Informática Forense · Empresas

Forensische Aufarbeitung nach der akuten Incident Response – was danach noch zu klären ist

Nach der akuten Incident Response laufen die Systeme wieder. Offen bleiben oft die Fragen, die erst später Gewicht bekommen: Ist die Ursache wirklich beseitigt? Gibt es noch Zugänge des Angreifers? Was genau ist für Versicherung und Aufsichtsbehörde zu dokumentieren? Die Aufarbeitung schließt diese Lücken.

Pedido de informação sem compromisso

Por que razão esta questão é importante para uma empresa

Na fase de recuperação de um incidente cibernético, são tomadas decisões técnicas que podem influenciar simultaneamente a capacidade operacional, a preservação de provas, a proteção de dados e a rastreabilidade posterior. Uma documentação rigorosa não só protege o departamento de TI, como também cria uma base factual sólida para a direção da empresa e para o aconselhamento jurídico.

Technischer Hintergrund

In der Akutphase wird priorisiert, was den Betrieb wiederherstellt. Dabei bleiben Spuren oft ungeprüft oder gehen verloren. Die nachgelagerte Forensik arbeitet mit dem, was gesichert wurde, und ergänzt fehlende Quellen, soweit sie noch existieren.

Relevante Spuren und Datenquellen

• Sicherungen und Notizen aus der Akutphase
• Persistenzmechanismen (Dienste, geplante Aufgaben, Run-Keys, WMI)
• Konten, Token und Anwendungsregistrierungen in Entra ID
• Fernwartungs- und Dienstleisterzugänge

Grenzen

• Nicht gesicherte Daten aus der Akutphase sind oft unwiederbringlich verloren.
• Ein Restrisiko lässt sich mindern, aber nicht vollständig ausschließen.

Mögliche Ergebnisse

• Root Cause bestätigt oder offen (mit Begründung)
• Nachweis bzw. Ausschluss verbliebener Zugänge im geprüften Umfang
• Lessons-Learned-Empfehlungen

Porquê o LanCologne?

Após um incidente cibernético grave, a tarefa não termina com a neutralização do ataque. A empresa tem de restabelecer o funcionamento dos sistemas de forma controlada, avaliar os dados e as cópias de segurança, proteger as identidades, analisar as interrupções operacionais e, ao mesmo tempo, preservar provas para eventuais questões jurídicas, relacionadas com seguros ou regulamentares.

So gehen wir vor

• Bestandsaufnahme: Was wurde in der Akutphase gesichert, was nicht?
• Prüfung auf verbliebene Persistenz und Zugänge.
• Rekonstruktion von Ursache und Ablauf, soweit Daten vorliegen.
• Bericht für Geschäftsführung, Versicherung und Rechtsberatung.

A restauração não deve distorcer retroativamente os factos históricos

Um sistema que tenha sido devidamente restaurado após o incidente não revela automaticamente qual era o seu estado antes ou durante o ataque. Por isso, documentamos separadamente os resultados históricos e as medidas corretivas posteriores. Desta forma, evita-se que o estado melhorado após o incidente seja tratado retroativamente como prova de factos anteriores.

Quadro jurídico e regulamentar

No tratamento de dados pessoais, continuam a aplicar-se, em particular, os princípios do artigo 5.º do RGPD, bem como a exigência de uma base jurídica sólida nos termos do artigo 6.º do RGPD. O artigo 32.º do RGPD exige a adoção de medidas técnicas e organizacionais adequadas, tendo em conta o risco, e refere, entre outros aspetos, a confidencialidade, a integridade, a disponibilidade, a resiliência, bem como a capacidade de restabelecer rapidamente a disponibilidade e o acesso após uma incidência.

Em caso de violação da proteção de dados pessoais, os artigos 33.º e 34.º do RGPD podem ser aplicáveis. O artigo 33.º prevê, entre os seus requisitos, que a notificação à autoridade de controlo seja, em princípio, imediata e, na medida do possível, efetuada no prazo de 72 horas após o conhecimento da violação, exigindo, nos termos do n.º 5, a documentação da violação, dos seus efeitos e das medidas corretivas adotadas. Em caso de risco presumivelmente elevado, o artigo 34.º pode, além disso, exigir a notificação das pessoas em causa. A verificação do cumprimento das respetivas condições é efetuada à luz da legislação em matéria de proteção de dados; a perícia forense fornece os factos técnicos.

Para as empresas abrangidas pela nova versão da Lei BSI, em vigor desde dezembro de 2025, podem existir obrigações adicionais para instalações de importância especial e importante. Dependendo da classificação, estas incluem requisitos relativos à gestão de riscos de cibersegurança e ao tratamento ou notificação de incidentes de segurança significativos. As obrigações da direção são expressamente abordadas na atual Lei BSI. Para determinar se uma determinada empresa está abrangida e quais os prazos ou obrigações aplicáveis em cada caso específico, é necessário verificar a classificação legal atual.

No que diz respeito aos dados dos trabalhadores, o artigo 26.º da BDSG e os direitos de co-decisão a nível da empresa podem também ser relevantes. Mesmo durante um incidente cibernético, a possibilidade técnica de acesso não implica um âmbito de investigação ilimitado.

A LanCologne fornece conclusões técnicas e documenta a sua fundamentação. As decisões relativas a obrigações de comunicação, responsabilidade, medidas ao abrigo do direito do trabalho ou outras consequências jurídicas são da competência exclusiva dos órgãos competentes da empresa, dos responsáveis pela proteção de dados e dos consultores jurídicos.

LanCologne para a análise forense e a recuperação controlada

A LanCologne combina o pormenor técnico com uma apresentação compreensível para os decisores. Não nos limitamos a documentar quais as medidas que foram implementadas, mas também em que fundamentos técnicos se basearam e quais são os limites das conclusões. Isto proporciona transparência para a direção, a assessoria jurídica, a seguradora e uma eventual verificação técnica posterior.

Perguntas frequentes

🔗 Temas relacionados