IT-kriminalteknik · Företag

Was ein Unternehmen nach einem schweren Cyberangriff von einer forensischen Aufarbeitung erwarten kann

Ist ein Angriff eingedämmt, stellen Geschäftsführung, Datenschutz, Versicherung und Rechtsberatung dieselben Fragen: Wie kam der Angreifer herein? Seit wann war er im Netz? Welche Konten, Systeme und Daten waren betroffen? Wurden Daten abgezogen? Die forensische Aufarbeitung beantwortet diese Fragen auf Basis der gesicherten Primärdaten – und benennt, wo die Datenlage keine sichere Antwort zulässt.

Begär en icke-bindande offert

Varför denna fråga är viktig för ett företag

Efter en cyberattack kan tekniska, ekonomiska, dataskyddsmässiga och regleringsmässiga beslut bero på samma sakförhållande. En tillförlitlig rekonstruktion måste därför tydligt skilja mellan bevisad aktivitet, teknisk möjlighet och rena antaganden.

Technischer Hintergrund

Die Antworten liegen verteilt: in Windows-Ereignisprotokollen, EDR-Telemetrie, Firewall- und VPN-Logs, Microsoft-365- und Entra-ID-Protokollen, Active-Directory-Änderungen und Spuren auf einzelnen Endgeräten. Viele Quellen haben kurze Aufbewahrungszeiten; wird nach dem Vorfall neu aufgesetzt, gehen sie verloren.

Relevante Spuren und Datenquellen

• Windows Event Logs (u. a. Anmeldungen 4624/4625, Dienstinstallationen 7045, PowerShell-Protokolle)
• EDR-/Antiviren-Telemetrie und Quarantäne
• Firewall-, VPN- und Proxy-Logs
• Microsoft 365 Unified Audit Log und Entra-ID-Anmeldeprotokolle
• Active-Directory-Änderungen, neue Konten und Gruppenmitgliedschaften
• Artefakte auf Patient-Zero-Systemen (Prefetch, Amcache, Shimcache, SRUM)

Grenzen

• Fehlende oder überschriebene Logs begrenzen die Rekonstruktion.
• Ob Daten abgeflossen sind, lässt sich nicht immer positiv belegen oder ausschließen.
• Rechtliche Bewertungen (Meldepflichten, Haftung) treffen Datenschutzbeauftragte und Rechtsberatung.

Mögliche Ergebnisse

• Angriffsweg und Zeitlinie belegt
• Liste betroffener Konten, Systeme und Datenbestände
• Exfiltration nachgewiesen, nicht nachweisbar oder nicht auszuschließen
• Empfehlungen zur Schließung der Angriffswege

Varför LanCologne?

Nach einem Cyberangriff benötigt ein Unternehmen zunächst Sicherheit und Betriebsfähigkeit. Für spätere Entscheidungen reicht es jedoch nicht, nur zu wissen, dass ‚ein Angriff stattgefunden hat‘.

So gehen wir vor

• Abstimmung der Leitfragen mit Geschäftsführung, Versicherung und Rechtsberatung.
• Priorisierte Sicherung flüchtiger und kurzlebiger Quellen.
• Rekonstruktion von Initial Access, Rechteausweitung, lateraler Bewegung und möglicher Exfiltration.
• Abschlussbericht mit Management-Zusammenfassung und technischem Anhang.

Incidenthantering och digital kriminalteknik har olika men kompletterande mål

Att stoppa en pågående attack syftar i första hand till att skydda företaget. Den forensiska rekonstruktionen klargör därefter, eller parallellt, vad som faktiskt har hänt. Nödvändiga säkerhetsåtgärder avstår man därför inte från enbart för att bevara ett idealiskt bevisläge; oundvikliga förändringar dokumenteras i den mån det är möjligt.

Varför LanCologne efter en cyberattack?

LanCologne utformar utredningen inte utifrån en önskad händelseförlopp. Det avgörande är vilka tekniska slutsatser som de insamlade primäruppgifterna faktiskt ger upphov till. Både belastande, förmildrande och oklara fynd dokumenteras på ett överskådligt sätt, så att företagsledningen och den juridiska rådgivaren kan fatta beslut utifrån en verifierbar faktaunderlag.

Artikel 32 i GDPR ålägger personuppgiftsansvariga och personuppgiftsbiträden att säkerställa en skyddsnivå som står i proportion till risken. Bland annat nämns konfidentialitet, integritet, tillgänglighet och motståndskraft samt förmågan att snabbt återställa tillgänglighet och åtkomst efter en teknisk eller fysisk incident.

Om en cyberincident har lett till en överträdelse av skyddet av personuppgifter kan artikel 33 i GDPR vara tillämplig. En sådan överträdelse ska i princip omedelbart och om möjligt inom 72 timmar efter det att den upptäckts anmälas till den behöriga tillsynsmyndigheten. Ett undantag gäller om överträdelsen förmodligen inte medför någon risk för fysiska personers rättigheter och friheter. Artikel 33.5 kräver dessutom att överträdelsen, dess konsekvenser och de åtgärder som vidtagits dokumenteras. Om risken förväntas vara hög kan dessutom artikel 34 i GDPR kräva att de berörda personerna underrättas. Den rättsliga bedömningen av anmälningsskyldigheten åligger den registeransvarige i samråd med sin dataskydds- och juridiska rådgivare; IT-forensiken tillhandahåller tekniska fakta i detta sammanhang.

För vissa privata företag gäller sedan den 6 december 2025 den omarbetade BSI-lagen för genomförandet av NIS 2-kraven. Huruvida ett företag omfattas som en särskilt viktig eller viktig anläggning måste konkret prövas utifrån den gällande BSIG-lagen, sektorerna, anläggningstyperna och storlekskriterierna. För de anläggningar som omfattas av lagen innehåller BSIG bland annat skyldigheter avseende cybersäkerhetsriskhantering och säkerhetsincidenter; § 38 i BSIG ålägger ledningarna för särskilt viktiga och viktiga anläggningar skyldigheter att genomföra och övervaka riskhanteringsåtgärderna.

De lagstadgade anmälnings- och dokumentationsskyldigheterna kan vara tidsmässigt kritiska. LanCologne fattar dock inga slutgiltiga rättsliga beslut om anmälningsskyldigheter, ansvar eller ansvarsskyldighet. Vi tillhandahåller den tekniskt verifierbara faktagrunden som företagsledningen, dataskyddsombuden och juridiska rådgivare kan basera sina beslut på.

Vanliga frågor

🔗 Relaterade ämnen