IT-kriminalteknik · Virksomheder

Hvordan kan en virksomhed efter et cyberangreb på en sikker måde vurdere adgangsrettighederne for tredjepartsudbydere og tjenesteudbydere?

Nach einem Cyberangriff stehen Dienstleisterzugänge doppelt im Fokus: Sie werden für die Wiederherstellung gebraucht – und sie sind ein häufiger Einfallsweg. Die Frage ist, ob ein bestimmter Zugang im Angriffszeitraum genutzt wurde und ob er bedenkenlos wieder aktiviert werden kann.

Uforpligtende forespørgsel

Hvorfor dette spørgsmål er vigtigt for en virksomhed

I genopretningsfasen efter et cyberangreb træffes der tekniske beslutninger, der samtidig kan påvirke driftssikkerheden, bevarelsen af bevismateriale, databeskyttelsen og den senere dokumentation. En grundig dokumentation beskytter derfor ikke kun it-afdelingen, men skaber også et solidt faktagrundlag for ledelsen og den juridiske rådgivning.

Teknisk baggrund

Typische Zugänge sind Fernwartungssoftware (z. B. TeamViewer, AnyDesk, ScreenConnect), RMM-Agenten von Managed Service Providern, Site-to-Site-VPNs, Gastkonten in Entra ID und Service-Accounts. Wurde ein Dienstleister selbst kompromittiert, kann der Angriff über dessen legitime Werkzeuge laufen.

Relevante spor og datakilder

• Verbindungsprotokolle der Fernwartungs- und RMM-Software
• VPN- und Firewall-Logs mit Quell-IP
• Anmeldeereignisse der Dienstleisterkonten (lokal, AD, Entra ID)
• Installations- und Ausführungsspuren auf Endpunkten (Prefetch, Amcache, Dienste)

Grænser

• Ein vorhandener Zugang belegt keine Verantwortlichkeit des Dienstleisters.
• Logs beim Dienstleister selbst sind nur mit dessen Mitwirkung verfügbar.

Mulige resultater

• Zugangsweg identifiziert bzw. ausgeschlossen (im geprüften Umfang)
• Liste der Zugänge mit Bewertung

Hvorfor LanCologne?

Efter en alvorlig cyberhændelse er opgaven ikke afsluttet, når angrebet er standset. Virksomheden skal genstarte systemerne på en kontrolleret måde, vurdere data og sikkerhedskopier, sikre identiteter, kortlægge driftsafbrydelser og samtidig indsamle bevismateriale til senere juridiske, forsikringsmæssige eller lovgivningsmæssige spørgsmål.

Sådan gør vi

• Inventar aller externen Zugänge und Konten.
• Abgleich der Nutzung im Angriffszeitraum mit dokumentierten Wartungsfenstern.
• Bewertung je Zugang: genutzt, nicht genutzt, nicht beurteilbar.
• Empfehlung zur kontrollierten Wiederfreigabe.

Genoprettelsen må ikke efterfølgende forvride det historiske bevismateriale

Et system, der er blevet genopbygget korrekt efter hændelsen, siger ikke automatisk noget om, hvordan systemet så ud før eller under angrebet. Derfor dokumenterer vi historiske fund og efterfølgende afhjælpende foranstaltninger hver for sig. På den måde undgår vi, at den forbedrede tilstand efter hændelsen retroaktivt behandles som bevis for tidligere forhold.

Juridiske og lovgivningsmæssige rammer

Ved behandlingen af personoplysninger gælder der fortsat især principperne i artikel 5 i GDPR samt kravet om et holdbart retsgrundlag i henhold til artikel 6 i GDPR. Artikel 32 i GDPR kræver, at der træffes passende tekniske og organisatoriske foranstaltninger under hensyntagen til risikoen, og nævner blandt andet fortrolighed, integritet, tilgængelighed, robusthed samt evnen til hurtigt at genoprette tilgængelighed og adgang efter en hændelse.

I tilfælde af en overtrædelse af beskyttelsen af personoplysninger kan artikel 33 og artikel 34 i GDPR finde anvendelse. Artikel 33 fastsætter blandt sine betingelser, at der som udgangspunkt straks og om muligt inden for 72 timer efter, at bruddet er blevet kendt, skal indgives en anmeldelse til tilsynsmyndigheden, og kræver i henhold til stk. 5 en dokumentation af bruddet, dets konsekvenser og de iværksatte afhjælpende foranstaltninger. Hvis der forventes en høj risiko, kan artikel 34 desuden kræve, at de berørte personer underrettes. Om de respektive betingelser er opfyldt, vurderes ud fra databeskyttelseslovgivningen; den tekniske efterforskning leverer de tekniske fakta.

For virksomheder, der er omfattet af den reviderede BSI-lov, der træder i kraft i december 2025, kan der være yderligere forpligtelser for særligt vigtige og vigtige institutioner. Afhængigt af klassificeringen omfatter disse krav til cybersikkerhedsrisikostyring samt håndtering og indberetning af væsentlige sikkerhedshændelser. Ledelsens forpligtelser er udtrykkeligt omtalt i den aktuelle BSIG. Om en konkret virksomhed er omfattet, og hvilke frister eller forpligtelser der gælder i det enkelte tilfælde, skal vurderes på baggrund af den aktuelle lovmæssige klassificering.

Når det gælder medarbejderoplysninger, kan § 26 i BDSG og medbestemmelsesrettigheder på arbejdspladsen også være relevante. Selv under et cyberangreb giver den tekniske adgang ikke ret til en ubegrænset undersøgelsesomfang.

LanCologne leverer tekniske konklusioner og dokumenterer deres begrundelse. Beslutninger vedrørende anmeldelsespligt, erstatningsansvar, foranstaltninger i henhold til arbejdsretten eller andre retlige konsekvenser forbeholdes de kompetente virksomhedsorganer, databeskyttelsesansvarlige og juridiske rådgivere.

LanCologne til forensisk analyse og kontrolleret gendannelse

LanCologne kombinerer teknisk dybdegående detaljer med en fremstilling, der er forståelig for beslutningstagere. Vi dokumenterer ikke blot, hvilke foranstaltninger der er blevet gennemført, men også, hvilket teknisk faktagrundlag de bygger på, og hvilke begrænsninger der er i konklusionerne. Dette skaber gennemsigtighed for ledelsen, juridisk rådgivning, forsikringsselskaber og en eventuel senere faglig kontrol.

Ofte stillede spørgsmål

🔗 Relaterede emner