Um ciberataque coloca frequentemente as empresas perante questões técnicas, organizacionais e jurídicas de grande alcance num curto espaço de tempo. Para além de conter o incidente e restabelecer o funcionamento da empresa, é necessário esclarecer o que realmente aconteceu, quais os sistemas afetados, até que ponto um eventual atacante penetrou na infraestrutura e se os dados foram consultados, alterados, apagados ou transferidos.
Ataque cibernético na empresa – o que aconteceu realmente?
Após um incidente de segurança, as notificações isoladas de um sistema de segurança muitas vezes não são suficientes para avaliar a verdadeira dimensão de um ataque. Uma conta de utilizador comprometida, uma ligação de rede suspeita ou um software malicioso num único sistema podem ser apenas uma parte de um incidente muito mais abrangente.
A investigação forense informática segue, por isso, uma abordagem abrangente. Dependendo das provas disponíveis, podem ser analisadas, entre outras, as seguintes questões:
- Quando é que se podem detetar os primeiros indícios de uma violação de segurança?
- Como é que o acesso inicial à infraestrutura poderá ter ocorrido?
- Que sistemas e contas de utilizador foram afetados?
- Foram utilizadas contas administrativas ou com privilégios?
- Será que um atacante se deslocou dentro da infraestrutura?
- Foram criados acessos adicionais ou mecanismos de persistência?
- Que ficheiros e conjuntos de dados foram consultados?
- Existem indícios técnicos de uma transferência ou exfiltração de dados?
- Os dados foram alterados, encriptados ou apagados?
- Que mecanismos de segurança poderão ter sido contornados ou manipulados?
- Que sistemas externos ou endereços IP estiveram envolvidos na comunicação?
- Que Indicadores de Comprometimento é possível identificar?
- É possível reconstruir tecnicamente a via de entrada original?
- Que consequências do incidente podem ser comprovadas com base nas provas disponíveis?
Uma investigação forense séria deve igualmente identificar as questões que não podem ser respondidas de forma inequívoca com base nos dados disponíveis. Nem todas as anomalias técnicas constituem uma prova. Por isso, distinguimos entre factos constatados, indícios técnicos, conclusões que daí se podem deduzir e circunstâncias que, com base nos dados disponíveis, não podem ser avaliadas de forma definitiva.
Por que razão é importante realizar uma análise forense atempada
Os vestígios digitais são, em parte, efémeros. Os ficheiros de registo são sobrescritos, os sistemas na nuvem e de segurança têm períodos de retenção limitados, a memória de trabalho está em constante mudança e, devido a intervenções administrativas, os artefactos relevantes podem ser alterados ou destruídos.
Após a divulgação de um ciberataque, surge, por isso, frequentemente um conflito entre três objetivos: Conter o ataque – garantir o funcionamento da empresa – preservar os registos digitais.
Uma investigação forense não deve atrasar de forma desproporcionada as medidas necessárias para conter um ataque em curso. Ao mesmo tempo, os sistemas e fontes de dados relevantes devem, na medida do possível, ser protegidos antes de se proceder a novas instalações, limpezas ou outras alterações de grande alcance.
O LanCologne pode ajudar, já numa fase inicial, a identificar fontes de dados relevantes para a investigação forense e a definir as prioridades para as próximas etapas da investigação. Como Coordenar a recolha de provas e a contenção, é uma das primeiras questões práticas que se colocam.
Avaliação forense inicial do incidente de segurança
Para começar, são registados os factos conhecidos até ao momento. Estes incluem, por exemplo, a data e a forma da descoberta, anomalias já identificadas, sistemas afetados, alertas de segurança existentes, contas de utilizador conhecidas, contramedidas implementadas e a infraestrutura de TI existente.
Em conjunto com o cliente, são posteriormente definidos os objetivos concretos da investigação. No caso de incidentes de grande envergadura, este procedimento permite estabelecer prioridades relativamente aos sistemas e fontes de dados particularmente relevantes.
Que sistemas e fontes de dados são analisados?
Dependendo da infraestrutura e do incidente, podem ser afetados, por exemplo, sistemas Windows, Linux e macOS, Server e computadores de secretária, o Active Directory e infraestruturas de identidade, sistemas virtuais, firewalls, sistemas VPN, componentes de rede, Microsoft 365, Azure, outros serviços na nuvem, sistemas de e-mail, dados EDR, XDR e SIEM, registos de segurança e do sistema, dados de rede e de ligação, suportes de dados, meios de armazenamento externos, memória RAM, bem como sistemas de cópia de segurança.
