![\"Forensischer](\"https:\/\/lancologne.de\/wp-content\/uploads\/2026\/08\/Hero_Cybervorfall-1280x640.jpg\" "\\"\\"")
<\/p>\nIT-Forensik nach Cyberangriffen und Cybervorf\u00e4llen<\/h1>\nDigitale Spuren sichern, Angriffswege rekonstruieren und Ursachen sowie Auswirkungen eines Cybervorfalls nachvollziehbar untersuchen.<\/pee>Akuter Cybervorfall? Wir sind im Notfall 24\/7 erreichbar \u2013 365 Tage im Jahr, rund um die Uhr: +49 (0)221 64306610<\/a><\/pee>Forensische Erstbewertung anfragen<\/a><\/div>\n<\/div>\n<\/div>\n[\/et_pb_fullwidth_code][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#0A0814″ custom_padding=“34px|0|46px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ custom_padding=“0|0|0|0″ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Ein Cyberangriff stellt Unternehmen h\u00e4ufig innerhalb k\u00fcrzester Zeit vor weitreichende technische, organisatorische und rechtliche Fragestellungen. Neben der Eind\u00e4mmung des Vorfalls und der Wiederherstellung des Gesch\u00e4ftsbetriebs muss gekl\u00e4rt werden, was tats\u00e4chlich geschehen ist, welche Systeme betroffen sind, wie weit ein m\u00f6glicher Angreifer in die Infrastruktur vorgedrungen ist und ob Daten eingesehen, ver\u00e4ndert, gel\u00f6scht oder \u00fcbertragen wurden.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Cyberangriff im Unternehmen \u2013 was ist tats\u00e4chlich passiert?<\/h2>\n
Nach einem Sicherheitsvorfall reichen einzelne Warnmeldungen eines Sicherheitssystems h\u00e4ufig nicht aus, um den tats\u00e4chlichen Umfang eines Angriffs zu beurteilen. Ein kompromittiertes Benutzerkonto, eine verd\u00e4chtige Netzwerkverbindung oder eine Schadsoftware auf einem einzelnen System kann lediglich ein Teil eines wesentlich umfangreicheren Vorfalls sein.<\/p>\n
Die IT-forensische Untersuchung verfolgt deshalb einen \u00fcbergreifenden Ansatz. Abh\u00e4ngig von der vorhandenen Beweislage k\u00f6nnen unter anderem folgende Fragen untersucht werden:<\/p>\n
\n- Wann lassen sich die ersten Hinweise auf eine Kompromittierung feststellen?<\/li>\n
- Wie k\u00f6nnte der initiale Zugriff auf die Infrastruktur erfolgt sein?<\/li>\n
- Welche Systeme und Benutzerkonten waren betroffen?<\/li>\n
- Wurden administrative oder privilegierte Konten verwendet?<\/li>\n
- Hat sich ein Angreifer innerhalb der Infrastruktur weiterbewegt?<\/li>\n
- Wurden zus\u00e4tzliche Zug\u00e4nge oder Persistenzmechanismen eingerichtet?<\/li>\n
- Welche Dateien und Datenbest\u00e4nde wurden aufgerufen?<\/li>\n
- Gibt es technische Hinweise auf eine \u00dcbertragung oder Exfiltration von Daten?<\/li>\n
- Wurden Daten ver\u00e4ndert, verschl\u00fcsselt oder gel\u00f6scht?<\/li>\n
- Welche Sicherheitsmechanismen wurden m\u00f6glicherweise umgangen oder manipuliert?<\/li>\n
- Welche externen Systeme oder IP-Adressen waren an der Kommunikation beteiligt?<\/li>\n
- Welche Indicators of Compromise lassen sich identifizieren?<\/li>\n
- L\u00e4sst sich der urspr\u00fcngliche Eintrittsweg technisch rekonstruieren?<\/li>\n
- Welche Auswirkungen des Vorfalls k\u00f6nnen anhand der vorhandenen Spuren belegt werden?<\/li>\n<\/ul>\n
Eine seri\u00f6se forensische Untersuchung muss ebenso aufzeigen, welche Fragen anhand der vorhandenen Daten nicht zweifelsfrei beantwortet werden k\u00f6nnen. Nicht jede technische Auff\u00e4lligkeit stellt einen Beweis dar. Deshalb unterscheiden wir zwischen festgestellten Tatsachen, technischen Indizien, daraus ableitbaren Schlussfolgerungen und Sachverhalten, die aufgrund der verf\u00fcgbaren Daten nicht abschlie\u00dfend beurteilt werden k\u00f6nnen.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Warum eine fr\u00fchzeitige forensische Untersuchung wichtig ist<\/h2>\n
Digitale Spuren sind teilweise fl\u00fcchtig. Logdateien werden \u00fcberschrieben, Cloud- und Security-Systeme besitzen begrenzte Aufbewahrungszeiten, Arbeitsspeicher ver\u00e4ndert sich kontinuierlich und durch administrative Eingriffe k\u00f6nnen relevante Artefakte ver\u00e4ndert oder vernichtet werden.<\/p>\n
