Informática Forense · Empresas

Was ein Unternehmen nach einem schweren Cyberangriff von einer forensischen Aufarbeitung erwarten kann

Ist ein Angriff eingedämmt, stellen Geschäftsführung, Datenschutz, Versicherung und Rechtsberatung dieselben Fragen: Wie kam der Angreifer herein? Seit wann war er im Netz? Welche Konten, Systeme und Daten waren betroffen? Wurden Daten abgezogen? Die forensische Aufarbeitung beantwortet diese Fragen auf Basis der gesicherten Primärdaten – und benennt, wo die Datenlage keine sichere Antwort zulässt.

Pedido de informação sem compromisso

Por que razão esta questão é importante para uma empresa

Após um ciberataque, as decisões de natureza técnica, económica, em matéria de proteção de dados e regulamentar podem depender da mesma questão de facto. Por isso, uma reconstrução fiável deve distinguir claramente entre atividade comprovada, possibilidade técnica e mera suposição.

Technischer Hintergrund

Die Antworten liegen verteilt: in Windows-Ereignisprotokollen, EDR-Telemetrie, Firewall- und VPN-Logs, Microsoft-365- und Entra-ID-Protokollen, Active-Directory-Änderungen und Spuren auf einzelnen Endgeräten. Viele Quellen haben kurze Aufbewahrungszeiten; wird nach dem Vorfall neu aufgesetzt, gehen sie verloren.

Relevante Spuren und Datenquellen

• Windows Event Logs (u. a. Anmeldungen 4624/4625, Dienstinstallationen 7045, PowerShell-Protokolle)
• EDR-/Antiviren-Telemetrie und Quarantäne
• Firewall-, VPN- und Proxy-Logs
• Microsoft 365 Unified Audit Log und Entra-ID-Anmeldeprotokolle
• Active-Directory-Änderungen, neue Konten und Gruppenmitgliedschaften
• Artefakte auf Patient-Zero-Systemen (Prefetch, Amcache, Shimcache, SRUM)

Grenzen

• Fehlende oder überschriebene Logs begrenzen die Rekonstruktion.
• Ob Daten abgeflossen sind, lässt sich nicht immer positiv belegen oder ausschließen.
• Rechtliche Bewertungen (Meldepflichten, Haftung) treffen Datenschutzbeauftragte und Rechtsberatung.

Mögliche Ergebnisse

• Angriffsweg und Zeitlinie belegt
• Liste betroffener Konten, Systeme und Datenbestände
• Exfiltration nachgewiesen, nicht nachweisbar oder nicht auszuschließen
• Empfehlungen zur Schließung der Angriffswege

Porquê o LanCologne?

Nach einem Cyberangriff benötigt ein Unternehmen zunächst Sicherheit und Betriebsfähigkeit. Für spätere Entscheidungen reicht es jedoch nicht, nur zu wissen, dass ‚ein Angriff stattgefunden hat‘.

So gehen wir vor

• Abstimmung der Leitfragen mit Geschäftsführung, Versicherung und Rechtsberatung.
• Priorisierte Sicherung flüchtiger und kurzlebiger Quellen.
• Rekonstruktion von Initial Access, Rechteausweitung, lateraler Bewegung und möglicher Exfiltration.
• Abschlussbericht mit Management-Zusammenfassung und technischem Anhang.

A resposta a incidentes e a análise forense têm objetivos diferentes, mas complementares

A contenção de um ataque em curso visa, em primeiro lugar, proteger a empresa. A reconstrução forense esclarece, posteriormente ou em paralelo, o que realmente aconteceu. Por isso, as medidas de segurança necessárias não são negligenciadas apenas para preservar um estado ideal das provas; as alterações inevitáveis são documentadas na medida do possível.

Por que razão se recorre ao LanCologne após um ciberataque?

A LanCologne não orienta a investigação com base num cenário de ataque hipotético. O que é determinante são as conclusões técnicas que os dados primários obtidos efetivamente revelam. Os resultados incriminatórios, exculpatórios e em aberto são documentados de forma compreensível, para que a direção e os consultores jurídicos possam tomar decisões com base em factos verificáveis.

O artigo 32.º do RGPD obriga os responsáveis pelo tratamento e os subcontratantes a assegurar um nível de proteção adequado ao risco. Entre outros aspetos, são mencionados a confidencialidade, a integridade, a disponibilidade e a resiliência, bem como a capacidade de restabelecer atempadamente a disponibilidade e o acesso após um incidente técnico ou físico.

Caso se tenha verificado uma violação da proteção de dados pessoais no âmbito de um incidente cibernético, o artigo 33.º do RGPD pode ser aplicável. Em princípio, tal violação deve ser comunicada imediatamente à autoridade de controlo competente, de preferência no prazo de 72 horas após a sua deteção. Existe uma exceção se for previsível que a violação não acarrete um risco para os direitos e liberdades das pessoas singulares. O artigo 33.º, n.º 5, exige ainda a documentação da violação, das suas consequências e das medidas corretivas adotadas. Caso se preveja um risco elevado, o artigo 34.º do RGPD pode, adicionalmente, exigir a notificação das pessoas em causa. A avaliação jurídica da obrigação de notificação cabe ao responsável pelo tratamento, com o apoio dos seus consultores em matéria de proteção de dados e de assuntos jurídicos; a perícia informática fornece, para o efeito, os factos técnicos.

Desde 6 de dezembro de 2025 que a Lei do BSI, na sua versão revista, se aplica a determinadas empresas privadas, com vista à implementação dos requisitos da NIS-2. A determinação de se uma empresa é considerada uma entidade particularmente importante ou importante deve ser avaliada concretamente com base na versão atual da Lei do BSI (BSIG), nos setores, nos tipos de entidades e nos critérios de dimensão. Para as entidades abrangidas, a Lei BSI prevê, entre outras coisas, obrigações em matéria de gestão de riscos de cibersegurança e de incidentes de segurança; o artigo 38.º da Lei BSI atribui às administrações das entidades particularmente importantes e importantes a obrigação de implementar e supervisionar as medidas de gestão de riscos.

As obrigações legais de comunicação e documentação podem ser urgentes. No entanto, a LanCologne não toma nenhuma decisão jurídica definitiva sobre obrigações de comunicação, responsabilidade ou responsabilização. Fornecemos a base factual tecnicamente compreensível, com base na qual a administração, os responsáveis pela proteção de dados e os consultores jurídicos podem tomar as suas decisões.

Perguntas frequentes

🔗 Temas relacionados