IT-forenzika · Podjetja

Was ein Unternehmen nach einem schweren Cyberangriff von einer forensischen Aufarbeitung erwarten kann

Ist ein Angriff eingedämmt, stellen Geschäftsführung, Datenschutz, Versicherung und Rechtsberatung dieselben Fragen: Wie kam der Angreifer herein? Seit wann war er im Netz? Welche Konten, Systeme und Daten waren betroffen? Wurden Daten abgezogen? Die forensische Aufarbeitung beantwortet diese Fragen auf Basis der gesicherten Primärdaten – und benennt, wo die Datenlage keine sichere Antwort zulässt.

Nezavezujoča poizvedba

Zakaj je to vprašanje pomembno za podjetje

Po kibernetskem napadu lahko tehnične, gospodarske, varstvene in regulativne odločitve temeljijo na istih dejanskih okoliščinah. Zato mora zanesljiva rekonstrukcija jasno razlikovati med dokazano dejavnostjo, tehnično možnostjo in zgolj domnevo.

Technischer Hintergrund

Die Antworten liegen verteilt: in Windows-Ereignisprotokollen, EDR-Telemetrie, Firewall- und VPN-Logs, Microsoft-365- und Entra-ID-Protokollen, Active-Directory-Änderungen und Spuren auf einzelnen Endgeräten. Viele Quellen haben kurze Aufbewahrungszeiten; wird nach dem Vorfall neu aufgesetzt, gehen sie verloren.

Relevante Spuren und Datenquellen

• Windows Event Logs (u. a. Anmeldungen 4624/4625, Dienstinstallationen 7045, PowerShell-Protokolle)
• EDR-/Antiviren-Telemetrie und Quarantäne
• Firewall-, VPN- und Proxy-Logs
• Microsoft 365 Unified Audit Log und Entra-ID-Anmeldeprotokolle
• Active-Directory-Änderungen, neue Konten und Gruppenmitgliedschaften
• Artefakte auf Patient-Zero-Systemen (Prefetch, Amcache, Shimcache, SRUM)

Grenzen

• Fehlende oder überschriebene Logs begrenzen die Rekonstruktion.
• Ob Daten abgeflossen sind, lässt sich nicht immer positiv belegen oder ausschließen.
• Rechtliche Bewertungen (Meldepflichten, Haftung) treffen Datenschutzbeauftragte und Rechtsberatung.

Mögliche Ergebnisse

• Angriffsweg und Zeitlinie belegt
• Liste betroffener Konten, Systeme und Datenbestände
• Exfiltration nachgewiesen, nicht nachweisbar oder nicht auszuschließen
• Empfehlungen zur Schließung der Angriffswege

Zakaj LanCologne?

Nach einem Cyberangriff benötigt ein Unternehmen zunächst Sicherheit und Betriebsfähigkeit. Für spätere Entscheidungen reicht es jedoch nicht, nur zu wissen, dass ‚ein Angriff stattgefunden hat‘.

So gehen wir vor

• Abstimmung der Leitfragen mit Geschäftsführung, Versicherung und Rechtsberatung.
• Priorisierte Sicherung flüchtiger und kurzlebiger Quellen.
• Rekonstruktion von Initial Access, Rechteausweitung, lateraler Bewegung und möglicher Exfiltration.
• Abschlussbericht mit Management-Zusammenfassung und technischem Anhang.

Odzivanje na incidente in forenzika imata različne, a dopolnjujoče se cilje

Zajezitev tekočega napada služi v prvi vrsti zaščiti podjetja. Forenzična rekonstrukcija nato oziroma vzporedno pojasni, kaj se je dejansko zgodilo. Potrebnih varnostnih ukrepov se zato ne opusti zgolj zato, da bi ohranili idealno stanje dokazov; neizogibne spremembe se, kolikor je mogoče, dokumentirajo.

Zakaj LanCologne po kibernetskem napadu?

LanCologne preiskave ne usmerja na želeno potek napada. Odločilno je, katere tehnične ugotovitve dejansko izhajajo iz pridobljenih primarnih podatkov. Obremenilne, razbremenilne in odprte ugotovitve se jasno dokumentirajo, da lahko vodstvo in pravni svetovalci sprejemajo odločitve na podlagi preverljivih dejstev.

Člen 32 Splošne uredbe o varstvu podatkov (GDPR) obvezuje upravljavce in obdelovalce, da zagotovijo raven varstva, ki je sorazmerna z tveganjem. Med drugim so navedene zaupnost, celovitost, razpoložljivost in odpornost ter zmožnost hitre obnove razpoložljivosti in dostopa po tehničnem ali fizičnem incidentu.

Če je pri kibernetskem incidentu prišlo do kršitve varstva osebnih podatkov, se lahko uporabi člen 33 Splošne uredbe o varstvu podatkov (GDPR). Takšno kršitev je treba načeloma nemudoma in po možnosti v roku 72 ur po tem, ko je postala znana, prijaviti pristojnemu nadzornemu organu. Izjema velja, če kršitev po vsej verjetnosti ne bo povzročila tveganja za pravice in svoboščine fizičnih oseb. Člen 33(5) poleg tega zahteva dokumentiranje kršitve, njenih posledic in sprejetih ukrepov za odpravo kršitve. V primeru predvidenega visokega tveganja lahko člen 34 Splošne uredbe o varstvu podatkov (GDPR) dodatno zahteva obvestitev prizadetih oseb. Pravna ocena obveznosti prijave je v pristojnosti upravljavca, ki pri tem upošteva nasvete svojih svetovalcev za varstvo podatkov in pravnih svetovalcev; informacijska forenzika v ta namen zagotavlja tehnične podatke.

Za določena zasebna podjetja velja od 6. decembra 2025 prenovljeni Zakon o BSI za izvajanje zahtev NIS-2. Ali je podjetje uvrščeno med posebej pomembne ali pomembne ustanove, je treba konkretno preveriti na podlagi veljavnega Zakona o BSI, sektorjev, vrst ustanov in meril velikosti. Za zajete ustanove zakon BSIG med drugim določa obveznosti v zvezi z upravljanjem tveganj na področju kibernetske varnosti in varnostnimi incidenti; § 38 zakona BSIG vodstvom posebej pomembnih in pomembnih ustanov nalaga obveznosti glede izvajanja in nadzora ukrepov za obvladovanje tveganj.

Zakonite obveznosti glede poročanja in dokumentiranja so lahko časovno občutljive. Vendar pa LanCologne ne sprejema končnih pravnih odločitev glede obveznosti poročanja, odgovornosti ali odškodninske odgovornosti. Mi zagotavljamo tehnično utemeljeno dejansko podlago, na podlagi katere lahko sprejemajo odločitve vodstvo, pooblaščenci za varstvo podatkov in pravni svetovalci.

Pogosta vprašanja

🔗 Sorodne teme