IT-Forensik · Versicherungen
Wie kann eine Versicherung den tatsächlichen Beginn eines Cybervorfalls forensisch bestimmen lassen?
Ein Unternehmen bemerkt einen Angriff häufig erst Stunden, Tage oder sogar Wochen nach dem ersten technischen Zugriff. Für die Schadenprüfung müssen Entdeckungszeitpunkt, Beginn der Kompromittierung und Eintritt konkreter Schäden voneinander getrennt werden.
Warum diese Frage für eine Versicherung wichtig ist
Cyberversicherungsschäden können erhebliche wirtschaftliche Folgen haben. Umso wichtiger ist eine klare Trennung zwischen vermutetem Angriff, nachgewiesener Kompromittierung und tatsächlich eingetretenem technischen Schaden. Nur eine nachvollziehbare Rekonstruktion schafft eine belastbare Grundlage für die weitere Schadenprüfung.
Technische Beweisfrage und Untersuchungsansatz
Bei einem Cyberversicherungsschaden ist die konkrete technische Beweisfrage der Ausgangspunkt der Untersuchung. Eine forensische Auswertung darf weder darauf ausgerichtet sein, die Schadenmeldung zwingend zu bestätigen, noch darauf, eine Leistungsablehnung technisch zu begründen.
LanCologne untersucht deshalb die verfügbaren Primärdaten ergebnisoffen. Je nach Beweisfrage können hierzu System- und Sicherheitsprotokolle, Endpoint-Artefakte, Netzwerkdaten, Authentifizierungsereignisse, Cloud- und Auditinformationen, Dateisystemstrukturen, Backupinformationen oder weitere technisch geeignete Quellen gehören. Welche Quellen tatsächlich untersucht werden, richtet sich nach dem konkreten Fall, ihrer Verfügbarkeit und der rechtlichen Zulässigkeit.
Besondere Bedeutung hat die zeitliche Rekonstruktion. Entdeckungszeitpunkt, Erstzugriff, Kompromittierung, mögliche Persistenz, konkrete Schadenshandlung, Isolation und Wiederherstellung sind voneinander zu unterscheiden. Ein Alarmzeitpunkt ist nicht automatisch der Beginn eines Angriffs. Ebenso beweist die Kompromittierung eines Systems nicht automatisch einen Datenabfluss oder die Verschlüsselung sämtlicher erreichbarer Daten.
Tragende Feststellungen werden soweit möglich durch mehrere voneinander unabhängige Datenquellen korreliert. Automatisierte Reports und Softwaredarstellungen werden nicht ungeprüft mit der eigentlichen Beweisquelle gleichgesetzt. Bei entscheidenden Aussagen wird auf die zugrunde liegenden Artefakte und Primärdaten zurückgegangen.
Auch eine negative Feststellung wird differenziert formuliert. Wenn sich beispielsweise kein Datenabfluss nachweisen lässt, bedeutet dies nur dann einen belastbaren Ausschluss, wenn die vorhandene Telemetrie einen solchen Ausschluss tatsächlich erlaubt. Fehlen relevante Protokolle, muss die Aussagegrenze ausdrücklich benannt werden.
Für Versicherer entsteht dadurch eine belastbare technische Grundlage: Was ist nachgewiesen? Was ist technisch plausibel, aber nicht bewiesen? Welche Annahme wurde widerlegt? Und welche Frage lässt sich anhand der erhaltenen Daten nicht mehr zuverlässig beantworten?
Unsere Arbeitsweise
Proč LanCologne?
LanCologne arbeitet nicht auf ein gewünschtes Regulierungsergebnis hin. Maßgeblich ist ausschließlich die konkrete technische Beweisfrage. Ein Befund, der die Angaben des Versicherungsnehmers bestätigt, besitzt denselben Stellenwert wie ein nachweisbarer Widerspruch. Wo die Daten keine sichere Aussage zulassen, wird keine Vermutung an die Stelle eines Beweises gesetzt.
Nachvollziehbarkeit und Reproduzierbarkeit
Die wesentlichen Feststellungen werden in verständlicher Sprache erläutert. Der technische Teil dokumentiert die relevanten Datenquellen, Sicherungs- und Untersuchungsstände, Integritätsinformationen, Zeitbezüge, Artefakte und Validierungsschritte. Dadurch kann ein weiterer qualifizierter IT-Forensiker die tragenden Aussagen fachlich überprüfen.
LanCologne als unabhängige technische Unterstützung bei Cyberversicherungsschäden
Bei komplexen Cyber- und Unternehmensschäden unterstützt LanCologne Versicherer mit einer sachlichen, ergebnisoffenen und technisch nachvollziehbaren Rekonstruktion. Nicht die eingesetzte Software und nicht ein gewünschtes Ergebnis stehen im Vordergrund, sondern die Frage, was sich anhand der vorhandenen digitalen Spuren tatsächlich belegen lässt.
Právní rámec
Für die technische Schadenprüfung ist § 31 VVG ein wichtiger Ausgangspunkt. Danach kann der Versicherer nach Eintritt des Versicherungsfalls die Auskünfte verlangen, die zur Feststellung des Versicherungsfalls oder des Umfangs seiner Leistungspflicht erforderlich sind. Belege können unter den dort geregelten Voraussetzungen verlangt werden. Daraus folgt kein unbegrenztes Recht zur vollständigen forensischen Durchsuchung sämtlicher Unternehmens- oder Personendaten.
Bei Maßnahmen nach Eintritt des Versicherungsfalls kann außerdem § 82 VVG relevant sein. Die Vorschrift betrifft Schadenabwendung und Schadenminderung sowie zumutbare Weisungen des Versicherers. Ob eine konkrete Incident-Response-Maßnahme eine versicherungsvertragliche Pflicht erfüllt oder verletzt und welche Rechtsfolgen daraus entstehen, ist eine juristische Frage. IT-forensisch kann lediglich untersucht werden, welche technische Situation zum jeweiligen Zeitpunkt bestand und ob eine Maßnahme aus technischer Sicht nachvollziehbar war.
Soweit personenbezogene Daten verarbeitet werden, gelten insbesondere die Grundsätze des Art. 5 DSGVO sowie das Erfordernis einer Rechtsgrundlage nach Art. 6 DSGVO. Untersuchungsumfang und Datenquellen müssen deshalb auf die konkrete Beweisfrage und den rechtlich zulässigen Zweck begrenzt bleiben.
Kommt es später zu einer gerichtlichen Auseinandersetzung, bleibt die Beweiswürdigung Sache des Gerichts. § 286 ZPO regelt die freie Beweiswürdigung; § 287 ZPO enthält besondere Regelungen für die Feststellung von Schaden und Schadenhöhe. Eine privat beauftragte IT-forensische Untersuchung liefert technische Tatsachen und deren nachvollziehbare Herleitung, ersetzt aber keine gerichtliche Entscheidung.
Často kladené otázky
LanCologne – IT-Forensik für Versicherungen
Máte dotaz týkající se digitální oblasti? Společnost LanCologne vám pomůže s objektivním a nestranným IT forenzním vyšetřováním.