Nach Bekanntwerden eines Cyberangriffs besteht deshalb h\u00e4ufig ein Spannungsfeld zwischen drei Zielen: Angriff eind\u00e4mmen \u2013 Gesch\u00e4ftsbetrieb sichern \u2013 digitale Spuren erhalten.<\/strong><\/p>\nEine forensische Untersuchung darf notwendige Ma\u00dfnahmen zur Eind\u00e4mmung eines laufenden Angriffs nicht unangemessen verz\u00f6gern. Gleichzeitig sollten relevante Systeme und Datenquellen nach M\u00f6glichkeit gesichert werden, bevor Neuinstallationen, Bereinigungen oder andere weitreichende Ver\u00e4nderungen vorgenommen werden.<\/p>\n
LanCologne kann bereits in einer fr\u00fchen Phase dabei unterst\u00fctzen, forensisch relevante Datenquellen zu identifizieren und die weiteren Untersuchungsschritte zu priorisieren. Wie sich Beweiserhalt und Eind\u00e4mmung koordinieren lassen<\/a>, ist dabei eine der ersten praktischen Fragen.<\/p>\n[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Forensische Erstbewertung des Sicherheitsvorfalls<\/h2>\n
Zu Beginn wird der bislang bekannte Sachverhalt aufgenommen. Dazu geh\u00f6ren beispielsweise Zeitpunkt und Art der Entdeckung, bereits festgestellte Auff\u00e4lligkeiten, betroffene Systeme, vorhandene Sicherheitsmeldungen, bekannte Benutzerkonten, durchgef\u00fchrte Gegenma\u00dfnahmen und die vorhandene IT-Infrastruktur.<\/p>\n
Gemeinsam mit dem Auftraggeber werden anschlie\u00dfend die konkreten Untersuchungsziele definiert. Bei umfangreichen Vorf\u00e4llen erm\u00f6glicht dieses Vorgehen eine Priorisierung besonders relevanter Systeme und Datenquellen.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Welche Systeme und Datenquellen werden untersucht?<\/h2>\n
Abh\u00e4ngig von Infrastruktur und Vorfall k\u00f6nnen beispielsweise Windows-, Linux- und macOS-Systeme, Server und Arbeitsplatzrechner, Active Directory und Identit\u00e4tsinfrastrukturen, virtuelle Systeme, Firewalls, VPN-Systeme, Netzwerkkomponenten, Microsoft 365, Azure, weitere Cloud-Dienste, E-Mail-Systeme, EDR-, XDR- und SIEM-Daten, Security- und Systemprotokolle, Netzwerk- und Verbindungsdaten, Datentr\u00e4ger, externe Speichermedien, Arbeitsspeicher sowie Backup-Systeme untersucht beziehungsweise gesichert werden.<\/p>\n
Nicht die Anzahl der untersuchten Systeme ist entscheidend, sondern deren forensische Relevanz f\u00fcr die Rekonstruktion des Vorfalls.<\/p>\n
Je nach betroffener Plattform greifen wir auf die jeweilige Fachdisziplin zur\u00fcck \u2013 etwa die forensische Untersuchung von Windows-Systemen<\/a>, die Untersuchung von Linux-Servern<\/a>, macOS-Forensik<\/a> oder die Auswertung mobiler Endger\u00e4te<\/a>.<\/p>\n[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Digitale Beweissicherung und Beweiserhalt<\/h2>\n
![\"Forensische](\"https:\/\/lancologne.de\/wp-content\/uploads\/2026\/08\/Beweissicherung-1080x675.jpg\" "\\"\\"")
<\/p>\n
Soweit es die jeweilige Situation erfordert und technisch erm\u00f6glicht, werden relevante Daten forensisch gesichert. Dabei k\u00f6nnen Integrit\u00e4tswerte dokumentiert und Originaldaten von den f\u00fcr die Untersuchung verwendeten Arbeitskopien getrennt werden.<\/p>\n
Bei beweisrelevanten Untersuchungen kann zus\u00e4tzlich eine dokumentierte Chain of Custody gef\u00fchrt werden. Ziel ist es, Herkunft und Integrit\u00e4t relevanter Untersuchungsdaten nachvollziehbar zu dokumentieren.<\/p>\n
Eine praktische Frage im laufenden Betrieb ist dabei, welche Logdaten als Beweisdaten aufbewahrt werden sollten<\/a> \u2013 und wie mit gel\u00f6schten oder manipulierten Logdateien<\/a> umzugehen ist.<\/p>\n[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Kompromittierungsanalyse<\/h2>\n
Die gesicherten Daten werden auf Hinweise einer m\u00f6glichen Kompromittierung untersucht. Dazu k\u00f6nnen geh\u00f6ren:<\/p>\n
\n- verd\u00e4chtige Prozesse und Programme<\/li>\n
- ungew\u00f6hnliche Benutzeranmeldungen und neu angelegte Konten<\/li>\n
- Ver\u00e4nderungen von Berechtigungen<\/li>\n
- Remote-Zugriffe sowie PowerShell- oder Kommandozeilenaktivit\u00e4ten<\/li>\n
- geplante Tasks, Dienste und Autostartmechanismen<\/li>\n
- Netzwerkverbindungen und Schadsoftware<\/li>\n
- manipulierte Systemdateien und weitere relevante Artefakte<\/li>\n<\/ul>\n
