IT-Forensik · Unternehmen
Wie kann eine ausgenutzte Sicherheitslücke als möglicher Initial-Access-Vektor nachgewiesen werden?
Die bloße Existenz einer CVE auf einem System beweist nicht, dass genau diese Schwachstelle ausgenutzt wurde.
Warum diese Frage für ein Unternehmen wichtig ist
Nach einem Cyberangriff können technische, wirtschaftliche, datenschutzrechtliche und regulatorische Entscheidungen von derselben Tatsachenfrage abhängen. Eine belastbare Rekonstruktion muss deshalb klar zwischen nachgewiesener Aktivität, technischer Möglichkeit und bloßer Vermutung unterscheiden.
Technical investigative approach
Wir vergleichen Version, Exposition, Patchstand, Log- und Netzwerkspuren sowie den zeitlichen Ablauf mit den technisch erwartbaren Folgen einer Ausnutzung.
Where the limits of what can be said lie
Verwundbarkeit und nachgewiesene Exploitation sind unterschiedliche Feststellungen.
Why LanCologne?
Nach einem Cyberangriff benötigt ein Unternehmen zunächst Sicherheit und Betriebsfähigkeit. Für spätere Entscheidungen reicht es jedoch nicht, nur zu wissen, dass ‚ein Angriff stattgefunden hat‘. Geschäftsführung, Datenschutz, Rechtsberatung, Versicherung und gegebenenfalls Behörden benötigen belastbare Antworten auf konkrete Tatsachenfragen.
LanCologne trennt deshalb Entdeckung, Erstzugriff, Kompromittierung, Persistenz, laterale Bewegung, Datenzugriff, mögliche Exfiltration und konkrete Schadenshandlung. Diese Phasen können zeitlich weit auseinanderliegen und dürfen nicht miteinander gleichgesetzt werden.
Tragende Feststellungen werden soweit möglich aus mehreren unabhängigen Datenquellen korreliert. Endpoint-, Netzwerk-, Identitäts-, Cloud- und Systemdaten besitzen jeweils eigene Aussagegrenzen. Ein automatisierter Alarm oder ein Produktreport ist für uns nicht die Beweisquelle selbst, sondern ein Ausgangspunkt zur Prüfung der zugrunde liegenden Primärdaten.
Auch Gegenhypothesen gehören zur Untersuchung. Ein ungewöhnlicher Login kann beispielsweise durch legitime Administration, VPN-Infrastruktur, automatisierte Dienste oder kompromittierte Zugangsdaten erklärt werden. Erst die Korrelation weiterer Spuren erlaubt eine belastbare Einordnung.
Fehlen entscheidende Daten, wird diese Lücke nicht mit Vermutungen gefüllt. Gerade bei Cybervorfällen ist die Aussage ‚anhand der erhaltenen Daten nicht sicher feststellbar‘ fachlich wertvoller als eine scheinbar eindeutige Angriffsgeschichte, die nicht reproduzierbar belegt werden kann.
Unsere Arbeitsweise
Incident Response und Forensik verfolgen unterschiedliche, aber ergänzende Ziele
Die Eindämmung eines laufenden Angriffs dient zunächst dem Schutz des Unternehmens. Die forensische Rekonstruktion klärt anschließend beziehungsweise parallel, was tatsächlich geschehen ist. Notwendige Sicherheitsmaßnahmen werden deshalb nicht unterlassen, nur um einen idealen Beweiszustand zu konservieren; unvermeidbare Veränderungen werden soweit möglich dokumentiert.
Warum LanCologne nach einem Cyberangriff?
LanCologne richtet die Untersuchung nicht an einer gewünschten Angriffsgeschichte aus. Maßgeblich ist, welche technischen Aussagen die erhaltenen Primärdaten tatsächlich tragen. Belastende, entlastende und offene Befunde werden nachvollziehbar dokumentiert, damit Geschäftsführung und Rechtsberatung auf einer überprüfbaren Tatsachengrundlage entscheiden können.
Legal framework
Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter zu einem dem Risiko angemessenen Schutzniveau. Genannt werden unter anderem Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit sowie die Fähigkeit, Verfügbarkeit und Zugang nach einem technischen oder physischen Zwischenfall zeitnah wiederherzustellen.
