IT-kriminalteknik · Virksomheder
Wie kann eine vollständige Angriffschronologie nach einem Cybervorfall erstellt werden?
Ein Cyberangriff besteht meist aus vielen Ereignissen auf unterschiedlichen Systemen und in unterschiedlichen Zeitzonen.
Hvorfor dette spørgsmål er vigtigt for en virksomhed
Nach einem Cyberangriff können technische, wirtschaftliche, datenschutzrechtliche und regulatorische Entscheidungen von derselben Tatsachenfrage abhängen. Eine belastbare Rekonstruktion muss deshalb klar zwischen nachgewiesener Aktivität, technischer Möglichkeit und bloßer Vermutung unterscheiden.
Teknisk undersøgelsesmetode
Wir normalisieren Zeitbezüge, dokumentieren die Semantik der jeweiligen Zeitstempel und korrelieren unabhängige Datenquellen zu einer nachvollziehbaren Timeline.
Hvor grænsen for udsagn ligger
Eine Timeline darf keine Scheingenauigkeit erzeugen. Zeitdrift, Retention und unterschiedliche Logsemantik werden ausdrücklich berücksichtigt.
Hvorfor LanCologne?
Nach einem Cyberangriff benötigt ein Unternehmen zunächst Sicherheit und Betriebsfähigkeit. Für spätere Entscheidungen reicht es jedoch nicht, nur zu wissen, dass ‚ein Angriff stattgefunden hat‘. Geschäftsführung, Datenschutz, Rechtsberatung, Versicherung und gegebenenfalls Behörden benötigen belastbare Antworten auf konkrete Tatsachenfragen.
LanCologne trennt deshalb Entdeckung, Erstzugriff, Kompromittierung, Persistenz, laterale Bewegung, Datenzugriff, mögliche Exfiltration und konkrete Schadenshandlung. Diese Phasen können zeitlich weit auseinanderliegen und dürfen nicht miteinander gleichgesetzt werden.
Tragende Feststellungen werden soweit möglich aus mehreren unabhängigen Datenquellen korreliert. Endpoint-, Netzwerk-, Identitäts-, Cloud- und Systemdaten besitzen jeweils eigene Aussagegrenzen. Ein automatisierter Alarm oder ein Produktreport ist für uns nicht die Beweisquelle selbst, sondern ein Ausgangspunkt zur Prüfung der zugrunde liegenden Primärdaten.
Auch Gegenhypothesen gehören zur Untersuchung. Ein ungewöhnlicher Login kann beispielsweise durch legitime Administration, VPN-Infrastruktur, automatisierte Dienste oder kompromittierte Zugangsdaten erklärt werden. Erst die Korrelation weiterer Spuren erlaubt eine belastbare Einordnung.
Fehlen entscheidende Daten, wird diese Lücke nicht mit Vermutungen gefüllt. Gerade bei Cybervorfällen ist die Aussage ‚anhand der erhaltenen Daten nicht sicher feststellbar‘ fachlich wertvoller als eine scheinbar eindeutige Angriffsgeschichte, die nicht reproduzierbar belegt werden kann.
Vores arbejdsmetode
Incident Response und Forensik verfolgen unterschiedliche, aber ergänzende Ziele
Die Eindämmung eines laufenden Angriffs dient zunächst dem Schutz des Unternehmens. Die forensische Rekonstruktion klärt anschließend beziehungsweise parallel, was tatsächlich geschehen ist. Notwendige Sicherheitsmaßnahmen werden deshalb nicht unterlassen, nur um einen idealen Beweiszustand zu konservieren; unvermeidbare Veränderungen werden soweit möglich dokumentiert.
Warum LanCologne nach einem Cyberangriff?
LanCologne richtet die Untersuchung nicht an einer gewünschten Angriffsgeschichte aus. Maßgeblich ist, welche technischen Aussagen die erhaltenen Primärdaten tatsächlich tragen. Belastende, entlastende und offene Befunde werden nachvollziehbar dokumentiert, damit Geschäftsführung und Rechtsberatung auf einer überprüfbaren Tatsachengrundlage entscheiden können.