Eine zentrale Teilfrage lautet dabei, welche Systeme tats\u00e4chlich kompromittiert wurden<\/a> \u2013 und welche lediglich als betroffen vermutet werden.<\/p>\n[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Rekonstruktion des Angriffsverlaufs \u2013 Incident Timeline<\/h2>\n
![\"IT-Forensiker](\"https:\/\/lancologne.de\/wp-content\/uploads\/2026\/08\/Incident_timeline-1080x675.jpg\" "\\"\\"")
<\/p>\n
Eine zentrale Aufgabe umfangreicher IT-forensischer Untersuchungen besteht in der zeitlichen Rekonstruktion des Vorfalls. Ereignisse unterschiedlicher Systeme und Datenquellen werden miteinander korreliert.<\/p>\n
Dadurch kann schrittweise ein Gesamtbild entstehen: Wann begann der Angriff? Welches System war zuerst betroffen? Welche Konten wurden anschlie\u00dfend verwendet? Welche Systeme wurden danach erreicht? Wann wurden Daten aufgerufen, ver\u00e4ndert oder verschl\u00fcsselt?<\/p>\n
Wie eine solche Angriffschronologie eines Cybervorfalls<\/a> entsteht und wo ihre Grenzen liegen, behandeln wir gesondert. Sind mehrere Dienstleister beteiligt, stellt sich zus\u00e4tzlich die Frage nach einer gemeinsamen Timeline<\/a>.<\/p>\n[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Initial Access und Root Cause Analysis<\/h2>\n
Soweit die vorhandenen Spuren dies erm\u00f6glichen, wird untersucht, wie der urspr\u00fcngliche Zugriff auf die Infrastruktur erfolgt sein k\u00f6nnte. M\u00f6gliche Ursachen k\u00f6nnen kompromittierte Zugangsdaten, exponierte Dienste, Sicherheitsl\u00fccken, manipulierte E-Mails, Remote-Zug\u00e4nge oder andere technische Angriffswege sein.<\/p>\n
Eine Ursache wird nicht deshalb als festgestellt bezeichnet, weil sie technisch plausibel erscheint. Entscheidend ist, welche Schlussfolgerung durch die tats\u00e4chlich vorhandenen Artefakte gest\u00fctzt wird.<\/p>\n
Vertiefend: Root-Cause-Analyse eines Cyberangriffs<\/a>, Eintrittsweg forensisch bestimmen<\/a> sowie Phishing-Verdacht technisch pr\u00fcfen<\/a>.<\/p>\n[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Laterale Bewegung, Berechtigungsausweitung und Persistenz<\/h2>\n
Bei komplexeren Angriffen bleibt ein Angreifer h\u00e4ufig nicht auf dem urspr\u00fcnglich kompromittierten System. Deshalb kann untersucht werden, ob weitere Systeme angesprochen, Zugangsdaten verwendet, privilegierte Konten kompromittiert oder administrative Werkzeuge eingesetzt wurden. Hierdurch l\u00e4sst sich der tats\u00e4chliche Umfang eines Vorfalls h\u00e4ufig wesentlich genauer bestimmen.<\/p>\n
Laterale Bewegung<\/h3>\n
Untersucht wird, ob und auf welchem Weg weitere Systeme innerhalb der Infrastruktur erreicht wurden. Vertiefend: laterale Bewegung im Unternehmen rekonstruieren<\/a>.<\/p>\nPrivilegierte Konten<\/h3>\n
Die Verwendung administrativer Konten ver\u00e4ndert die Reichweite eines Vorfalls erheblich. Vertiefend: Kompromittierung von Administratorkonten<\/a> und gestohlene Zugangsdaten<\/a>.<\/p>\nPersistenz<\/h3>\n
Geplante Tasks, Dienste, Autostartmechanismen und zus\u00e4tzlich eingerichtete Zug\u00e4nge k\u00f6nnen einem Angreifer dauerhaften Zugriff erm\u00f6glichen. Vertiefend: Persistenzmechanismen nachweisen<\/a>.<\/p>\n[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Datenzugriff und m\u00f6gliche Datenexfiltration<\/h2>\n
Eine der wichtigsten Fragen nach einem Cyberangriff lautet h\u00e4ufig, ob Unternehmensdaten entwendet wurden. Dabei muss klar unterschieden werden zwischen:<\/p>\n
\n- Daten waren erreichbar<\/strong><\/li>\n
- Daten wurden aufgerufen<\/strong><\/li>\n
- Daten wurden gesammelt<\/strong> beziehungsweise f\u00fcr eine m\u00f6gliche \u00dcbertragung vorbereitet<\/li>\n
- es existieren technische Hinweise<\/strong> auf eine \u00dcbertragung<\/li>\n
- eine \u00dcbertragung kann technisch nachvollzogen<\/strong> werden<\/li>\n<\/ul>\n
LanCologne dokumentiert, welche dieser Aussagen durch die vorhandene Beweislage gest\u00fctzt werden. Kann eine tats\u00e4chliche Daten\u00fcbertragung nicht belegt werden, wird aus einem theoretisch m\u00f6glichen Zugriff kein vermeintlich bewiesener Datenabfluss konstruiert.<\/p>\n