O que é determinante não é o número de sistemas analisados, mas sim a sua relevância forense para a reconstrução do incidente.
Dependendo da plataforma em questão, recorremos à disciplina especializada correspondente – por exemplo, a análise forense de sistemas Windows, a análise de Linux-Servern, Análise forense do macOS ou a análise dispositivos móveis.
Preservação e recolha de provas digitais
Na medida em que a situação em questão o exija e seja tecnicamente viável, os dados relevantes são guardados de forma forense. Neste contexto, é possível documentar valores de integridade e separar os dados originais das cópias de trabalho utilizadas na investigação.
No caso de análises relevantes para a prova, pode ser mantida, adicionalmente, uma cadeia de custódia documentada. O objetivo é documentar de forma rastreável a origem e a integridade dos dados relevantes da análise.
Uma questão prática no âmbito da operação corrente é a seguinte:, quais os registos que devem ser conservados como provas – e como com ficheiros de registo apagados ou alterados como lidar com isso.
Análise de comprometimento
Os dados guardados são analisados para detetar indícios de uma possível violação. Entre estes podem incluir-se:
- processos e programas suspeitos
- inícios de sessão invulgares e contas recém-criadas
- Alterações nas autorizações
- Acessos remotos, bem como atividades no PowerShell ou na linha de comandos
- Tarefas agendadas, serviços e mecanismos de arranque automático
- Ligações de rede e software malicioso
- ficheiros de sistema adulterados e outros artefactos relevantes
Uma questão parcial fundamental neste contexto é a seguinte:, quais os sistemas que foram efetivamente comprometidos – e aqueles que se presume apenas que tenham sido afetados.
Reconstrução do desenrolar do ataque – Cronologia do incidente
Uma das principais tarefas das investigações forenses informáticas de grande envergadura consiste na reconstrução cronológica do incidente. Os eventos provenientes de diferentes sistemas e fontes de dados são correlacionados entre si.
Desta forma, é possível obter gradualmente uma visão global: Quando é que o ataque teve início? Qual foi o primeiro sistema afetado? Que contas foram utilizadas posteriormente? Que sistemas foram alvo do ataque a seguir? Quando é que os dados foram acedidos, alterados ou encriptados?
Como tal Cronologia de um ataque cibernético Abordamos separadamente a forma como surge e quais são os seus limites. Se estiverem envolvidos vários prestadores de serviços, coloca-se ainda a questão de uma linha do tempo comum.
Acesso inicial e análise da causa raiz
Na medida em que os vestígios existentes o permitam, investiga-se como poderá ter ocorrido o acesso inicial à infraestrutura. As possíveis causas podem incluir dados de acesso comprometidos, serviços expostos, falhas de segurança, e-mails manipulados, acessos remotos ou outras vias de ataque técnico.
Uma causa não é considerada comprovada apenas pelo facto de parecer tecnicamente plausível. O que é determinante é a conclusão que é corroborada pelos artefactos efetivamente existentes.
Para aprofundar: Análise da causa principal de um ciberataque, Determinar forensemente a via de entrada e Verificar tecnicamente uma suspeita de phishing.
Movimento lateral, expansão de permissões e persistência
No caso de ataques mais complexos, é frequente que um atacante não se limite ao sistema inicialmente comprometido. Por isso, é possível investigar se foram visados outros sistemas, se foram utilizados dados de acesso, se foram comprometidas contas com privilégios ou se foram utilizadas ferramentas administrativas. Desta forma, é frequentemente possível determinar com muito maior precisão a verdadeira dimensão de um incidente.
Movimento lateral
Está a ser investigado se e de que forma outros sistemas dentro da infraestrutura foram afetados. Para mais informações: reconstruir a mobilidade lateral na empresa.
Contas privilegiadas
A utilização de contas administrativas altera significativamente o alcance de um incidente. Para mais informações: Compromisso de contas de administrador e dados de acesso roubados.
Persistência
Tarefas agendadas, serviços, mecanismos de arranque automático e acessos adicionais configurados podem permitir que um invasor obtenha acesso permanente. Para mais informações: Comprovar os mecanismos de persistência.
