IT-Forensik · Unternehmen
Wie kann ein Unternehmen prüfen lassen, ob ein Cyberangriff über einen externen Dienstleister oder Fernwartungszugang erfolgte?
MSP-, Support- und Fernwartungszugänge können legitime und privilegierte Verbindungen in Unternehmensnetze bereitstellen.
Warum diese Frage für ein Unternehmen wichtig ist
Nach einem Cyberangriff können technische, wirtschaftliche, datenschutzrechtliche und regulatorische Entscheidungen von derselben Tatsachenfrage abhängen. Eine belastbare Rekonstruktion muss deshalb klar zwischen nachgewiesener Aktivität, technischer Möglichkeit und bloßer Vermutung unterscheiden.
Technischer Untersuchungsansatz
Wir korrelieren Dienstleisteraccounts, Remote-Sessions, Gegenstellen, Administrationshandlungen und Zeitbezüge mit internen Ereignissen.
Wo die Aussagegrenze liegt
Ein vorhandener Drittzugang beweist nicht, dass der Dienstleister Ursache oder Verantwortlicher des Angriffs war.
Warum LanCologne?
Nach einem Cyberangriff benötigt ein Unternehmen zunächst Sicherheit und Betriebsfähigkeit. Für spätere Entscheidungen reicht es jedoch nicht, nur zu wissen, dass ‚ein Angriff stattgefunden hat‘. Geschäftsführung, Datenschutz, Rechtsberatung, Versicherung und gegebenenfalls Behörden benötigen belastbare Antworten auf konkrete Tatsachenfragen.
LanCologne trennt deshalb Entdeckung, Erstzugriff, Kompromittierung, Persistenz, laterale Bewegung, Datenzugriff, mögliche Exfiltration und konkrete Schadenshandlung. Diese Phasen können zeitlich weit auseinanderliegen und dürfen nicht miteinander gleichgesetzt werden.
Tragende Feststellungen werden soweit möglich aus mehreren unabhängigen Datenquellen korreliert. Endpoint-, Netzwerk-, Identitäts-, Cloud- und Systemdaten besitzen jeweils eigene Aussagegrenzen. Ein automatisierter Alarm oder ein Produktreport ist für uns nicht die Beweisquelle selbst, sondern ein Ausgangspunkt zur Prüfung der zugrunde liegenden Primärdaten.
Auch Gegenhypothesen gehören zur Untersuchung. Ein ungewöhnlicher Login kann beispielsweise durch legitime Administration, VPN-Infrastruktur, automatisierte Dienste oder kompromittierte Zugangsdaten erklärt werden. Erst die Korrelation weiterer Spuren erlaubt eine belastbare Einordnung.
Fehlen entscheidende Daten, wird diese Lücke nicht mit Vermutungen gefüllt. Gerade bei Cybervorfällen ist die Aussage ‚anhand der erhaltenen Daten nicht sicher feststellbar‘ fachlich wertvoller als eine scheinbar eindeutige Angriffsgeschichte, die nicht reproduzierbar belegt werden kann.
Unsere Arbeitsweise
Incident Response und Forensik verfolgen unterschiedliche, aber ergänzende Ziele
Die Eindämmung eines laufenden Angriffs dient zunächst dem Schutz des Unternehmens. Die forensische Rekonstruktion klärt anschließend beziehungsweise parallel, was tatsächlich geschehen ist. Notwendige Sicherheitsmaßnahmen werden deshalb nicht unterlassen, nur um einen idealen Beweiszustand zu konservieren; unvermeidbare Veränderungen werden soweit möglich dokumentiert.
Warum LanCologne nach einem Cyberangriff?
LanCologne richtet die Untersuchung nicht an einer gewünschten Angriffsgeschichte aus. Maßgeblich ist, welche technischen Aussagen die erhaltenen Primärdaten tatsächlich tragen. Belastende, entlastende und offene Befunde werden nachvollziehbar dokumentiert, damit Geschäftsführung und Rechtsberatung auf einer überprüfbaren Tatsachengrundlage entscheiden können.
Rechtlicher Rahmen
Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter zu einem dem Risiko angemessenen Schutzniveau. Genannt werden unter anderem Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit sowie die Fähigkeit, Verfügbarkeit und Zugang nach einem technischen oder physischen Zwischenfall zeitnah wiederherzustellen.
