IT-forensisch onderzoek · Bedrijven

Wie kann ein Unternehmen prüfen lassen, ob ein vorsorglich abgeschaltetes System tatsächlich kompromittiert war?

In der Incident Response werden Systeme häufig isoliert, obwohl ihre konkrete Betroffenheit noch ungeklärt ist.

Vrijblijvend informeren

Waarom deze vraag belangrijk is voor een bedrijf

In der Wiederherstellungsphase eines Cybervorfalls werden technische Entscheidungen getroffen, die Betriebsfähigkeit, Beweiserhalt, Datenschutz und spätere Nachweisbarkeit gleichzeitig beeinflussen können. Eine saubere Dokumentation schützt deshalb nicht nur die IT, sondern schafft eine belastbare Tatsachengrundlage für Geschäftsführung und Rechtsberatung.

Technische onderzoeksaanpak

Wir untersuchen die erhaltenen System-, Netzwerk-, Identitäts- und Endpointdaten und unterscheiden vorsorgliche Isolation von nachgewiesener Kompromittierung.

Waar de grens van de uitspraak ligt

Die präventive Abschaltung kann technisch sinnvoll gewesen sein, auch wenn sich später keine Kompromittierung nachweisen lässt.

Waarom LanCologne?

Nach einem schweren Cybervorfall endet die Aufgabe nicht mit dem Stoppen des Angriffs. Das Unternehmen muss Systeme kontrolliert wieder in Betrieb nehmen, Daten und Backups bewerten, Identitäten absichern, Betriebsunterbrechungen nachvollziehen und gleichzeitig Beweise für spätere rechtliche, versicherungsbezogene oder regulatorische Fragen erhalten.

LanCologne trennt deshalb operative Incident Response und forensische Rekonstruktion, ohne beide künstlich voneinander zu isolieren. Eindämmung und Wiederherstellung schützen das Unternehmen; Forensik dokumentiert, was geschehen ist und welche technischen Tatsachen die getroffenen Maßnahmen getragen haben.

Wir arbeiten nicht nach dem Grundsatz, möglichst viele Systeme vollständig zu sichern. Entscheidend sind die konkrete Beweisfrage, die Flüchtigkeit einer Datenquelle, die Rolle des Systems im Angriff und die Verhältnismäßigkeit. Besonders aussagekräftige Primärdaten werden priorisiert.

Bei der Wiederherstellung unterscheiden wir zwischen technischer Erreichbarkeit, Systemfunktion, fachlicher Nutzbarkeit und vollständigem Regelbetrieb. Ebenso werden Backupvorhandensein, Backupintegrität und tatsächliche Wiederherstellbarkeit nicht miteinander gleichgesetzt.

Die Dokumentation bleibt ergebnisoffen. War eine vorsorgliche Abschaltung technisch nachvollziehbar, obwohl sich später keine Kompromittierung nachweisen lässt, kann beides gleichzeitig richtig sein. Genau solche Differenzierungen machen eine spätere Bewertung belastbar.

Onze werkwijze

Wiederherstellung darf die historische Beweislage nicht nachträglich verfälschen

Ein nach dem Vorfall sauber aufgebautes System sagt nicht automatisch aus, wie das System vor oder während des Angriffs beschaffen war. Deshalb dokumentieren wir historische Befunde und spätere Abhilfemaßnahmen getrennt. So wird vermieden, dass der verbesserte Zustand nach dem Vorfall rückwirkend als Beweis für frühere Tatsachen behandelt wird.

Rechtlicher und regulatorischer Rahmen

Bei der Verarbeitung personenbezogener Daten gelten weiterhin insbesondere die Grundsätze des Art. 5 DSGVO sowie die Erforderlichkeit einer tragfähigen Rechtsgrundlage nach Art. 6 DSGVO. Art. 32 DSGVO verlangt unter Berücksichtigung des Risikos geeignete technische und organisatorische Maßnahmen und nennt unter anderem Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit sowie die Fähigkeit, Verfügbarkeit und Zugang nach einem Zwischenfall zeitnah wiederherzustellen.

Bei einer Verletzung des Schutzes personenbezogener Daten können Art. 33 und Art. 34 DSGVO einschlägig sein. Art. 33 sieht unter seinen Voraussetzungen eine Meldung an die Aufsichtsbehörde grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden vor und verlangt nach Abs. 5 eine Dokumentation der Verletzung, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Bei voraussichtlich hohem Risiko kann Art. 34 zusätzlich die Benachrichtigung betroffener Personen verlangen. Ob die jeweiligen Voraussetzungen erfüllt sind, wird datenschutzrechtlich bewertet; die Forensik liefert die technischen Tatsachen.

Für Unternehmen, die unter das seit Dezember 2025 geltende neu gefasste BSI-Gesetz fallen, können zusätzliche Pflichten für besonders wichtige und wichtige Einrichtungen bestehen. Dazu gehören je nach Einordnung Anforderungen an das Cybersicherheitsrisikomanagement und die Behandlung beziehungsweise Meldung erheblicher Sicherheitsvorfälle. Die Geschäftsleitungspflichten sind im aktuellen BSIG ausdrücklich adressiert. Ob ein konkretes Unternehmen erfasst ist und welche Fristen beziehungsweise Pflichten im Einzelfall gelten, muss anhand der aktuellen gesetzlichen Einordnung geprüft werden.

Bei Beschäftigtendaten können zusätzlich § 26 BDSG und betriebliche Mitbestimmungsrechte relevant sein. Auch während eines Cybervorfalls entsteht aus technischer Zugriffsmöglichkeit kein unbegrenzter Untersuchungsumfang.

LanCologne liefert technische Feststellungen und dokumentiert deren Herleitung. Entscheidungen über Meldepflichten, Haftung, arbeitsrechtliche Maßnahmen oder sonstige Rechtsfolgen bleiben den zuständigen Unternehmensorganen, Datenschutzbeauftragten und Rechtsberatern vorbehalten.

LanCologne für die forensische Aufarbeitung und kontrollierte Wiederherstellung

LanCologne verbindet technische Detailtiefe mit einer für Entscheidungsträger verständlichen Darstellung. Wir dokumentieren nicht nur, welche Maßnahmen durchgeführt wurden, sondern auch, auf welcher technischen Tatsachengrundlage sie beruhten und welche Aussagegrenzen bestehen. Das schafft Nachvollziehbarkeit für Geschäftsführung, Rechtsberatung, Versicherung und eine mögliche spätere fachliche Gegenprüfung.

Veelgestelde vragen

🔗 Gerelateerde onderwerpen