IT-kriminalteknik · Forsikringer

Hvordan kan et forsikringsselskab få undersøgt, om et påstået datalæk teknisk set kan påvises?

Meldet ein Versicherungsnehmer nach einem Cyberangriff einen Datenabfluss, braucht der Versicherer belastbare Antworten: Wurden Daten tatsächlich abgezogen? Welche, wann und in welchem Umfang? Und passen die Angaben zum technischen Ablauf des Vorfalls?

Uforpligtende forespørgsel

Hvorfor dette spørgsmål er vigtigt for et forsikringsselskab

I omstridte eller økonomisk betydningsfulde skadessager kan små tekniske detaljer have stor indflydelse på vurderingen. Netop derfor er det vigtigt at skelne klart mellem en faktisk digital afvigelse, dens mulige årsag og en juridisk konklusion.

Teknisk baggrund

Exfiltration hinterlässt Spuren in Netzwerk- und Firewall-Logs (ungewöhnliche Datenmengen zu externen Zielen), in Werkzeugen der Angreifer (z. B. Rclone-Konfigurationen, Archivierungsprogramme) und in Cloud-Protokollen. Bei Ransomware-Gruppen kann eine Veröffentlichung auf Leak-Seiten ein Indiz sein – sie belegt aber nicht automatisch Umfang und Inhalt.

Relevante spor og datakilder

  • Firewall-, Proxy- und NetFlow-Daten mit Volumen und Zielen
  • Ausführungsspuren von Exfiltrations- und Archivierungswerkzeugen
  • Cloud-Audit-Logs (Downloads, Freigaben)
  • Öffentliche Leak-Veröffentlichungen (dokumentiert, nicht heruntergeladen ohne Rechtsgrundlage)

Grænser

  • Fehlen Netzwerkprotokolle, ist ein Abfluss oft weder belegbar noch auszuschließen.
  • Die Deckungsentscheidung trifft der Versicherer.

Mulige resultater

  • Abfluss technisch belegt (Umfang, Zeitraum)
  • Abfluss nicht nachweisbar, aber nicht auszuschließen
  • Widersprüche zwischen Meldung und Datenlage

Hvorfor LanCologne?

Ved en plausibilitets- eller manipulationsundersøgelse er det særligt vigtigt at arbejde uden forudindtagede konklusioner. Et usædvanligt tidsstempel, en slettet fil, et redigeret foto eller et hul i logfilerne må ikke i sig selv tolkes som svindel, blot fordi fundet forekommer i en omstridt forsikringssag.

Sådan gør vi

  • Erfassung der Schadenmeldung und der behaupteten Datenkategorien.
  • Prüfung der verfügbaren technischen Belege und Zeitpunkte.
  • Plausibilitätsbewertung mit offenen Punkten.

Ingen forhastede konklusioner – heller ikke ved påfaldende fund

Vores opgave er ikke at bekræfte en mistanke. Hvis en almindelig teknisk forklaring bekræftes, dokumenteres den. Hvis der fremkommer en holdbar modsigelse, dokumenteres også denne. Hvis der fortsat er flere mulige forklaringer, erstattes usikkerheden ikke af en formodning.

Forståeligt for skadesafdelingen og juristerne – reproducerbart for retsmedicinerne

Hovedbudskabet er formuleret på en forståelig måde. Den tekniske del indeholder de afgørende datakilder, tidsangivelser, oplysninger om integritet, fundsteder for artefakter og valideringstrin. Dermed forbliver udledningen kontrollerbar, også med henblik på en senere krydskontrol.

LanCologne til den uafhængige tekniske plausibilitetskontrol

Når oplysninger, filer, fotos, logfiler eller andre digitale spor i forbindelse med en forsikringssag skal underkastes en faglig undersøgelse, undersøger LanCologne det konkrete tekniske bevisspørgsmål på en objektiv og gennemsigtig måde. Det eneste afgørende er, hvad den lovligt tilgængelige database faktisk dokumenterer.

Retsgrundlag

I forbindelse med skadesvurderingen udgør § 31 i forsikringsloven (VVG) et centralt udgangspunkt: Forsikringsselskabet kan, efter at forsikringsbegivenheden er indtrådt, kræve de oplysninger, der er nødvendige for at fastslå forsikringsbegivenheden eller omfanget af dets forpligtelse til at yde erstatning; bilag kræves kun i det omfang, det med rimelighed kan forventes, at forsikringstageren kan fremskaffe dem. Heraf følger ikke en generel ret til en fuldstændig retsmedicinsk gennemsøgning af alle private data.

§ 28 i VVG regulerer de mulige retsvirkninger af en overtrædelse af kontraktmæssige forpligtelser. Om der forelå en forpligtelse, om denne blev overtrådt, og hvilke retsvirkninger der følger heraf, afhænger af den konkrete kontrakt og de lovmæssige forudsætninger. En IT-forensisk rapport bør derfor ikke fastslå, at der ikke foreligger en forpligtelse, men udelukkende dokumentere de underliggende tekniske kendsgerninger.

Hvad angår personoplysninger, skal man især overholde principperne i artikel 5 i GDPR – herunder formålsbegrænsning og dataminimering – samt et retsgrundlag i henhold til artikel 6 i GDPR. Datakilder, der indebærer et særligt stort indgreb i privatlivet, må ikke analyseres omfattende alene af den grund, at de er teknisk tilgængelige.

Hvis der senere indledes en civilretssag, er det op til retten at vurdere de faktiske påstande. § 286 i ZPO regulerer den frie bevisvurdering. § 287 i ZPO indeholder særlige regler for fastlæggelsen af skaden og skadens omfang. Den private ekspertudtalelse leverer her til et teknisk faktagrundlag, men erstatter ikke en retlig bevisvurdering.

Ofte stillede spørgsmål

Er en teknisk uregelmæssighed i sig selv bevis på forsikringssvindel?+
Nej. Et usædvanligt fund kan have mange tekniske årsager. Man kan ikke automatisk konkludere, at der er tale om svig, blot på grundlag af en enkelt digital uregelmæssighed.
Kan LanCologne fastslå, om en fil eller et foto er blevet ændret?+
Afhængigt af de foreliggende data kan ændringer, nye lagringer eller spor efter redigering konstateres eller afgrænses. Det er dog ikke alle ændringer, der entydigt kan tilskrives en bestemt person eller hensigt.
Dokumenteres der også fund, der bekræfter skadesanmeldelsen?+
Ja. En uafhængig undersøgelse skal behandle både bekræftende og modstridende resultater efter de samme faglige standarder.
Afgør LanCologne, om der foreligger en fritagelse for forpligtelsen eller en misligholdelse af forpligtelsen?+
Nej. Vi besvarer tekniske faktaspørgsmål. Den forsikringsretlige vurdering foretages af de kompetente jurister eller, i tilfælde af tvist, af domstolen.
Reicht die Veröffentlichung auf einer Leak-Seite als Beweis?+
Sie ist ein starkes Indiz, aber Umfang und Echtheit der Daten müssen gesondert geprüft werden.
Arbeiten Sie im Auftrag des Versicherers oder des Versicherten?+
Beides ist möglich; die Untersuchung bleibt ergebnisoffen.
Was, wenn keine Logs vorhanden sind?+
Dann wird dokumentiert, welche Aussagen nicht möglich sind und warum.

Relaterede emner

LanCologne – IT-kriminalteknik for forsikringsselskaber

Har du et spørgsmål vedrørende digital kriminalitet? LanCologne hjælper dig med en objektiv og resultatorienteret IT-forensisk undersøgelse.

Kontakt os nu