Ist bei einem Cybervorfall eine Verletzung des Schutzes personenbezogener Daten eingetreten, kann Art. 33 DSGVO einschlägig sein. Danach ist eine meldepflichtige Verletzung grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu melden, sofern sie voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Art. 33 Abs. 5 verlangt zudem die Dokumentation der Verletzung, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Bei voraussichtlich hohem Risiko kann zusätzlich Art. 34 DSGVO eine Benachrichtigung betroffener Personen verlangen. Ob diese Voraussetzungen vorliegen, ist eine datenschutzrechtliche Bewertung; die IT-Forensik liefert hierzu technische Tatsachen.
Für bestimmte private Unternehmen gilt seit dem 6. Dezember 2025 das neu gefasste BSI-Gesetz zur Umsetzung der NIS-2-Anforderungen. Ob ein Unternehmen als besonders wichtige oder wichtige Einrichtung erfasst ist, muss anhand des aktuellen BSIG, der Sektoren, Einrichtungsarten und Größenkriterien konkret geprüft werden. Für erfasste Einrichtungen enthält das BSIG unter anderem Pflichten zum Cybersicherheitsrisikomanagement und zu Sicherheitsvorfällen; § 38 BSIG weist den Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen Pflichten zur Umsetzung und Überwachung der Risikomanagementmaßnahmen zu.
Die gesetzlichen Melde- und Dokumentationspflichten können zeitkritisch sein. LanCologne trifft jedoch keine abschließende rechtliche Entscheidung über Meldepflichten, Verantwortlichkeit oder Haftung. Wir liefern die technisch nachvollziehbare Tatsachengrundlage, auf der Geschäftsführung, Datenschutzbeauftragte und Rechtsberatung entscheiden können.
Häufige Fragen
Wie kann ein Unternehmen prüfen lassen, ob ein Cyberangriff über einen externen Dienstleister oder Fernwartungszugang erfolgte?
Wie geht eine solche technische Untersuchung in der Praxis vor?
Liefert die Untersuchung immer ein eindeutiges Ergebnis zulasten oder zugunsten einer beteiligten Person?
Gibt es dafür eine gesetzliche Grundlage?
Ist bei einem Cybervorfall eine Verletzung des Schutzes personenbezogener Daten eingetreten, kann Art. 33 DSGVO einschlägig sein. Danach ist eine meldepflichtige Verletzung grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu melden, sofern sie voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Art. 33 Abs. 5 verlangt zudem die Dokumentation der Verletzung, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Bei voraussichtlich hohem Risiko kann zusätzlich Art. 34 DSGVO eine Benachrichtigung betroffener Personen verlangen. Ob diese Voraussetzungen vorliegen, ist eine datenschutzrechtliche Bewertung; die IT-Forensik liefert hierzu technische Tatsachen.
Für bestimmte private Unternehmen gilt seit dem 6. Dezember 2025 das neu gefasste BSI-Gesetz zur Umsetzung der NIS-2-Anforderungen. Ob ein Unternehmen als besonders wichtige oder wichtige Einrichtung erfasst ist, muss anhand des aktuellen BSIG, der Sektoren, Einrichtungsarten und Größenkriterien konkret geprüft werden. Für erfasste Einrichtungen enthält das BSIG unter anderem Pflichten zum Cybersicherheitsrisikomanagement und zu Sicherheitsvorfällen; § 38 BSIG weist den Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen Pflichten zur Umsetzung und Überwachung der Risikomanagementmaßnahmen zu.
Die gesetzlichen Melde- und Dokumentationspflichten können zeitkritisch sein. LanCologne trifft jedoch keine abschließende rechtliche Entscheidung über Meldepflichten, Verantwortlichkeit oder Haftung. Wir liefern die technisch nachvollziehbare Tatsachengrundlage, auf der Geschäftsführung, Datenschutzbeauftragte und Rechtsberatung entscheiden können.
🔗 Verwandte Themen
LanCologne – IT-Forensik für Unternehmen
Sie haben eine digitale Frage? LanCologne unterstützt Sie mit einer sachlichen, ergebnisoffenen IT-forensischen Untersuchung.