IT-forensisch onderzoek · Verzekeringen

Hoe kan een verzekeringsmaatschappij laten onderzoeken of een vermeend datalek technisch aantoonbaar is?

Meldet ein Versicherungsnehmer nach einem Cyberangriff einen Datenabfluss, braucht der Versicherer belastbare Antworten: Wurden Daten tatsächlich abgezogen? Welche, wann und in welchem Umfang? Und passen die Angaben zum technischen Ablauf des Vorfalls?

Vrijblijvend informeren

Waarom deze vraag belangrijk is voor een verzekering

Bij omstreden of economisch belangrijke schadeclaims kunnen kleine technische details grote gevolgen hebben voor de beoordeling. Juist daarom moet er een duidelijk onderscheid worden gemaakt tussen een daadwerkelijke digitale afwijking, de mogelijke oorzaak daarvan en een juridische conclusie.

Technische achtergrond

Exfiltration hinterlässt Spuren in Netzwerk- und Firewall-Logs (ungewöhnliche Datenmengen zu externen Zielen), in Werkzeugen der Angreifer (z. B. Rclone-Konfigurationen, Archivierungsprogramme) und in Cloud-Protokollen. Bei Ransomware-Gruppen kann eine Veröffentlichung auf Leak-Seiten ein Indiz sein – sie belegt aber nicht automatisch Umfang und Inhalt.

Relevante Spuren und Datenquellen

  • Firewall-, Proxy- und NetFlow-Daten mit Volumen und Zielen
  • Ausführungsspuren von Exfiltrations- und Archivierungswerkzeugen
  • Cloud-Audit-Logs (Downloads, Freigaben)
  • Öffentliche Leak-Veröffentlichungen (dokumentiert, nicht heruntergeladen ohne Rechtsgrundlage)

Grenzen

  • Fehlen Netzwerkprotokolle, ist ein Abfluss oft weder belegbar noch auszuschließen.
  • Die Deckungsentscheidung trifft der Versicherer.

Mogelijke resultaten

  • Abfluss technisch belegt (Umfang, Zeitraum)
  • Abfluss nicht nachweisbar, aber nicht auszuschließen
  • Widersprüche zwischen Meldung und Datenlage

Waarom LanCologne?

Bij een plausibiliteits- of manipulatiecontrole is het van bijzonder belang om onbevooroordeeld te werk te gaan. Een ongebruikelijke tijdstempel, een gewist bestand, een bewerkte foto of een gat in het logboek mag niet louter op grond van het feit dat de bevinding zich voordoet in een omstreden verzekeringszaak, als misleiding worden geïnterpreteerd.

Zo gaan we te werk

  • Erfassung der Schadenmeldung und der behaupteten Datenkategorien.
  • Prüfung der verfügbaren technischen Belege und Zeitpunkte.
  • Plausibilitätsbewertung mit offenen Punkten.

Geen voorbarige oordelen – ook bij opvallende bevindingen

Het is niet onze taak om een vermoeden te bevestigen. Als een gangbare technische verklaring wordt bevestigd, wordt deze gedocumenteerd. Als er een steekhoudende tegenstrijdigheid aan het licht komt, wordt ook deze gedocumenteerd. Als er meerdere verklaringen mogelijk blijven, wordt de onzekerheid niet vervangen door een veronderstelling.

Begrijpelijk voor de schadeafdeling en juristen – reproduceerbaar voor forensisch onderzoekers

De kernboodschap wordt op begrijpelijke wijze geformuleerd. Het technische gedeelte bevat de relevante gegevensbronnen, tijdsverwijzingen, integriteitsinformatie, vindplaatsen van artefacten en validatiestappen. Hierdoor blijft de afleiding ook voor een latere controle verifieerbaar.

LanCologne voor de onafhankelijke technische plausibiliteitscontrole

Wanneer gegevens, bestanden, foto’s, logbestanden of andere digitale sporen van een verzekeringsgeval technisch moeten worden gecontroleerd, onderzoekt LanCologne de concrete technische bewijskwestie op een objectieve en traceerbare manier. Het enige wat telt, is wat de rechtmatig beschikbare gegevensbasis daadwerkelijk aantoont.

