Ein Cyberangriff stellt Unternehmen häufig innerhalb kürzester Zeit vor weitreichende technische, organisatorische und rechtliche Fragestellungen. Neben der Eindämmung des Vorfalls und der Wiederherstellung des Geschäftsbetriebs muss geklärt werden, was tatsächlich geschehen ist, welche Systeme betroffen sind, wie weit ein möglicher Angreifer in die Infrastruktur vorgedrungen ist und ob Daten eingesehen, verändert, gelöscht oder übertragen wurden.
Cyberangriff im Unternehmen – was ist tatsächlich passiert?
Nach einem Sicherheitsvorfall reichen einzelne Warnmeldungen eines Sicherheitssystems häufig nicht aus, um den tatsächlichen Umfang eines Angriffs zu beurteilen. Ein kompromittiertes Benutzerkonto, eine verdächtige Netzwerkverbindung oder eine Schadsoftware auf einem einzelnen System kann lediglich ein Teil eines wesentlich umfangreicheren Vorfalls sein.
Die IT-forensische Untersuchung verfolgt deshalb einen übergreifenden Ansatz. Abhängig von der vorhandenen Beweislage können unter anderem folgende Fragen untersucht werden:
- Wann lassen sich die ersten Hinweise auf eine Kompromittierung feststellen?
- Wie könnte der initiale Zugriff auf die Infrastruktur erfolgt sein?
- Welche Systeme und Benutzerkonten waren betroffen?
- Wurden administrative oder privilegierte Konten verwendet?
- Hat sich ein Angreifer innerhalb der Infrastruktur weiterbewegt?
- Wurden zusätzliche Zugänge oder Persistenzmechanismen eingerichtet?
- Welche Dateien und Datenbestände wurden aufgerufen?
- Gibt es technische Hinweise auf eine Übertragung oder Exfiltration von Daten?
- Wurden Daten verändert, verschlüsselt oder gelöscht?
- Welche Sicherheitsmechanismen wurden möglicherweise umgangen oder manipuliert?
- Welche externen Systeme oder IP-Adressen waren an der Kommunikation beteiligt?
- Welche Indicators of Compromise lassen sich identifizieren?
- Lässt sich der ursprüngliche Eintrittsweg technisch rekonstruieren?
- Welche Auswirkungen des Vorfalls können anhand der vorhandenen Spuren belegt werden?
Eine seriöse forensische Untersuchung muss ebenso aufzeigen, welche Fragen anhand der vorhandenen Daten nicht zweifelsfrei beantwortet werden können. Nicht jede technische Auffälligkeit stellt einen Beweis dar. Deshalb unterscheiden wir zwischen festgestellten Tatsachen, technischen Indizien, daraus ableitbaren Schlussfolgerungen und Sachverhalten, die aufgrund der verfügbaren Daten nicht abschließend beurteilt werden können.
Warum eine frühzeitige forensische Untersuchung wichtig ist
Digitale Spuren sind teilweise flüchtig. Logdateien werden überschrieben, Cloud- und Security-Systeme besitzen begrenzte Aufbewahrungszeiten, Arbeitsspeicher verändert sich kontinuierlich und durch administrative Eingriffe können relevante Artefakte verändert oder vernichtet werden.
Nach Bekanntwerden eines Cyberangriffs besteht deshalb häufig ein Spannungsfeld zwischen drei Zielen: Angriff eindämmen – Geschäftsbetrieb sichern – digitale Spuren erhalten.
Eine forensische Untersuchung darf notwendige Maßnahmen zur Eindämmung eines laufenden Angriffs nicht unangemessen verzögern. Gleichzeitig sollten relevante Systeme und Datenquellen nach Möglichkeit gesichert werden, bevor Neuinstallationen, Bereinigungen oder andere weitreichende Veränderungen vorgenommen werden.
LanCologne kann bereits in einer frühen Phase dabei unterstützen, forensisch relevante Datenquellen zu identifizieren und die weiteren Untersuchungsschritte zu priorisieren. Wie sich Beweiserhalt und Eindämmung koordinieren lassen, ist dabei eine der ersten praktischen Fragen.
