IT-kriminalteknik · Virksomheder

Forensische Aufarbeitung nach der akuten Incident Response – was danach noch zu klären ist

Nach der akuten Incident Response laufen die Systeme wieder. Offen bleiben oft die Fragen, die erst später Gewicht bekommen: Ist die Ursache wirklich beseitigt? Gibt es noch Zugänge des Angreifers? Was genau ist für Versicherung und Aufsichtsbehörde zu dokumentieren? Die Aufarbeitung schließt diese Lücken.

Uforpligtende forespørgsel

Hvorfor dette spørgsmål er vigtigt for en virksomhed

I genopretningsfasen efter et cyberangreb træffes der tekniske beslutninger, der samtidig kan påvirke driftssikkerheden, bevarelsen af bevismateriale, databeskyttelsen og den senere dokumentation. En grundig dokumentation beskytter derfor ikke kun it-afdelingen, men skaber også et solidt faktagrundlag for ledelsen og den juridiske rådgivning.

Teknisk baggrund

In der Akutphase wird priorisiert, was den Betrieb wiederherstellt. Dabei bleiben Spuren oft ungeprüft oder gehen verloren. Die nachgelagerte Forensik arbeitet mit dem, was gesichert wurde, und ergänzt fehlende Quellen, soweit sie noch existieren.

Relevante spor og datakilder

• Sicherungen und Notizen aus der Akutphase
• Persistenzmechanismen (Dienste, geplante Aufgaben, Run-Keys, WMI)
• Konten, Token und Anwendungsregistrierungen in Entra ID
• Fernwartungs- und Dienstleisterzugänge

Grænser

• Nicht gesicherte Daten aus der Akutphase sind oft unwiederbringlich verloren.
• Ein Restrisiko lässt sich mindern, aber nicht vollständig ausschließen.

Mulige resultater

• Root Cause bestätigt oder offen (mit Begründung)
• Nachweis bzw. Ausschluss verbliebener Zugänge im geprüften Umfang
• Lessons-Learned-Empfehlungen

Hvorfor LanCologne?

Efter en alvorlig cyberhændelse er opgaven ikke afsluttet, når angrebet er standset. Virksomheden skal genstarte systemerne på en kontrolleret måde, vurdere data og sikkerhedskopier, sikre identiteter, kortlægge driftsafbrydelser og samtidig indsamle bevismateriale til senere juridiske, forsikringsmæssige eller lovgivningsmæssige spørgsmål.

Sådan gør vi

• Bestandsaufnahme: Was wurde in der Akutphase gesichert, was nicht?
• Prüfung auf verbliebene Persistenz und Zugänge.
• Rekonstruktion von Ursache und Ablauf, soweit Daten vorliegen.
• Bericht für Geschäftsführung, Versicherung und Rechtsberatung.

Genoprettelsen må ikke efterfølgende forvride det historiske bevismateriale

Et system, der er blevet genopbygget korrekt efter hændelsen, siger ikke automatisk noget om, hvordan systemet så ud før eller under angrebet. Derfor dokumenterer vi historiske fund og efterfølgende afhjælpende foranstaltninger hver for sig. På den måde undgår vi, at den forbedrede tilstand efter hændelsen retroaktivt behandles som bevis for tidligere forhold.

Juridiske og lovgivningsmæssige rammer

Ved behandlingen af personoplysninger gælder der fortsat især principperne i artikel 5 i GDPR samt kravet om et holdbart retsgrundlag i henhold til artikel 6 i GDPR. Artikel 32 i GDPR kræver, at der træffes passende tekniske og organisatoriske foranstaltninger under hensyntagen til risikoen, og nævner blandt andet fortrolighed, integritet, tilgængelighed, robusthed samt evnen til hurtigt at genoprette tilgængelighed og adgang efter en hændelse.

I tilfælde af en overtrædelse af beskyttelsen af personoplysninger kan artikel 33 og artikel 34 i GDPR finde anvendelse. Artikel 33 fastsætter blandt sine betingelser, at der som udgangspunkt straks og om muligt inden for 72 timer efter, at bruddet er blevet kendt, skal indgives en anmeldelse til tilsynsmyndigheden, og kræver i henhold til stk. 5 en dokumentation af bruddet, dets konsekvenser og de iværksatte afhjælpende foranstaltninger. Hvis der forventes en høj risiko, kan artikel 34 desuden kræve, at de berørte personer underrettes. Om de respektive betingelser er opfyldt, vurderes ud fra databeskyttelseslovgivningen; den tekniske efterforskning leverer de tekniske fakta.

For virksomheder, der er omfattet af den reviderede BSI-lov, der træder i kraft i december 2025, kan der være yderligere forpligtelser for særligt vigtige og vigtige institutioner. Afhængigt af klassificeringen omfatter disse krav til cybersikkerhedsrisikostyring samt håndtering og indberetning af væsentlige sikkerhedshændelser. Ledelsens forpligtelser er udtrykkeligt omtalt i den aktuelle BSIG. Om en konkret virksomhed er omfattet, og hvilke frister eller forpligtelser der gælder i det enkelte tilfælde, skal vurderes på baggrund af den aktuelle lovmæssige klassificering.

Når det gælder medarbejderoplysninger, kan § 26 i BDSG og medbestemmelsesrettigheder på arbejdspladsen også være relevante. Selv under et cyberangreb giver den tekniske adgang ikke ret til en ubegrænset undersøgelsesomfang.

LanCologne leverer tekniske konklusioner og dokumenterer deres begrundelse. Beslutninger vedrørende anmeldelsespligt, erstatningsansvar, foranstaltninger i henhold til arbejdsretten eller andre retlige konsekvenser forbeholdes de kompetente virksomhedsorganer, databeskyttelsesansvarlige og juridiske rådgivere.

LanCologne til forensisk analyse og kontrolleret gendannelse

LanCologne kombinerer teknisk dybdegående detaljer med en fremstilling, der er forståelig for beslutningstagere. Vi dokumenterer ikke blot, hvilke foranstaltninger der er blevet gennemført, men også, hvilket teknisk faktagrundlag de bygger på, og hvilke begrænsninger der er i konklusionerne. Dette skaber gennemsigtighed for ledelsen, juridisk rådgivning, forsikringsselskaber og en eventuel senere faglig kontrol.

Ofte stillede spørgsmål

🔗 Relaterede emner