Informatica forense · Aziende

Wie kann ein Unternehmen beurteilen, ob ein kompromittiertes System bereinigt oder vollständig neu aufgebaut werden sollte?

Bei kompromittierten Systemen stellt sich häufig die Frage zwischen Bereinigung und Neuaufbau. Die Antwort hängt von Eingriffstiefe, Vertrauensverlust und Wiederherstellungsmöglichkeiten ab.

Richiesta non vincolante

Perché questa domanda è importante per un’azienda

In der Wiederherstellungsphase eines Cybervorfalls werden technische Entscheidungen getroffen, die Betriebsfähigkeit, Beweiserhalt, Datenschutz und spätere Nachweisbarkeit gleichzeitig beeinflussen können. Eine saubere Dokumentation schützt deshalb nicht nur die IT, sondern schafft eine belastbare Tatsachengrundlage für Geschäftsführung und Rechtsberatung.

Approccio tecnico di analisi

Wir dokumentieren nachgewiesene Veränderungen, Privilegien, Persistenz und Systemrolle und liefern die technische Grundlage für die Wiederherstellungsentscheidung.

Dove si trova il limite della dichiarazione

IT-Forensik kann Restrisiken einordnen, aber keine absolute Kompromissfreiheit eines komplexen Systems garantieren.

Perché LanCologne?

Nach einem schweren Cybervorfall endet die Aufgabe nicht mit dem Stoppen des Angriffs. Das Unternehmen muss Systeme kontrolliert wieder in Betrieb nehmen, Daten und Backups bewerten, Identitäten absichern, Betriebsunterbrechungen nachvollziehen und gleichzeitig Beweise für spätere rechtliche, versicherungsbezogene oder regulatorische Fragen erhalten.

LanCologne trennt deshalb operative Incident Response und forensische Rekonstruktion, ohne beide künstlich voneinander zu isolieren. Eindämmung und Wiederherstellung schützen das Unternehmen; Forensik dokumentiert, was geschehen ist und welche technischen Tatsachen die getroffenen Maßnahmen getragen haben.

Wir arbeiten nicht nach dem Grundsatz, möglichst viele Systeme vollständig zu sichern. Entscheidend sind die konkrete Beweisfrage, die Flüchtigkeit einer Datenquelle, die Rolle des Systems im Angriff und die Verhältnismäßigkeit. Besonders aussagekräftige Primärdaten werden priorisiert.

Bei der Wiederherstellung unterscheiden wir zwischen technischer Erreichbarkeit, Systemfunktion, fachlicher Nutzbarkeit und vollständigem Regelbetrieb. Ebenso werden Backupvorhandensein, Backupintegrität und tatsächliche Wiederherstellbarkeit nicht miteinander gleichgesetzt.

Die Dokumentation bleibt ergebnisoffen. War eine vorsorgliche Abschaltung technisch nachvollziehbar, obwohl sich später keine Kompromittierung nachweisen lässt, kann beides gleichzeitig richtig sein. Genau solche Differenzierungen machen eine spätere Bewertung belastbar.

Il nostro modo di lavorare

Wiederherstellung darf die historische Beweislage nicht nachträglich verfälschen

Ein nach dem Vorfall sauber aufgebautes System sagt nicht automatisch aus, wie das System vor oder während des Angriffs beschaffen war. Deshalb dokumentieren wir historische Befunde und spätere Abhilfemaßnahmen getrennt. So wird vermieden, dass der verbesserte Zustand nach dem Vorfall rückwirkend als Beweis für frühere Tatsachen behandelt wird.

Rechtlicher und regulatorischer Rahmen

Bei der Verarbeitung personenbezogener Daten gelten weiterhin insbesondere die Grundsätze des Art. 5 DSGVO sowie die Erforderlichkeit einer tragfähigen Rechtsgrundlage nach Art. 6 DSGVO. Art. 32 DSGVO verlangt unter Berücksichtigung des Risikos geeignete technische und organisatorische Maßnahmen und nennt unter anderem Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit sowie die Fähigkeit, Verfügbarkeit und Zugang nach einem Zwischenfall zeitnah wiederherzustellen.

Bei einer Verletzung des Schutzes personenbezogener Daten können Art. 33 und Art. 34 DSGVO einschlägig sein. Art. 33 sieht unter seinen Voraussetzungen eine Meldung an die Aufsichtsbehörde grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden vor und verlangt nach Abs. 5 eine Dokumentation der Verletzung, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Bei voraussichtlich hohem Risiko kann Art. 34 zusätzlich die Benachrichtigung betroffener Personen verlangen. Ob die jeweiligen Voraussetzungen erfüllt sind, wird datenschutzrechtlich bewertet; die Forensik liefert die technischen Tatsachen.

Für Unternehmen, die unter das seit Dezember 2025 geltende neu gefasste BSI-Gesetz fallen, können zusätzliche Pflichten für besonders wichtige und wichtige Einrichtungen bestehen. Dazu gehören je nach Einordnung Anforderungen an das Cybersicherheitsrisikomanagement und die Behandlung beziehungsweise Meldung erheblicher Sicherheitsvorfälle. Die Geschäftsleitungspflichten sind im aktuellen BSIG ausdrücklich adressiert. Ob ein konkretes Unternehmen erfasst ist und welche Fristen beziehungsweise Pflichten im Einzelfall gelten, muss anhand der aktuellen gesetzlichen Einordnung geprüft werden.

Bei Beschäftigtendaten können zusätzlich § 26 BDSG und betriebliche Mitbestimmungsrechte relevant sein. Auch während eines Cybervorfalls entsteht aus technischer Zugriffsmöglichkeit kein unbegrenzter Untersuchungsumfang.

LanCologne liefert technische Feststellungen und dokumentiert deren Herleitung. Entscheidungen über Meldepflichten, Haftung, arbeitsrechtliche Maßnahmen oder sonstige Rechtsfolgen bleiben den zuständigen Unternehmensorganen, Datenschutzbeauftragten und Rechtsberatern vorbehalten.

LanCologne für die forensische Aufarbeitung und kontrollierte Wiederherstellung

LanCologne verbindet technische Detailtiefe mit einer für Entscheidungsträger verständlichen Darstellung. Wir dokumentieren nicht nur, welche Maßnahmen durchgeführt wurden, sondern auch, auf welcher technischen Tatsachengrundlage sie beruhten und welche Aussagegrenzen bestehen. Das schafft Nachvollziehbarkeit für Geschäftsführung, Rechtsberatung, Versicherung und eine mögliche spätere fachliche Gegenprüfung.

Domande frequenti

🔗 Argomenti correlati