IT-Forensik · Unternehmen

Wie kann ein Unternehmen nach einem Cyberangriff Drittanbieter- und Dienstleisterzugänge sicher bewerten?

Nach einem Cyberangriff stehen Dienstleisterzugänge doppelt im Fokus: Sie werden für die Wiederherstellung gebraucht – und sie sind ein häufiger Einfallsweg. Die Frage ist, ob ein bestimmter Zugang im Angriffszeitraum genutzt wurde und ob er bedenkenlos wieder aktiviert werden kann.

Unverbindlich anfragen

Warum diese Frage für ein Unternehmen wichtig ist

In der Wiederherstellungsphase eines Cybervorfalls werden technische Entscheidungen getroffen, die Betriebsfähigkeit, Beweiserhalt, Datenschutz und spätere Nachweisbarkeit gleichzeitig beeinflussen können. Eine saubere Dokumentation schützt deshalb nicht nur die IT, sondern schafft eine belastbare Tatsachengrundlage für Geschäftsführung und Rechtsberatung.

Technischer Hintergrund

Typische Zugänge sind Fernwartungssoftware (z. B. TeamViewer, AnyDesk, ScreenConnect), RMM-Agenten von Managed Service Providern, Site-to-Site-VPNs, Gastkonten in Entra ID und Service-Accounts. Wurde ein Dienstleister selbst kompromittiert, kann der Angriff über dessen legitime Werkzeuge laufen.

Relevante Spuren und Datenquellen

• Verbindungsprotokolle der Fernwartungs- und RMM-Software
• VPN- und Firewall-Logs mit Quell-IP
• Anmeldeereignisse der Dienstleisterkonten (lokal, AD, Entra ID)
• Installations- und Ausführungsspuren auf Endpunkten (Prefetch, Amcache, Dienste)

Grenzen

• Ein vorhandener Zugang belegt keine Verantwortlichkeit des Dienstleisters.
• Logs beim Dienstleister selbst sind nur mit dessen Mitwirkung verfügbar.

Mögliche Ergebnisse

• Zugangsweg identifiziert bzw. ausgeschlossen (im geprüften Umfang)
• Liste der Zugänge mit Bewertung

Warum LanCologne?

Nach einem schweren Cybervorfall endet die Aufgabe nicht mit dem Stoppen des Angriffs. Das Unternehmen muss Systeme kontrolliert wieder in Betrieb nehmen, Daten und Backups bewerten, Identitäten absichern, Betriebsunterbrechungen nachvollziehen und gleichzeitig Beweise für spätere rechtliche, versicherungsbezogene oder regulatorische Fragen erhalten.

So gehen wir vor

• Inventar aller externen Zugänge und Konten.
• Abgleich der Nutzung im Angriffszeitraum mit dokumentierten Wartungsfenstern.
• Bewertung je Zugang: genutzt, nicht genutzt, nicht beurteilbar.
• Empfehlung zur kontrollierten Wiederfreigabe.

Wiederherstellung darf die historische Beweislage nicht nachträglich verfälschen

Ein nach dem Vorfall sauber aufgebautes System sagt nicht automatisch aus, wie das System vor oder während des Angriffs beschaffen war. Deshalb dokumentieren wir historische Befunde und spätere Abhilfemaßnahmen getrennt. So wird vermieden, dass der verbesserte Zustand nach dem Vorfall rückwirkend als Beweis für frühere Tatsachen behandelt wird.

Rechtlicher und regulatorischer Rahmen

Bei der Verarbeitung personenbezogener Daten gelten weiterhin insbesondere die Grundsätze des Art. 5 DSGVO sowie die Erforderlichkeit einer tragfähigen Rechtsgrundlage nach Art. 6 DSGVO. Art. 32 DSGVO verlangt unter Berücksichtigung des Risikos geeignete technische und organisatorische Maßnahmen und nennt unter anderem Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit sowie die Fähigkeit, Verfügbarkeit und Zugang nach einem Zwischenfall zeitnah wiederherzustellen.

Bei einer Verletzung des Schutzes personenbezogener Daten können Art. 33 und Art. 34 DSGVO einschlägig sein. Art. 33 sieht unter seinen Voraussetzungen eine Meldung an die Aufsichtsbehörde grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden vor und verlangt nach Abs. 5 eine Dokumentation der Verletzung, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Bei voraussichtlich hohem Risiko kann Art. 34 zusätzlich die Benachrichtigung betroffener Personen verlangen. Ob die jeweiligen Voraussetzungen erfüllt sind, wird datenschutzrechtlich bewertet; die Forensik liefert die technischen Tatsachen.

Für Unternehmen, die unter das seit Dezember 2025 geltende neu gefasste BSI-Gesetz fallen, können zusätzliche Pflichten für besonders wichtige und wichtige Einrichtungen bestehen. Dazu gehören je nach Einordnung Anforderungen an das Cybersicherheitsrisikomanagement und die Behandlung beziehungsweise Meldung erheblicher Sicherheitsvorfälle. Die Geschäftsleitungspflichten sind im aktuellen BSIG ausdrücklich adressiert. Ob ein konkretes Unternehmen erfasst ist und welche Fristen beziehungsweise Pflichten im Einzelfall gelten, muss anhand der aktuellen gesetzlichen Einordnung geprüft werden.

Bei Beschäftigtendaten können zusätzlich § 26 BDSG und betriebliche Mitbestimmungsrechte relevant sein. Auch während eines Cybervorfalls entsteht aus technischer Zugriffsmöglichkeit kein unbegrenzter Untersuchungsumfang.

LanCologne liefert technische Feststellungen und dokumentiert deren Herleitung. Entscheidungen über Meldepflichten, Haftung, arbeitsrechtliche Maßnahmen oder sonstige Rechtsfolgen bleiben den zuständigen Unternehmensorganen, Datenschutzbeauftragten und Rechtsberatern vorbehalten.

LanCologne für die forensische Aufarbeitung und kontrollierte Wiederherstellung

LanCologne verbindet technische Detailtiefe mit einer für Entscheidungsträger verständlichen Darstellung. Wir dokumentieren nicht nur, welche Maßnahmen durchgeführt wurden, sondern auch, auf welcher technischen Tatsachengrundlage sie beruhten und welche Aussagegrenzen bestehen. Das schafft Nachvollziehbarkeit für Geschäftsführung, Rechtsberatung, Versicherung und eine mögliche spätere fachliche Gegenprüfung.

Häufige Fragen

🔗 Verwandte Themen