IT-forensisch onderzoek · Bedrijven

Was ein Unternehmen nach einem schweren Cyberangriff von einer forensischen Aufarbeitung erwarten kann

Ist ein Angriff eingedämmt, stellen Geschäftsführung, Datenschutz, Versicherung und Rechtsberatung dieselben Fragen: Wie kam der Angreifer herein? Seit wann war er im Netz? Welche Konten, Systeme und Daten waren betroffen? Wurden Daten abgezogen? Die forensische Aufarbeitung beantwortet diese Fragen auf Basis der gesicherten Primärdaten – und benennt, wo die Datenlage keine sichere Antwort zulässt.

Vrijblijvend informeren

Waarom deze vraag belangrijk is voor een bedrijf

Na een cyberaanval kunnen technische, economische, gegevensbeschermingsrechtelijke en regelgevende beslissingen afhangen van dezelfde feitelijke kwestie. Een degelijke reconstructie moet daarom een duidelijk onderscheid maken tussen bewezen activiteit, technische mogelijkheid en louter vermoeden.

Technische achtergrond

Die Antworten liegen verteilt: in Windows-Ereignisprotokollen, EDR-Telemetrie, Firewall- und VPN-Logs, Microsoft-365- und Entra-ID-Protokollen, Active-Directory-Änderungen und Spuren auf einzelnen Endgeräten. Viele Quellen haben kurze Aufbewahrungszeiten; wird nach dem Vorfall neu aufgesetzt, gehen sie verloren.

Relevante Spuren und Datenquellen

• Windows Event Logs (u. a. Anmeldungen 4624/4625, Dienstinstallationen 7045, PowerShell-Protokolle)
• EDR-/Antiviren-Telemetrie und Quarantäne
• Firewall-, VPN- und Proxy-Logs
• Microsoft 365 Unified Audit Log und Entra-ID-Anmeldeprotokolle
• Active-Directory-Änderungen, neue Konten und Gruppenmitgliedschaften
• Artefakte auf Patient-Zero-Systemen (Prefetch, Amcache, Shimcache, SRUM)

Grenzen

• Fehlende oder überschriebene Logs begrenzen die Rekonstruktion.
• Ob Daten abgeflossen sind, lässt sich nicht immer positiv belegen oder ausschließen.
• Rechtliche Bewertungen (Meldepflichten, Haftung) treffen Datenschutzbeauftragte und Rechtsberatung.

Mogelijke resultaten

• Angriffsweg und Zeitlinie belegt
• Liste betroffener Konten, Systeme und Datenbestände
• Exfiltration nachgewiesen, nicht nachweisbar oder nicht auszuschließen
• Empfehlungen zur Schließung der Angriffswege

Waarom LanCologne?

Nach einem Cyberangriff benötigt ein Unternehmen zunächst Sicherheit und Betriebsfähigkeit. Für spätere Entscheidungen reicht es jedoch nicht, nur zu wissen, dass ‚ein Angriff stattgefunden hat‘.

Zo gaan we te werk

• Abstimmung der Leitfragen mit Geschäftsführung, Versicherung und Rechtsberatung.
• Priorisierte Sicherung flüchtiger und kurzlebiger Quellen.
• Rekonstruktion von Initial Access, Rechteausweitung, lateraler Bewegung und möglicher Exfiltration.
• Abschlussbericht mit Management-Zusammenfassung und technischem Anhang.

Incidentrespons en forensisch onderzoek hebben verschillende, maar elkaar aanvullende doelstellingen

Het afkeren van een lopende aanval dient in de eerste plaats ter bescherming van het bedrijf. De forensische reconstructie brengt vervolgens, of parallel daaraan, aan het licht wat er daadwerkelijk is gebeurd. Noodzakelijke beveiligingsmaatregelen worden daarom niet achterwege gelaten, louter om de bewijssituatie in ideale staat te behouden; onvermijdelijke veranderingen worden zoveel mogelijk gedocumenteerd.

Waarom LanCologne na een cyberaanval?

LanCologne richt het onderzoek niet op een verondersteld aanvalsverloop. Bepalend is welke technische conclusies daadwerkelijk uit de verkregen primaire gegevens naar voren komen. Belastende, ontlastende en onduidelijke bevindingen worden op een begrijpelijke manier gedocumenteerd, zodat het management en de juridische adviseurs beslissingen kunnen nemen op basis van verifieerbare feiten.

Artikel 32 van de AVG verplicht verwerkingsverantwoordelijken en verwerkers tot een beschermingsniveau dat in verhouding staat tot het risico. Hierbij wordt onder meer verwezen naar vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht, evenals het vermogen om de beschikbaarheid en toegang na een technisch of fysiek incident tijdig te herstellen.

Als er bij een cyberincident sprake is van een inbreuk op de bescherming van persoonsgegevens, kan artikel 33 van de AVG van toepassing zijn. Een dergelijke inbreuk moet in principe onmiddellijk en zo mogelijk binnen 72 uur na ontdekking worden gemeld aan de bevoegde toezichthoudende autoriteit. Er geldt een uitzondering wanneer de inbreuk naar verwachting geen risico voor de rechten en vrijheden van natuurlijke personen met zich meebrengt. Artikel 33, lid 5, vereist bovendien dat de inbreuk, de gevolgen ervan en de genomen corrigerende maatregelen worden gedocumenteerd. Bij een naar verwachting hoog risico kan artikel 34 AVG bovendien vereisen dat de betrokkenen worden geïnformeerd. De juridische beoordeling van de meldingsplicht is de verantwoordelijkheid van de verwerkingsverantwoordelijke, in overleg met zijn adviseurs op het gebied van gegevensbescherming en juridische zaken; de IT-forensische analyse levert hiervoor technische feiten.

Voor bepaalde particuliere ondernemingen geldt sinds 6 december 2025 de herziene BSI-wet ter uitvoering van de NIS-2-vereisten. Of een onderneming als een bijzonder belangrijke of belangrijke instelling wordt aangemerkt, moet concreet worden beoordeeld aan de hand van de huidige BSIG, de sectoren, soorten instellingen en groottecriteria. Voor geregistreerde instellingen bevat de BSIG onder meer verplichtingen op het gebied van cyberbeveiligingsrisicobeheer en beveiligingsincidenten; § 38 BSIG legt de directies van bijzonder belangrijke en belangrijke instellingen verplichtingen op met betrekking tot de uitvoering en het toezicht op de risicobeheermaatregelen.

De wettelijke meldings- en documentatieverplichtingen kunnen tijdgevoelig zijn. LanCologne neemt echter geen definitief juridisch standpunt in over meldingsverplichtingen, verantwoordelijkheid of aansprakelijkheid. Wij leveren de technisch onderbouwde feitelijke basis waarop het management, functionarissen voor gegevensbescherming en juridische adviseurs hun beslissingen kunnen nemen.

Veelgestelde vragen

🔗 Gerelateerde onderwerpen