IT-kriminalteknik · Företag

Wie sollte ein Unternehmen unmittelbar nach Entdeckung eines Cyberangriffs Beweiserhalt und Schadensbegrenzung koordinieren?

Im laufenden Cybervorfall stehen schnelle Eindämmung und spätere Rekonstruierbarkeit gleichzeitig im Raum. Eine forensisch ideale Sicherung darf den fortdauernden Schaden nicht unnötig verlängern.

Begär en icke-bindande offert

Varför denna fråga är viktig för ett företag

Under återställningsfasen efter en cyberincident fattas tekniska beslut som samtidigt kan påverka driftsförmågan, bevarandet av bevis, dataskyddet och den senare möjligheten att styrka händelseförloppet. En noggrann dokumentation skyddar därför inte bara IT-systemen, utan skapar också en solid faktagrund för företagsledningen och den juridiska rådgivningen.

Teknisk undersökningsmetod

Wir priorisieren flüchtige und besonders aussagekräftige Datenquellen, dokumentieren unvermeidbare Veränderungen und stimmen Sicherungsmaßnahmen mit der operativen Incident Response ab.

Var gränsen för uttalanden går

Nicht jeder Rechner muss vor einer Isolierung vollständig forensisch gesichert werden. Die Priorisierung richtet sich nach Angriffslage, Beweisfrage und betrieblichem Risiko.

Varför LanCologne?

Efter en allvarlig cyberincident är uppgiften inte avslutad bara för att attacken har stoppats. Företaget måste på ett kontrollerat sätt återuppta driften av systemen, utvärdera data och säkerhetskopior, säkra identiteter, kartlägga driftsavbrott och samtidigt samla in bevis för eventuella framtida juridiska, försäkringsrelaterade eller regleringsmässiga frågor.

LanCologne skiljer därför mellan operativ incidenthantering och forensisk rekonstruktion, utan att artificiellt isolera de båda från varandra. Begränsning och återställning skyddar företaget; den forensiska utredningen dokumenterar vad som har hänt och vilka tekniska fakta som ligger till grund för de vidtagna åtgärderna.

Vi arbetar inte enligt principen att säkerhetskopiera så många system som möjligt i sin helhet. Avgörande faktorer är den konkreta bevisfrågan, hur flyktig en datakälla är, systemets roll i attacken samt proportionalitetsprincipen. Särskilt betydelsefulla primärdata prioriteras.

Vid återställningen skiljer vi mellan teknisk tillgänglighet, systemfunktion, funktionell användbarhet och fullständig normal drift. På samma sätt likställs inte förekomsten av säkerhetskopior, säkerhetskopieringens integritet och den faktiska återställbarheten med varandra.

Dokumentationen lämnar frågan öppen. Om en förebyggande avstängning var tekniskt motiverad, även om det senare inte går att påvisa någon säkerhetsöverträdelse, kan båda påståendena vara korrekta samtidigt. Det är just sådana nyanser som gör en senare utvärdering tillförlitlig.

Vår arbetsmetod

1Samordna riskbaserade åtgärder för att begränsa skador och säkra bevis.

2Prioritera kritiska och flyktiga datakällor.

3Dokumentera utgångsläget och oundvikliga förändringar.

4Undersök grundorsaken och den synliga skadegörande handlingen separat.

5Utvärdera komprometterade identiteter, sessioner och behörigheter.

6Skillnaden mellan säkerhetskopieringsstatus, tillförlitlighet och återställbarhet.

7Dokumentera beslut om återuppbyggnad och återställning ur ett tekniskt perspektiv.

8Registrera tidsåtgången för återstartsfaser och systemberoenden.

9Skillnad mellan nöddrift, begränsad drift och normal drift.

10Beakta beroenden av tredjepartsleverantörer och molntjänster i rekonstruktionen.

11Bevismaterial ska bevaras på ett sätt som gör det möjligt att spåra det för senare konkreta ändamål.

12Utforma huvudrapporten så att den är lättförståelig och den tekniska bilagan så att den går att återskapa.

Återupprättandet får inte i efterhand förvränga de historiska bevisen

Ett system som har återställts korrekt efter incidenten ger inte automatiskt någon information om hur systemet såg ut före eller under attacken. Därför dokumenterar vi historiska fynd och senare åtgärder separat. På så sätt undviker vi att det förbättrade tillståndet efter incidenten i efterhand behandlas som bevis för tidigare händelser.

Rättslig och regleringsmässig ram

Vid behandling av personuppgifter gäller även i fortsättningen särskilt principerna i artikel 5 i GDPR samt kravet på en hållbar rättslig grund enligt artikel 6 i GDPR. Artikel 32 i GDPR kräver att lämpliga tekniska och organisatoriska åtgärder vidtas med hänsyn till risken och nämner bland annat konfidentialitet, integritet, tillgänglighet, motståndskraft samt förmågan att snabbt återställa tillgänglighet och åtkomst efter en incident.

