IT-forensisch onderzoek · Bedrijven

Hoe kan een bedrijf de toegangsroute van een cyberaanval forensisch laten vaststellen?

Phishing, gestolen inloggegevens, kwetsbare diensten, beveiligingslekken en toegang voor onderhoud op afstand kunnen technisch gezien vergelijkbare gevolgen hebben.

Vrijblijvend informeren

Waarom deze vraag belangrijk is voor een bedrijf

Na een cyberaanval kunnen technische, economische, gegevensbeschermingsrechtelijke en regelgevende beslissingen afhangen van dezelfde feitelijke kwestie. Een degelijke reconstructie moet daarom een duidelijk onderscheid maken tussen bewezen activiteit, technische mogelijkheid en louter vermoeden.

Technische onderzoeksaanpak

Wir prüfen die in Betracht kommenden Eintrittswege anhand ihrer erwartbaren Spuren und suchen sowohl bestätigende als auch widersprechende Befunde.

Waar de grens van de uitspraak ligt

Wenn die entscheidenden Eingangsdaten fehlen, darf aus der späteren Angreiferaktivität kein vermeintlich sicherer Initial-Access-Vektor abgeleitet werden.

Waarom LanCologne?

Na een cyberaanval heeft een bedrijf in de eerste plaats behoefte aan veiligheid en bedrijfscontinuïteit. Voor latere beslissingen volstaat het echter niet om alleen te weten dat ‚er een aanval heeft plaatsgevonden‘. Het management, de afdeling gegevensbescherming, juridische adviseurs, verzekeraars en, indien nodig, overheidsinstanties hebben betrouwbare antwoorden nodig op concrete feitelijke vragen.

LanCologne maakt daarom een onderscheid tussen ontdekking, eerste toegang, compromittering, persistentie, laterale beweging, toegang tot gegevens, mogelijke exfiltratie en concrete schadeveroorzakende handelingen. Deze fasen kunnen qua tijd ver uit elkaar liggen en mogen niet met elkaar worden gelijkgesteld.

Belangrijke bevindingen worden zoveel mogelijk gecorrelateerd op basis van meerdere onafhankelijke gegevensbronnen. Endpoint-, netwerk-, identiteits-, cloud- en systeemgegevens hebben elk hun eigen beperkingen wat betreft de betrouwbaarheid van de informatie. Een geautomatiseerd alarm of een productrapport is voor ons niet de bewijsbron zelf, maar een uitgangspunt voor het controleren van de onderliggende primaire gegevens.

Ook tegenhypothesen maken deel uit van het onderzoek. Een ongebruikelijke inlogpoging kan bijvoorbeeld worden verklaard door legitieme beheeractiviteiten, een VPN-infrastructuur, geautomatiseerde diensten of gehackte inloggegevens. Pas door verdere sporen met elkaar in verband te brengen, kan een betrouwbare conclusie worden getrokken.

Als er cruciale gegevens ontbreken, wordt deze leemte niet opgevuld met veronderstellingen. Juist bij cyberincidenten is de uitspraak ‚op basis van de ontvangen gegevens niet met zekerheid vast te stellen‘ vanuit vaktechnisch oogpunt waardevoller dan een schijnbaar eenduidig aanvalsverloop dat niet op reproduceerbare wijze kan worden aangetoond.

Onze werkwijze

Incidentrespons en forensisch onderzoek hebben verschillende, maar elkaar aanvullende doelstellingen

Het afkeren van een lopende aanval dient in de eerste plaats ter bescherming van het bedrijf. De forensische reconstructie brengt vervolgens, of parallel daaraan, aan het licht wat er daadwerkelijk is gebeurd. Noodzakelijke beveiligingsmaatregelen worden daarom niet achterwege gelaten, louter om de bewijssituatie in ideale staat te behouden; onvermijdelijke veranderingen worden zoveel mogelijk gedocumenteerd.

Waarom LanCologne na een cyberaanval?

LanCologne richt het onderzoek niet op een verondersteld aanvalsverloop. Bepalend is welke technische conclusies daadwerkelijk uit de verkregen primaire gegevens naar voren komen. Belastende, ontlastende en onduidelijke bevindingen worden op een begrijpelijke manier gedocumenteerd, zodat het management en de juridische adviseurs beslissingen kunnen nemen op basis van verifieerbare feiten.

Artikel 32 van de AVG verplicht verwerkingsverantwoordelijken en verwerkers tot een beschermingsniveau dat in verhouding staat tot het risico. Hierbij wordt onder meer verwezen naar vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht, evenals het vermogen om de beschikbaarheid en toegang na een technisch of fysiek incident tijdig te herstellen.

Als er bij een cyberincident sprake is van een inbreuk op de bescherming van persoonsgegevens, kan artikel 33 van de AVG van toepassing zijn. Volgens dit artikel moet een meldingsplichtige inbreuk in principe onmiddellijk en zo mogelijk binnen 72 uur na ontdekking worden gemeld aan de bevoegde toezichthoudende autoriteit, tenzij deze naar verwachting geen risico vormt voor de rechten en vrijheden van natuurlijke personen. Artikel 33, lid 5, vereist bovendien dat de inbreuk, de gevolgen ervan en de genomen corrigerende maatregelen worden gedocumenteerd. Bij een naar verwachting hoog risico kan artikel 34 AVG bovendien vereisen dat de betrokkenen worden geïnformeerd. Of aan deze voorwaarden is voldaan, is een beoordeling vanuit het oogpunt van gegevensbescherming; de IT-forensiek levert hiervoor technische feiten.

Voor bepaalde particuliere ondernemingen geldt sinds 6 december 2025 de herziene BSI-wet ter uitvoering van de NIS-2-vereisten. Of een onderneming als een bijzonder belangrijke of belangrijke instelling wordt aangemerkt, moet concreet worden beoordeeld aan de hand van de huidige BSIG, de sectoren, soorten instellingen en groottecriteria. Voor geregistreerde instellingen bevat de BSIG onder meer verplichtingen op het gebied van cyberbeveiligingsrisicobeheer en beveiligingsincidenten; § 38 BSIG legt de directies van bijzonder belangrijke en belangrijke instellingen verplichtingen op met betrekking tot de uitvoering en het toezicht op de risicobeheermaatregelen.

De wettelijke meldings- en documentatieverplichtingen kunnen tijdgevoelig zijn. LanCologne neemt echter geen definitief juridisch standpunt in over meldingsverplichtingen, verantwoordelijkheid of aansprakelijkheid. Wij leveren de technisch onderbouwde feitelijke basis waarop het management, functionarissen voor gegevensbescherming en juridische adviseurs hun beslissingen kunnen nemen.

Veelgestelde vragen

🔗 Gerelateerde onderwerpen