IT-kriminalteknik · Företag

Hur kan ett företag på ett säkert sätt utvärdera åtkomstuppgifter för tredjepartsleverantörer och tjänsteleverantörer efter en cyberattack?

Nach einem Cyberangriff stehen Dienstleisterzugänge doppelt im Fokus: Sie werden für die Wiederherstellung gebraucht – und sie sind ein häufiger Einfallsweg. Die Frage ist, ob ein bestimmter Zugang im Angriffszeitraum genutzt wurde und ob er bedenkenlos wieder aktiviert werden kann.

Begär en icke-bindande offert

Varför denna fråga är viktig för ett företag

Under återställningsfasen efter en cyberincident fattas tekniska beslut som samtidigt kan påverka driftsförmågan, bevarandet av bevis, dataskyddet och den senare möjligheten att styrka händelseförloppet. En noggrann dokumentation skyddar därför inte bara IT-systemen, utan skapar också en solid faktagrund för företagsledningen och den juridiska rådgivningen.

Technischer Hintergrund

Typische Zugänge sind Fernwartungssoftware (z. B. TeamViewer, AnyDesk, ScreenConnect), RMM-Agenten von Managed Service Providern, Site-to-Site-VPNs, Gastkonten in Entra ID und Service-Accounts. Wurde ein Dienstleister selbst kompromittiert, kann der Angriff über dessen legitime Werkzeuge laufen.

Relevante Spuren und Datenquellen

• Verbindungsprotokolle der Fernwartungs- und RMM-Software
• VPN- und Firewall-Logs mit Quell-IP
• Anmeldeereignisse der Dienstleisterkonten (lokal, AD, Entra ID)
• Installations- und Ausführungsspuren auf Endpunkten (Prefetch, Amcache, Dienste)

Grenzen

• Ein vorhandener Zugang belegt keine Verantwortlichkeit des Dienstleisters.
• Logs beim Dienstleister selbst sind nur mit dessen Mitwirkung verfügbar.

Mögliche Ergebnisse

• Zugangsweg identifiziert bzw. ausgeschlossen (im geprüften Umfang)
• Liste der Zugänge mit Bewertung

Varför LanCologne?

Efter en allvarlig cyberincident är uppgiften inte avslutad bara för att attacken har stoppats. Företaget måste på ett kontrollerat sätt återuppta driften av systemen, utvärdera data och säkerhetskopior, säkra identiteter, kartlägga driftsavbrott och samtidigt samla in bevis för eventuella framtida juridiska, försäkringsrelaterade eller regleringsmässiga frågor.

So gehen wir vor

• Inventar aller externen Zugänge und Konten.
• Abgleich der Nutzung im Angriffszeitraum mit dokumentierten Wartungsfenstern.
• Bewertung je Zugang: genutzt, nicht genutzt, nicht beurteilbar.
• Empfehlung zur kontrollierten Wiederfreigabe.

Återupprättandet får inte i efterhand förvränga de historiska bevisen

Ett system som har återställts korrekt efter incidenten ger inte automatiskt någon information om hur systemet såg ut före eller under attacken. Därför dokumenterar vi historiska fynd och senare åtgärder separat. På så sätt undviker vi att det förbättrade tillståndet efter incidenten i efterhand behandlas som bevis för tidigare händelser.

Rättslig och regleringsmässig ram

Vid behandling av personuppgifter gäller även i fortsättningen särskilt principerna i artikel 5 i GDPR samt kravet på en hållbar rättslig grund enligt artikel 6 i GDPR. Artikel 32 i GDPR kräver att lämpliga tekniska och organisatoriska åtgärder vidtas med hänsyn till risken och nämner bland annat konfidentialitet, integritet, tillgänglighet, motståndskraft samt förmågan att snabbt återställa tillgänglighet och åtkomst efter en incident.

Vid en överträdelse av skyddet av personuppgifter kan artiklarna 33 och 34 i GDPR vara tillämpliga. Artikel 33 föreskriver, under vissa förutsättningar, att en anmälan till tillsynsmyndigheten i princip ska ske omedelbart och om möjligt inom 72 timmar efter det att överträdelsen upptäckts, och kräver enligt punkt 5 att överträdelsen, dess konsekvenser och de åtgärder som vidtagits dokumenteras. Om risken förväntas vara hög kan artikel 34 dessutom kräva att de berörda personerna underrättas. Huruvida de respektive villkoren är uppfyllda bedöms utifrån dataskyddslagstiftningen; den tekniska utredningen tillhandahåller de tekniska fakta.

För företag som omfattas av den omarbetade BSI-lagen, som träder i kraft i december 2025, kan det förekomma ytterligare skyldigheter för särskilt viktiga och viktiga anläggningar. Beroende på klassificering ingår här krav på cybersäkerhetsriskhantering samt hantering respektive rapportering av allvarliga säkerhetsincidenter. Ledningens skyldigheter behandlas uttryckligen i den gällande BSIG-lagen. Huruvida ett specifikt företag omfattas och vilka tidsfrister respektive skyldigheter som gäller i det enskilda fallet måste prövas utifrån den aktuella rättsliga klassificeringen.

När det gäller uppgifter om anställda kan även § 26 i BDSG och rätten till medbestämmande på arbetsplatsen vara relevanta. Även under en cyberincident innebär den tekniska möjligheten att få tillgång till uppgifter inte att utredningen får ha obegränsad omfattning.

LanCologne tillhandahåller tekniska slutsatser och dokumenterar hur dessa har framkommit. Beslut om anmälningsskyldighet, ansvar, arbetsrättsliga åtgärder eller andra rättsliga konsekvenser fattas av de behöriga företagsorganen, dataskyddsombuden och juridiska rådgivarna.

LanCologne för forensisk analys och kontrollerad återställning

LanCologne kombinerar teknisk detaljrikedom med en presentation som är lättförståelig för beslutsfattare. Vi dokumenterar inte bara vilka åtgärder som har vidtagits, utan även vilka tekniska fakta de bygger på och vilka begränsningar som gäller för utlåtandena. Detta skapar insyn för företagsledningen, juridisk rådgivning, försäkringsbolag och en eventuell senare teknisk granskning.

Vanliga frågor

🔗 Relaterade ämnen