IT-kriminalteknik · Virksomheder

Hvordan kan den teknisk nødvendige genoprettelsestid efter et cyberangreb rekonstrueres på en gennemsigtig måde?

Für die Betriebsunterbrechungsversicherung, für Schadensersatzansprüche und für die Bewertung der eigenen Notfallplanung ist entscheidend, wie lange Systeme tatsächlich nicht verfügbar waren und welche Schritte die Wiederherstellung bestimmt haben. Diese Zeiten lassen sich aus technischen Spuren belegen.

Uforpligtende forespørgsel

Hvorfor dette spørgsmål er vigtigt for en virksomhed

I genopretningsfasen efter et cyberangreb træffes der tekniske beslutninger, der samtidig kan påvirke driftssikkerheden, bevarelsen af bevismateriale, databeskyttelsen og den senere dokumentation. En grundig dokumentation beskytter derfor ikke kun it-afdelingen, men skaber også et solidt faktagrundlag for ledelsen og den juridiske rådgivning.

Teknisk baggrund

Es ist sinnvoll, zwischen technischer Erreichbarkeit, eingeschränktem Betrieb und vollständigem Regelbetrieb zu unterscheiden. Verzögerungen entstehen häufig durch nicht nutzbare Backups, Abhängigkeiten zwischen Systemen (AD vor ERP), forensische Sicherung vor Wiederaufbau oder fehlende Dokumentation.

Relevante spor og datakilder

• Backup- und Restore-Protokolle (Start, Ende, Fehler)
• Systemstart- und Dienststatusereignisse
• Monitoring-Daten und Ticketsysteme
• Anmeldungen der ersten Nutzer in Fachanwendungen

Grænser

• Wurden Systeme neu aufgebaut und alte Logs nicht gesichert, sind einzelne Zeitpunkte nur über Sekundärquellen belegbar.
• Die versicherungsrechtliche Bewertung erfolgt durch Versicherer bzw. Gutachter.

Mulige resultater

• Zeitlinie der Wiederherstellung je System
• Begründung von Verzögerungen

Hvorfor LanCologne?

Efter en alvorlig cyberhændelse er opgaven ikke afsluttet, når angrebet er standset. Virksomheden skal genstarte systemerne på en kontrolleret måde, vurdere data og sikkerhedskopier, sikre identiteter, kortlægge driftsafbrydelser og samtidig indsamle bevismateriale til senere juridiske, forsikringsmæssige eller lovgivningsmæssige spørgsmål.

Sådan gør vi

• Definition der zu belegenden Zeitpunkte je kritischem System.
• Auswertung der Protokolle und Abgleich mit Ticket- und Kommunikationsdaten.
• Darstellung von Abhängigkeiten und Gründen für Verzögerungen.

Genoprettelsen må ikke efterfølgende forvride det historiske bevismateriale

Et system, der er blevet genopbygget korrekt efter hændelsen, siger ikke automatisk noget om, hvordan systemet så ud før eller under angrebet. Derfor dokumenterer vi historiske fund og efterfølgende afhjælpende foranstaltninger hver for sig. På den måde undgår vi, at den forbedrede tilstand efter hændelsen retroaktivt behandles som bevis for tidligere forhold.

Juridiske og lovgivningsmæssige rammer

Ved behandlingen af personoplysninger gælder der fortsat især principperne i artikel 5 i GDPR samt kravet om et holdbart retsgrundlag i henhold til artikel 6 i GDPR. Artikel 32 i GDPR kræver, at der træffes passende tekniske og organisatoriske foranstaltninger under hensyntagen til risikoen, og nævner blandt andet fortrolighed, integritet, tilgængelighed, robusthed samt evnen til hurtigt at genoprette tilgængelighed og adgang efter en hændelse.

I tilfælde af en overtrædelse af beskyttelsen af personoplysninger kan artikel 33 og artikel 34 i GDPR finde anvendelse. Artikel 33 fastsætter blandt sine betingelser, at der som udgangspunkt straks og om muligt inden for 72 timer efter, at bruddet er blevet kendt, skal indgives en anmeldelse til tilsynsmyndigheden, og kræver i henhold til stk. 5 en dokumentation af bruddet, dets konsekvenser og de iværksatte afhjælpende foranstaltninger. Hvis der forventes en høj risiko, kan artikel 34 desuden kræve, at de berørte personer underrettes. Om de respektive betingelser er opfyldt, vurderes ud fra databeskyttelseslovgivningen; den tekniske efterforskning leverer de tekniske fakta.

For virksomheder, der er omfattet af den reviderede BSI-lov, der træder i kraft i december 2025, kan der være yderligere forpligtelser for særligt vigtige og vigtige institutioner. Afhængigt af klassificeringen omfatter disse krav til cybersikkerhedsrisikostyring samt håndtering og indberetning af væsentlige sikkerhedshændelser. Ledelsens forpligtelser er udtrykkeligt omtalt i den aktuelle BSIG. Om en konkret virksomhed er omfattet, og hvilke frister eller forpligtelser der gælder i det enkelte tilfælde, skal vurderes på baggrund af den aktuelle lovmæssige klassificering.

Når det gælder medarbejderoplysninger, kan § 26 i BDSG og medbestemmelsesrettigheder på arbejdspladsen også være relevante. Selv under et cyberangreb giver den tekniske adgang ikke ret til en ubegrænset undersøgelsesomfang.

LanCologne leverer tekniske konklusioner og dokumenterer deres begrundelse. Beslutninger vedrørende anmeldelsespligt, erstatningsansvar, foranstaltninger i henhold til arbejdsretten eller andre retlige konsekvenser forbeholdes de kompetente virksomhedsorganer, databeskyttelsesansvarlige og juridiske rådgivere.

LanCologne til forensisk analyse og kontrolleret gendannelse

LanCologne kombinerer teknisk dybdegående detaljer med en fremstilling, der er forståelig for beslutningstagere. Vi dokumenterer ikke blot, hvilke foranstaltninger der er blevet gennemført, men også, hvilket teknisk faktagrundlag de bygger på, og hvilke begrænsninger der er i konklusionerne. Dette skaber gennemsigtighed for ledelsen, juridisk rådgivning, forsikringsselskaber og en eventuel senere faglig kontrol.

Ofte stillede spørgsmål

🔗 Relaterede emner