Forensische Erstbewertung des Sicherheitsvorfalls
Zu Beginn wird der bislang bekannte Sachverhalt aufgenommen. Dazu gehören beispielsweise Zeitpunkt und Art der Entdeckung, bereits festgestellte Auffälligkeiten, betroffene Systeme, vorhandene Sicherheitsmeldungen, bekannte Benutzerkonten, durchgeführte Gegenmaßnahmen und die vorhandene IT-Infrastruktur.
Gemeinsam mit dem Auftraggeber werden anschließend die konkreten Untersuchungsziele definiert. Bei umfangreichen Vorfällen ermöglicht dieses Vorgehen eine Priorisierung besonders relevanter Systeme und Datenquellen.
Welche Systeme und Datenquellen werden untersucht?
Abhängig von Infrastruktur und Vorfall können beispielsweise Windows-, Linux- und macOS-Systeme, Server und Arbeitsplatzrechner, Active Directory und Identitätsinfrastrukturen, virtuelle Systeme, Firewalls, VPN-Systeme, Netzwerkkomponenten, Microsoft 365, Azure, weitere Cloud-Dienste, E-Mail-Systeme, EDR-, XDR- und SIEM-Daten, Security- und Systemprotokolle, Netzwerk- und Verbindungsdaten, Datenträger, externe Speichermedien, Arbeitsspeicher sowie Backup-Systeme untersucht beziehungsweise gesichert werden.
Nicht die Anzahl der untersuchten Systeme ist entscheidend, sondern deren forensische Relevanz für die Rekonstruktion des Vorfalls.
Je nach betroffener Plattform greifen wir auf die jeweilige Fachdisziplin zurück – etwa die forensische Untersuchung von Windows-Systemen, die Untersuchung von Linux-Servern, macOS-forensik oder die Auswertung mobiler Endgeräte.
Digitale Beweissicherung und Beweiserhalt
Soweit es die jeweilige Situation erfordert und technisch ermöglicht, werden relevante Daten forensisch gesichert. Dabei können Integritätswerte dokumentiert und Originaldaten von den für die Untersuchung verwendeten Arbeitskopien getrennt werden.
Bei beweisrelevanten Untersuchungen kann zusätzlich eine dokumentierte Chain of Custody geführt werden. Ziel ist es, Herkunft und Integrität relevanter Untersuchungsdaten nachvollziehbar zu dokumentieren.
Eine praktische Frage im laufenden Betrieb ist dabei, welche Logdaten als Beweisdaten aufbewahrt werden sollten – und wie mit gelöschten oder manipulierten Logdateien umzugehen ist.
Kompromittierungsanalyse
Die gesicherten Daten werden auf Hinweise einer möglichen Kompromittierung untersucht. Dazu können gehören:
- verdächtige Prozesse und Programme
- ungewöhnliche Benutzeranmeldungen und neu angelegte Konten
- Veränderungen von Berechtigungen
- Remote-Zugriffe sowie PowerShell- oder Kommandozeilenaktivitäten
- geplante Tasks, Dienste und Autostartmechanismen
- Netzwerkverbindungen und Schadsoftware
- manipulierte Systemdateien und weitere relevante Artefakte
Eine zentrale Teilfrage lautet dabei, welche Systeme tatsächlich kompromittiert wurden – und welche lediglich als betroffen vermutet werden.
Rekonstruktion des Angriffsverlaufs – Incident Timeline
Eine zentrale Aufgabe umfangreicher IT-forensischer Untersuchungen besteht in der zeitlichen Rekonstruktion des Vorfalls. Ereignisse unterschiedlicher Systeme und Datenquellen werden miteinander korreliert.
Dadurch kann schrittweise ein Gesamtbild entstehen: Wann begann der Angriff? Welches System war zuerst betroffen? Welche Konten wurden anschließend verwendet? Welche Systeme wurden danach erreicht? Wann wurden Daten aufgerufen, verändert oder verschlüsselt?
Wie eine solche Angriffschronologie eines Cybervorfalls entsteht und wo ihre Grenzen liegen, behandeln wir gesondert. Sind mehrere Dienstleister beteiligt, stellt sich zusätzlich die Frage nach einer gemeinsamen Timeline.
