IT-forensisch onderzoek · Bedrijven

Forensische Aufarbeitung nach der akuten Incident Response – was danach noch zu klären ist

Nach der akuten Incident Response laufen die Systeme wieder. Offen bleiben oft die Fragen, die erst später Gewicht bekommen: Ist die Ursache wirklich beseitigt? Gibt es noch Zugänge des Angreifers? Was genau ist für Versicherung und Aufsichtsbehörde zu dokumentieren? Die Aufarbeitung schließt diese Lücken.

Vrijblijvend informeren

Waarom deze vraag belangrijk is voor een bedrijf

Tijdens de herstelfase van een cyberincident worden technische beslissingen genomen die tegelijkertijd van invloed kunnen zijn op de bedrijfscontinuïteit, het veiligstellen van bewijsmateriaal, de gegevensbescherming en de latere traceerbaarheid. Een gedegen documentatie beschermt daarom niet alleen de IT, maar biedt ook een solide feitelijke basis voor het management en juridisch advies.

Technische achtergrond

In der Akutphase wird priorisiert, was den Betrieb wiederherstellt. Dabei bleiben Spuren oft ungeprüft oder gehen verloren. Die nachgelagerte Forensik arbeitet mit dem, was gesichert wurde, und ergänzt fehlende Quellen, soweit sie noch existieren.

Relevante Spuren und Datenquellen

• Sicherungen und Notizen aus der Akutphase
• Persistenzmechanismen (Dienste, geplante Aufgaben, Run-Keys, WMI)
• Konten, Token und Anwendungsregistrierungen in Entra ID
• Fernwartungs- und Dienstleisterzugänge

Grenzen

• Nicht gesicherte Daten aus der Akutphase sind oft unwiederbringlich verloren.
• Ein Restrisiko lässt sich mindern, aber nicht vollständig ausschließen.

Mogelijke resultaten

• Root Cause bestätigt oder offen (mit Begründung)
• Nachweis bzw. Ausschluss verbliebener Zugänge im geprüften Umfang
• Lessons-Learned-Empfehlungen

Waarom LanCologne?

Na een ernstig cyberincident houdt de taak niet op bij het stoppen van de aanval. Het bedrijf moet de systemen op gecontroleerde wijze weer in bedrijf nemen, gegevens en back-ups beoordelen, identiteiten beveiligen, bedrijfsonderbrekingen in kaart brengen en tegelijkertijd bewijsmateriaal verzamelen voor latere juridische, verzekeringsgerelateerde of regelgevingskwesties.

Zo gaan we te werk

• Bestandsaufnahme: Was wurde in der Akutphase gesichert, was nicht?
• Prüfung auf verbliebene Persistenz und Zugänge.
• Rekonstruktion von Ursache und Ablauf, soweit Daten vorliegen.
• Bericht für Geschäftsführung, Versicherung und Rechtsberatung.

Bij het herstel mag het historische bewijsmateriaal niet achteraf worden vervalst

Een systeem dat na het incident correct is hersteld, zegt niet automatisch iets over de toestand van het systeem vóór of tijdens de aanval. Daarom documenteren we historische bevindingen en latere corrigerende maatregelen afzonderlijk. Zo wordt voorkomen dat de verbeterde toestand na het incident met terugwerkende kracht wordt beschouwd als bewijs voor eerdere feiten.

Wettelijk en regelgevend kader

Bij de verwerking van persoonsgegevens blijven met name de beginselen van artikel 5 AVG van toepassing, evenals de noodzaak van een deugdelijke rechtsgrondslag overeenkomstig artikel 6 AVG. Artikel 32 AVG vereist, rekening houdend met het risico, passende technische en organisatorische maatregelen en noemt onder meer vertrouwelijkheid, integriteit, beschikbaarheid, veerkracht en het vermogen om de beschikbaarheid en toegang na een incident tijdig te herstellen.

Bij een inbreuk op de bescherming van persoonsgegevens kunnen artikel 33 en artikel 34 van de AVG van toepassing zijn. Artikel 33 schrijft onder bepaalde voorwaarden voor dat een melding aan de toezichthoudende autoriteit in principe onmiddellijk en zo mogelijk binnen 72 uur na het bekend worden van de inbreuk moet plaatsvinden, en vereist volgens lid 5 een documentatie van de inbreuk, de gevolgen ervan en de genomen corrigerende maatregelen. Bij een vermoedelijk hoog risico kan artikel 34 bovendien vereisen dat de betrokkenen worden geïnformeerd. Of aan de desbetreffende voorwaarden is voldaan, wordt beoordeeld vanuit het oogpunt van de gegevensbeschermingswetgeving; de forensische analyse levert de technische feiten.

Voor ondernemingen die onder de sinds december 2025 geldende herziene BSI-wet vallen, kunnen er aanvullende verplichtingen gelden voor bijzonder belangrijke en belangrijke instellingen. Afhankelijk van de indeling omvatten deze onder meer eisen op het gebied van cyberbeveiligingsrisicobeheer en de afhandeling of melding van ernstige beveiligingsincidenten. De verplichtingen van het management worden uitdrukkelijk behandeld in de huidige BSIG. Of een specifieke onderneming hieronder valt en welke termijnen of verplichtingen in het individuele geval van toepassing zijn, moet worden nagegaan aan de hand van de huidige wettelijke indeling.

Wat personeelsgegevens betreft, kunnen bovendien § 26 BDSG en medezeggenschapsrechten binnen de onderneming van belang zijn. Ook tijdens een cyberincident leidt de technische mogelijkheid tot toegang niet tot een onbeperkte reikwijdte van het onderzoek.

LanCologne levert technische bevindingen en documenteert de wijze waarop deze tot stand zijn gekomen. Beslissingen over meldingsplichten, aansprakelijkheid, arbeidsrechtelijke maatregelen of andere juridische gevolgen blijven voorbehouden aan de bevoegde bedrijfsorganen, functionarissen voor gegevensbescherming en juridische adviseurs.

LanCologne voor forensische analyse en gecontroleerd herstel

LanCologne combineert technische diepgang met een voor besluitvormers begrijpelijke weergave. We documenteren niet alleen welke maatregelen zijn uitgevoerd, maar ook op welke technische feiten deze waren gebaseerd en welke beperkingen er gelden voor de conclusies. Dit zorgt voor transparantie voor het management, juridische adviseurs, verzekeraars en een eventuele latere technische controle.

Veelgestelde vragen

🔗 Gerelateerde onderwerpen