IT-forensisch onderzoek · Bedrijven

Hoe kan een bedrijf na een cyberaanval de toegangsrechten van externe leveranciers en dienstverleners veilig beoordelen?

Nach einem Cyberangriff stehen Dienstleisterzugänge doppelt im Fokus: Sie werden für die Wiederherstellung gebraucht – und sie sind ein häufiger Einfallsweg. Die Frage ist, ob ein bestimmter Zugang im Angriffszeitraum genutzt wurde und ob er bedenkenlos wieder aktiviert werden kann.

Vrijblijvend informeren

Waarom deze vraag belangrijk is voor een bedrijf

Tijdens de herstelfase van een cyberincident worden technische beslissingen genomen die tegelijkertijd van invloed kunnen zijn op de bedrijfscontinuïteit, het veiligstellen van bewijsmateriaal, de gegevensbescherming en de latere traceerbaarheid. Een gedegen documentatie beschermt daarom niet alleen de IT, maar biedt ook een solide feitelijke basis voor het management en juridisch advies.

Technische achtergrond

Typische Zugänge sind Fernwartungssoftware (z. B. TeamViewer, AnyDesk, ScreenConnect), RMM-Agenten von Managed Service Providern, Site-to-Site-VPNs, Gastkonten in Entra ID und Service-Accounts. Wurde ein Dienstleister selbst kompromittiert, kann der Angriff über dessen legitime Werkzeuge laufen.

Relevante Spuren und Datenquellen

• Verbindungsprotokolle der Fernwartungs- und RMM-Software
• VPN- und Firewall-Logs mit Quell-IP
• Anmeldeereignisse der Dienstleisterkonten (lokal, AD, Entra ID)
• Installations- und Ausführungsspuren auf Endpunkten (Prefetch, Amcache, Dienste)

Grenzen

• Ein vorhandener Zugang belegt keine Verantwortlichkeit des Dienstleisters.
• Logs beim Dienstleister selbst sind nur mit dessen Mitwirkung verfügbar.

Mogelijke resultaten

• Zugangsweg identifiziert bzw. ausgeschlossen (im geprüften Umfang)
• Liste der Zugänge mit Bewertung

Waarom LanCologne?

Na een ernstig cyberincident houdt de taak niet op bij het stoppen van de aanval. Het bedrijf moet de systemen op gecontroleerde wijze weer in bedrijf nemen, gegevens en back-ups beoordelen, identiteiten beveiligen, bedrijfsonderbrekingen in kaart brengen en tegelijkertijd bewijsmateriaal verzamelen voor latere juridische, verzekeringsgerelateerde of regelgevingskwesties.

Zo gaan we te werk

• Inventar aller externen Zugänge und Konten.
• Abgleich der Nutzung im Angriffszeitraum mit dokumentierten Wartungsfenstern.
• Bewertung je Zugang: genutzt, nicht genutzt, nicht beurteilbar.
• Empfehlung zur kontrollierten Wiederfreigabe.

Bij het herstel mag het historische bewijsmateriaal niet achteraf worden vervalst

Een systeem dat na het incident correct is hersteld, zegt niet automatisch iets over de toestand van het systeem vóór of tijdens de aanval. Daarom documenteren we historische bevindingen en latere corrigerende maatregelen afzonderlijk. Zo wordt voorkomen dat de verbeterde toestand na het incident met terugwerkende kracht wordt beschouwd als bewijs voor eerdere feiten.

Wettelijk en regelgevend kader

Bij de verwerking van persoonsgegevens blijven met name de beginselen van artikel 5 AVG van toepassing, evenals de noodzaak van een deugdelijke rechtsgrondslag overeenkomstig artikel 6 AVG. Artikel 32 AVG vereist, rekening houdend met het risico, passende technische en organisatorische maatregelen en noemt onder meer vertrouwelijkheid, integriteit, beschikbaarheid, veerkracht en het vermogen om de beschikbaarheid en toegang na een incident tijdig te herstellen.

Bij een inbreuk op de bescherming van persoonsgegevens kunnen artikel 33 en artikel 34 van de AVG van toepassing zijn. Artikel 33 schrijft onder bepaalde voorwaarden voor dat een melding aan de toezichthoudende autoriteit in principe onmiddellijk en zo mogelijk binnen 72 uur na het bekend worden van de inbreuk moet plaatsvinden, en vereist volgens lid 5 een documentatie van de inbreuk, de gevolgen ervan en de genomen corrigerende maatregelen. Bij een vermoedelijk hoog risico kan artikel 34 bovendien vereisen dat de betrokkenen worden geïnformeerd. Of aan de desbetreffende voorwaarden is voldaan, wordt beoordeeld vanuit het oogpunt van de gegevensbeschermingswetgeving; de forensische analyse levert de technische feiten.

Voor ondernemingen die onder de sinds december 2025 geldende herziene BSI-wet vallen, kunnen er aanvullende verplichtingen gelden voor bijzonder belangrijke en belangrijke instellingen. Afhankelijk van de indeling omvatten deze onder meer eisen op het gebied van cyberbeveiligingsrisicobeheer en de afhandeling of melding van ernstige beveiligingsincidenten. De verplichtingen van het management worden uitdrukkelijk behandeld in de huidige BSIG. Of een specifieke onderneming hieronder valt en welke termijnen of verplichtingen in het individuele geval van toepassing zijn, moet worden nagegaan aan de hand van de huidige wettelijke indeling.

Wat personeelsgegevens betreft, kunnen bovendien § 26 BDSG en medezeggenschapsrechten binnen de onderneming van belang zijn. Ook tijdens een cyberincident leidt de technische mogelijkheid tot toegang niet tot een onbeperkte reikwijdte van het onderzoek.

LanCologne levert technische bevindingen en documenteert de wijze waarop deze tot stand zijn gekomen. Beslissingen over meldingsplichten, aansprakelijkheid, arbeidsrechtelijke maatregelen of andere juridische gevolgen blijven voorbehouden aan de bevoegde bedrijfsorganen, functionarissen voor gegevensbescherming en juridische adviseurs.

LanCologne voor forensische analyse en gecontroleerd herstel

LanCologne combineert technische diepgang met een voor besluitvormers begrijpelijke weergave. We documenteren niet alleen welke maatregelen zijn uitgevoerd, maar ook op welke technische feiten deze waren gebaseerd en welke beperkingen er gelden voor de conclusies. Dit zorgt voor transparantie voor het management, juridische adviseurs, verzekeraars en een eventuele latere technische controle.

Veelgestelde vragen

🔗 Gerelateerde onderwerpen