Informática forense · Empresas

Was ein Unternehmen nach einem schweren Cyberangriff von einer forensischen Aufarbeitung erwarten kann

Ist ein Angriff eingedämmt, stellen Geschäftsführung, Datenschutz, Versicherung und Rechtsberatung dieselben Fragen: Wie kam der Angreifer herein? Seit wann war er im Netz? Welche Konten, Systeme und Daten waren betroffen? Wurden Daten abgezogen? Die forensische Aufarbeitung beantwortet diese Fragen auf Basis der gesicherten Primärdaten – und benennt, wo die Datenlage keine sichere Antwort zulässt.

Solicitar información sin compromiso

Por qué esta cuestión es importante para una empresa

Tras un ciberataque, las decisiones técnicas, económicas, en materia de protección de datos y normativas pueden depender de los mismos hechos. Por lo tanto, una reconstrucción sólida debe distinguir claramente entre la actividad demostrada, la posibilidad técnica y la mera suposición.

Antecedentes técnicos

Die Antworten liegen verteilt: in Windows-Ereignisprotokollen, EDR-Telemetrie, Firewall- und VPN-Logs, Microsoft-365- und Entra-ID-Protokollen, Active-Directory-Änderungen und Spuren auf einzelnen Endgeräten. Viele Quellen haben kurze Aufbewahrungszeiten; wird nach dem Vorfall neu aufgesetzt, gehen sie verloren.

Pistas y fuentes de datos relevantes

• Windows Event Logs (u. a. Anmeldungen 4624/4625, Dienstinstallationen 7045, PowerShell-Protokolle)
• EDR-/Antiviren-Telemetrie und Quarantäne
• Firewall-, VPN- und Proxy-Logs
• Microsoft 365 Unified Audit Log und Entra-ID-Anmeldeprotokolle
• Active-Directory-Änderungen, neue Konten und Gruppenmitgliedschaften
• Artefakte auf Patient-Zero-Systemen (Prefetch, Amcache, Shimcache, SRUM)

Fronteras

• Fehlende oder überschriebene Logs begrenzen die Rekonstruktion.
• Ob Daten abgeflossen sind, lässt sich nicht immer positiv belegen oder ausschließen.
• Rechtliche Bewertungen (Meldepflichten, Haftung) treffen Datenschutzbeauftragte und Rechtsberatung.

Posibles resultados

• Angriffsweg und Zeitlinie belegt
• Liste betroffener Konten, Systeme und Datenbestände
• Exfiltration nachgewiesen, nicht nachweisbar oder nicht auszuschließen
• Empfehlungen zur Schließung der Angriffswege

¿Por qué LanCologne?

Nach einem Cyberangriff benötigt ein Unternehmen zunächst Sicherheit und Betriebsfähigkeit. Für spätere Entscheidungen reicht es jedoch nicht, nur zu wissen, dass ‚ein Angriff stattgefunden hat‘.

Así es como procedemos

• Abstimmung der Leitfragen mit Geschäftsführung, Versicherung und Rechtsberatung.
• Priorisierte Sicherung flüchtiger und kurzlebiger Quellen.
• Rekonstruktion von Initial Access, Rechteausweitung, lateraler Bewegung und möglicher Exfiltration.
• Abschlussbericht mit Management-Zusammenfassung und technischem Anhang.

La respuesta ante incidentes y la investigación forense persiguen objetivos distintos, pero complementarios

La contención de un ataque en curso tiene como objetivo, en primer lugar, proteger a la empresa. La reconstrucción forense aclara posteriormente, o bien de forma paralela, lo que realmente ha ocurrido. Por lo tanto, no se omiten las medidas de seguridad necesarias con el único fin de preservar un estado ideal de las pruebas; los cambios inevitables se documentan en la medida de lo posible.

¿Por qué LanCologne tras un ciberataque?

LanCologne no orienta la investigación en función de una hipótesis de ataque concreta. Lo determinante es qué información técnica aportan realmente los datos primarios obtenidos. Los hallazgos incriminatorios, exculpatorios y sin concluir se documentan de forma clara, para que la dirección y el equipo jurídico puedan tomar decisiones basadas en hechos verificables.

El artículo 32 del RGPD obliga a los responsables y a los encargados del tratamiento a garantizar un nivel de protección adecuado al riesgo. Entre otros aspectos, se mencionan la confidencialidad, la integridad, la disponibilidad y la resiliencia, así como la capacidad de restablecer rápidamente la disponibilidad y el acceso tras un incidente técnico o físico.

Si, en el marco de un incidente cibernético, se ha producido una violación de la protección de datos personales, puede ser de aplicación el artículo 33 del RGPD. En principio, dicha violación debe notificarse sin demora y, a ser posible, en un plazo de 72 horas desde que se tenga conocimiento de la misma, a la autoridad de control competente. Existe una excepción cuando se prevea que la violación no suponga un riesgo para los derechos y libertades de las personas físicas. El artículo 33, apartado 5, exige además la documentación de la violación, sus repercusiones y las medidas correctivas adoptadas. En caso de que se prevea un riesgo elevado, el artículo 34 del RGPD puede exigir, además, la notificación a los interesados. La evaluación jurídica de la obligación de notificación corresponde al responsable del tratamiento, con el asesoramiento de sus asesores en materia de protección de datos y jurídicos; la informática forense aporta los datos técnicos al respecto.

Desde el 6 de diciembre de 2025, la Ley revisada del BSI (BSIG), destinada a aplicar los requisitos de la Directiva NIS-2, es de aplicación a determinadas empresas privadas. Para determinar si una empresa está incluida como entidad de especial importancia o importante, debe evaluarse concretamente en función de la BSIG vigente, los sectores, los tipos de entidades y los criterios de tamaño. Para las entidades afectadas, la Ley BSI establece, entre otras cosas, obligaciones en materia de gestión de riesgos de ciberseguridad y de incidentes de seguridad; el artículo 38 de la Ley BSI asigna a los órganos de dirección de las entidades de especial importancia e importancia la obligación de aplicar y supervisar las medidas de gestión de riesgos.

Las obligaciones legales de notificación y documentación pueden ser urgentes. Sin embargo, LanCologne no toma ninguna decisión jurídica definitiva sobre las obligaciones de notificación, la responsabilidad o la responsabilidad civil. Proporcionamos la base fáctica, técnicamente verifiable, sobre la que la dirección, los responsables de protección de datos y los asesores jurídicos pueden tomar sus decisiones.

Preguntas frecuentes

🔗 Temas relacionados