Informatique légale · Entreprises

Was ein Unternehmen nach einem schweren Cyberangriff von einer forensischen Aufarbeitung erwarten kann

Ist ein Angriff eingedämmt, stellen Geschäftsführung, Datenschutz, Versicherung und Rechtsberatung dieselben Fragen: Wie kam der Angreifer herein? Seit wann war er im Netz? Welche Konten, Systeme und Daten waren betroffen? Wurden Daten abgezogen? Die forensische Aufarbeitung beantwortet diese Fragen auf Basis der gesicherten Primärdaten – und benennt, wo die Datenlage keine sichere Antwort zulässt.

Demande sans engagement

Pourquoi cette question est-elle importante pour une entreprise ?

À la suite d'une cyberattaque, les décisions d'ordre technique, économique, relatives à la protection des données et réglementaires peuvent dépendre d'un même état de fait. Une reconstitution solide doit donc établir une distinction claire entre l'activité avérée, la possibilité technique et la simple supposition.

Technischer Hintergrund

Die Antworten liegen verteilt: in Windows-Ereignisprotokollen, EDR-Telemetrie, Firewall- und VPN-Logs, Microsoft-365- und Entra-ID-Protokollen, Active-Directory-Änderungen und Spuren auf einzelnen Endgeräten. Viele Quellen haben kurze Aufbewahrungszeiten; wird nach dem Vorfall neu aufgesetzt, gehen sie verloren.

Relevante Spuren und Datenquellen

• Windows Event Logs (u. a. Anmeldungen 4624/4625, Dienstinstallationen 7045, PowerShell-Protokolle)
• EDR-/Antiviren-Telemetrie und Quarantäne
• Firewall-, VPN- und Proxy-Logs
• Microsoft 365 Unified Audit Log und Entra-ID-Anmeldeprotokolle
• Active-Directory-Änderungen, neue Konten und Gruppenmitgliedschaften
• Artefakte auf Patient-Zero-Systemen (Prefetch, Amcache, Shimcache, SRUM)

Grenzen

• Fehlende oder überschriebene Logs begrenzen die Rekonstruktion.
• Ob Daten abgeflossen sind, lässt sich nicht immer positiv belegen oder ausschließen.
• Rechtliche Bewertungen (Meldepflichten, Haftung) treffen Datenschutzbeauftragte und Rechtsberatung.

Mögliche Ergebnisse

• Angriffsweg und Zeitlinie belegt
• Liste betroffener Konten, Systeme und Datenbestände
• Exfiltration nachgewiesen, nicht nachweisbar oder nicht auszuschließen
• Empfehlungen zur Schließung der Angriffswege

Pourquoi LanCologne ?

Nach einem Cyberangriff benötigt ein Unternehmen zunächst Sicherheit und Betriebsfähigkeit. Für spätere Entscheidungen reicht es jedoch nicht, nur zu wissen, dass ‚ein Angriff stattgefunden hat‘.

So gehen wir vor

• Abstimmung der Leitfragen mit Geschäftsführung, Versicherung und Rechtsberatung.
• Priorisierte Sicherung flüchtiger und kurzlebiger Quellen.
• Rekonstruktion von Initial Access, Rechteausweitung, lateraler Bewegung und möglicher Exfiltration.
• Abschlussbericht mit Management-Zusammenfassung und technischem Anhang.

La réponse aux incidents et la criminalistique poursuivent des objectifs différents mais complémentaires

La maîtrise d'une attaque en cours vise avant tout à protéger l'entreprise. La reconstitution informatique permet ensuite, ou en parallèle, de déterminer ce qui s'est réellement passé. Les mesures de sécurité nécessaires ne sont donc pas négligées dans le seul but de préserver un état idéal des preuves ; les modifications inévitables sont documentées dans la mesure du possible.

Pourquoi « LanCologne » après une cyberattaque ?

LanCologne n'oriente pas l'enquête en fonction d'un scénario d'attaque présumé. Ce qui importe, ce sont les conclusions techniques que permettent réellement de tirer les données primaires recueillies. Les éléments à charge, à décharge et les points non élucidés sont documentés de manière transparente, afin que la direction et les conseillers juridiques puissent prendre leurs décisions sur la base de faits vérifiables.

L'article 32 du RGPD impose aux responsables du traitement et aux sous-traitants d'assurer un niveau de protection adapté au risque. Sont notamment mentionnés la confidentialité, l'intégrité, la disponibilité et la résilience, ainsi que la capacité à rétablir rapidement la disponibilité et l'accès après un incident technique ou physique.

Si un incident cybernétique a entraîné une violation de la protection des données à caractère personnel, l’article 33 du RGPD peut s’appliquer. Une telle violation doit en principe être notifiée sans délai à l’autorité de contrôle compétente, si possible dans les 72 heures suivant sa découverte. Une exception s'applique si la violation n'est pas susceptible d'entraîner un risque pour les droits et libertés des personnes physiques. L'article 33, paragraphe 5, exige en outre que la violation, ses conséquences et les mesures correctives prises soient documentées. En cas de risque élevé prévisible, l’article 34 du RGPD peut en outre exiger la notification des personnes concernées. L’évaluation juridique de l’obligation de notification incombe au responsable du traitement, en collaboration avec ses conseillers en matière de protection des données et ses conseillers juridiques ; la criminalistique informatique fournit à cet effet des éléments factuels techniques.

Depuis le 6 décembre 2025, la loi révisée sur le BSI (BSIG), qui transpose les exigences de la directive NIS 2, s’applique à certaines entreprises privées. Pour déterminer si une entreprise est considérée comme une entité particulièrement importante ou importante, il convient de procéder à une évaluation concrète sur la base de la BSIG en vigueur, en tenant compte des secteurs, des types d’entités et des critères de taille. Pour les entités concernées, la loi BSIG prévoit notamment des obligations en matière de gestion des risques liés à la cybersécurité et d'incidents de sécurité ; l'article 38 de la loi BSIG impose aux directions des entités particulièrement importantes et importantes des obligations relatives à la mise en œuvre et au suivi des mesures de gestion des risques.

Les obligations légales en matière de déclaration et de documentation peuvent être soumises à des délais stricts. LanCologne ne se prononce toutefois pas de manière définitive sur les obligations de déclaration, la responsabilité ou les obligations en matière de responsabilité civile. Nous fournissons les éléments factuels techniquement vérifiables sur lesquels la direction, les délégués à la protection des données et les conseillers juridiques peuvent fonder leurs décisions.

Foire aux questions

🔗 Sujets connexes