IT forenzika · Poslovanje

Was ein Unternehmen nach einem schweren Cyberangriff von einer forensischen Aufarbeitung erwarten kann

Ist ein Angriff eingedämmt, stellen Geschäftsführung, Datenschutz, Versicherung und Rechtsberatung dieselben Fragen: Wie kam der Angreifer herein? Seit wann war er im Netz? Welche Konten, Systeme und Daten waren betroffen? Wurden Daten abgezogen? Die forensische Aufarbeitung beantwortet diese Fragen auf Basis der gesicherten Primärdaten – und benennt, wo die Datenlage keine sichere Antwort zulässt.

Upitajte bez obaveze

Zašto je ovo pitanje važno za poslovanje

Nakon kibernetičkog napada, tehničke, ekonomske, odluke o zaštiti podataka i regulatorne odluke mogu ovisiti o istom skupu činjenica. Stoga robusna rekonstrukcija mora jasno razlikovati dokazanu aktivnost, tehničku izvedivost i puku pretpostavku.

Technischer Hintergrund

Die Antworten liegen verteilt: in Windows-Ereignisprotokollen, EDR-Telemetrie, Firewall- und VPN-Logs, Microsoft-365- und Entra-ID-Protokollen, Active-Directory-Änderungen und Spuren auf einzelnen Endgeräten. Viele Quellen haben kurze Aufbewahrungszeiten; wird nach dem Vorfall neu aufgesetzt, gehen sie verloren.

Relevante Spuren und Datenquellen

• Windows Event Logs (u. a. Anmeldungen 4624/4625, Dienstinstallationen 7045, PowerShell-Protokolle)
• EDR-/Antiviren-Telemetrie und Quarantäne
• Firewall-, VPN- und Proxy-Logs
• Microsoft 365 Unified Audit Log und Entra-ID-Anmeldeprotokolle
• Active-Directory-Änderungen, neue Konten und Gruppenmitgliedschaften
• Artefakte auf Patient-Zero-Systemen (Prefetch, Amcache, Shimcache, SRUM)

Grenzen

• Fehlende oder überschriebene Logs begrenzen die Rekonstruktion.
• Ob Daten abgeflossen sind, lässt sich nicht immer positiv belegen oder ausschließen.
• Rechtliche Bewertungen (Meldepflichten, Haftung) treffen Datenschutzbeauftragte und Rechtsberatung.

Mögliche Ergebnisse

• Angriffsweg und Zeitlinie belegt
• Liste betroffener Konten, Systeme und Datenbestände
• Exfiltration nachgewiesen, nicht nachweisbar oder nicht auszuschließen
• Empfehlungen zur Schließung der Angriffswege

Zašto LanCologne?

Nach einem Cyberangriff benötigt ein Unternehmen zunächst Sicherheit und Betriebsfähigkeit. Für spätere Entscheidungen reicht es jedoch nicht, nur zu wissen, dass ‚ein Angriff stattgefunden hat‘.

So gehen wir vor

• Abstimmung der Leitfragen mit Geschäftsführung, Versicherung und Rechtsberatung.
• Priorisierte Sicherung flüchtiger und kurzlebiger Quellen.
• Rekonstruktion von Initial Access, Rechteausweitung, lateraler Bewegung und möglicher Exfiltration.
• Abschlussbericht mit Management-Zusammenfassung und technischem Anhang.

Odgovor na incidente i forenzika imaju različite, ali komplementarne ciljeve.

Primarni cilj obuzdavanja tekućeg napada jest zaštita organizacije. Forenzička rekonstrukcija potom razjašnjava, bilo naknadno ili paralelno, što se zapravo dogodilo. Stoga se potrebne sigurnosne mjere ne poduzimaju samo radi očuvanja idealnog stanja dokaza; neizbježne promjene dokumentiraju se što je više moguće.

Zašto LanCologne nakon kibernetičkog napada?

LanCologne ne temelji svoju istragu na hipotetičkom slijedu događaja. Ono što je važno jest što tehnički dokazi zapravo otkrivaju iz primarnih podataka. Nalazi koji su optužujući, oslobađajući ili neodređeni dokumentirani su na transparentan način kako bi više rukovodstvo i pravni savjetnici mogli donositi odluke na temelju provjerljivih činjenica.

Članak 32. GDPR-a zahtijeva od voditelja obrade i obrađivača da osiguraju razinu zaštite primjerenu riziku. To uključuje, između ostalog, povjerljivost, cjelovitost, dostupnost i otpornost, kao i sposobnost pravovremenog obnavljanja dostupnosti i pristupa nakon tehničkog ili fizičkog incidenta.

Ako je kibernetički incident doveo do povrede osobnih podataka, može se primijeniti članak 33. GDPR-a. Takva povreda se, načelno, mora prijaviti nadležnom nadzornom tijelu bez nepotrebnog odgađanja, a kad je to moguće, u roku od 72 sata od saznanja za nju. Izuzetak se primjenjuje ako je malo vjerojatno da će povreda dovesti do rizika za prava i slobode fizičkih osoba. Članak 33. stavak 5. također zahtijeva da se povreda, njezini učinci i poduzete mjere otklanjanja dokumentiraju. Ako je rizik vjerojatno visok, članak 34. GDPR-a može dodatno zahtijevati obavještavanje ispitanika. Pravna procjena obveze izvješćivanja leži na voditelju obrade, u konzultaciji s njegovim savjetnicima za zaštitu podataka i pravnim savjetnicima; IT forenzika pruža tehničke činjenice u tu svrhu.

Od 6. prosinca 2025. revidirani Zakon o BSI-ju primjenjuje se na određene privatne tvrtke radi provedbe zahtjeva NIS 2. Je li se tvrtka klasificira kao organizacija od posebnog značaja ili važna organizacija, mora se procijeniti od slučaja do slučaja u skladu s važećim Zakonom o BSI-ju, uzimajući u obzir sektore, vrste organizacija i kriterije veličine. Za obuhvaćene organizacije, BSIG propisuje, između ostalog, obveze u vezi s upravljanjem rizikom kibernetičke sigurnosti i sigurnosnim incidentima; članak 38. BSIG-a nameće upravi iznimno važnih i važnih organizacija obvezu provedbe i nadzora mjera upravljanja rizikom.

Zakonski zahtjevi za izvještavanje i dokumentaciju mogu biti vremenski osjetljivi. Međutim, LanCologne ne donosi nikakve konačne pravne odluke u vezi s obvezama izvještavanja, odgovornošću ili odgovornošću. Pružamo tehnički provjerljivu činjeničnu osnovu na kojoj menadžment, službenici za zaštitu podataka i pravni savjetnici mogu donositi odluke.

Često postavljana pitanja

🔗 Povezane teme