Ist bei einem Cybervorfall eine Verletzung des Schutzes personenbezogener Daten eingetreten, kann Art. 33 DSGVO einschlägig sein. Danach ist eine meldepflichtige Verletzung grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu melden, sofern sie voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Art. 33 Abs. 5 verlangt zudem die Dokumentation der Verletzung, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Bei voraussichtlich hohem Risiko kann zusätzlich Art. 34 DSGVO eine Benachrichtigung betroffener Personen verlangen. Ob diese Voraussetzungen vorliegen, ist eine datenschutzrechtliche Bewertung; die IT-Forensik liefert hierzu technische Tatsachen.
Für bestimmte private Unternehmen gilt seit dem 6. Dezember 2025 das neu gefasste BSI-Gesetz zur Umsetzung der NIS-2-Anforderungen. Ob ein Unternehmen als besonders wichtige oder wichtige Einrichtung erfasst ist, muss anhand des aktuellen BSIG, der Sektoren, Einrichtungsarten und Größenkriterien konkret geprüft werden. Für erfasste Einrichtungen enthält das BSIG unter anderem Pflichten zum Cybersicherheitsrisikomanagement und zu Sicherheitsvorfällen; § 38 BSIG weist den Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen Pflichten zur Umsetzung und Überwachung der Risikomanagementmaßnahmen zu.
Die gesetzlichen Melde- und Dokumentationspflichten können zeitkritisch sein. LanCologne trifft jedoch keine abschließende rechtliche Entscheidung über Meldepflichten, Verantwortlichkeit oder Haftung. Wir liefern die technisch nachvollziehbare Tatsachengrundlage, auf der Geschäftsführung, Datenschutzbeauftragte und Rechtsberatung entscheiden können.
Frequently Asked Questions
Wie kann eine ausgenutzte Sicherheitslücke als möglicher Initial-Access-Vektor nachgewiesen werden?
Wie geht eine solche technische Untersuchung in der Praxis vor?
Liefert die Untersuchung immer ein eindeutiges Ergebnis zulasten oder zugunsten einer beteiligten Person?
Gibt es dafür eine gesetzliche Grundlage?
Ist bei einem Cybervorfall eine Verletzung des Schutzes personenbezogener Daten eingetreten, kann Art. 33 DSGVO einschlägig sein. Danach ist eine meldepflichtige Verletzung grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu melden, sofern sie voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Art. 33 Abs. 5 verlangt zudem die Dokumentation der Verletzung, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Bei voraussichtlich hohem Risiko kann zusätzlich Art. 34 DSGVO eine Benachrichtigung betroffener Personen verlangen. Ob diese Voraussetzungen vorliegen, ist eine datenschutzrechtliche Bewertung; die IT-Forensik liefert hierzu technische Tatsachen.
Für bestimmte private Unternehmen gilt seit dem 6. Dezember 2025 das neu gefasste BSI-Gesetz zur Umsetzung der NIS-2-Anforderungen. Ob ein Unternehmen als besonders wichtige oder wichtige Einrichtung erfasst ist, muss anhand des aktuellen BSIG, der Sektoren, Einrichtungsarten und Größenkriterien konkret geprüft werden. Für erfasste Einrichtungen enthält das BSIG unter anderem Pflichten zum Cybersicherheitsrisikomanagement und zu Sicherheitsvorfällen; § 38 BSIG weist den Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen Pflichten zur Umsetzung und Überwachung der Risikomanagementmaßnahmen zu.
Die gesetzlichen Melde- und Dokumentationspflichten können zeitkritisch sein. LanCologne trifft jedoch keine abschließende rechtliche Entscheidung über Meldepflichten, Verantwortlichkeit oder Haftung. Wir liefern die technisch nachvollziehbare Tatsachengrundlage, auf der Geschäftsführung, Datenschutzbeauftragte und Rechtsberatung entscheiden können.
🔗 Related topics
LanCologne – IT-Forensik für Unternehmen
Do you have a digital enquiry? LanCologne can assist you with an objective, unbiased IT forensic investigation.