Vertiefend: Hinweise auf Datenexfiltration pr\u00fcfen<\/a>, Umfang m\u00f6glicherweise abgeflossener Daten eingrenzen<\/a> und Betroffenheit personenbezogener Daten<\/a>.<\/p>\n[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#9B2242″ custom_padding=“50px|0|50px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Cybervorfall forensisch untersuchen lassen<\/h2>\n
Akuter oder zur\u00fcckliegender Cybervorfall? Sprechen Sie mit uns \u00fcber die betroffene Infrastruktur und die zu kl\u00e4renden Fragestellungen.<\/p>\n
Sachverhalt vertraulich besprechen<\/a>
\n[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\nIT-Forensik nach einem Ransomware-Angriff<\/h2>\n
![\"Techniker](\"https:\/\/lancologne.de\/wp-content\/uploads\/2026\/08\/Ransomware_Forensik-1080x675.jpg\" "\\"\\"")
<\/p>\n
Ein Ransomware-Angriff beginnt nicht zwangsl\u00e4ufig mit der sichtbaren Verschl\u00fcsselung von Daten. Zwischen initialem Zugriff und Verschl\u00fcsselung k\u00f6nnen Stunden, Tage oder in bestimmten F\u00e4llen noch l\u00e4ngere Zeitr\u00e4ume liegen.<\/p>\n
W\u00e4hrend dieser Phase k\u00f6nnen Zugangsdaten gesammelt, zus\u00e4tzliche Systeme kompromittiert, Berechtigungen erweitert, Sicherheitsmechanismen ver\u00e4ndert oder Datenbest\u00e4nde untersucht worden sein. Die sichtbare Verschl\u00fcsselung kann damit lediglich die Endphase eines wesentlich umfangreicheren Angriffs darstellen.<\/p>\n
Eine forensische Ransomware-Untersuchung kann deshalb unter anderem umfassen:<\/p>\n
\n- initialer Angriffsweg und betroffene Benutzerkonten<\/li>\n
- privilegierte Zugriffe und laterale Bewegungen<\/li>\n
- Persistenzmechanismen<\/li>\n
- Manipulation von Sicherheitsl\u00f6sungen<\/li>\n
- Zugriffe auf Server und Datenbest\u00e4nde<\/li>\n
- Hinweise auf Datenexfiltration<\/li>\n
- zeitlicher Ablauf bis zur Verschl\u00fcsselung<\/li>\n<\/ul>\n
Ziel ist es, den Vorfall soweit wie technisch m\u00f6glich vom ersten feststellbaren Ereignis bis zu den sichtbaren Auswirkungen zu rekonstruieren.<\/p>\n
Vertiefend: Zeitraum zwischen Erstkompromittierung und Verschl\u00fcsselung<\/a>, Reichweite der Verschl\u00fcsselung bestimmen<\/a> und Ransomware auf Linux-Systemen<\/a>.<\/p>\n[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Microsoft 365, Cloud und Identit\u00e4tsinfrastrukturen<\/h2>\n
![\"IT-Forensiker](\"https:\/\/lancologne.de\/wp-content\/uploads\/2026\/08\/Server_Cloud_Forensik-1080x675.jpg\" "\\"\\"")
<\/p>\n
Microsoft 365, Azure, weitere Cloud-Dienste sowie Active Directory und andere Identit\u00e4tsinfrastrukturen z\u00e4hlen zu den Datenquellen, die im Rahmen einer Untersuchung gesichert und ausgewertet werden k\u00f6nnen. Welche Aussagen m\u00f6glich sind, h\u00e4ngt davon ab, welche Audit- und Anmeldedaten vorhanden sind und wie lange sie aufbewahrt wurden.<\/p>\n
Vertiefend: Kompromittierung von Microsoft 365 untersuchen<\/a>, aktive Cloud-Sessions nach einem Angriff<\/a>, Diebstahl von Session-Tokens<\/a> und Zur\u00fccksetzen kompromittierter Zugangsdaten und Tokens<\/a>.<\/p>\n[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Forensische Untersuchung f\u00fcr Cyberversicherungen<\/h2>\n
Nach einem Cybervorfall k\u00f6nnen Ursache, Umfang und Auswirkungen eines Sicherheitsereignisses auch f\u00fcr die Schadenregulierung einer Cyberversicherung relevant sein. LanCologne unterst\u00fctzt Unternehmen und \u2013 abh\u00e4ngig vom Mandat \u2013 Versicherer beziehungsweise deren beauftragte Stellen bei der technischen Aufarbeitung.<\/p>\n
Dokumentiert werden k\u00f6nnen insbesondere Ursache und zeitlicher Verlauf, betroffene IT-Systeme, Umfang der feststellbaren Kompromittierung, Hinweise auf unbefugte Zugriffe, Datenzugriffe und m\u00f6glicher Datenabfluss, Manipulation oder Verschl\u00fcsselung von Daten, technische Auswirkungen auf den Gesch\u00e4ftsbetrieb sowie durchgef\u00fchrte Untersuchungs- und Sicherungsma\u00dfnahmen.<\/p>\n
Der konkrete Untersuchungsumfang kann mit den Beteiligten abgestimmt und in klar definierte Projektphasen unterteilt werden. Aussagen zu Versicherungsdeckung, Regulierungsanspruch oder rechtlicher Verantwortlichkeit treffen wir nicht.<\/p>\n
Vertiefend: IT-Forensik f\u00fcr Versicherungen<\/a> sowie Datenexfiltration vor der Verschl\u00fcsselung pr\u00fcfen<\/a>.<\/p>\n[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
