IT-Forensik · Unternehmen

Wie kann die technisch notwendige Wiederherstellungszeit nach einem Cyberangriff nachvollziehbar rekonstruiert werden?

Für die Betriebsunterbrechungsversicherung, für Schadensersatzansprüche und für die Bewertung der eigenen Notfallplanung ist entscheidend, wie lange Systeme tatsächlich nicht verfügbar waren und welche Schritte die Wiederherstellung bestimmt haben. Diese Zeiten lassen sich aus technischen Spuren belegen.

Unverbindlich anfragen

Warum diese Frage für ein Unternehmen wichtig ist

In der Wiederherstellungsphase eines Cybervorfalls werden technische Entscheidungen getroffen, die Betriebsfähigkeit, Beweiserhalt, Datenschutz und spätere Nachweisbarkeit gleichzeitig beeinflussen können. Eine saubere Dokumentation schützt deshalb nicht nur die IT, sondern schafft eine belastbare Tatsachengrundlage für Geschäftsführung und Rechtsberatung.

Technischer Hintergrund

Es ist sinnvoll, zwischen technischer Erreichbarkeit, eingeschränktem Betrieb und vollständigem Regelbetrieb zu unterscheiden. Verzögerungen entstehen häufig durch nicht nutzbare Backups, Abhängigkeiten zwischen Systemen (AD vor ERP), forensische Sicherung vor Wiederaufbau oder fehlende Dokumentation.

Relevante Spuren und Datenquellen

• Backup- und Restore-Protokolle (Start, Ende, Fehler)
• Systemstart- und Dienststatusereignisse
• Monitoring-Daten und Ticketsysteme
• Anmeldungen der ersten Nutzer in Fachanwendungen

Grenzen

• Wurden Systeme neu aufgebaut und alte Logs nicht gesichert, sind einzelne Zeitpunkte nur über Sekundärquellen belegbar.
• Die versicherungsrechtliche Bewertung erfolgt durch Versicherer bzw. Gutachter.

Mögliche Ergebnisse

• Zeitlinie der Wiederherstellung je System
• Begründung von Verzögerungen

Warum LanCologne?

Nach einem schweren Cybervorfall endet die Aufgabe nicht mit dem Stoppen des Angriffs. Das Unternehmen muss Systeme kontrolliert wieder in Betrieb nehmen, Daten und Backups bewerten, Identitäten absichern, Betriebsunterbrechungen nachvollziehen und gleichzeitig Beweise für spätere rechtliche, versicherungsbezogene oder regulatorische Fragen erhalten.

So gehen wir vor

• Definition der zu belegenden Zeitpunkte je kritischem System.
• Auswertung der Protokolle und Abgleich mit Ticket- und Kommunikationsdaten.
• Darstellung von Abhängigkeiten und Gründen für Verzögerungen.

Wiederherstellung darf die historische Beweislage nicht nachträglich verfälschen

Ein nach dem Vorfall sauber aufgebautes System sagt nicht automatisch aus, wie das System vor oder während des Angriffs beschaffen war. Deshalb dokumentieren wir historische Befunde und spätere Abhilfemaßnahmen getrennt. So wird vermieden, dass der verbesserte Zustand nach dem Vorfall rückwirkend als Beweis für frühere Tatsachen behandelt wird.

Rechtlicher und regulatorischer Rahmen

Bei der Verarbeitung personenbezogener Daten gelten weiterhin insbesondere die Grundsätze des Art. 5 DSGVO sowie die Erforderlichkeit einer tragfähigen Rechtsgrundlage nach Art. 6 DSGVO. Art. 32 DSGVO verlangt unter Berücksichtigung des Risikos geeignete technische und organisatorische Maßnahmen und nennt unter anderem Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit sowie die Fähigkeit, Verfügbarkeit und Zugang nach einem Zwischenfall zeitnah wiederherzustellen.

Bei einer Verletzung des Schutzes personenbezogener Daten können Art. 33 und Art. 34 DSGVO einschlägig sein. Art. 33 sieht unter seinen Voraussetzungen eine Meldung an die Aufsichtsbehörde grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden vor und verlangt nach Abs. 5 eine Dokumentation der Verletzung, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Bei voraussichtlich hohem Risiko kann Art. 34 zusätzlich die Benachrichtigung betroffener Personen verlangen. Ob die jeweiligen Voraussetzungen erfüllt sind, wird datenschutzrechtlich bewertet; die Forensik liefert die technischen Tatsachen.

Für Unternehmen, die unter das seit Dezember 2025 geltende neu gefasste BSI-Gesetz fallen, können zusätzliche Pflichten für besonders wichtige und wichtige Einrichtungen bestehen. Dazu gehören je nach Einordnung Anforderungen an das Cybersicherheitsrisikomanagement und die Behandlung beziehungsweise Meldung erheblicher Sicherheitsvorfälle. Die Geschäftsleitungspflichten sind im aktuellen BSIG ausdrücklich adressiert. Ob ein konkretes Unternehmen erfasst ist und welche Fristen beziehungsweise Pflichten im Einzelfall gelten, muss anhand der aktuellen gesetzlichen Einordnung geprüft werden.

Bei Beschäftigtendaten können zusätzlich § 26 BDSG und betriebliche Mitbestimmungsrechte relevant sein. Auch während eines Cybervorfalls entsteht aus technischer Zugriffsmöglichkeit kein unbegrenzter Untersuchungsumfang.

LanCologne liefert technische Feststellungen und dokumentiert deren Herleitung. Entscheidungen über Meldepflichten, Haftung, arbeitsrechtliche Maßnahmen oder sonstige Rechtsfolgen bleiben den zuständigen Unternehmensorganen, Datenschutzbeauftragten und Rechtsberatern vorbehalten.

LanCologne für die forensische Aufarbeitung und kontrollierte Wiederherstellung

LanCologne verbindet technische Detailtiefe mit einer für Entscheidungsträger verständlichen Darstellung. Wir dokumentieren nicht nur, welche Maßnahmen durchgeführt wurden, sondern auch, auf welcher technischen Tatsachengrundlage sie beruhten und welche Aussagegrenzen bestehen. Das schafft Nachvollziehbarkeit für Geschäftsführung, Rechtsberatung, Versicherung und eine mögliche spätere fachliche Gegenprüfung.

Häufige Fragen

🔗 Verwandte Themen