IT-Forensik · Unternehmen
Wie kann ein Unternehmen feststellen, welcher Backup-Stand vor der Kompromittierung noch vertrauenswürdig war?
Bei länger unentdeckten Angriffen können auch ältere Sicherungen bereits kompromittierte Konfigurationen oder Schadsoftware enthalten.
Warum diese Frage für ein Unternehmen wichtig ist
In der Wiederherstellungsphase eines Cybervorfalls werden technische Entscheidungen getroffen, die Betriebsfähigkeit, Beweiserhalt, Datenschutz und spätere Nachweisbarkeit gleichzeitig beeinflussen können. Eine saubere Dokumentation schützt deshalb nicht nur die IT, sondern schafft eine belastbare Tatsachengrundlage für Geschäftsführung und Rechtsberatung.
Technischer Untersuchungsansatz
Wir vergleichen Angriffschronologie, Backupzeitpunkte und relevante Persistenz- beziehungsweise Systemartefakte und grenzen geeignete Wiederherstellungspunkte ein.
Wo die Aussagegrenze liegt
Ein Backup vor der Verschlüsselung ist nicht automatisch ein Backup vor der Erstkompromittierung.
Warum LanCologne?
Nach einem schweren Cybervorfall endet die Aufgabe nicht mit dem Stoppen des Angriffs. Das Unternehmen muss Systeme kontrolliert wieder in Betrieb nehmen, Daten und Backups bewerten, Identitäten absichern, Betriebsunterbrechungen nachvollziehen und gleichzeitig Beweise für spätere rechtliche, versicherungsbezogene oder regulatorische Fragen erhalten.
LanCologne trennt deshalb operative Incident Response und forensische Rekonstruktion, ohne beide künstlich voneinander zu isolieren. Eindämmung und Wiederherstellung schützen das Unternehmen; Forensik dokumentiert, was geschehen ist und welche technischen Tatsachen die getroffenen Maßnahmen getragen haben.
Wir arbeiten nicht nach dem Grundsatz, möglichst viele Systeme vollständig zu sichern. Entscheidend sind die konkrete Beweisfrage, die Flüchtigkeit einer Datenquelle, die Rolle des Systems im Angriff und die Verhältnismäßigkeit. Besonders aussagekräftige Primärdaten werden priorisiert.
Bei der Wiederherstellung unterscheiden wir zwischen technischer Erreichbarkeit, Systemfunktion, fachlicher Nutzbarkeit und vollständigem Regelbetrieb. Ebenso werden Backupvorhandensein, Backupintegrität und tatsächliche Wiederherstellbarkeit nicht miteinander gleichgesetzt.
Die Dokumentation bleibt ergebnisoffen. War eine vorsorgliche Abschaltung technisch nachvollziehbar, obwohl sich später keine Kompromittierung nachweisen lässt, kann beides gleichzeitig richtig sein. Genau solche Differenzierungen machen eine spätere Bewertung belastbar.
Unsere Arbeitsweise
Wiederherstellung darf die historische Beweislage nicht nachträglich verfälschen
Ein nach dem Vorfall sauber aufgebautes System sagt nicht automatisch aus, wie das System vor oder während des Angriffs beschaffen war. Deshalb dokumentieren wir historische Befunde und spätere Abhilfemaßnahmen getrennt. So wird vermieden, dass der verbesserte Zustand nach dem Vorfall rückwirkend als Beweis für frühere Tatsachen behandelt wird.
Rechtlicher und regulatorischer Rahmen
Bei der Verarbeitung personenbezogener Daten gelten weiterhin insbesondere die Grundsätze des Art. 5 DSGVO sowie die Erforderlichkeit einer tragfähigen Rechtsgrundlage nach Art. 6 DSGVO. Art. 32 DSGVO verlangt unter Berücksichtigung des Risikos geeignete technische und organisatorische Maßnahmen und nennt unter anderem Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit sowie die Fähigkeit, Verfügbarkeit und Zugang nach einem Zwischenfall zeitnah wiederherzustellen.
Bei einer Verletzung des Schutzes personenbezogener Daten können Art. 33 und Art. 34 DSGVO einschlägig sein. Art. 33 sieht unter seinen Voraussetzungen eine Meldung an die Aufsichtsbehörde grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden vor und verlangt nach Abs. 5 eine Dokumentation der Verletzung, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Bei voraussichtlich hohem Risiko kann Art. 34 zusätzlich die Benachrichtigung betroffener Personen verlangen. Ob die jeweiligen Voraussetzungen erfüllt sind, wird datenschutzrechtlich bewertet; die Forensik liefert die technischen Tatsachen.
