IT-forensisch onderzoek · Bedrijven

Hoe moet een bedrijf direct na de ontdekking van een cyberaanval het veiligstellen van bewijsmateriaal en het beperken van de schade coördineren?

Im laufenden Cybervorfall stehen schnelle Eindämmung und spätere Rekonstruierbarkeit gleichzeitig im Raum. Eine forensisch ideale Sicherung darf den fortdauernden Schaden nicht unnötig verlängern.

Vrijblijvend informeren

Waarom deze vraag belangrijk is voor een bedrijf

Tijdens de herstelfase van een cyberincident worden technische beslissingen genomen die tegelijkertijd van invloed kunnen zijn op de bedrijfscontinuïteit, het veiligstellen van bewijsmateriaal, de gegevensbescherming en de latere traceerbaarheid. Een gedegen documentatie beschermt daarom niet alleen de IT, maar biedt ook een solide feitelijke basis voor het management en juridisch advies.

Technische onderzoeksaanpak

Wir priorisieren flüchtige und besonders aussagekräftige Datenquellen, dokumentieren unvermeidbare Veränderungen und stimmen Sicherungsmaßnahmen mit der operativen Incident Response ab.

Waar de grens van de uitspraak ligt

Nicht jeder Rechner muss vor einer Isolierung vollständig forensisch gesichert werden. Die Priorisierung richtet sich nach Angriffslage, Beweisfrage und betrieblichem Risiko.

Waarom LanCologne?

Na een ernstig cyberincident houdt de taak niet op bij het stoppen van de aanval. Het bedrijf moet de systemen op gecontroleerde wijze weer in bedrijf nemen, gegevens en back-ups beoordelen, identiteiten beveiligen, bedrijfsonderbrekingen in kaart brengen en tegelijkertijd bewijsmateriaal verzamelen voor latere juridische, verzekeringsgerelateerde of regelgevingskwesties.

LanCologne maakt daarom een onderscheid tussen operationele incidentrespons en forensische reconstructie, zonder beide kunstmatig van elkaar te isoleren. Beheersing en herstel beschermen het bedrijf; forensisch onderzoek documenteert wat er is gebeurd en welke technische feiten ten grondslag lagen aan de genomen maatregelen.

Wij werken niet volgens het principe dat zoveel mogelijk systemen volledig moeten worden geback-upt. Doorslaggevend zijn de concrete bewijskwestie, de vluchtigheid van een gegevensbron, de rol van het systeem bij de aanval en de evenredigheid. Bijzonder veelzeggende primaire gegevens krijgen voorrang.

Bij het herstel maken we onderscheid tussen technische bereikbaarheid, systeemfunctionaliteit, functionele bruikbaarheid en volledige normale bedrijfsvoering. Evenzo worden de aanwezigheid van back-ups, de integriteit van back-ups en de daadwerkelijke herstelbaarheid niet met elkaar gelijkgesteld.

De documentatie laat de conclusie open. Als een preventieve uitschakeling technisch gezien aannemelijk was, ook al kon achteraf geen inbreuk worden aangetoond, kunnen beide tegelijkertijd juist zijn. Juist zulke nuances maken een latere beoordeling betrouwbaar.

Onze werkwijze

1Risicogebaseerde coördinatie van indamming en bewijsbehoud.

2Geef prioriteit aan kritieke en vluchtige gegevensbronnen.

3De uitgangssituaties en onvermijdelijke veranderingen vastleggen.

4De hoofdoorzaak en de zichtbare schade afzonderlijk onderzoeken.

5Beoordeel gecompromitteerde identiteiten, sessies en bevoorrechte toegangen.

6Een onderscheid maken tussen de status van de back-up, de betrouwbaarheid en de herstelbaarheid.

7Beslissingen over het opnieuw opbouwen en herstellen technisch documenteren.

8De herstartfasen en systeemafhankelijkheden in de tijd vastleggen.

9Maak onderscheid tussen noodbedrijf, beperkt bedrijf en normaal bedrijf.

10Houd bij de reconstructie rekening met afhankelijkheden van derde partijen en de cloud.

11Bewijsgegevens op een traceerbare manier bewaren voor latere concrete doeleinden.

12Het hoofdverslag op een begrijpelijke manier opstellen en de technische bijlage op een reproduceerbare manier opstellen.

Bij het herstel mag het historische bewijsmateriaal niet achteraf worden vervalst

Een systeem dat na het incident correct is hersteld, zegt niet automatisch iets over de toestand van het systeem vóór of tijdens de aanval. Daarom documenteren we historische bevindingen en latere corrigerende maatregelen afzonderlijk. Zo wordt voorkomen dat de verbeterde toestand na het incident met terugwerkende kracht wordt beschouwd als bewijs voor eerdere feiten.

Wettelijk en regelgevend kader

Bij de verwerking van persoonsgegevens blijven met name de beginselen van artikel 5 AVG van toepassing, evenals de noodzaak van een deugdelijke rechtsgrondslag overeenkomstig artikel 6 AVG. Artikel 32 AVG vereist, rekening houdend met het risico, passende technische en organisatorische maatregelen en noemt onder meer vertrouwelijkheid, integriteit, beschikbaarheid, veerkracht en het vermogen om de beschikbaarheid en toegang na een incident tijdig te herstellen.

