IT-Forensik · Versicherungen

Wie kann eine Versicherung prüfen lassen, ob ein behaupteter Datenabfluss technisch nachweisbar ist?

Meldet ein Versicherungsnehmer nach einem Cyberangriff einen Datenabfluss, braucht der Versicherer belastbare Antworten: Wurden Daten tatsächlich abgezogen? Welche, wann und in welchem Umfang? Und passen die Angaben zum technischen Ablauf des Vorfalls?

Unverbindlich anfragen

Warum diese Frage für eine Versicherung wichtig ist

In streitigen oder wirtschaftlich bedeutenden Schadenfällen können kleine technische Details große Auswirkungen auf die Bewertung haben. Gerade deshalb muss zwischen einer tatsächlichen digitalen Auffälligkeit, ihrer möglichen Ursache und einer rechtlichen Schlussfolgerung sauber getrennt werden.

Technischer Hintergrund

Exfiltration hinterlässt Spuren in Netzwerk- und Firewall-Logs (ungewöhnliche Datenmengen zu externen Zielen), in Werkzeugen der Angreifer (z. B. Rclone-Konfigurationen, Archivierungsprogramme) und in Cloud-Protokollen. Bei Ransomware-Gruppen kann eine Veröffentlichung auf Leak-Seiten ein Indiz sein – sie belegt aber nicht automatisch Umfang und Inhalt.

Relevante Spuren und Datenquellen

  • Firewall-, Proxy- und NetFlow-Daten mit Volumen und Zielen
  • Ausführungsspuren von Exfiltrations- und Archivierungswerkzeugen
  • Cloud-Audit-Logs (Downloads, Freigaben)
  • Öffentliche Leak-Veröffentlichungen (dokumentiert, nicht heruntergeladen ohne Rechtsgrundlage)

Grenzen

  • Fehlen Netzwerkprotokolle, ist ein Abfluss oft weder belegbar noch auszuschließen.
  • Die Deckungsentscheidung trifft der Versicherer.

Mögliche Ergebnisse

  • Abfluss technisch belegt (Umfang, Zeitraum)
  • Abfluss nicht nachweisbar, aber nicht auszuschließen
  • Widersprüche zwischen Meldung und Datenlage

Warum LanCologne?

Bei einer Plausibilitäts- oder Manipulationsprüfung ist die ergebnisoffene Arbeitsweise besonders wichtig. Ein ungewöhnlicher Zeitstempel, eine gelöschte Datei, ein bearbeitetes Foto oder eine Loglücke darf nicht schon deshalb als Täuschung interpretiert werden, weil der Befund in einem streitigen Versicherungsfall auftritt.

So gehen wir vor

  • Erfassung der Schadenmeldung und der behaupteten Datenkategorien.
  • Prüfung der verfügbaren technischen Belege und Zeitpunkte.
  • Plausibilitätsbewertung mit offenen Punkten.

Keine Vorverurteilung – auch bei auffälligen Befunden

Unsere Aufgabe besteht nicht darin, einen Verdacht zu bestätigen. Bestätigt sich eine reguläre technische Erklärung, wird sie dokumentiert. Ergibt sich ein belastbarer Widerspruch, wird auch dieser dokumentiert. Bleiben mehrere Erklärungen möglich, wird die Unsicherheit nicht durch eine Vermutung ersetzt.

Nachvollziehbar für Schadenabteilung und Juristen – reproduzierbar für Forensiker

Die Kernaussage wird verständlich formuliert. Der technische Teil enthält die entscheidenden Datenquellen, Zeitbezüge, Integritätsinformationen, Artefaktfundstellen und Validierungsschritte. Damit bleibt die Herleitung auch für eine spätere Gegenprüfung kontrollierbar.

LanCologne für die unabhängige technische Plausibilitätsprüfung

Wenn Angaben, Dateien, Fotos, Logs oder andere digitale Spuren eines Versicherungsfalls fachlich überprüft werden müssen, untersucht LanCologne die konkrete technische Beweisfrage ergebnisoffen und nachvollziehbar. Maßgeblich ist allein, was die rechtmäßig verfügbare Datenbasis tatsächlich belegt.