Wettelijk kader

Voor de schadeafhandeling blijft § 31 VVG een centraal uitgangspunt: de verzekeraar kan na het optreden van het verzekeringsgeval de inlichtingen eisen die nodig zijn voor de vaststelling van het verzekeringsgeval of de omvang van zijn uitkeringsverplichting; bewijsstukken alleen voor zover het redelijkerwijs van de verzekeringnemer kan worden verwacht dat hij deze verstrekt. Hieruit vloeit geen algemeen recht voort op een volledige forensische doorzoeking van alle privégegevens.

§ 28 VVG regelt de mogelijke rechtsgevolgen van een schending van contractuele verplichtingen. Of er sprake was van een verplichting, of deze is geschonden en welk rechtsgevolg daaruit voortvloeit, hangt af van de concrete overeenkomst en de wettelijke voorwaarden. Een IT-forensisch rapport dient daarom geen vrijstelling van prestatie vast te stellen, maar uitsluitend de onderliggende technische feiten te documenteren.

Wat persoonsgegevens betreft, moeten met name de beginselen van artikel 5 van de AVG – waaronder doelbinding en gegevensminimalisatie – en een rechtsgrondslag overeenkomstig artikel 6 van de AVG in acht worden genomen. Vooral gegevensbronnen die een grote inbreuk op de privacy vormen, mogen niet uitsluitend op grond van het feit dat ze technisch beschikbaar zijn, uitgebreid worden geanalyseerd.

Mocht er later een civiele procedure volgen, dan is de beoordeling van feitelijke beweringen een zaak van de rechtbank. § 286 ZPO regelt de vrije bewijsbeoordeling. § 287 ZPO bevat bijzondere regels voor de vaststelling van schade en de hoogte daarvan. Het particuliere rapport biedt hiervoor een technische feitelijke basis, maar vervangt niet de bewijsbeoordeling door de rechter.

Veelgestelde vragen

Is een technisch opvallend punt op zich al een bewijs van verzekeringsfraude?+
Nee. Een afwijkende bevinding kan vele technische oorzaken hebben. Het is niet zo dat uit één enkele digitale afwijking automatisch kan worden geconcludeerd dat er sprake is van opzet.
Kan LanCologne vaststellen of een bestand of een foto is gewijzigd?+
Afhankelijk van de beschikbare gegevens kunnen wijzigingen, nieuwe opslag of sporen van bewerking worden vastgesteld of in kaart gebracht. Niet elke wijziging kan echter eenduidig aan een persoon of een intentie worden toegeschreven.
Worden er ook bevindingen vastgelegd die de schademelding bevestigen?+
Ja. Bij een onafhankelijk onderzoek moeten zowel bevestigende als tegenstrijdige bevindingen volgens dezelfde professionele maatstaf worden beoordeeld.
Bepaalt LanCologne of er sprake is van vrijstelling van prestatie of van schending van verplichtingen?+
Nee. Wij geven antwoord op technische feitelijke vragen. De beoordeling vanuit het verzekeringsrecht is een taak van de bevoegde juristen of, in geval van een geschil, van de rechtbank.
Reicht die Veröffentlichung auf einer Leak-Seite als Beweis?+
Sie ist ein starkes Indiz, aber Umfang und Echtheit der Daten müssen gesondert geprüft werden.
Arbeiten Sie im Auftrag des Versicherers oder des Versicherten?+
Beides ist möglich; die Untersuchung bleibt ergebnisoffen.
Was, wenn keine Logs vorhanden sind?+
Dann wird dokumentiert, welche Aussagen nicht möglich sind und warum.

Gerelateerde onderwerpen

LanCologne – IT-forensisch onderzoek voor verzekeringsmaatschappijen

Heeft u een digitale vraag? LanCologne ondersteunt u met een objectief, onbevooroordeeld IT-forensisch onderzoek.

Nu contact opnemen