Acesso aos dados e possível fuga de dados
Uma das questões mais importantes após um ciberataque é, muitas vezes, saber se foram roubados dados da empresa. Neste contexto, é necessário distinguir claramente entre:
- Os dados eram acessível
- Os dados foram acessado
- Os dados foram reunidos ou preparado para uma eventual transferência
- existem notas técnicas para uma transmissão
- uma transmissão pode compreendido do ponto de vista técnico ser
O LanCologne documenta quais destas afirmações são corroboradas pelas provas disponíveis. Caso não seja possível comprovar uma transmissão efetiva de dados, não se deduz um suposto vazamento de dados a partir de um acesso teoricamente possível.
Para aprofundar: Verificar se há indícios de fuga de dados, Delimitar a extensão dos dados que possam ter sido divulgados e Dados pessoais em causa.
Solicitar uma investigação forense de um incidente cibernético
Incidente cibernético recente ou já ocorrido? Fale connosco sobre a infraestrutura afetada e as questões a esclarecer.
Análise forense informática após um ataque de ransomware
Um ataque de ransomware não começa necessariamente com a encriptação visível dos dados. Entre o acesso inicial e a encriptação podem passar horas, dias ou, em certos casos, períodos ainda mais longos.
Durante esta fase, podem ter sido recolhidos dados de acesso, comprometidos sistemas adicionais, alargados direitos de acesso, alterados mecanismos de segurança ou analisados conjuntos de dados. A encriptação visível pode, assim, representar apenas a fase final de um ataque muito mais abrangente.
Uma investigação forense sobre ransomware pode, por isso, incluir, entre outros aspetos:
- vía de ataque inicial e contas de utilizador afetadas
- acessos privilegiados e movimentos laterais
- Mecanismos de persistência
- Manipulação de soluções de segurança
- Acessos ao Server e às bases de dados
- Indícios de fuga de dados
- Cronologia até à encriptação
O objetivo é reconstruir o incidente, na medida do tecnicamente possível, desde o primeiro acontecimento detetável até às consequências visíveis.
Para aprofundar: Período entre o primeiro ataque e a encriptação, Determinar o âmbito da encriptação e Ransomware em sistemas Linux.
Microsoft 365, nuvem e infraestruturas de identidade
O Microsoft 365, o Azure, outros serviços na nuvem, bem como o Active Directory e outras infraestruturas de identidade, fazem parte das fontes de dados que podem ser recolhidas e analisadas no âmbito de uma investigação. As conclusões que é possível tirar dependem dos dados de auditoria e de início de sessão disponíveis e do período de tempo durante o qual foram conservados.
Para aprofundar: Investigar a violação do Microsoft 365, sessões ativas na nuvem após um ataque, Roubo de tokens de sessão e Reinicialização de credenciais de acesso e tokens comprometidos.
Investigação forense para seguros cibernéticos
Após um incidente cibernético, a causa, a dimensão e as consequências de um evento de segurança podem também ser relevantes para a liquidação de sinistros de um seguro cibernético. A LanCologne apoia as empresas e — dependendo do mandato — as seguradoras ou os organismos por elas designados na análise técnica do caso.
Podem ser documentados, nomeadamente, a causa e a cronologia, os sistemas informáticos afetados, a extensão da violação detetável, indícios de acessos não autorizados, acessos aos dados e possível fuga de dados, a manipulação ou encriptação de dados, as repercussões técnicas nas operações comerciais, bem como as medidas de investigação e de segurança implementadas.
O âmbito concreto da investigação pode ser acordado com as partes envolvidas e dividido em fases do projeto claramente definidas. Não nos pronunciamos sobre a cobertura de seguro, o direito a indemnização ou a responsabilidade legal.
Para aprofundar: Informática forense para seguradoras e Verificar se há fuga de dados antes da encriptação.
Informática forense no contexto da NIS2 e da BSIG
No que diz respeito a instalações de importância especial e importante, o artigo 32.º da BSIG prevê obrigações de notificação graduais em caso de incidentes de segurança graves – começando com uma notificação inicial no prazo de 24 horas após a tomada de conhecimento, seguida de uma nova notificação no prazo de 72 horas e de uma notificação final posterior.