Für Unternehmen, die unter das seit Dezember 2025 geltende neu gefasste BSI-Gesetz fallen, können zusätzliche Pflichten für besonders wichtige und wichtige Einrichtungen bestehen. Dazu gehören je nach Einordnung Anforderungen an das Cybersicherheitsrisikomanagement und die Behandlung beziehungsweise Meldung erheblicher Sicherheitsvorfälle. Die Geschäftsleitungspflichten sind im aktuellen BSIG ausdrücklich adressiert. Ob ein konkretes Unternehmen erfasst ist und welche Fristen beziehungsweise Pflichten im Einzelfall gelten, muss anhand der aktuellen gesetzlichen Einordnung geprüft werden.
Bei Beschäftigtendaten können zusätzlich § 26 BDSG und betriebliche Mitbestimmungsrechte relevant sein. Auch während eines Cybervorfalls entsteht aus technischer Zugriffsmöglichkeit kein unbegrenzter Untersuchungsumfang.
LanCologne liefert technische Feststellungen und dokumentiert deren Herleitung. Entscheidungen über Meldepflichten, Haftung, arbeitsrechtliche Maßnahmen oder sonstige Rechtsfolgen bleiben den zuständigen Unternehmensorganen, Datenschutzbeauftragten und Rechtsberatern vorbehalten.
LanCologne für die forensische Aufarbeitung und kontrollierte Wiederherstellung
LanCologne verbindet technische Detailtiefe mit einer für Entscheidungsträger verständlichen Darstellung. Wir dokumentieren nicht nur, welche Maßnahmen durchgeführt wurden, sondern auch, auf welcher technischen Tatsachengrundlage sie beruhten und welche Aussagegrenzen bestehen. Das schafft Nachvollziehbarkeit für Geschäftsführung, Rechtsberatung, Versicherung und eine mögliche spätere fachliche Gegenprüfung.
Häufige Fragen
Wie kann ein Unternehmen feststellen, welcher Backup-Stand vor der Kompromittierung noch vertrauenswürdig war?
Wie geht eine solche technische Untersuchung in der Praxis vor?
Liefert die Untersuchung immer ein eindeutiges Ergebnis zulasten oder zugunsten einer beteiligten Person?
Gibt es dafür eine gesetzliche Grundlage?
Bei einer Verletzung des Schutzes personenbezogener Daten können Art. 33 und Art. 34 DSGVO einschlägig sein. Art. 33 sieht unter seinen Voraussetzungen eine Meldung an die Aufsichtsbehörde grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden vor und verlangt nach Abs. 5 eine Dokumentation der Verletzung, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Bei voraussichtlich hohem Risiko kann Art. 34 zusätzlich die Benachrichtigung betroffener Personen verlangen. Ob die jeweiligen Voraussetzungen erfüllt sind, wird datenschutzrechtlich bewertet; die Forensik liefert die technischen Tatsachen.
Für Unternehmen, die unter das seit Dezember 2025 geltende neu gefasste BSI-Gesetz fallen, können zusätzliche Pflichten für besonders wichtige und wichtige Einrichtungen bestehen. Dazu gehören je nach Einordnung Anforderungen an das Cybersicherheitsrisikomanagement und die Behandlung beziehungsweise Meldung erheblicher Sicherheitsvorfälle. Die Geschäftsleitungspflichten sind im aktuellen BSIG ausdrücklich adressiert. Ob ein konkretes Unternehmen erfasst ist und welche Fristen beziehungsweise Pflichten im Einzelfall gelten, muss anhand der aktuellen gesetzlichen Einordnung geprüft werden.
Bei Beschäftigtendaten können zusätzlich § 26 BDSG und betriebliche Mitbestimmungsrechte relevant sein. Auch während eines Cybervorfalls entsteht aus technischer Zugriffsmöglichkeit kein unbegrenzter Untersuchungsumfang.
LanCologne liefert technische Feststellungen und dokumentiert deren Herleitung. Entscheidungen über Meldepflichten, Haftung, arbeitsrechtliche Maßnahmen oder sonstige Rechtsfolgen bleiben den zuständigen Unternehmensorganen, Datenschutzbeauftragten und Rechtsberatern vorbehalten.
🔗 Verwandte Themen
LanCologne – IT-Forensik für Unternehmen
Sie haben eine digitale Frage? LanCologne unterstützt Sie mit einer sachlichen, ergebnisoffenen IT-forensischen Untersuchung.