Initial Access und Root Cause Analysis
Soweit die vorhandenen Spuren dies ermöglichen, wird untersucht, wie der ursprüngliche Zugriff auf die Infrastruktur erfolgt sein könnte. Mögliche Ursachen können kompromittierte Zugangsdaten, exponierte Dienste, Sicherheitslücken, manipulierte E-Mails, Remote-Zugänge oder andere technische Angriffswege sein.
Eine Ursache wird nicht deshalb als festgestellt bezeichnet, weil sie technisch plausibel erscheint. Entscheidend ist, welche Schlussfolgerung durch die tatsächlich vorhandenen Artefakte gestützt wird.
Vertiefend: Root-Cause-Analyse eines Cyberangriffs, Eintrittsweg forensisch bestimmen och Phishing-Verdacht technisch prüfen.
Laterale Bewegung, Berechtigungsausweitung und Persistenz
Bei komplexeren Angriffen bleibt ein Angreifer häufig nicht auf dem ursprünglich kompromittierten System. Deshalb kann untersucht werden, ob weitere Systeme angesprochen, Zugangsdaten verwendet, privilegierte Konten kompromittiert oder administrative Werkzeuge eingesetzt wurden. Hierdurch lässt sich der tatsächliche Umfang eines Vorfalls häufig wesentlich genauer bestimmen.
Laterale Bewegung
Untersucht wird, ob und auf welchem Weg weitere Systeme innerhalb der Infrastruktur erreicht wurden. Vertiefend: laterale Bewegung im Unternehmen rekonstruieren.
Privilegierte Konten
Die Verwendung administrativer Konten verändert die Reichweite eines Vorfalls erheblich. Vertiefend: Kompromittierung von Administratorkonten och gestohlene Zugangsdaten.
Persistenz
Geplante Tasks, Dienste, Autostartmechanismen und zusätzlich eingerichtete Zugänge können einem Angreifer dauerhaften Zugriff ermöglichen. Vertiefend: Persistenzmechanismen nachweisen.
Datenzugriff und mögliche Datenexfiltration
Eine der wichtigsten Fragen nach einem Cyberangriff lautet häufig, ob Unternehmensdaten entwendet wurden. Dabei muss klar unterschieden werden zwischen:
- Daten waren erreichbar
- Daten wurden aufgerufen
- Daten wurden gesammelt beziehungsweise für eine mögliche Übertragung vorbereitet
- es existieren technische Hinweise auf eine Übertragung
- eine Übertragung kann technisch nachvollzogen werden
LanCologne dokumentiert, welche dieser Aussagen durch die vorhandene Beweislage gestützt werden. Kann eine tatsächliche Datenübertragung nicht belegt werden, wird aus einem theoretisch möglichen Zugriff kein vermeintlich bewiesener Datenabfluss konstruiert.
Vertiefend: Hinweise auf Datenexfiltration prüfen, Umfang möglicherweise abgeflossener Daten eingrenzen och Betroffenheit personenbezogener Daten.
Cybervorfall forensisch untersuchen lassen
Akuter oder zurückliegender Cybervorfall? Sprechen Sie mit uns über die betroffene Infrastruktur und die zu klärenden Fragestellungen.
IT-Forensik nach einem Ransomware-Angriff
Ein Ransomware-Angriff beginnt nicht zwangsläufig mit der sichtbaren Verschlüsselung von Daten. Zwischen initialem Zugriff und Verschlüsselung können Stunden, Tage oder in bestimmten Fällen noch längere Zeiträume liegen.
Während dieser Phase können Zugangsdaten gesammelt, zusätzliche Systeme kompromittiert, Berechtigungen erweitert, Sicherheitsmechanismen verändert oder Datenbestände untersucht worden sein. Die sichtbare Verschlüsselung kann damit lediglich die Endphase eines wesentlich umfangreicheren Angriffs darstellen.
Eine forensische Ransomware-Untersuchung kann deshalb unter anderem umfassen:
- initialer Angriffsweg und betroffene Benutzerkonten
- privilegierte Zugriffe und laterale Bewegungen
- Persistenzmechanismen
- Manipulation von Sicherheitslösungen
- Zugriffe auf Server und Datenbestände
- Hinweise auf Datenexfiltration
- zeitlicher Ablauf bis zur Verschlüsselung
Ziel ist es, den Vorfall soweit wie technisch möglich vom ersten feststellbaren Ereignis bis zu den sichtbaren Auswirkungen zu rekonstruieren.