IT-Forensik im Kontext von NIS2 und BSIG<\/h2>\n
F\u00fcr besonders wichtige und wichtige Einrichtungen sieht \u00a7 32 BSIG bei erheblichen Sicherheitsvorf\u00e4llen abgestufte Meldepflichten vor \u2013 beginnend mit einer Erstmeldung innerhalb von 24 Stunden nach Kenntniserlangung, gefolgt von einer weiteren Meldung innerhalb von 72 Stunden und einer sp\u00e4teren Abschlussmeldung.<\/p>\n
Ob ein Unternehmen im Einzelfall meldepflichtig ist und welche Fristen konkret gelten, ist eine rechtliche Bewertung. Diese nehmen wir nicht vor. Unsere Aufgabe ist die technische Untersuchung.<\/p>\n
Eine IT-forensische Analyse kann Erkenntnisse zu Zeitpunkt und Verlauf des Vorfalls, zu betroffenen Systemen, technischen Auswirkungen, Kompromittierungsindikatoren, m\u00f6glicher Ursache und Umfang der Kompromittierung liefern \u2013 also die technische Tatsachengrundlage, auf die sich eine Meldung st\u00fctzen muss.<\/p>\n
Stand der regulatorischen Angaben: August 2026. Diese Passage ersetzt keine Rechtsberatung.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Umfangreiche Cybervorf\u00e4lle strukturiert untersuchen<\/h2>\n
Nicht jeder Cybervorfall erfordert dieselbe Untersuchungstiefe. Ein einzelner kompromittierter Arbeitsplatz unterscheidet sich erheblich von einem Vorfall, bei dem mehrere Standorte, Server, Active Directory, Cloud-Dienste und hunderte Endger\u00e4te betroffen sein k\u00f6nnten.<\/p>\n
Deshalb werden umfangreiche Untersuchungen in definierbare Projektphasen gegliedert. Nach einer ersten technischen Bewertung k\u00f6nnen Untersuchungsziele, Priorit\u00e4ten, relevante Systeme und erforderliche Ressourcen festgelegt werden.<\/p>\n
Dadurch bleibt auch bei komplexen Vorf\u00e4llen nachvollziehbar, welche Fragestellungen untersucht werden, welche Systeme hierf\u00fcr erforderlich sind, welche Erkenntnisse bereits vorliegen und welche weiteren Untersuchungsschritte fachlich sinnvoll sind.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Ergebnisse f\u00fcr Gesch\u00e4ftsf\u00fchrung und Entscheidungstr\u00e4ger<\/h2>\n
Ein Cybervorfall muss nicht nur technisch verstanden werden. Gesch\u00e4ftsf\u00fchrung, Rechtsabteilung, Versicherer und weitere Entscheidungstr\u00e4ger ben\u00f6tigen h\u00e4ufig eine andere Darstellung als die unmittelbar beteiligten IT-Spezialisten.<\/p>\n
Deshalb kann die technische Detaildokumentation bei umfangreichen Untersuchungen durch eine Management Summary erg\u00e4nzt werden. Diese fasst die wesentlichen Erkenntnisse verst\u00e4ndlich zusammen und trennt gesicherte Feststellungen, technische Indizien, daraus ableitbare Bewertungen und verbleibende Unsicherheiten.<\/p>\n
Vertiefend: technisch belastbarer Abschlussbericht f\u00fcr die Gesch\u00e4ftsf\u00fchrung<\/a> und Dokumentation der Entscheidungen der Gesch\u00e4ftsleitung<\/a>.<\/p>\n[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Was Unternehmen nach der Untersuchung erhalten k\u00f6nnen<\/h2>\n
![\"Ausgedruckter](\"https:\/\/lancologne.de\/wp-content\/uploads\/2026\/08\/Forensischer_Bericht-1080x675.jpg\" "\\"\\"")
<\/p>\n
Forensischer Untersuchungsbericht<\/h3>\n
Dokumentation von Untersuchungsauftrag, Datengrundlage, Vorgehensweise, relevanten Befunden und technischen Schlussfolgerungen.<\/p>\n
Incident Timeline<\/h3>\n
Chronologische Darstellung der f\u00fcr den Sicherheitsvorfall relevanten Ereignisse.<\/p>\n
Management Summary<\/h3>\n
Zusammenfassung der wesentlichen Ergebnisse f\u00fcr Gesch\u00e4ftsleitung und Entscheidungstr\u00e4ger.<\/p>\n
\u00dcbersicht betroffener Systeme und Konten<\/h3>\n
Darstellung der im Rahmen der Untersuchung festgestellten beziehungsweise wahrscheinlich betroffenen Komponenten.<\/p>\n
Indicators of Compromise<\/h3>\n
Dokumentation relevanter technischer Kompromittierungsindikatoren, soweit vorhanden.<\/p>\n
Ursachenanalyse<\/h3>\n
Bewertung des technisch nachvollziehbaren Eintrittswegs und der zugrunde liegenden Ursache, soweit dies anhand der vorhandenen Spuren m\u00f6glich ist.<\/p>\n
Bewertung m\u00f6glicher Datenzugriffe und Datenabfl\u00fcsse<\/h3>\n
