IT-rikostutkinta · Yritykset

Was ein Unternehmen nach einem schweren Cyberangriff von einer forensischen Aufarbeitung erwarten kann

Ist ein Angriff eingedämmt, stellen Geschäftsführung, Datenschutz, Versicherung und Rechtsberatung dieselben Fragen: Wie kam der Angreifer herein? Seit wann war er im Netz? Welche Konten, Systeme und Daten waren betroffen? Wurden Daten abgezogen? Die forensische Aufarbeitung beantwortet diese Fragen auf Basis der gesicherten Primärdaten – und benennt, wo die Datenlage keine sichere Antwort zulässt.

Pyydä sitoumukseton tarjous

Miksi tämä kysymys on tärkeä yritykselle

Kyberhyökkäyksen jälkeen tekniset, taloudelliset, tietosuojalain mukaiset ja sääntelyyn liittyvät päätökset voivat riippua samasta tosiseikasta. Luotettavassa tapahtumien rekonstruoinnissa on siksi tehtävä selkeä ero todistetun toiminnan, teknisen mahdollisuuden ja pelkkän oletuksen välillä.

Technischer Hintergrund

Die Antworten liegen verteilt: in Windows-Ereignisprotokollen, EDR-Telemetrie, Firewall- und VPN-Logs, Microsoft-365- und Entra-ID-Protokollen, Active-Directory-Änderungen und Spuren auf einzelnen Endgeräten. Viele Quellen haben kurze Aufbewahrungszeiten; wird nach dem Vorfall neu aufgesetzt, gehen sie verloren.

Relevante Spuren und Datenquellen

• Windows Event Logs (u. a. Anmeldungen 4624/4625, Dienstinstallationen 7045, PowerShell-Protokolle)
• EDR-/Antiviren-Telemetrie und Quarantäne
• Firewall-, VPN- und Proxy-Logs
• Microsoft 365 Unified Audit Log und Entra-ID-Anmeldeprotokolle
• Active-Directory-Änderungen, neue Konten und Gruppenmitgliedschaften
• Artefakte auf Patient-Zero-Systemen (Prefetch, Amcache, Shimcache, SRUM)

Grenzen

• Fehlende oder überschriebene Logs begrenzen die Rekonstruktion.
• Ob Daten abgeflossen sind, lässt sich nicht immer positiv belegen oder ausschließen.
• Rechtliche Bewertungen (Meldepflichten, Haftung) treffen Datenschutzbeauftragte und Rechtsberatung.

Mögliche Ergebnisse

• Angriffsweg und Zeitlinie belegt
• Liste betroffener Konten, Systeme und Datenbestände
• Exfiltration nachgewiesen, nicht nachweisbar oder nicht auszuschließen
• Empfehlungen zur Schließung der Angriffswege

Miksi LanCologne?

Nach einem Cyberangriff benötigt ein Unternehmen zunächst Sicherheit und Betriebsfähigkeit. Für spätere Entscheidungen reicht es jedoch nicht, nur zu wissen, dass ‚ein Angriff stattgefunden hat‘.

So gehen wir vor

• Abstimmung der Leitfragen mit Geschäftsführung, Versicherung und Rechtsberatung.
• Priorisierte Sicherung flüchtiger und kurzlebiger Quellen.
• Rekonstruktion von Initial Access, Rechteausweitung, lateraler Bewegung und möglicher Exfiltration.
• Abschlussbericht mit Management-Zusammenfassung und technischem Anhang.

Tapahtumien hallinta ja tietotekninen rikostutkinta pyrkivät erilaisiin, mutta toisiaan täydentäviin tavoitteisiin

Käynnissä olevan hyökkäyksen torjuminen palvelee ensisijaisesti yrityksen suojaamista. Rikostutkinnallinen rekonstruktio selvittää tämän jälkeen tai samanaikaisesti, mitä todellisuudessa on tapahtunut. Tarvittavia turvatoimenpiteitä ei siis jätetä toteuttamatta pelkästään ihanteellisen todistusaineiston säilyttämiseksi; väistämättömät muutokset dokumentoidaan mahdollisuuksien mukaan.

Miksi LanCologne kyberhyökkäyksen jälkeen?

LanCologne ei suuntaa tutkimusta halutun hyökkäysskenaarion mukaan. Ratkaisevaa on se, mitä teknisiä tietoja saadut primaaritiedot tosiasiassa sisältävät. Syyllisyyttä tukevat, syyllisyyttä lieventävät ja avoimet havainnot dokumentoidaan ymmärrettävästi, jotta johto ja lakiasiainosasto voivat tehdä päätöksiä todennettavissa olevien tosiseikkojen perusteella.

GDPR:n 32 artikla velvoittaa rekisterinpitäjät ja henkilötietojen käsittelijät varmistamaan riskiin suhteutetun suojan tason. Siinä mainitaan muun muassa luottamuksellisuus, eheys, saatavuus ja kestävyys sekä kyky palauttaa saatavuus ja pääsy nopeasti teknisen tai fyysisen häiriön jälkeen.

Jos kyberhyökkäyksessä on tapahtunut henkilötietojen suojan loukkaus, GDPR:n 33 artikla voi olla sovellettavissa. Tällainen loukkaus on periaatteessa ilmoitettava viipymättä ja mahdollisuuksien mukaan 72 tunnin kuluessa sen tultua ilmi toimivaltaiselle valvontaviranomaiselle. Poikkeuksena on tilanne, jossa loukkauksesta ei todennäköisesti aiheudu riskiä luonnollisten henkilöiden oikeuksille ja vapauksille. GDPR:n 33 artiklan 5 kohdassa vaaditaan lisäksi loukkauksen, sen vaikutusten ja toteutettujen korjaavien toimenpiteiden dokumentointia. Jos riskin arvioidaan olevan suuri, GDPR:n 34 artikla voi lisäksi edellyttää ilmoitusta asianomaisille henkilöille. Ilmoitusvelvollisuuden oikeudellinen arviointi on rekisterinpitäjän vastuulla, ja siinä on otettava huomioon hänen tietosuoja- ja oikeudellinen neuvonantajansa; IT-rikostutkinta toimittaa tähän liittyen tekniset tosiseikat.

Tiettyihin yksityisiin yrityksiin sovelletaan 6. joulukuuta 2025 alkaen uudistettua BSI-lakia, jolla pannaan täytäntöön NIS 2 -vaatimukset. Se, kuuluuko yritys erityisen tärkeiden tai tärkeiden laitosten piiriin, on tarkasteltava konkreettisesti nykyisen BSIG-lain, toimialojen, laitostyyppien ja kokokriteerien perusteella. BSIG-laissa säädetään luetteloon kuuluville laitoksille muun muassa velvoitteita kyberturvallisuusriskien hallintaan ja tietoturvaloukkauksiin liittyen; BSIG-lain 38 §:ssä määrätään erityisen tärkeiden ja tärkeiden laitosten johdolle velvollisuudet riskienhallintatoimenpiteiden toteuttamisesta ja seurannasta.

Lakisääteiset ilmoitus- ja dokumentointivelvollisuudet voivat olla aikataulultaan kriittisiä. LanCologne ei kuitenkaan tee lopullisia oikeudellisia päätöksiä ilmoitusvelvollisuuksista, vastuusta tai korvausvastuusta. Tarjoamme teknisesti todennettavissa olevan tosiasiapohjan, jonka perusteella johto, tietosuojavastaavat ja oikeudelliset neuvonantajat voivat tehdä päätöksiä.

Usein kysyttyjä kysymyksiä

🔗 Aiheeseen liittyvät aiheet