IT-kriminalteknik · Virksomheder

Was ein Unternehmen nach einem schweren Cyberangriff von einer forensischen Aufarbeitung erwarten kann

Ist ein Angriff eingedämmt, stellen Geschäftsführung, Datenschutz, Versicherung und Rechtsberatung dieselben Fragen: Wie kam der Angreifer herein? Seit wann war er im Netz? Welche Konten, Systeme und Daten waren betroffen? Wurden Daten abgezogen? Die forensische Aufarbeitung beantwortet diese Fragen auf Basis der gesicherten Primärdaten – und benennt, wo die Datenlage keine sichere Antwort zulässt.

Uforpligtende forespørgsel

Hvorfor dette spørgsmål er vigtigt for en virksomhed

Efter et cyberangreb kan tekniske, økonomiske, databeskyttelsesmæssige og lovgivningsmæssige beslutninger afhænge af det samme faktum. En pålidelig rekonstruktion skal derfor skelne klart mellem påvist aktivitet, teknisk mulighed og ren formodning.

Teknisk baggrund

Die Antworten liegen verteilt: in Windows-Ereignisprotokollen, EDR-Telemetrie, Firewall- und VPN-Logs, Microsoft-365- und Entra-ID-Protokollen, Active-Directory-Änderungen und Spuren auf einzelnen Endgeräten. Viele Quellen haben kurze Aufbewahrungszeiten; wird nach dem Vorfall neu aufgesetzt, gehen sie verloren.

Relevante spor og datakilder

• Windows Event Logs (u. a. Anmeldungen 4624/4625, Dienstinstallationen 7045, PowerShell-Protokolle)
• EDR-/Antiviren-Telemetrie und Quarantäne
• Firewall-, VPN- und Proxy-Logs
• Microsoft 365 Unified Audit Log und Entra-ID-Anmeldeprotokolle
• Active-Directory-Änderungen, neue Konten und Gruppenmitgliedschaften
• Artefakte auf Patient-Zero-Systemen (Prefetch, Amcache, Shimcache, SRUM)

Grænser

• Fehlende oder überschriebene Logs begrenzen die Rekonstruktion.
• Ob Daten abgeflossen sind, lässt sich nicht immer positiv belegen oder ausschließen.
• Rechtliche Bewertungen (Meldepflichten, Haftung) treffen Datenschutzbeauftragte und Rechtsberatung.

Mulige resultater

• Angriffsweg und Zeitlinie belegt
• Liste betroffener Konten, Systeme und Datenbestände
• Exfiltration nachgewiesen, nicht nachweisbar oder nicht auszuschließen
• Empfehlungen zur Schließung der Angriffswege

Hvorfor LanCologne?

Nach einem Cyberangriff benötigt ein Unternehmen zunächst Sicherheit und Betriebsfähigkeit. Für spätere Entscheidungen reicht es jedoch nicht, nur zu wissen, dass ‚ein Angriff stattgefunden hat‘.

Sådan gør vi

• Abstimmung der Leitfragen mit Geschäftsführung, Versicherung und Rechtsberatung.
• Priorisierte Sicherung flüchtiger und kurzlebiger Quellen.
• Rekonstruktion von Initial Access, Rechteausweitung, lateraler Bewegung und möglicher Exfiltration.
• Abschlussbericht mit Management-Zusammenfassung und technischem Anhang.

Incident Response og digital kriminalteknik har forskellige, men komplementære mål

Inddæmningen af et igangværende angreb tjener først og fremmest til at beskytte virksomheden. Den efterfølgende eller parallelle forensiske rekonstruktion afklarer, hvad der rent faktisk er sket. Nødvendige sikkerhedsforanstaltninger undlades derfor ikke blot for at bevare et ideelt bevismateriale; uundgåelige ændringer dokumenteres så vidt muligt.

Hvorfor LanCologne efter et cyberangreb?

LanCologne baserer ikke undersøgelsen på en ønsket angrebshistorie. Det afgørende er, hvilke tekniske konklusioner de indsamlede primærdata rent faktisk understøtter. Belastende, frifindende og uafklarede fund dokumenteres på en forståelig måde, så ledelsen og den juridiske rådgivning kan træffe beslutninger på et verificerbart faktagrundlag.

Artikel 32 i GDPR forpligter de dataansvarlige og databehandlerne til at sikre et beskyttelsesniveau, der står i rimeligt forhold til risikoen. Her nævnes blandt andet fortrolighed, integritet, tilgængelighed og robusthed samt evnen til hurtigt at genoprette tilgængeligheden og adgangen efter en teknisk eller fysisk hændelse.

Hvis der i forbindelse med en cyberhændelse er sket et brud på beskyttelsen af personoplysninger, kan artikel 33 i GDPR finde anvendelse. Et sådant brud skal som udgangspunkt straks og så vidt muligt inden for 72 timer efter, at det er blevet kendt, indberettes til den kompetente tilsynsmyndighed. Der gælder en undtagelse, hvis overtrædelsen forventes ikke at udgøre en risiko for fysiske personers rettigheder og frihedsrettigheder. Artikel 33, stk. 5, kræver desuden dokumentation for overtrædelsen, dens konsekvenser og de afhjælpende foranstaltninger, der er truffet. Hvis der forventes en høj risiko, kan artikel 34 i GDPR desuden kræve, at de berørte personer underrettes. Den juridiske vurdering af anmeldelsespligten påhviler den dataansvarlige i samarbejde med dennes rådgivere inden for databeskyttelse og jura; IT-forensik leverer de tekniske fakta hertil.

For visse private virksomheder gælder den reviderede BSI-lov til gennemførelse af NIS-2-kravene fra den 6. december 2025. Om en virksomhed er omfattet som en særlig vigtig eller vigtig institution, skal konkret vurderes på baggrund af den aktuelle BSIG, sektorerne, institutionstyperne og størrelseskriterierne. For de omfattede institutioner indeholder BSIG blandt andet forpligtelser vedrørende cybersikkerhedsrisikostyring og sikkerhedshændelser; § 38 i BSIG pålægger ledelsen i særligt vigtige og vigtige institutioner forpligtelser til at gennemføre og overvåge risikostyringsforanstaltningerne.

De lovmæssige anmeldelses- og dokumentationsforpligtelser kan være tidsfølsomme. LanCologne træffer dog ingen endelig juridisk afgørelse om anmeldelsesforpligtelser, ansvar eller erstatningsansvar. Vi leverer det teknisk underbyggede faktagrundlag, som ledelsen, databeskyttelsesansvarlige og juridiske rådgivere kan basere deres beslutninger på.

Ofte stillede spørgsmål

🔗 Relaterede emner