Bij een inbreuk op de bescherming van persoonsgegevens kunnen artikel 33 en artikel 34 van de AVG van toepassing zijn. Artikel 33 schrijft onder bepaalde voorwaarden voor dat een melding aan de toezichthoudende autoriteit in principe onmiddellijk en zo mogelijk binnen 72 uur na het bekend worden van de inbreuk moet plaatsvinden, en vereist volgens lid 5 een documentatie van de inbreuk, de gevolgen ervan en de genomen corrigerende maatregelen. Bij een vermoedelijk hoog risico kan artikel 34 bovendien vereisen dat de betrokkenen worden geïnformeerd. Of aan de desbetreffende voorwaarden is voldaan, wordt beoordeeld vanuit het oogpunt van de gegevensbeschermingswetgeving; de forensische analyse levert de technische feiten.

Voor ondernemingen die onder de sinds december 2025 geldende herziene BSI-wet vallen, kunnen er aanvullende verplichtingen gelden voor bijzonder belangrijke en belangrijke instellingen. Afhankelijk van de indeling omvatten deze onder meer eisen op het gebied van cyberbeveiligingsrisicobeheer en de afhandeling of melding van ernstige beveiligingsincidenten. De verplichtingen van het management worden uitdrukkelijk behandeld in de huidige BSIG. Of een specifieke onderneming hieronder valt en welke termijnen of verplichtingen in het individuele geval van toepassing zijn, moet worden nagegaan aan de hand van de huidige wettelijke indeling.

Wat personeelsgegevens betreft, kunnen bovendien § 26 BDSG en medezeggenschapsrechten binnen de onderneming van belang zijn. Ook tijdens een cyberincident leidt de technische mogelijkheid tot toegang niet tot een onbeperkte reikwijdte van het onderzoek.

LanCologne levert technische bevindingen en documenteert de wijze waarop deze tot stand zijn gekomen. Beslissingen over meldingsplichten, aansprakelijkheid, arbeidsrechtelijke maatregelen of andere juridische gevolgen blijven voorbehouden aan de bevoegde bedrijfsorganen, functionarissen voor gegevensbescherming en juridische adviseurs.

LanCologne voor forensische analyse en gecontroleerd herstel

LanCologne combineert technische diepgang met een voor besluitvormers begrijpelijke weergave. We documenteren niet alleen welke maatregelen zijn uitgevoerd, maar ook op welke technische feiten deze waren gebaseerd en welke beperkingen er gelden voor de conclusies. Dit zorgt voor transparantie voor het management, juridische adviseurs, verzekeraars en een eventuele latere technische controle.

Veelgestelde vragen

Hoe moet een bedrijf direct na de ontdekking van een cyberaanval het veiligstellen van bewijsmateriaal en het beperken van de schade coördineren?+

Hoe verloopt zo’n technisch onderzoek in de praktijk?+

Wir priorisieren flüchtige und besonders aussagekräftige Datenquellen, dokumentieren unvermeidbare Veränderungen und stimmen Sicherungsmaßnahmen mit der operativen Incident Response ab.

Levert het onderzoek altijd een eenduidig resultaat op ten nadele of ten gunste van een betrokken persoon?+

Nicht jeder Rechner muss vor einer Isolierung vollständig forensisch gesichert werden. Die Priorisierung richtet sich nach Angriffslage, Beweisfrage und betrieblichem Risiko.

Is daar een wettelijke grondslag voor?+

Bei der Verarbeitung personenbezogener Daten gelten weiterhin insbesondere die Grundsätze des Art. 5 DSGVO sowie die Erforderlichkeit einer tragfähigen Rechtsgrundlage nach Art. 6 DSGVO. Art. 32 DSGVO verlangt unter Berücksichtigung des Risikos geeignete technische und organisatorische Maßnahmen und nennt unter anderem Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit sowie die Fähigkeit, Verfügbarkeit und Zugang nach einem Zwischenfall zeitnah wiederherzustellen. Bei einer Verletzung des Schutzes personenbezogener Daten können Art. 33 und Art. 34 DSGVO einschlägig sein. Art. 33 sieht unter seinen Voraussetzungen eine Meldung an die Aufsichtsbehörde grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden vor und verlangt nach Abs. 5 eine Dokumentation der Verletzung, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Bei voraussichtlich hohem Risiko kann Art. 34 zusätzlich die Benachrichtigung betroffener Personen verlangen. Ob die jeweiligen Voraussetzungen erfüllt sind, wird datenschutzrechtlich bewertet; die Forensik liefert die technischen Tatsachen. Für Unternehmen, die unter das seit Dezember 2025 geltende neu gefasste BSI-Gesetz fallen, können zusätzliche Pflichten für besonders wichtige und wichtige Einrichtungen bestehen. Dazu gehören je nach Einordnung Anforderungen an das Cybersicherheitsrisikomanagement und die Behandlung beziehungsweise Meldung erheblicher Sicherheitsvorfälle. Die Geschäftsleitungspflichten sind im aktuellen BSIG ausdrücklich adressiert. Ob ein konkretes Unternehmen erfasst ist und welche Fristen beziehungsweise Pflichten im Einzelfall gelten, muss anhand der aktuellen gesetzlichen Einordnung geprüft werden. Bei Beschäftigtendaten können zusätzlich § 26 BDSG und betriebliche Mitbestimmungsrechte relevant sein. Auch während eines Cybervorfalls entsteht aus technischer Zugriffsmöglichkeit kein unbegrenzter Untersuchungsumfang. LanCologne liefert technische Feststellungen und dokumentiert deren Herleitung. Entscheidungen über Meldepflichten, Haftung, arbeitsrechtliche Maßnahmen oder sonstige Rechtsfolgen bleiben den zuständigen Unternehmensorganen, Datenschutzbeauftragten und Rechtsberatern vorbehalten.