IT forenzika · Podniky

Was ein Unternehmen nach einem schweren Cyberangriff von einer forensischen Aufarbeitung erwarten kann

Ist ein Angriff eingedämmt, stellen Geschäftsführung, Datenschutz, Versicherung und Rechtsberatung dieselben Fragen: Wie kam der Angreifer herein? Seit wann war er im Netz? Welche Konten, Systeme und Daten waren betroffen? Wurden Daten abgezogen? Die forensische Aufarbeitung beantwortet diese Fragen auf Basis der gesicherten Primärdaten – und benennt, wo die Datenlage keine sichere Antwort zulässt.

Nezávazná poptávka

Proč je tato otázka pro podnik důležitá

Po kybernetickém útoku mohou technická, ekonomická, datově-ochranná a regulační rozhodnutí záviset na stejné skutkové otázce. Spolehlivá rekonstrukce událostí proto musí jasně rozlišovat mezi prokázanou aktivitou, technickou možností a pouhým předpokladem.

Technischer Hintergrund

Die Antworten liegen verteilt: in Windows-Ereignisprotokollen, EDR-Telemetrie, Firewall- und VPN-Logs, Microsoft-365- und Entra-ID-Protokollen, Active-Directory-Änderungen und Spuren auf einzelnen Endgeräten. Viele Quellen haben kurze Aufbewahrungszeiten; wird nach dem Vorfall neu aufgesetzt, gehen sie verloren.

Relevante Spuren und Datenquellen

• Windows Event Logs (u. a. Anmeldungen 4624/4625, Dienstinstallationen 7045, PowerShell-Protokolle)
• EDR-/Antiviren-Telemetrie und Quarantäne
• Firewall-, VPN- und Proxy-Logs
• Microsoft 365 Unified Audit Log und Entra-ID-Anmeldeprotokolle
• Active-Directory-Änderungen, neue Konten und Gruppenmitgliedschaften
• Artefakte auf Patient-Zero-Systemen (Prefetch, Amcache, Shimcache, SRUM)

Grenzen

• Fehlende oder überschriebene Logs begrenzen die Rekonstruktion.
• Ob Daten abgeflossen sind, lässt sich nicht immer positiv belegen oder ausschließen.
• Rechtliche Bewertungen (Meldepflichten, Haftung) treffen Datenschutzbeauftragte und Rechtsberatung.

Mögliche Ergebnisse

• Angriffsweg und Zeitlinie belegt
• Liste betroffener Konten, Systeme und Datenbestände
• Exfiltration nachgewiesen, nicht nachweisbar oder nicht auszuschließen
• Empfehlungen zur Schließung der Angriffswege

Proč LanCologne?

Nach einem Cyberangriff benötigt ein Unternehmen zunächst Sicherheit und Betriebsfähigkeit. Für spätere Entscheidungen reicht es jedoch nicht, nur zu wissen, dass ‚ein Angriff stattgefunden hat‘.

So gehen wir vor

• Abstimmung der Leitfragen mit Geschäftsführung, Versicherung und Rechtsberatung.
• Priorisierte Sicherung flüchtiger und kurzlebiger Quellen.
• Rekonstruktion von Initial Access, Rechteausweitung, lateraler Bewegung und möglicher Exfiltration.
• Abschlussbericht mit Management-Zusammenfassung und technischem Anhang.

Reakce na incidenty a forenzní analýza sledují odlišné, avšak vzájemně se doplňující cíle

Zastavení probíhajícího útoku slouží v první řadě k ochraně společnosti. Forenzní rekonstrukce následně, případně souběžně, objasní, co se skutečně stalo. Nezbytná bezpečnostní opatření se proto neprovádějí jen proto, aby se zachoval ideální stav důkazů; nevyhnutelné změny se v maximální možné míře dokumentují.

Proč LanCologne po kyberútoku?

Společnost LanCologne nezaměřuje vyšetřování na předpokládaný průběh útoku. Rozhodující je, jaké technické informace skutečně obsahují získané primární údaje. Usvědčující, ospravedlňující i nejasné nálezy jsou srozumitelně zdokumentovány, aby vedení společnosti a právní poradci mohli rozhodovat na základě ověřitelných faktů.

Článek 32 GDPR ukládá správcům a zpracovatelům povinnost zajistit úroveň ochrany přiměřenou riziku. Uvádí se zde mimo jiné důvěrnost, integrita, dostupnost a odolnost, jakož i schopnost včas obnovit dostupnost a přístup po technické nebo fyzické události.

Pokud v důsledku kybernetického incidentu došlo k porušení ochrany osobních údajů, může se uplatnit článek 33 GDPR. Takové porušení je zásadně nutné neprodleně, a pokud možno do 72 hodin od jeho zjištění, nahlásit příslušnému dozorovému úřadu. Výjimka platí v případě, že porušení pravděpodobně nepředstavuje riziko pro práva a svobody fyzických osob. Článek 33 odst. 5 navíc vyžaduje zdokumentování porušení, jeho dopadů a přijatých nápravných opatření. V případě předpokládaného vysokého rizika může navíc článek 34 GDPR vyžadovat oznámení dotčeným osobám. Právní posouzení oznamovací povinnosti přísluší správci za účasti jeho poradců v oblasti ochrany osobních údajů a právního poradenství; IT forenzika k tomu poskytuje technické podklady.

Pro určité soukromé podniky platí od 6. prosince 2025 novelizovaný zákon o BSI (BSIG) týkající se provádění požadavků směrnice NIS 2. Zda je podnik zařazen mezi zvláště důležité nebo důležité subjekty, je třeba konkrétně posoudit na základě aktuálního znění zákona BSIG, s ohledem na odvětví, typy subjektů a kritéria velikosti. Pro subjekty, na které se zákon vztahuje, obsahuje zákon o kybernetické bezpečnosti mimo jiné povinnosti týkající se řízení kybernetických bezpečnostních rizik a bezpečnostních incidentů; § 38 zákona o kybernetické bezpečnosti ukládá vedení zvláště důležitých a důležitých subjektů povinnosti týkající se provádění a sledování opatření v oblasti řízení rizik.

Zákonné povinnosti týkající se hlášení a dokumentace mohou být časově náročné. Společnost LanCologne však nevydává konečné právní rozhodnutí ohledně povinností hlášení, odpovědnosti ani ručení. Poskytujeme technicky podloženou faktickou základnu, na jejímž základě mohou rozhodovat vedení společnosti, pověřenci pro ochranu osobních údajů a právní poradci.

Často kladené otázky

🔗 Související témata