Rechtlicher Rahmen

Für die Schadenprüfung bleibt § 31 VVG ein zentraler Ausgangspunkt: Der Versicherer kann nach Eintritt des Versicherungsfalls die Auskünfte verlangen, die zur Feststellung des Versicherungsfalls oder des Umfangs seiner Leistungspflicht erforderlich sind; Belege nur, soweit deren Beschaffung dem Versicherungsnehmer billigerweise zugemutet werden kann. Daraus folgt kein allgemeines Recht auf eine vollständige forensische Durchsuchung sämtlicher privater Daten.

§ 28 VVG regelt mögliche Rechtsfolgen einer Verletzung vertraglicher Obliegenheiten. Ob eine Obliegenheit bestand, verletzt wurde und welche Rechtsfolge daraus folgt, hängt vom konkreten Vertrag und den gesetzlichen Voraussetzungen ab. Ein IT-forensisches Gutachten sollte daher keine Leistungsfreiheit feststellen, sondern ausschließlich die zugrunde liegenden technischen Tatsachen dokumentieren.

Für personenbezogene Daten sind insbesondere die Grundsätze des Art. 5 DSGVO – darunter Zweckbindung und Datenminimierung – sowie eine Rechtsgrundlage nach Art. 6 DSGVO zu beachten. Besonders eingriffsintensive Datenquellen dürfen nicht allein deshalb umfassend ausgewertet werden, weil sie technisch verfügbar sind.

Kommt es später zu einem Zivilprozess, ist die Würdigung tatsächlicher Behauptungen Sache des Gerichts. § 286 ZPO regelt die freie Beweiswürdigung. § 287 ZPO enthält besondere Regeln für die Feststellung von Schaden und Schadenhöhe. Das Privatgutachten liefert hierfür eine technische Tatsachengrundlage, ersetzt aber keine gerichtliche Beweiswürdigung.

Häufige Fragen

Ist eine technische Auffälligkeit bereits ein Beweis für Versicherungsbetrug?+
Nein. Ein ungewöhnlicher Befund kann viele technische Ursachen haben. Täuschungsabsicht ist keine Schlussfolgerung, die aus einer einzelnen digitalen Auffälligkeit automatisch gezogen werden darf.
Kann LanCologne feststellen, ob eine Datei oder ein Foto verändert wurde?+
Je nach Datenlage können Veränderungen, Neuspeicherungen oder Bearbeitungsspuren festgestellt oder eingegrenzt werden. Nicht jede Veränderung lässt sich aber eindeutig einer Person oder Absicht zuordnen.
Werden auch Befunde dokumentiert, die die Schadenmeldung bestätigen?+
Ja. Eine unabhängige Untersuchung muss bestätigende und widersprechende Befunde nach demselben fachlichen Maßstab behandeln.
Entscheidet LanCologne über Leistungsfreiheit oder Obliegenheitsverletzungen?+
Nein. Wir beantworten technische Tatsachenfragen. Die versicherungsrechtliche Bewertung erfolgt durch die zuständigen Juristen beziehungsweise im Streitfall durch das Gericht.
Reicht die Veröffentlichung auf einer Leak-Seite als Beweis?+
Sie ist ein starkes Indiz, aber Umfang und Echtheit der Daten müssen gesondert geprüft werden.
Arbeiten Sie im Auftrag des Versicherers oder des Versicherten?+
Beides ist möglich; die Untersuchung bleibt ergebnisoffen.
Was, wenn keine Logs vorhanden sind?+
Dann wird dokumentiert, welche Aussagen nicht möglich sind und warum.

Weiterführende Themen

LanCologne – IT-Forensik für Versicherungen

Sie haben eine digitale Frage? LanCologne unterstützt Sie mit einer sachlichen, ergebnisoffenen IT-forensischen Untersuchung.

Jetzt Kontakt aufnehmen