A questão de saber se uma empresa está sujeita à obrigação de notificação num caso específico e quais os prazos concretamente aplicáveis constitui uma avaliação jurídica. Não procedemos a essa avaliação. A nossa função é a análise técnica.
Uma análise forense informática pode fornecer informações sobre a data e o desenrolar do incidente, os sistemas afetados, as consequências técnicas, os indicadores de comprometimento, a possível causa e a extensão do comprometimento — ou seja, a base factual técnica em que uma notificação deve assentar.
Data de atualização das informações regulamentares: agosto de 2026. Esta passagem não substitui o aconselhamento jurídico.
Investigar de forma estruturada incidentes cibernéticos de grande envergadura
Nem todos os incidentes cibernéticos requerem o mesmo nível de aprofundamento na investigação. Um único computador de trabalho comprometido difere consideravelmente de um incidente em que possam estar envolvidos vários locais, Server, o Active Directory, serviços na nuvem e centenas de dispositivos finais.
Por isso, os estudos de grande envergadura são divididos em fases de projeto definíveis. Após uma primeira avaliação técnica, é possível definir os objetivos do estudo, as prioridades, os sistemas relevantes e os recursos necessários.
Desta forma, mesmo em casos complexos, é possível compreender quais as questões que estão a ser investigadas, quais os sistemas necessários para o efeito, quais as conclusões já disponíveis e quais os próximos passos da investigação que se justificam do ponto de vista técnico.
Resultados para a direção e os responsáveis pela tomada de decisões
Um incidente cibernético não deve ser entendido apenas do ponto de vista técnico. A direção, o departamento jurídico, as seguradoras e outros decisores necessitam frequentemente de uma apresentação diferente daquela que é feita pelos especialistas em TI diretamente envolvidos.
Por isso, no caso de investigações de grande envergadura, a documentação técnica detalhada pode ser complementada por um resumo de gestão. Este resume de forma compreensível as principais conclusões e distingue entre constatações comprovadas, indícios técnicos, avaliações que daí se podem deduzir e incertezas remanescentes.
Para aprofundar: Relatório final com fundamentação técnica sólida para a administração e Documentação das decisões da direção.
O que as empresas podem obter após a investigação
Relatório de investigação forense
Documentação do pedido de exame, da base de dados, do procedimento, dos resultados relevantes e das conclusões técnicas.
Cronologia do incidente
Apresentação cronológica dos acontecimentos relevantes para o incidente de segurança.
Resumo de Gestão
Resumo dos principais resultados para a direção e os responsáveis pela tomada de decisões.
Visão geral dos sistemas e contas afetados
Apresentação dos componentes identificados no âmbito do estudo ou que provavelmente foram afetados.
Indicadores de Compromisso
Documentação dos indicadores técnicos relevantes de comprometimento, caso existam.
Análise das causas
Avaliação da via de entrada tecnicamente plausível e da causa subjacente, na medida em que tal seja possível com base nos vestígios existentes.
Avaliação de possíveis acessos e fugas de dados
Apresentação diferenciada do que foi efetivamente possível constatar com base nos dados disponíveis.
Documentação da preservação de provas
Na medida em que faça parte do encargo: documentação relativa a cópias de segurança, valores de integridade e cadeia de custódia.
Instalações técnicas
Artefactos relevantes, tabelas, excertos de registos, capturas de ecrã e outros elementos de comprovação técnica.
Por que razão o LanCologne para a investigação forense informática?
Investigação forense em vez da mera resolução de avarias
O nosso foco não se limita exclusivamente a restabelecer o funcionamento de um sistema afetado. Analisamos os vestígios digitais com o objetivo de reconstruir de forma compreensível o desenrolar real do incidente.
Laboratório forense próprio
A recolha de provas e as análises podem ser realizadas no âmbito da nossa própria infraestrutura forense.
Fontes de dados diferentes – uma visão global
Muitas vezes, um incidente de segurança não pode ser explicado com base num único ficheiro de registo. Por isso, é possível correlacionar dados provenientes de dispositivos finais, Servern, sistemas de identidade, componentes de rede, serviços na nuvem e soluções de segurança.
Os resultados das ferramentas são avaliados de forma crítica
As ferramentas forenses e de segurança apoiam a investigação, mas não substituem a avaliação especializada. Sempre que possível, os resultados relevantes são verificados com base em artefactos e fontes de dados adicionais.