Vertiefend: Zeitraum zwischen Erstkompromittierung und Verschlüsselung, Reichweite der Verschlüsselung bestimmen och Ransomware auf Linux-Systemen.
Microsoft 365, Cloud und Identitätsinfrastrukturen
Microsoft 365, Azure, weitere Cloud-Dienste sowie Active Directory und andere Identitätsinfrastrukturen zählen zu den Datenquellen, die im Rahmen einer Untersuchung gesichert und ausgewertet werden können. Welche Aussagen möglich sind, hängt davon ab, welche Audit- und Anmeldedaten vorhanden sind und wie lange sie aufbewahrt wurden.
Vertiefend: Kompromittierung von Microsoft 365 untersuchen, aktive Cloud-Sessions nach einem Angriff, Diebstahl von Session-Tokens och Zurücksetzen kompromittierter Zugangsdaten und Tokens.
Forensische Untersuchung für Cyberversicherungen
Nach einem Cybervorfall können Ursache, Umfang und Auswirkungen eines Sicherheitsereignisses auch für die Schadenregulierung einer Cyberversicherung relevant sein. LanCologne unterstützt Unternehmen und – abhängig vom Mandat – Versicherer beziehungsweise deren beauftragte Stellen bei der technischen Aufarbeitung.
Dokumentiert werden können insbesondere Ursache und zeitlicher Verlauf, betroffene IT-Systeme, Umfang der feststellbaren Kompromittierung, Hinweise auf unbefugte Zugriffe, Datenzugriffe und möglicher Datenabfluss, Manipulation oder Verschlüsselung von Daten, technische Auswirkungen auf den Geschäftsbetrieb sowie durchgeführte Untersuchungs- und Sicherungsmaßnahmen.
Der konkrete Untersuchungsumfang kann mit den Beteiligten abgestimmt und in klar definierte Projektphasen unterteilt werden. Aussagen zu Versicherungsdeckung, Regulierungsanspruch oder rechtlicher Verantwortlichkeit treffen wir nicht.
Vertiefend: IT-forensik för försäkringsbolag och Datenexfiltration vor der Verschlüsselung prüfen.
IT-Forensik im Kontext von NIS2 und BSIG
Für besonders wichtige und wichtige Einrichtungen sieht § 32 BSIG bei erheblichen Sicherheitsvorfällen abgestufte Meldepflichten vor – beginnend mit einer Erstmeldung innerhalb von 24 Stunden nach Kenntniserlangung, gefolgt von einer weiteren Meldung innerhalb von 72 Stunden und einer späteren Abschlussmeldung.
Ob ein Unternehmen im Einzelfall meldepflichtig ist und welche Fristen konkret gelten, ist eine rechtliche Bewertung. Diese nehmen wir nicht vor. Unsere Aufgabe ist die technische Untersuchung.
Eine IT-forensische Analyse kann Erkenntnisse zu Zeitpunkt und Verlauf des Vorfalls, zu betroffenen Systemen, technischen Auswirkungen, Kompromittierungsindikatoren, möglicher Ursache und Umfang der Kompromittierung liefern – also die technische Tatsachengrundlage, auf die sich eine Meldung stützen muss.
Stand der regulatorischen Angaben: August 2026. Diese Passage ersetzt keine Rechtsberatung.
Umfangreiche Cybervorfälle strukturiert untersuchen
Nicht jeder Cybervorfall erfordert dieselbe Untersuchungstiefe. Ein einzelner kompromittierter Arbeitsplatz unterscheidet sich erheblich von einem Vorfall, bei dem mehrere Standorte, Server, Active Directory, Cloud-Dienste und hunderte Endgeräte betroffen sein könnten.
Deshalb werden umfangreiche Untersuchungen in definierbare Projektphasen gegliedert. Nach einer ersten technischen Bewertung können Untersuchungsziele, Prioritäten, relevante Systeme und erforderliche Ressourcen festgelegt werden.
Dadurch bleibt auch bei komplexen Vorfällen nachvollziehbar, welche Fragestellungen untersucht werden, welche Systeme hierfür erforderlich sind, welche Erkenntnisse bereits vorliegen und welche weiteren Untersuchungsschritte fachlich sinnvoll sind.
