Informatyka śledcza · Przedsiębiorstwa

Was ein Unternehmen nach einem schweren Cyberangriff von einer forensischen Aufarbeitung erwarten kann

Ist ein Angriff eingedämmt, stellen Geschäftsführung, Datenschutz, Versicherung und Rechtsberatung dieselben Fragen: Wie kam der Angreifer herein? Seit wann war er im Netz? Welche Konten, Systeme und Daten waren betroffen? Wurden Daten abgezogen? Die forensische Aufarbeitung beantwortet diese Fragen auf Basis der gesicherten Primärdaten – und benennt, wo die Datenlage keine sichere Antwort zulässt.

Wysyłaj zapytanie bez zobowiązań

Dlaczego ta kwestia jest ważna dla przedsiębiorstwa

Po cyberataku decyzje techniczne, ekonomiczne, dotyczące ochrony danych oraz regulacyjne mogą zależeć od tej samej kwestii faktycznej. Rzetelna rekonstrukcja wydarzeń musi zatem wyraźnie rozróżniać między udowodnioną aktywnością, techniczną możliwością a zwykłym przypuszczeniem.

Technischer Hintergrund

Die Antworten liegen verteilt: in Windows-Ereignisprotokollen, EDR-Telemetrie, Firewall- und VPN-Logs, Microsoft-365- und Entra-ID-Protokollen, Active-Directory-Änderungen und Spuren auf einzelnen Endgeräten. Viele Quellen haben kurze Aufbewahrungszeiten; wird nach dem Vorfall neu aufgesetzt, gehen sie verloren.

Relevante Spuren und Datenquellen

• Windows Event Logs (u. a. Anmeldungen 4624/4625, Dienstinstallationen 7045, PowerShell-Protokolle)
• EDR-/Antiviren-Telemetrie und Quarantäne
• Firewall-, VPN- und Proxy-Logs
• Microsoft 365 Unified Audit Log und Entra-ID-Anmeldeprotokolle
• Active-Directory-Änderungen, neue Konten und Gruppenmitgliedschaften
• Artefakte auf Patient-Zero-Systemen (Prefetch, Amcache, Shimcache, SRUM)

Grenzen

• Fehlende oder überschriebene Logs begrenzen die Rekonstruktion.
• Ob Daten abgeflossen sind, lässt sich nicht immer positiv belegen oder ausschließen.
• Rechtliche Bewertungen (Meldepflichten, Haftung) treffen Datenschutzbeauftragte und Rechtsberatung.

Mögliche Ergebnisse

• Angriffsweg und Zeitlinie belegt
• Liste betroffener Konten, Systeme und Datenbestände
• Exfiltration nachgewiesen, nicht nachweisbar oder nicht auszuschließen
• Empfehlungen zur Schließung der Angriffswege

Dlaczego LanCologne?

Nach einem Cyberangriff benötigt ein Unternehmen zunächst Sicherheit und Betriebsfähigkeit. Für spätere Entscheidungen reicht es jedoch nicht, nur zu wissen, dass ‚ein Angriff stattgefunden hat‘.

So gehen wir vor

• Abstimmung der Leitfragen mit Geschäftsführung, Versicherung und Rechtsberatung.
• Priorisierte Sicherung flüchtiger und kurzlebiger Quellen.
• Rekonstruktion von Initial Access, Rechteausweitung, lateraler Bewegung und möglicher Exfiltration.
• Abschlussbericht mit Management-Zusammenfassung und technischem Anhang.

Reagowanie na incydenty i kryminalistyka mają różne, ale uzupełniające się cele

Ograniczenie trwającego ataku służy przede wszystkim ochronie przedsiębiorstwa. Rekonstrukcja kryminalistyczna wyjaśnia następnie lub równolegle, co faktycznie się wydarzyło. Nie rezygnuje się zatem z niezbędnych środków bezpieczeństwa wyłącznie w celu zachowania idealnego stanu dowodowego; nieuniknione zmiany są w miarę możliwości dokumentowane.

Dlaczego LanCologne po cyberataku?

LanCologne nie ukierunkowuje dochodzenia na konkretny scenariusz ataku. Decydujące znaczenie mają informacje techniczne, jakie faktycznie zawierają uzyskane dane pierwotne. Ustalenia obciążające, uniewinniające oraz niejasne są dokumentowane w sposób przejrzysty, tak aby kierownictwo i doradcy prawni mogli podejmować decyzje w oparciu o weryfikowalne fakty.

Artykuł 32 RODO zobowiązuje administratorów i podmioty przetwarzające dane do zapewnienia poziomu ochrony proporcjonalnego do ryzyka. Wymieniono tu między innymi poufność, integralność, dostępność i odporność, a także zdolność do szybkiego przywrócenia dostępności i dostępu po wystąpieniu incydentu technicznego lub fizycznego.

Jeżeli w wyniku incydentu cyberbezpieczeństwa doszło do naruszenia ochrony danych osobowych, zastosowanie może mieć art. 33 RODO. O takim naruszeniu należy co do zasady niezwłocznie, a w miarę możliwości w ciągu 72 godzin od jego wykrycia, powiadomić właściwy organ nadzorczy. Wyjątek stanowi sytuacja, w której naruszenie prawdopodobnie nie spowoduje zagrożenia dla praw i wolności osób fizycznych. Art. 33 ust. 5 wymaga ponadto udokumentowania naruszenia, jego skutków oraz podjętych środków zaradczych. W przypadku przewidywanego wysokiego ryzyka art. 34 RODO może dodatkowo wymagać powiadomienia osób, których dane dotyczą. Ocena prawna obowiązku zgłoszenia spoczywa na administratorze danych przy udziale jego doradców ds. ochrony danych i doradców prawnych; kryminalistyka informatyczna dostarcza w tym zakresie fakty techniczne.

Od 6 grudnia 2025 r. do niektórych przedsiębiorstw prywatnych ma zastosowanie znowelizowana ustawa o BSI, wprowadzająca w życie wymogi dyrektywy NIS 2. To, czy dane przedsiębiorstwo jest klasyfikowane jako podmiot szczególnie ważny lub ważny, należy konkretnie sprawdzić na podstawie aktualnej ustawy o BSI, z uwzględnieniem sektorów, rodzajów podmiotów oraz kryteriów wielkości. W odniesieniu do objętych ustawą podmiotów ustawa BSIG zawiera między innymi obowiązki dotyczące zarządzania ryzykiem cyberbezpieczeństwa oraz incydentów bezpieczeństwa; § 38 ustawy BSIG nakłada na kierownictwo podmiotów o szczególnym znaczeniu i podmiotów ważnych obowiązki w zakresie wdrażania i monitorowania środków zarządzania ryzykiem.

Ustawowe obowiązki w zakresie zgłaszania i dokumentacji mogą wiązać się z presją czasową. LanCologne nie podejmuje jednak ostatecznych decyzji prawnych dotyczących obowiązków zgłaszania, odpowiedzialności ani zobowiązań. Dostarczamy technicznie uzasadnioną podstawę faktyczną, na podstawie której kierownictwo, inspektorzy ochrony danych oraz doradcy prawni mogą podejmować decyzje.

Najczęściej zadawane pytania

🔗 Powiązane tematy