Vid en överträdelse av skyddet av personuppgifter kan artiklarna 33 och 34 i GDPR vara tillämpliga. Artikel 33 föreskriver, under vissa förutsättningar, att en anmälan till tillsynsmyndigheten i princip ska ske omedelbart och om möjligt inom 72 timmar efter det att överträdelsen upptäckts, och kräver enligt punkt 5 att överträdelsen, dess konsekvenser och de åtgärder som vidtagits dokumenteras. Om risken förväntas vara hög kan artikel 34 dessutom kräva att de berörda personerna underrättas. Huruvida de respektive villkoren är uppfyllda bedöms utifrån dataskyddslagstiftningen; den tekniska utredningen tillhandahåller de tekniska fakta.

För företag som omfattas av den omarbetade BSI-lagen, som träder i kraft i december 2025, kan det förekomma ytterligare skyldigheter för särskilt viktiga och viktiga anläggningar. Beroende på klassificering ingår här krav på cybersäkerhetsriskhantering samt hantering respektive rapportering av allvarliga säkerhetsincidenter. Ledningens skyldigheter behandlas uttryckligen i den gällande BSIG-lagen. Huruvida ett specifikt företag omfattas och vilka tidsfrister respektive skyldigheter som gäller i det enskilda fallet måste prövas utifrån den aktuella rättsliga klassificeringen.

När det gäller uppgifter om anställda kan även § 26 i BDSG och rätten till medbestämmande på arbetsplatsen vara relevanta. Även under en cyberincident innebär den tekniska möjligheten att få tillgång till uppgifter inte att utredningen får ha obegränsad omfattning.

LanCologne tillhandahåller tekniska slutsatser och dokumenterar hur dessa har framkommit. Beslut om anmälningsskyldighet, ansvar, arbetsrättsliga åtgärder eller andra rättsliga konsekvenser fattas av de behöriga företagsorganen, dataskyddsombuden och juridiska rådgivarna.

LanCologne för forensisk analys och kontrollerad återställning

LanCologne kombinerar teknisk detaljrikedom med en presentation som är lättförståelig för beslutsfattare. Vi dokumenterar inte bara vilka åtgärder som har vidtagits, utan även vilka tekniska fakta de bygger på och vilka begränsningar som gäller för utlåtandena. Detta skapar insyn för företagsledningen, juridisk rådgivning, försäkringsbolag och en eventuell senare teknisk granskning.

Vanliga frågor

Wie sollte ein Unternehmen unmittelbar nach Entdeckung eines Cyberangriffs Beweiserhalt und Schadensbegrenzung koordinieren?+

Hur går en sådan teknisk undersökning till i praktiken?+

Wir priorisieren flüchtige und besonders aussagekräftige Datenquellen, dokumentieren unvermeidbare Veränderungen und stimmen Sicherungsmaßnahmen mit der operativen Incident Response ab.

Ger undersökningen alltid ett entydigt resultat som talar emot eller till förmån för en berörd person?+

Nicht jeder Rechner muss vor einer Isolierung vollständig forensisch gesichert werden. Die Priorisierung richtet sich nach Angriffslage, Beweisfrage und betrieblichem Risiko.

Finns det någon rättslig grund för detta?+

Bei der Verarbeitung personenbezogener Daten gelten weiterhin insbesondere die Grundsätze des Art. 5 DSGVO sowie die Erforderlichkeit einer tragfähigen Rechtsgrundlage nach Art. 6 DSGVO. Art. 32 DSGVO verlangt unter Berücksichtigung des Risikos geeignete technische und organisatorische Maßnahmen und nennt unter anderem Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit sowie die Fähigkeit, Verfügbarkeit und Zugang nach einem Zwischenfall zeitnah wiederherzustellen. Bei einer Verletzung des Schutzes personenbezogener Daten können Art. 33 und Art. 34 DSGVO einschlägig sein. Art. 33 sieht unter seinen Voraussetzungen eine Meldung an die Aufsichtsbehörde grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden vor und verlangt nach Abs. 5 eine Dokumentation der Verletzung, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Bei voraussichtlich hohem Risiko kann Art. 34 zusätzlich die Benachrichtigung betroffener Personen verlangen. Ob die jeweiligen Voraussetzungen erfüllt sind, wird datenschutzrechtlich bewertet; die Forensik liefert die technischen Tatsachen. Für Unternehmen, die unter das seit Dezember 2025 geltende neu gefasste BSI-Gesetz fallen, können zusätzliche Pflichten für besonders wichtige und wichtige Einrichtungen bestehen. Dazu gehören je nach Einordnung Anforderungen an das Cybersicherheitsrisikomanagement und die Behandlung beziehungsweise Meldung erheblicher Sicherheitsvorfälle. Die Geschäftsleitungspflichten sind im aktuellen BSIG ausdrücklich adressiert. Ob ein konkretes Unternehmen erfasst ist und welche Fristen beziehungsweise Pflichten im Einzelfall gelten, muss anhand der aktuellen gesetzlichen Einordnung geprüft werden. Bei Beschäftigtendaten können zusätzlich § 26 BDSG und betriebliche Mitbestimmungsrechte relevant sein. Auch während eines Cybervorfalls entsteht aus technischer Zugriffsmöglichkeit kein unbegrenzter Untersuchungsumfang. LanCologne liefert technische Feststellungen und dokumentiert deren Herleitung. Entscheidungen über Meldepflichten, Haftung, arbeitsrechtliche Maßnahmen oder sonstige Rechtsfolgen bleiben den zuständigen Unternehmensorganen, Datenschutzbeauftragten und Rechtsberatern vorbehalten.