Differenzierte Darstellung dessen, was anhand der vorhandenen Daten tats\u00e4chlich festgestellt werden konnte.<\/p>\n
Dokumentation der Beweissicherung<\/h3>\n
Soweit Bestandteil des Auftrags: Dokumentation von Datensicherungen, Integrit\u00e4tswerten und Chain of Custody.<\/p>\n
Technische Anlagen<\/h3>\n
Relevante Artefakte, Tabellen, Logausz\u00fcge, Screenshots und weitere technische Nachweise.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Warum LanCologne f\u00fcr die IT-forensische Untersuchung?<\/h2>\nForensische Untersuchung statt reiner St\u00f6rungsbeseitigung<\/h3>\n
Unser Schwerpunkt liegt nicht ausschlie\u00dflich darauf, ein betroffenes System wieder in Betrieb zu nehmen. Wir untersuchen die digitalen Spuren mit dem Ziel, den tats\u00e4chlichen Ablauf des Vorfalls nachvollziehbar zu rekonstruieren.<\/p>\n
Eigenes forensisches Labor<\/h3>\n
Beweissicherungen und Untersuchungen k\u00f6nnen innerhalb unserer eigenen forensischen Infrastruktur durchgef\u00fchrt werden.<\/p>\n
Unterschiedliche Datenquellen \u2013 ein Gesamtbild<\/h3>\n
Ein Sicherheitsvorfall l\u00e4sst sich h\u00e4ufig nicht aus einer einzelnen Logdatei erkl\u00e4ren. Deshalb k\u00f6nnen Daten aus Endger\u00e4ten, Servern, Identit\u00e4tssystemen, Netzwerkkomponenten, Cloud-Diensten und Sicherheitsl\u00f6sungen miteinander korreliert werden.<\/p>\n
Werkzeugergebnisse werden kritisch bewertet<\/h3>\n
Forensische und Security-Werkzeuge unterst\u00fctzen die Untersuchung, ersetzen jedoch nicht die fachliche Bewertung. Relevante Befunde werden soweit m\u00f6glich anhand zus\u00e4tzlicher Artefakte und Datenquellen verifiziert.<\/p>\n
Transparente Aussagegrenzen<\/h3>\n
Eine technisch m\u00f6gliche Handlung ist noch kein Nachweis daf\u00fcr, dass sie tats\u00e4chlich stattgefunden hat. Deshalb dokumentieren wir nicht nur Feststellungen, sondern auch deren Beweiswert und technische Grenzen.<\/p>\n
Zur Qualifikation: T\u00dcV-zertifizierter IT-Forensiker in K\u00f6ln<\/a>.<\/p>\n[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Cyberangriff festgestellt \u2013 was jetzt?<\/h2>\n
Bei einem laufenden oder k\u00fcrzlich entdeckten Cybervorfall sollten Ma\u00dfnahmen zur Eind\u00e4mmung, Wiederherstellung und Beweissicherung koordiniert erfolgen.<\/p>\n
Soweit die konkrete Gefahrenlage dies zul\u00e4sst, sollten potenziell relevante Systeme und Daten nicht unn\u00f6tig ver\u00e4ndert werden. Insbesondere k\u00f6nnen unkoordinierte Neuinstallationen, Bereinigungen, das L\u00f6schen von Benutzerkonten oder Protokolldaten sowie weitreichende Ver\u00e4nderungen an betroffenen Systemen die sp\u00e4tere Rekonstruktion erschweren.<\/p>\n
Gleichzeitig hat die Eind\u00e4mmung eines aktiven Angriffs eine hohe Priorit\u00e4t. Deshalb sollte zun\u00e4chst gekl\u00e4rt werden:<\/p>\n
\n- welche Systeme betroffen sind<\/li>\n
- welche Ma\u00dfnahmen unmittelbar erforderlich sind<\/li>\n
- welche Datenquellen kurzfristig erhalten werden m\u00fcssen<\/li>\n
- welche Systeme den h\u00f6chsten forensischen Informationswert besitzen<\/li>\n
- welche Ma\u00dfnahmen bereits durchgef\u00fchrt wurden<\/li>\n<\/ul>\n
Vertiefend: Systeme nach einem Cyberangriff isolieren<\/a> und Bereinigung oder Rebuild eines kompromittierten Systems<\/a>.<\/p>\n[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#0A0814″ custom_padding=“50px|0|50px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
IT-Forensik nach Cyberangriffen – aus Köln, bundesweit im Einsatz<\/h2>\n
Bei einem akuten Cybervorfall sind wir 24\/7 erreichbar – 365 Tage im Jahr, rund um die Uhr: +49 (0)221 64306610<\/a>. Reguläre Geschäftszeiten sind montags bis freitags von 08:00 bis 18:00 Uhr.<\/p>\nLanCologne hat den Sitz in der Horbeller Straße 31 in 50858 Köln. Untersuchungen führen wir seit 2015 bundesweit durch.<\/p>\n
Für Unternehmen im Großraum Köln bedeutet der Standort kurze Wege: Datenträger können persönlich übergeben werden, und betroffene Systeme können bei Bedarf vor Ort gesichert werden – etwa dann, wenn ein Transport betrieblich nicht möglich oder forensisch nicht sinnvoll ist.<\/p>\n