Ergebnisse für Geschäftsführung und Entscheidungsträger
Ein Cybervorfall muss nicht nur technisch verstanden werden. Geschäftsführung, Rechtsabteilung, Versicherer und weitere Entscheidungsträger benötigen häufig eine andere Darstellung als die unmittelbar beteiligten IT-Spezialisten.
Deshalb kann die technische Detaildokumentation bei umfangreichen Untersuchungen durch eine Management Summary ergänzt werden. Diese fasst die wesentlichen Erkenntnisse verständlich zusammen und trennt gesicherte Feststellungen, technische Indizien, daraus ableitbare Bewertungen und verbleibende Unsicherheiten.
Vertiefend: technisch belastbarer Abschlussbericht für die Geschäftsführung och Dokumentation der Entscheidungen der Geschäftsleitung.
Was Unternehmen nach der Untersuchung erhalten können
Forensischer Untersuchungsbericht
Dokumentation von Untersuchungsauftrag, Datengrundlage, Vorgehensweise, relevanten Befunden und technischen Schlussfolgerungen.
Incident Timeline
Chronologische Darstellung der für den Sicherheitsvorfall relevanten Ereignisse.
Management Summary
Zusammenfassung der wesentlichen Ergebnisse für Geschäftsleitung und Entscheidungsträger.
Übersicht betroffener Systeme und Konten
Darstellung der im Rahmen der Untersuchung festgestellten beziehungsweise wahrscheinlich betroffenen Komponenten.
Indicators of Compromise
Dokumentation relevanter technischer Kompromittierungsindikatoren, soweit vorhanden.
Ursachenanalyse
Bewertung des technisch nachvollziehbaren Eintrittswegs und der zugrunde liegenden Ursache, soweit dies anhand der vorhandenen Spuren möglich ist.
Bewertung möglicher Datenzugriffe und Datenabflüsse
Differenzierte Darstellung dessen, was anhand der vorhandenen Daten tatsächlich festgestellt werden konnte.
Dokumentation der Beweissicherung
Soweit Bestandteil des Auftrags: Dokumentation von Datensicherungen, Integritätswerten und Chain of Custody.
Technische Anlagen
Relevante Artefakte, Tabellen, Logauszüge, Screenshots und weitere technische Nachweise.
Warum LanCologne für die IT-forensische Untersuchung?
Forensische Untersuchung statt reiner Störungsbeseitigung
Unser Schwerpunkt liegt nicht ausschließlich darauf, ein betroffenes System wieder in Betrieb zu nehmen. Wir untersuchen die digitalen Spuren mit dem Ziel, den tatsächlichen Ablauf des Vorfalls nachvollziehbar zu rekonstruieren.
Eget kriminaltekniskt laboratorium
Beweissicherungen und Untersuchungen können innerhalb unserer eigenen forensischen Infrastruktur durchgeführt werden.
Unterschiedliche Datenquellen – ein Gesamtbild
Ein Sicherheitsvorfall lässt sich häufig nicht aus einer einzelnen Logdatei erklären. Deshalb können Daten aus Endgeräten, Servern, Identitätssystemen, Netzwerkkomponenten, Cloud-Diensten und Sicherheitslösungen miteinander korreliert werden.
Werkzeugergebnisse werden kritisch bewertet
Forensische und Security-Werkzeuge unterstützen die Untersuchung, ersetzen jedoch nicht die fachliche Bewertung. Relevante Befunde werden soweit möglich anhand zusätzlicher Artefakte und Datenquellen verifiziert.
Transparente Aussagegrenzen
Eine technisch mögliche Handlung ist noch kein Nachweis dafür, dass sie tatsächlich stattgefunden hat. Deshalb dokumentieren wir nicht nur Feststellungen, sondern auch deren Beweiswert und technische Grenzen.
Zur Qualifikation: TÜV-certifierad IT-forensikexpert i Köln.
Cyberangriff festgestellt – was jetzt?
Bei einem laufenden oder kürzlich entdeckten Cybervorfall sollten Maßnahmen zur Eindämmung, Wiederherstellung und Beweissicherung koordiniert erfolgen.
