In der klassischen IT-Forensik wird klassisch mit Full-Disk-Images gearbeitet. Der Zeitaufwand ist hierfür häufig groß und ein Großteil dieser Daten ist für die Forensik irrelevant. In diesem Workshop wird aufgezeigt, welche Daten auf Windows-Systemen für eine forensische Untersuchung tatsächlich relevant sind und wie man mit ihnen schneller zu verwertbaren Ergebnissen kommen kann.