IT-forenzika · Podjetja
Wie kann ein Business-E-Mail-Compromise in einem Unternehmen rekonstruiert werden?
BEC kann kompromittierte Postfächer, Sessiondiebstahl, Weiterleitungsregeln oder manipulierte Zahlungsprozesse umfassen.
Zakaj je to vprašanje pomembno za podjetje
Po kibernetskem napadu lahko tehnične, gospodarske, varstvene in regulativne odločitve temeljijo na istih dejanskih okoliščinah. Zato mora zanesljiva rekonstrukcija jasno razlikovati med dokazano dejavnostjo, tehnično možnostjo in zgolj domnevo.
Tehnični pristop k preiskavi
Wir untersuchen Login-, Session-, Mailbox-, Regel-, Audit- und Kommunikationsereignisse und erstellen eine chronologische Rekonstruktion.
Kje je meja izjavljanja
Der sichtbare Absender einer E-Mail beweist weder Kontokompromittierung noch Urheberschaft.
Zakaj LanCologne?
Po kibernetskem napadu podjetje najprej potrebuje varnost in operativno sposobnost. Za kasnejše odločitve pa ni dovolj, da se zgolj ve, da je ‚prišlo do napada‘. Vodstvo, odgovorni za varstvo podatkov, pravni svetovalci, zavarovalnice in po potrebi tudi pristojni organi potrebujejo zanesljive odgovore na konkretna dejanska vprašanja.
LanCologne zato ločuje odkritje, prvi dostop, kompromitacijo, vztrajnost, lateralno gibanje, dostop do podatkov, morebitno iznos podatkov in konkretno povzročanje škode. Te faze so lahko časovno precej oddaljene druga od druge in jih ne smemo enačiti med seboj.
Ključne ugotovitve se, kolikor je to mogoče, preverjajo z primerjavo več neodvisnih virov podatkov. Podatki o končnih točkah, omrežju, identiteti, oblaku in sistemu imajo vsak svoje omejitve glede zanesljivosti. Avtomatizirani alarm ali poročilo o izdelku za nas ni sam vir dokazov, temveč izhodišče za preverjanje osnovnih primarnih podatkov.
Tudi nasprotne hipoteze so del preiskave. Nenavadno prijavo je mogoče na primer pojasniti z legitimnim upravljanjem, infrastrukturo VPN, avtomatiziranimi storitvami ali zlorabljenimi podatki za dostop. Šele korelacija dodatnih sledi omogoča zanesljivo uvrstitev.
Če manjkajo ključni podatki, se te vrzeli ne zapolnjujejo z domnevami. Zlasti pri kibernetskih incidentih je izjava ‚na podlagi prejetih podatkov ni mogoče z gotovostjo ugotoviti‘ strokovno bolj vredna kot navidezno nedvoumna zgodba o napadu, ki je ni mogoče ponovno dokazati.
Naš način dela
Odzivanje na incidente in forenzika imata različne, a dopolnjujoče se cilje
Zajezitev tekočega napada služi v prvi vrsti zaščiti podjetja. Forenzična rekonstrukcija nato oziroma vzporedno pojasni, kaj se je dejansko zgodilo. Potrebnih varnostnih ukrepov se zato ne opusti zgolj zato, da bi ohranili idealno stanje dokazov; neizogibne spremembe se, kolikor je mogoče, dokumentirajo.
Zakaj LanCologne po kibernetskem napadu?
LanCologne preiskave ne usmerja na želeno potek napada. Odločilno je, katere tehnične ugotovitve dejansko izhajajo iz pridobljenih primarnih podatkov. Obremenilne, razbremenilne in odprte ugotovitve se jasno dokumentirajo, da lahko vodstvo in pravni svetovalci sprejemajo odločitve na podlagi preverljivih dejstev.
Pravni okvir
Člen 32 Splošne uredbe o varstvu podatkov (GDPR) obvezuje upravljavce in obdelovalce, da zagotovijo raven varstva, ki je sorazmerna z tveganjem. Med drugim so navedene zaupnost, celovitost, razpoložljivost in odpornost ter zmožnost hitre obnove razpoložljivosti in dostopa po tehničnem ali fizičnem incidentu.
Če je pri kibernetskem incidentu prišlo do kršitve varstva osebnih podatkov, se lahko uporabi člen 33 Splošne uredbe o varstvu podatkov (GDPR). V skladu s tem je treba kršitev, za katero velja obveznost poročanja, načeloma nemudoma in po možnosti v 72 urah po tem, ko je postala znana, prijaviti pristojnemu nadzornemu organu, razen če se ne predvideva, da bo povzročila tveganje za pravice in svoboščine fizičnih oseb. Člen 33(5) poleg tega zahteva dokumentiranje kršitve, njenih posledic in sprejetih ukrepov za odpravo kršitve. V primeru predvidenega visokega tveganja lahko člen 34 Splošne uredbe o varstvu podatkov (GDPR) dodatno zahteva obvestitev prizadetih oseb. Ali so ti pogoji izpolnjeni, je treba oceniti z vidika varstva podatkov; IT-forenzika v zvezi s tem zagotavlja tehnične podatke.
