IT-forensisch onderzoek · Bedrijven

Hoe kan de technisch noodzakelijke hersteltijd na een cyberaanval op een begrijpelijke manier worden gereconstrueerd?

Für die Betriebsunterbrechungsversicherung, für Schadensersatzansprüche und für die Bewertung der eigenen Notfallplanung ist entscheidend, wie lange Systeme tatsächlich nicht verfügbar waren und welche Schritte die Wiederherstellung bestimmt haben. Diese Zeiten lassen sich aus technischen Spuren belegen.

Vrijblijvend informeren

Waarom deze vraag belangrijk is voor een bedrijf

Tijdens de herstelfase van een cyberincident worden technische beslissingen genomen die tegelijkertijd van invloed kunnen zijn op de bedrijfscontinuïteit, het veiligstellen van bewijsmateriaal, de gegevensbescherming en de latere traceerbaarheid. Een gedegen documentatie beschermt daarom niet alleen de IT, maar biedt ook een solide feitelijke basis voor het management en juridisch advies.

Technische achtergrond

Es ist sinnvoll, zwischen technischer Erreichbarkeit, eingeschränktem Betrieb und vollständigem Regelbetrieb zu unterscheiden. Verzögerungen entstehen häufig durch nicht nutzbare Backups, Abhängigkeiten zwischen Systemen (AD vor ERP), forensische Sicherung vor Wiederaufbau oder fehlende Dokumentation.

Relevante Spuren und Datenquellen

• Backup- und Restore-Protokolle (Start, Ende, Fehler)
• Systemstart- und Dienststatusereignisse
• Monitoring-Daten und Ticketsysteme
• Anmeldungen der ersten Nutzer in Fachanwendungen

Grenzen

• Wurden Systeme neu aufgebaut und alte Logs nicht gesichert, sind einzelne Zeitpunkte nur über Sekundärquellen belegbar.
• Die versicherungsrechtliche Bewertung erfolgt durch Versicherer bzw. Gutachter.

Mogelijke resultaten

• Zeitlinie der Wiederherstellung je System
• Begründung von Verzögerungen

Waarom LanCologne?

Na een ernstig cyberincident houdt de taak niet op bij het stoppen van de aanval. Het bedrijf moet de systemen op gecontroleerde wijze weer in bedrijf nemen, gegevens en back-ups beoordelen, identiteiten beveiligen, bedrijfsonderbrekingen in kaart brengen en tegelijkertijd bewijsmateriaal verzamelen voor latere juridische, verzekeringsgerelateerde of regelgevingskwesties.

Zo gaan we te werk

• Definition der zu belegenden Zeitpunkte je kritischem System.
• Auswertung der Protokolle und Abgleich mit Ticket- und Kommunikationsdaten.
• Darstellung von Abhängigkeiten und Gründen für Verzögerungen.

Bij het herstel mag het historische bewijsmateriaal niet achteraf worden vervalst

Een systeem dat na het incident correct is hersteld, zegt niet automatisch iets over de toestand van het systeem vóór of tijdens de aanval. Daarom documenteren we historische bevindingen en latere corrigerende maatregelen afzonderlijk. Zo wordt voorkomen dat de verbeterde toestand na het incident met terugwerkende kracht wordt beschouwd als bewijs voor eerdere feiten.

Wettelijk en regelgevend kader

Bij de verwerking van persoonsgegevens blijven met name de beginselen van artikel 5 AVG van toepassing, evenals de noodzaak van een deugdelijke rechtsgrondslag overeenkomstig artikel 6 AVG. Artikel 32 AVG vereist, rekening houdend met het risico, passende technische en organisatorische maatregelen en noemt onder meer vertrouwelijkheid, integriteit, beschikbaarheid, veerkracht en het vermogen om de beschikbaarheid en toegang na een incident tijdig te herstellen.

Bij een inbreuk op de bescherming van persoonsgegevens kunnen artikel 33 en artikel 34 van de AVG van toepassing zijn. Artikel 33 schrijft onder bepaalde voorwaarden voor dat een melding aan de toezichthoudende autoriteit in principe onmiddellijk en zo mogelijk binnen 72 uur na het bekend worden van de inbreuk moet plaatsvinden, en vereist volgens lid 5 een documentatie van de inbreuk, de gevolgen ervan en de genomen corrigerende maatregelen. Bij een vermoedelijk hoog risico kan artikel 34 bovendien vereisen dat de betrokkenen worden geïnformeerd. Of aan de desbetreffende voorwaarden is voldaan, wordt beoordeeld vanuit het oogpunt van de gegevensbeschermingswetgeving; de forensische analyse levert de technische feiten.

Voor ondernemingen die onder de sinds december 2025 geldende herziene BSI-wet vallen, kunnen er aanvullende verplichtingen gelden voor bijzonder belangrijke en belangrijke instellingen. Afhankelijk van de indeling omvatten deze onder meer eisen op het gebied van cyberbeveiligingsrisicobeheer en de afhandeling of melding van ernstige beveiligingsincidenten. De verplichtingen van het management worden uitdrukkelijk behandeld in de huidige BSIG. Of een specifieke onderneming hieronder valt en welke termijnen of verplichtingen in het individuele geval van toepassing zijn, moet worden nagegaan aan de hand van de huidige wettelijke indeling.

Wat personeelsgegevens betreft, kunnen bovendien § 26 BDSG en medezeggenschapsrechten binnen de onderneming van belang zijn. Ook tijdens een cyberincident leidt de technische mogelijkheid tot toegang niet tot een onbeperkte reikwijdte van het onderzoek.

LanCologne levert technische bevindingen en documenteert de wijze waarop deze tot stand zijn gekomen. Beslissingen over meldingsplichten, aansprakelijkheid, arbeidsrechtelijke maatregelen of andere juridische gevolgen blijven voorbehouden aan de bevoegde bedrijfsorganen, functionarissen voor gegevensbescherming en juridische adviseurs.

LanCologne voor forensische analyse en gecontroleerd herstel

LanCologne combineert technische diepgang met een voor besluitvormers begrijpelijke weergave. We documenteren niet alleen welke maatregelen zijn uitgevoerd, maar ook op welke technische feiten deze waren gebaseerd en welke beperkingen er gelden voor de conclusies. Dit zorgt voor transparantie voor het management, juridische adviseurs, verzekeraars en een eventuele latere technische controle.

Veelgestelde vragen

🔗 Gerelateerde onderwerpen