Limites de divulgação transparentes
O facto de uma ação ser tecnicamente possível não significa, por si só, que tenha realmente ocorrido. Por isso, documentamos não só as constatações, mas também o seu valor probatório e os seus limites técnicos.
Sobre a qualificação: Perito forense de TI certificado pela TÜV em Colónia.
Detetou-se um ciberataque – e agora?
No caso de um incidente cibernético em curso ou recentemente detetado, devem ser tomadas medidas coordenadas de contenção, recuperação e preservação de provas.
Na medida em que a situação de risco concreta o permita, os sistemas e dados potencialmente relevantes não devem ser alterados desnecessariamente. Em particular, novas instalações não coordenadas, limpezas, a eliminação de contas de utilizador ou de registos, bem como alterações de grande alcance nos sistemas afetados, podem dificultar a reconstrução posterior.
Ao mesmo tempo, a contenção de um ataque ativo tem uma elevada prioridade. Por isso, deve-se esclarecer, em primeiro lugar:
- quais são os sistemas afetados
- quais as medidas que são necessárias de imediato
- quais as fontes de dados que têm de ser obtidas a curto prazo
- quais os sistemas que apresentam o maior valor forense em termos de informação
- quais as medidas que já foram implementadas
Para aprofundar: Isolar sistemas após um ciberataque e Limpeza ou reconstrução de um sistema comprometido.
Análise forense informática após ciberataques – com sede em Colónia, a operar em todo o país
Em caso de um incidente cibernético agudo, estamos disponíveis 24 horas por dia, 7 dias por semana – 365 dias por ano, a qualquer hora: +49 (0)221 64306610. O horário normal de funcionamento é de segunda a sexta-feira, das 08:00 às 18:00.
A LanCologne tem a sua sede na Horbeller Straße 31, em 50858 Colónia. Realizamos investigações em todo o território federal desde 2015.
Para as empresas da área metropolitana de Colónia, a localização significa distâncias curtas: os suportes de dados podem ser entregues pessoalmente e os sistemas em questão podem ser copiados no local, se necessário — por exemplo, quando o transporte não for viável do ponto de vista operacional ou não for aconselhável do ponto de vista forense.
A base técnica consiste numa qualificação certificada pela TÜV Rheinland em análise forense de dispositivos móveis e do Windows, disponível ao público na base de dados de certificados Certipedia, com o número de certificação 0000067863.
Perguntas frequentes
Quanto custa uma investigação forense informática após um ciberataque?
Não é possível apresentar um orçamento fixo de forma fiável no caso de incidentes cibernéticos complexos. O esforço envolvido depende, entre outros fatores, do número e do tipo de sistemas afetados, do volume de dados, da infraestrutura, do período de investigação, dos registos disponíveis e da questão específica em causa. Após uma primeira avaliação técnica, é possível definir o âmbito da investigação e, no caso de incidentes de maior dimensão, dividi-la em fases de projeto distintas.
Com que rapidez deve ser iniciada uma investigação após um incidente cibernético?
Em princípio, o mais cedo possível, uma vez que certos vestígios digitais são efémeros ou podem ser alterados ou sobrescritos pelo funcionamento normal do sistema. Ao mesmo tempo, é necessário ter em conta as medidas necessárias para conter um ataque em curso.
Kann festgestellt werden, wie ein Angreifer in das Unternehmen gelangt ist?
In vielen Fällen kann der mögliche Eintrittsweg anhand unterschiedlicher Artefakte rekonstruiert werden. Ob eine eindeutige Feststellung möglich ist, hängt jedoch von den vorhandenen Daten und zwischenzeitlich erfolgten Veränderungen ab.
Kann festgestellt werden, ob Unternehmensdaten gestohlen wurden?
Das hängt von der vorhandenen Beweislage ab. Teilweise können konkrete Datenübertragungen nachvollzogen werden. In anderen Fällen lässt sich lediglich feststellen, dass bestimmte Daten zugänglich waren oder aufgerufen wurden. Diese Sachverhalte werden in unserer Bewertung klar voneinander getrennt.
Kann ein Ransomware-Angriff rekonstruiert werden?
Soweit die vorhandenen Spuren dies zulassen, ja. Untersucht werden können unter anderem der initiale Angriffsweg, betroffene Benutzerkonten, privilegierte Zugriffe, laterale Bewegungen, Persistenzmechanismen, Zugriffe auf Datenbestände, Hinweise auf Datenexfiltration sowie der zeitliche Ablauf bis zur Verschlüsselung.