Soweit die konkrete Gefahrenlage dies zulässt, sollten potenziell relevante Systeme und Daten nicht unnötig verändert werden. Insbesondere können unkoordinierte Neuinstallationen, Bereinigungen, das Löschen von Benutzerkonten oder Protokolldaten sowie weitreichende Veränderungen an betroffenen Systemen die spätere Rekonstruktion erschweren.
Gleichzeitig hat die Eindämmung eines aktiven Angriffs eine hohe Priorität. Deshalb sollte zunächst geklärt werden:
- welche Systeme betroffen sind
- welche Maßnahmen unmittelbar erforderlich sind
- welche Datenquellen kurzfristig erhalten werden müssen
- welche Systeme den höchsten forensischen Informationswert besitzen
- welche Maßnahmen bereits durchgeführt wurden
Vertiefend: Systeme nach einem Cyberangriff isolieren och Bereinigung oder Rebuild eines kompromittierten Systems.
IT-Forensik nach Cyberangriffen – aus Köln, bundesweit im Einsatz
Bei einem akuten Cybervorfall sind wir 24/7 erreichbar – 365 Tage im Jahr, rund um die Uhr: +49 (0)221 64306610. Reguläre Geschäftszeiten sind montags bis freitags von 08:00 bis 18:00 Uhr.
LanCologne hat den Sitz in der Horbeller Straße 31 in 50858 Köln. Untersuchungen führen wir seit 2015 bundesweit durch.
Für Unternehmen im Großraum Köln bedeutet der Standort kurze Wege: Datenträger können persönlich übergeben werden, und betroffene Systeme können bei Bedarf vor Ort gesichert werden – etwa dann, wenn ein Transport betrieblich nicht möglich oder forensisch nicht sinnvoll ist.
Die fachliche Grundlage ist eine vom TÜV Rheinland geprüfte Qualifikation für Mobilgeräte- und Windows-Forensik, öffentlich einsehbar in der Zertifikatsdatenbank Certipedia unter der Prüfzeichennummer 0000067863.
Vanliga frågor
Was kostet eine IT-forensische Untersuchung nach einem Cyberangriff?
Eine pauschale Preisangabe ist bei komplexen Cybervorfällen nicht seriös möglich. Der Aufwand hängt unter anderem von Anzahl und Art der betroffenen Systeme, Datenvolumen, Infrastruktur, Untersuchungszeitraum, vorhandenen Logs und der konkreten Fragestellung ab. Nach einer technischen Erstbewertung kann der Untersuchungsumfang definiert und bei größeren Vorfällen in einzelne Projektphasen gegliedert werden.
Wie schnell sollte eine Untersuchung nach einem Cybervorfall beginnen?
Grundsätzlich möglichst früh, da bestimmte digitale Spuren flüchtig sind oder durch den laufenden Betrieb verändert beziehungsweise überschrieben werden können. Gleichzeitig müssen erforderliche Maßnahmen zur Eindämmung eines laufenden Angriffs berücksichtigt werden.
Kann festgestellt werden, wie ein Angreifer in das Unternehmen gelangt ist?
In vielen Fällen kann der mögliche Eintrittsweg anhand unterschiedlicher Artefakte rekonstruiert werden. Ob eine eindeutige Feststellung möglich ist, hängt jedoch von den vorhandenen Daten und zwischenzeitlich erfolgten Veränderungen ab.
Kann festgestellt werden, ob Unternehmensdaten gestohlen wurden?
Das hängt von der vorhandenen Beweislage ab. Teilweise können konkrete Datenübertragungen nachvollzogen werden. In anderen Fällen lässt sich lediglich feststellen, dass bestimmte Daten zugänglich waren oder aufgerufen wurden. Diese Sachverhalte werden in unserer Bewertung klar voneinander getrennt.
Kann ein Ransomware-Angriff rekonstruiert werden?
Soweit die vorhandenen Spuren dies zulassen, ja. Untersucht werden können unter anderem der initiale Angriffsweg, betroffene Benutzerkonten, privilegierte Zugriffe, laterale Bewegungen, Persistenzmechanismen, Zugriffe auf Datenbestände, Hinweise auf Datenexfiltration sowie der zeitliche Ablauf bis zur Verschlüsselung.