Retsgrundlag
Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter zu einem dem Risiko angemessenen Schutzniveau. Genannt werden unter anderem Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit sowie die Fähigkeit, Verfügbarkeit und Zugang nach einem technischen oder physischen Zwischenfall zeitnah wiederherzustellen.
Ist bei einem Cybervorfall eine Verletzung des Schutzes personenbezogener Daten eingetreten, kann Art. 33 DSGVO einschlägig sein. Danach ist eine meldepflichtige Verletzung grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu melden, sofern sie voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Art. 33 Abs. 5 verlangt zudem die Dokumentation der Verletzung, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Bei voraussichtlich hohem Risiko kann zusätzlich Art. 34 DSGVO eine Benachrichtigung betroffener Personen verlangen. Ob diese Voraussetzungen vorliegen, ist eine datenschutzrechtliche Bewertung; die IT-Forensik liefert hierzu technische Tatsachen.
Für bestimmte private Unternehmen gilt seit dem 6. Dezember 2025 das neu gefasste BSI-Gesetz zur Umsetzung der NIS-2-Anforderungen. Ob ein Unternehmen als besonders wichtige oder wichtige Einrichtung erfasst ist, muss anhand des aktuellen BSIG, der Sektoren, Einrichtungsarten und Größenkriterien konkret geprüft werden. Für erfasste Einrichtungen enthält das BSIG unter anderem Pflichten zum Cybersicherheitsrisikomanagement und zu Sicherheitsvorfällen; § 38 BSIG weist den Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen Pflichten zur Umsetzung und Überwachung der Risikomanagementmaßnahmen zu.
Die gesetzlichen Melde- und Dokumentationspflichten können zeitkritisch sein. LanCologne trifft jedoch keine abschließende rechtliche Entscheidung über Meldepflichten, Verantwortlichkeit oder Haftung. Wir liefern die technisch nachvollziehbare Tatsachengrundlage, auf der Geschäftsführung, Datenschutzbeauftragte und Rechtsberatung entscheiden können.
Ofte stillede spørgsmål
Wie kann eine vollständige Angriffschronologie nach einem Cybervorfall erstellt werden?
Hvordan foregår en sådan teknisk undersøgelse i praksis?
Giver undersøgelsen altid et entydigt resultat, der går imod eller til fordel for en af de involverede personer?
Er der et retsgrundlag for dette?
Ist bei einem Cybervorfall eine Verletzung des Schutzes personenbezogener Daten eingetreten, kann Art. 33 DSGVO einschlägig sein. Danach ist eine meldepflichtige Verletzung grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu melden, sofern sie voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Art. 33 Abs. 5 verlangt zudem die Dokumentation der Verletzung, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Bei voraussichtlich hohem Risiko kann zusätzlich Art. 34 DSGVO eine Benachrichtigung betroffener Personen verlangen. Ob diese Voraussetzungen vorliegen, ist eine datenschutzrechtliche Bewertung; die IT-Forensik liefert hierzu technische Tatsachen.
Für bestimmte private Unternehmen gilt seit dem 6. Dezember 2025 das neu gefasste BSI-Gesetz zur Umsetzung der NIS-2-Anforderungen. Ob ein Unternehmen als besonders wichtige oder wichtige Einrichtung erfasst ist, muss anhand des aktuellen BSIG, der Sektoren, Einrichtungsarten und Größenkriterien konkret geprüft werden. Für erfasste Einrichtungen enthält das BSIG unter anderem Pflichten zum Cybersicherheitsrisikomanagement und zu Sicherheitsvorfällen; § 38 BSIG weist den Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen Pflichten zur Umsetzung und Überwachung der Risikomanagementmaßnahmen zu.
Die gesetzlichen Melde- und Dokumentationspflichten können zeitkritisch sein. LanCologne trifft jedoch keine abschließende rechtliche Entscheidung über Meldepflichten, Verantwortlichkeit oder Haftung. Wir liefern die technisch nachvollziehbare Tatsachengrundlage, auf der Geschäftsführung, Datenschutzbeauftragte und Rechtsberatung entscheiden können.
🔗 Relaterede emner
LanCologne – IT-kriminalteknik for virksomheder
Har du et spørgsmål vedrørende digital kriminalitet? LanCologne hjælper dig med en objektiv og resultatorienteret IT-forensisk undersøgelse.