Za določena zasebna podjetja velja od 6. decembra 2025 prenovljeni Zakon o BSI za izvajanje zahtev NIS-2. Ali je podjetje uvrščeno med posebej pomembne ali pomembne ustanove, je treba konkretno preveriti na podlagi veljavnega Zakona o BSI, sektorjev, vrst ustanov in meril velikosti. Za zajete ustanove zakon BSIG med drugim določa obveznosti v zvezi z upravljanjem tveganj na področju kibernetske varnosti in varnostnimi incidenti; § 38 zakona BSIG vodstvom posebej pomembnih in pomembnih ustanov nalaga obveznosti glede izvajanja in nadzora ukrepov za obvladovanje tveganj.
Zakonite obveznosti glede poročanja in dokumentiranja so lahko časovno občutljive. Vendar pa LanCologne ne sprejema končnih pravnih odločitev glede obveznosti poročanja, odgovornosti ali odškodninske odgovornosti. Mi zagotavljamo tehnično utemeljeno dejansko podlago, na podlagi katere lahko sprejemajo odločitve vodstvo, pooblaščenci za varstvo podatkov in pravni svetovalci.
Pogosta vprašanja
Wie kann ein Business-E-Mail-Compromise in einem Unternehmen rekonstruiert werden?
Kako poteka takšna tehnična preiskava v praksi?
Ali preiskava vedno prinese nedvoumni izid v škodo ali v korist vpletenega?
Ali za to obstaja pravna podlaga?
Če je pri kibernetskem incidentu prišlo do kršitve varstva osebnih podatkov, se lahko uporabi člen 33 Splošne uredbe o varstvu podatkov (GDPR). V skladu s tem je treba kršitev, za katero velja obveznost poročanja, načeloma nemudoma in po možnosti v 72 urah po tem, ko je postala znana, prijaviti pristojnemu nadzornemu organu, razen če se ne predvideva, da bo povzročila tveganje za pravice in svoboščine fizičnih oseb. Člen 33(5) poleg tega zahteva dokumentiranje kršitve, njenih posledic in sprejetih ukrepov za odpravo kršitve. V primeru predvidenega visokega tveganja lahko člen 34 Splošne uredbe o varstvu podatkov (GDPR) dodatno zahteva obvestitev prizadetih oseb. Ali so ti pogoji izpolnjeni, je treba oceniti z vidika varstva podatkov; IT-forenzika v zvezi s tem zagotavlja tehnične podatke.
Za določena zasebna podjetja velja od 6. decembra 2025 prenovljeni Zakon o BSI za izvajanje zahtev NIS-2. Ali je podjetje uvrščeno med posebej pomembne ali pomembne ustanove, je treba konkretno preveriti na podlagi veljavnega Zakona o BSI, sektorjev, vrst ustanov in meril velikosti. Za zajete ustanove zakon BSIG med drugim določa obveznosti v zvezi z upravljanjem tveganj na področju kibernetske varnosti in varnostnimi incidenti; § 38 zakona BSIG vodstvom posebej pomembnih in pomembnih ustanov nalaga obveznosti glede izvajanja in nadzora ukrepov za obvladovanje tveganj.
Zakonite obveznosti glede poročanja in dokumentiranja so lahko časovno občutljive. Vendar pa LanCologne ne sprejema končnih pravnih odločitev glede obveznosti poročanja, odgovornosti ali odškodninske odgovornosti. Mi zagotavljamo tehnično utemeljeno dejansko podlago, na podlagi katere lahko sprejemajo odločitve vodstvo, pooblaščenci za varstvo podatkov in pravni svetovalci.
🔗 Sorodne teme
LanCologne – IT-forenzika za podjetja
Imate vprašanje v zvezi z digitalnim področjem? LanCologne vam nudi podporo z objektivno in nepristransko forenzično preiskavo na področju IT.
V zvezi s to temo
- Kako je mogoče preveriti, ali je napadalec nastavil pravila za preusmerjanje ali pravila za prejemno mapo?
- Kako je mogoče forenzično omejiti obseg vdora v Microsoft 365?
- Kako lahko podjetje naroči preiskavo ukradenih sej ali žetonov v primeru napada na oblak?
- Kako lahko podjetje preveri, ali je do kibernetskega napada prišlo prek zunanjega ponudnika storitev ali prek dostopa za vzdrževanje na daljavo?