Die fachliche Grundlage ist eine vom TÜV Rheinland geprüfte Qualifikation für Mobilgeräte- und Windows-Forensik, öffentlich einsehbar in der Zertifikatsdatenbank Certipedia unter der Prüfzeichennummer 0000067863.<\/p>\n
Akuten Cybervorfall besprechen<\/a>[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\nH\u00e4ufig gestellte Fragen<\/h2>\nWas kostet eine IT-forensische Untersuchung nach einem Cyberangriff?<\/h3>\n
Eine pauschale Preisangabe ist bei komplexen Cybervorf\u00e4llen nicht seri\u00f6s m\u00f6glich. Der Aufwand h\u00e4ngt unter anderem von Anzahl und Art der betroffenen Systeme, Datenvolumen, Infrastruktur, Untersuchungszeitraum, vorhandenen Logs und der konkreten Fragestellung ab. Nach einer technischen Erstbewertung kann der Untersuchungsumfang definiert und bei gr\u00f6\u00dferen Vorf\u00e4llen in einzelne Projektphasen gegliedert werden.<\/p>\n
Wie schnell sollte eine Untersuchung nach einem Cybervorfall beginnen?<\/h3>\n
Grunds\u00e4tzlich m\u00f6glichst fr\u00fch, da bestimmte digitale Spuren fl\u00fcchtig sind oder durch den laufenden Betrieb ver\u00e4ndert beziehungsweise \u00fcberschrieben werden k\u00f6nnen. Gleichzeitig m\u00fcssen erforderliche Ma\u00dfnahmen zur Eind\u00e4mmung eines laufenden Angriffs ber\u00fccksichtigt werden.<\/p>\n
Kann festgestellt werden, wie ein Angreifer in das Unternehmen gelangt ist?<\/h3>\n
In vielen F\u00e4llen kann der m\u00f6gliche Eintrittsweg anhand unterschiedlicher Artefakte rekonstruiert werden. Ob eine eindeutige Feststellung m\u00f6glich ist, h\u00e4ngt jedoch von den vorhandenen Daten und zwischenzeitlich erfolgten Ver\u00e4nderungen ab.<\/p>\n
Kann festgestellt werden, ob Unternehmensdaten gestohlen wurden?<\/h3>\n
Das h\u00e4ngt von der vorhandenen Beweislage ab. Teilweise k\u00f6nnen konkrete Daten\u00fcbertragungen nachvollzogen werden. In anderen F\u00e4llen l\u00e4sst sich lediglich feststellen, dass bestimmte Daten zug\u00e4nglich waren oder aufgerufen wurden. Diese Sachverhalte werden in unserer Bewertung klar voneinander getrennt.<\/p>\n
Kann ein Ransomware-Angriff rekonstruiert werden?<\/h3>\n
Soweit die vorhandenen Spuren dies zulassen, ja. Untersucht werden k\u00f6nnen unter anderem der initiale Angriffsweg, betroffene Benutzerkonten, privilegierte Zugriffe, laterale Bewegungen, Persistenzmechanismen, Zugriffe auf Datenbest\u00e4nde, Hinweise auf Datenexfiltration sowie der zeitliche Ablauf bis zur Verschl\u00fcsselung.<\/p>\n
K\u00f6nnen auch bereits zur\u00fcckliegende Cyberangriffe untersucht werden?<\/h3>\n
Ja. Auch zur\u00fcckliegende Vorf\u00e4lle k\u00f6nnen untersucht werden. Die m\u00f6gliche Untersuchungstiefe h\u00e4ngt jedoch unter anderem davon ab, welche Systeme noch vorhanden sind, wie lange Protokolldaten gespeichert wurden und welche Ver\u00e4nderungen seit dem Vorfall vorgenommen wurden.<\/p>\n
Welche Systeme werden bei einem Cybervorfall untersucht?<\/h3>\n
Abh\u00e4ngig von Infrastruktur und Vorfall k\u00f6nnen unter anderem Windows-, Linux- und macOS-Systeme, Server und Arbeitsplatzrechner, Active Directory und Identit\u00e4tsinfrastrukturen, virtuelle Systeme, Firewalls, VPN- und Netzwerkkomponenten, Microsoft 365 und weitere Cloud-Dienste, E-Mail-Systeme, EDR-, XDR- und SIEM-Daten, Protokolldaten, Datentr\u00e4ger, Arbeitsspeicher sowie Backup-Systeme untersucht werden. Entscheidend ist nicht die Anzahl, sondern die forensische Relevanz.<\/p>\n
Welche Daten ben\u00f6tigt ein IT-Forensiker?<\/h3>\n
F\u00fcr die Erstbewertung sind zun\u00e4chst der bekannte Sachverhalt, Zeitpunkt und Art der Entdeckung, bereits festgestellte Auff\u00e4lligkeiten, vorhandene Sicherheitsmeldungen, betroffene Systeme und Konten sowie bereits durchgef\u00fchrte Gegenma\u00dfnahmen relevant. Welche Daten anschlie\u00dfend gesichert werden, ergibt sich aus den gemeinsam definierten Untersuchungszielen.<\/p>\n
Kann Microsoft 365 forensisch untersucht werden?<\/h3>\n
Ja, abh\u00e4ngig von den verf\u00fcgbaren Protokolldaten. Microsoft 365, Azure und weitere Cloud-Dienste geh\u00f6ren zu den Datenquellen, die im Rahmen einer Untersuchung gesichert und ausgewertet werden k\u00f6nnen. Welche Aussagen m\u00f6glich sind, h\u00e4ngt davon ab, welche Audit- und Anmeldedaten im konkreten Mandanten vorhanden sind und wie lange sie aufbewahrt wurden.<\/p>\n