Können auch bereits zurückliegende Cyberangriffe untersucht werden?
Ja. Auch zurückliegende Vorfälle können untersucht werden. Die mögliche Untersuchungstiefe hängt jedoch unter anderem davon ab, welche Systeme noch vorhanden sind, wie lange Protokolldaten gespeichert wurden und welche Veränderungen seit dem Vorfall vorgenommen wurden.
Welche Systeme werden bei einem Cybervorfall untersucht?
Abhängig von Infrastruktur und Vorfall können unter anderem Windows-, Linux- und macOS-Systeme, Server und Arbeitsplatzrechner, Active Directory und Identitätsinfrastrukturen, virtuelle Systeme, Firewalls, VPN- und Netzwerkkomponenten, Microsoft 365 und weitere Cloud-Dienste, E-Mail-Systeme, EDR-, XDR- und SIEM-Daten, Protokolldaten, Datenträger, Arbeitsspeicher sowie Backup-Systeme untersucht werden. Entscheidend ist nicht die Anzahl, sondern die forensische Relevanz.
Welche Daten benötigt ein IT-Forensiker?
Für die Erstbewertung sind zunächst der bekannte Sachverhalt, Zeitpunkt und Art der Entdeckung, bereits festgestellte Auffälligkeiten, vorhandene Sicherheitsmeldungen, betroffene Systeme und Konten sowie bereits durchgeführte Gegenmaßnahmen relevant. Welche Daten anschließend gesichert werden, ergibt sich aus den gemeinsam definierten Untersuchungszielen.
Kann Microsoft 365 forensisch untersucht werden?
Ja, abhängig von den verfügbaren Protokolldaten. Microsoft 365, Azure und weitere Cloud-Dienste gehören zu den Datenquellen, die im Rahmen einer Untersuchung gesichert und ausgewertet werden können. Welche Aussagen möglich sind, hängt davon ab, welche Audit- und Anmeldedaten im konkreten Mandanten vorhanden sind und wie lange sie aufbewahrt wurden.
Kann ein kompromittiertes Active Directory untersucht werden?
Active Directory und weitere Identitätsinfrastrukturen zählen zu den forensisch relevanten Datenquellen. Untersucht werden können beispielsweise Anmeldevorgänge, neu angelegte Konten, Änderungen von Berechtigungen und die Verwendung privilegierter Konten. Ob sich daraus ein vollständiges Bild ergibt, hängt von den vorhandenen Protokolldaten und deren Aufbewahrungsdauer ab.
Welche Rolle spielt IT-Forensik bei einer Cyberversicherung?
Der technische Untersuchungsbericht kann abhängig vom Auftrag so strukturiert werden, dass relevante technische Feststellungen für Versicherer beziehungsweise deren beauftragte Stellen nachvollziehbar dargestellt werden. Welche Informationen im konkreten Schadenfall benötigt werden, richtet sich nach Versicherungsvertrag und Auftrag. Aussagen zur Deckung treffen wir nicht.
Welche Rolle spielt IT-Forensik bei NIS2-relevanten Sicherheitsvorfällen?
Wir können die technische Tatsachengrundlage eines Sicherheitsvorfalls untersuchen und dokumentieren. Die rechtliche Bewertung einer konkreten Meldepflicht sollte durch die hierfür zuständigen Stellen beziehungsweise die rechtliche Beratung des Unternehmens erfolgen.
Kann ein forensischer Bericht später rechtlich verwendet werden?
Wenn dies bereits bei Auftragserteilung bekannt ist, können Beweissicherung, Dokumentation und Untersuchungsablauf entsprechend ausgerichtet werden. Eine pauschale Garantie der späteren gerichtlichen Würdigung wäre jedoch unseriös; über den Beweiswert entscheidet letztlich das zuständige Gericht.
Einen Cybervorfall nicht nur beheben – sondern verstehen
Nach einem Sicherheitsvorfall können technische Entscheidungen weitreichende Auswirkungen haben. LanCologne unterstützt dabei, relevante digitale Spuren zu sichern, den Vorfall strukturiert zu untersuchen und die verfügbaren Erkenntnisse nachvollziehbar zu dokumentieren.