quelle | FOR500 konzentriert sich auf digitale Spuren in Windows-Systemen, etwa Registry, Browser, E-Mails, Protokolle und Benutzeraktivitäten. Praktische Laboraufgaben begleiten die Analyse. | Sie vertiefen das Sammeln und Auswerten von Windows-Artefakten, rekonstruieren Aktivitäten und bearbeiten forensische Fälle. Der Schwerpunkt liegt auf der technischen Untersuchung von Windows-Systemen. | GIAC vergibt GCFE nach einer beaufsichtigten Zertifizierungsprüfung. FOR500 ist die zugeordnete Vorbereitung; die Teilnahme allein verleiht den GIAC-Abschluss noch nicht. |
| EC-Council Computer Hacking Forensic Investigator (CHFI) Verwandte, plattformübergreifende Forensikausbildung; eigener EC-Council-Abschluss. AnbieterangebotWeitere Quelle | CHFI behandelt den Untersuchungsprozess, Beweissicherung und Analyse für Windows, Linux, macOS, Netzwerke, Cloud und Mobilgeräte sowie Malware und Methoden zur Verschleierung digitaler Spuren. | Sie üben einen methodischen Untersuchungsablauf vom Auffinden digitaler Hinweise bis zur Auswertung und Berichterstattung, einschließlich der Analyse verschiedener Systeme und Datenquellen. | Der CHFI-Abschluss wird von EC-Council nach der Zertifizierungsprüfung vergeben. Für die Prüfungszulassung ohne offizielles Training gelten zusätzlich Erfahrungsnachweise und eine Antragsprüfung. |
Stand: 31.10.2026. Grundlage sind die verlinkten Anbieterangaben. Die Auswahl ist keine vollständige Marktübersicht. Verwandte Angebote sind entsprechend gekennzeichnet; Lehrumfang, Zugangsvoraussetzungen sowie Unterrichts- und Prüfungssprachen können abweichen. Die Tabelle beschreibt Lernziele und Nachweisarten, keine garantierten Lernerfolge oder allgemeine Gleichwertigkeit. Maßgeblich sind die aktuellen Angebots- und Zertifizierungsbedingungen. Angebotsnamen bleiben in der Originalbezeichnung.