Een computer is gevonden op een plaats delict en wordt onderzocht op verdachte bestanden. Allereerst wordt er goed voorbereid: wat willen ze precies weten? Daarna wordt het systeem veiliggesteld. Dat houdt in dat al het materiaal met digitale sporen wordt verzameld zodat het onderzocht kan worden. Deze data kan bijvoorbeeld worden geanalyseerd in een heus forensisch laboratorium. Er wordt gekeken naar bestanden, maar ook acties die iemand heeft uigevoerd, zoals het downloaden van een bestand of het bezoeken van een website.