Informatica forense · Aziende

Was ein Unternehmen nach einem schweren Cyberangriff von einer forensischen Aufarbeitung erwarten kann

Ist ein Angriff eingedämmt, stellen Geschäftsführung, Datenschutz, Versicherung und Rechtsberatung dieselben Fragen: Wie kam der Angreifer herein? Seit wann war er im Netz? Welche Konten, Systeme und Daten waren betroffen? Wurden Daten abgezogen? Die forensische Aufarbeitung beantwortet diese Fragen auf Basis der gesicherten Primärdaten – und benennt, wo die Datenlage keine sichere Antwort zulässt.

Richiesta non vincolante

Perché questa domanda è importante per un’azienda

A seguito di un attacco informatico, le decisioni di natura tecnica, economica, relative alla protezione dei dati e normative possono dipendere dalla stessa questione di fatto. Una ricostruzione attendibile deve quindi distinguere chiaramente tra attività comprovata, possibilità tecnica e mera supposizione.

Technischer Hintergrund

Die Antworten liegen verteilt: in Windows-Ereignisprotokollen, EDR-Telemetrie, Firewall- und VPN-Logs, Microsoft-365- und Entra-ID-Protokollen, Active-Directory-Änderungen und Spuren auf einzelnen Endgeräten. Viele Quellen haben kurze Aufbewahrungszeiten; wird nach dem Vorfall neu aufgesetzt, gehen sie verloren.

Relevante Spuren und Datenquellen

• Windows Event Logs (u. a. Anmeldungen 4624/4625, Dienstinstallationen 7045, PowerShell-Protokolle)
• EDR-/Antiviren-Telemetrie und Quarantäne
• Firewall-, VPN- und Proxy-Logs
• Microsoft 365 Unified Audit Log und Entra-ID-Anmeldeprotokolle
• Active-Directory-Änderungen, neue Konten und Gruppenmitgliedschaften
• Artefakte auf Patient-Zero-Systemen (Prefetch, Amcache, Shimcache, SRUM)

Grenzen

• Fehlende oder überschriebene Logs begrenzen die Rekonstruktion.
• Ob Daten abgeflossen sind, lässt sich nicht immer positiv belegen oder ausschließen.
• Rechtliche Bewertungen (Meldepflichten, Haftung) treffen Datenschutzbeauftragte und Rechtsberatung.

Mögliche Ergebnisse

• Angriffsweg und Zeitlinie belegt
• Liste betroffener Konten, Systeme und Datenbestände
• Exfiltration nachgewiesen, nicht nachweisbar oder nicht auszuschließen
• Empfehlungen zur Schließung der Angriffswege

Perché LanCologne?

Nach einem Cyberangriff benötigt ein Unternehmen zunächst Sicherheit und Betriebsfähigkeit. Für spätere Entscheidungen reicht es jedoch nicht, nur zu wissen, dass ‚ein Angriff stattgefunden hat‘.

So gehen wir vor

• Abstimmung der Leitfragen mit Geschäftsführung, Versicherung und Rechtsberatung.
• Priorisierte Sicherung flüchtiger und kurzlebiger Quellen.
• Rekonstruktion von Initial Access, Rechteausweitung, lateraler Bewegung und möglicher Exfiltration.
• Abschlussbericht mit Management-Zusammenfassung und technischem Anhang.

La risposta agli incidenti e l’analisi forense perseguono obiettivi diversi ma complementari

Il contenimento di un attacco in corso ha innanzitutto lo scopo di proteggere l’azienda. La ricostruzione forense chiarisce successivamente, o parallelamente, cosa sia effettivamente accaduto. Le misure di sicurezza necessarie non vengono quindi tralasciate solo per preservare uno stato probatorio ideale; le modifiche inevitabili vengono documentate per quanto possibile.

Perché LanCologne dopo un attacco informatico?

LanCologne non orienta l’indagine in base a una scenario di attacco ipotetico. Ciò che conta sono le informazioni tecniche effettivamente contenute nei dati primari raccolti. I risultati a carico, a discarico e ancora da chiarire vengono documentati in modo trasparente, affinché la direzione aziendale e i consulenti legali possano prendere decisioni sulla base di fatti verificabili.

L'art. 32 del GDPR impone ai titolari del trattamento e ai responsabili del trattamento di garantire un livello di protezione adeguato al rischio. Tra gli altri, vengono menzionati la riservatezza, l'integrità, la disponibilità e la resilienza, nonché la capacità di ripristinare tempestivamente la disponibilità e l'accesso a seguito di un incidente tecnico o fisico.

Qualora, in seguito a un incidente informatico, si sia verificata una violazione della protezione dei dati personali, può trovare applicazione l’art. 33 del GDPR. Tale violazione deve essere, in linea di principio, segnalata senza indugio e, per quanto possibile, entro 72 ore dalla sua scoperta all’autorità di controllo competente. È prevista un’eccezione qualora la violazione non comporti, secondo ogni probabilità, un rischio per i diritti e le libertà delle persone fisiche. L’art. 33, comma 5, richiede inoltre la documentazione della violazione, delle sue conseguenze e delle misure correttive adottate. In caso di rischio presumibilmente elevato, l’art. 34 del GDPR può inoltre richiedere la notifica alle persone interessate. La valutazione giuridica dell’obbligo di notifica spetta al titolare del trattamento, con il supporto dei propri consulenti in materia di protezione dei dati e di consulenza legale; l’informatica forense fornisce a tal fine i dati tecnici.

A partire dal 6 dicembre 2025, per determinate imprese private si applica la nuova versione della legge BSI relativa all’attuazione dei requisiti NIS 2. Per stabilire se un’impresa sia classificata come struttura particolarmente importante o importante, occorre effettuare una verifica concreta sulla base dell’attuale BSIG, dei settori, dei tipi di struttura e dei criteri dimensionali. Per le entità soggette alla normativa, la legge BSI prevede, tra l’altro, obblighi in materia di gestione dei rischi di sicurezza informatica e di incidenti di sicurezza; l’articolo 38 della legge BSI attribuisce ai dirigenti delle entità particolarmente importanti e importanti l’obbligo di attuare e monitorare le misure di gestione dei rischi.

Gli obblighi di segnalazione e documentazione previsti dalla legge possono essere soggetti a scadenze strette. LanCologne, tuttavia, non prende alcuna decisione giuridica definitiva in merito agli obblighi di segnalazione, alla responsabilità o alle responsabilità civili. Forniamo la base fattuale tecnicamente verificabile su cui la direzione aziendale, i responsabili della protezione dei dati e i consulenti legali possono basare le proprie decisioni.

Domande frequenti

🔗 Argomenti correlati