Können auch bereits zurückliegende Cyberangriffe untersucht werden?
Ja. Auch zurückliegende Vorfälle können untersucht werden. Die mögliche Untersuchungstiefe hängt jedoch unter anderem davon ab, welche Systeme noch vorhanden sind, wie lange Protokolldaten gespeichert wurden und welche Veränderungen seit dem Vorfall vorgenommen wurden.
Welche Systeme werden bei einem Cybervorfall untersucht?
Abhängig von Infrastruktur und Vorfall können unter anderem Windows-, Linux- und macOS-Systeme, Server und Arbeitsplatzrechner, Active Directory und Identitätsinfrastrukturen, virtuelle Systeme, Firewalls, VPN- und Netzwerkkomponenten, Microsoft 365 und weitere Cloud-Dienste, E-Mail-Systeme, EDR-, XDR- und SIEM-Daten, Protokolldaten, Datenträger, Arbeitsspeicher sowie Backup-Systeme untersucht werden. Entscheidend ist nicht die Anzahl, sondern die forensische Relevanz.
Welche Daten benötigt ein IT-Forensiker?
Für die Erstbewertung sind zunächst der bekannte Sachverhalt, Zeitpunkt und Art der Entdeckung, bereits festgestellte Auffälligkeiten, vorhandene Sicherheitsmeldungen, betroffene Systeme und Konten sowie bereits durchgeführte Gegenmaßnahmen relevant. Welche Daten anschließend gesichert werden, ergibt sich aus den gemeinsam definierten Untersuchungszielen.
Kann Microsoft 365 forensisch untersucht werden?
Ja, abhängig von den verfügbaren Protokolldaten. Microsoft 365, Azure und weitere Cloud-Dienste gehören zu den Datenquellen, die im Rahmen einer Untersuchung gesichert und ausgewertet werden können. Welche Aussagen möglich sind, hängt davon ab, welche Audit- und Anmeldedaten im konkreten Mandanten vorhanden sind und wie lange sie aufbewahrt wurden.
Kann ein kompromittiertes Active Directory untersucht werden?
Active Directory und weitere Identitätsinfrastrukturen zählen zu den forensisch relevanten Datenquellen. Untersucht werden können beispielsweise Anmeldevorgänge, neu angelegte Konten, Änderungen von Berechtigungen und die Verwendung privilegierter Konten. Ob sich daraus ein vollständiges Bild ergibt, hängt von den vorhandenen Protokolldaten und deren Aufbewahrungsdauer ab.
Welche Rolle spielt IT-Forensik bei einer Cyberversicherung?
Der technische Untersuchungsbericht kann abhängig vom Auftrag so strukturiert werden, dass relevante technische Feststellungen für Versicherer beziehungsweise deren beauftragte Stellen nachvollziehbar dargestellt werden. Welche Informationen im konkreten Schadenfall benötigt werden, richtet sich nach Versicherungsvertrag und Auftrag. Aussagen zur Deckung treffen wir nicht.
Welche Rolle spielt IT-Forensik bei NIS2-relevanten Sicherheitsvorfällen?
Wir können die technische Tatsachengrundlage eines Sicherheitsvorfalls untersuchen und dokumentieren. Die rechtliche Bewertung einer konkreten Meldepflicht sollte durch die hierfür zuständigen Stellen beziehungsweise die rechtliche Beratung des Unternehmens erfolgen.
Kann ein forensischer Bericht später rechtlich verwendet werden?
Wenn dies bereits bei Auftragserteilung bekannt ist, können Beweissicherung, Dokumentation und Untersuchungsablauf entsprechend ausgerichtet werden. Eine pauschale Garantie der späteren gerichtlichen Würdigung wäre jedoch unseriös; über den Beweiswert entscheidet letztlich das zuständige Gericht.
Einen Cybervorfall nicht nur beheben – sondern verstehen
Nach einem Sicherheitsvorfall können technische Entscheidungen weitreichende Auswirkungen haben. LanCologne unterstützt dabei, relevante digitale Spuren zu sichern, den Vorfall strukturiert zu untersuchen und die verfügbaren Erkenntnisse nachvollziehbar zu dokumentieren.