Kann ein kompromittiertes Active Directory untersucht werden?<\/h3>\n
Active Directory und weitere Identit\u00e4tsinfrastrukturen z\u00e4hlen zu den forensisch relevanten Datenquellen. Untersucht werden k\u00f6nnen beispielsweise Anmeldevorg\u00e4nge, neu angelegte Konten, \u00c4nderungen von Berechtigungen und die Verwendung privilegierter Konten. Ob sich daraus ein vollst\u00e4ndiges Bild ergibt, h\u00e4ngt von den vorhandenen Protokolldaten und deren Aufbewahrungsdauer ab.<\/p>\n
Welche Rolle spielt IT-Forensik bei einer Cyberversicherung?<\/h3>\n
Der technische Untersuchungsbericht kann abh\u00e4ngig vom Auftrag so strukturiert werden, dass relevante technische Feststellungen f\u00fcr Versicherer beziehungsweise deren beauftragte Stellen nachvollziehbar dargestellt werden. Welche Informationen im konkreten Schadenfall ben\u00f6tigt werden, richtet sich nach Versicherungsvertrag und Auftrag. Aussagen zur Deckung treffen wir nicht.<\/p>\n
Welche Rolle spielt IT-Forensik bei NIS2-relevanten Sicherheitsvorf\u00e4llen?<\/h3>\n
Wir k\u00f6nnen die technische Tatsachengrundlage eines Sicherheitsvorfalls untersuchen und dokumentieren. Die rechtliche Bewertung einer konkreten Meldepflicht sollte durch die hierf\u00fcr zust\u00e4ndigen Stellen beziehungsweise die rechtliche Beratung des Unternehmens erfolgen.<\/p>\n
Kann ein forensischer Bericht sp\u00e4ter rechtlich verwendet werden?<\/h3>\n
Wenn dies bereits bei Auftragserteilung bekannt ist, k\u00f6nnen Beweissicherung, Dokumentation und Untersuchungsablauf entsprechend ausgerichtet werden. Eine pauschale Garantie der sp\u00e4teren gerichtlichen W\u00fcrdigung w\u00e4re jedoch unseri\u00f6s; \u00fcber den Beweiswert entscheidet letztlich das zust\u00e4ndige Gericht.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#9B2242″ custom_padding=“50px|0|50px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Einen Cybervorfall nicht nur beheben \u2013 sondern verstehen<\/h2>\n
Nach einem Sicherheitsvorfall k\u00f6nnen technische Entscheidungen weitreichende Auswirkungen haben. LanCologne unterst\u00fctzt dabei, relevante digitale Spuren zu sichern, den Vorfall strukturiert zu untersuchen und die verf\u00fcgbaren Erkenntnisse nachvollziehbar zu dokumentieren.<\/p>\n
Forensische Erstbewertung anfragen<\/a>
\n[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#ffffff“ custom_padding=“10px||30px||true|false“ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n\nWeiterf\u00fchrende Fachseiten<\/h2>\n\n- IT-Forensik \u2013 \u00dcbersicht<\/a><\/li>\n
- IT-Forensik f\u00fcr Unternehmen<\/a><\/li>\n
- IT-Forensik f\u00fcr Versicherungen<\/a><\/li>\n
- Windows-Forensik<\/a><\/li>\n
- Linux-Forensik<\/a><\/li>\n
- macOS-Forensik<\/a><\/li>\n<\/ul>\n<\/div>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section]<\/p>\n","protected":false},"excerpt":{"rendered":"
Ein Cyberangriff stellt Unternehmen h\u00e4ufig innerhalb k\u00fcrzester Zeit vor weitreichende technische, organisatorische und rechtliche Fragestellungen. Neben der Eind\u00e4mmung des Vorfalls und der Wiederherstellung des Gesch\u00e4ftsbetriebs muss gekl\u00e4rt werden, was tats\u00e4chlich geschehen ist, welche Systeme betroffen sind, wie weit ein m\u00f6glicher Angreifer in die Infrastruktur vorgedrungen ist und ob Daten eingesehen, ver\u00e4ndert, gel\u00f6scht oder \u00fcbertragen wurden.Cyberangriff […]<\/p>\n","protected":false},"author":1,"featured_media":399418,"parent":391316,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"","meta":{"_et_pb_use_builder":"on","_et_pb_old_content":"
[\/et_pb_fullwidth_code][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#0A0814″ custom_padding=“34px|0|46px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ custom_padding=“0|0|0|0″ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Ein Cyberangriff stellt Unternehmen h\u00e4ufig innerhalb k\u00fcrzester Zeit vor weitreichende technische, organisatorische und rechtliche Fragestellungen. Neben der Eind\u00e4mmung des Vorfalls und der Wiederherstellung des Gesch\u00e4ftsbetriebs muss gekl\u00e4rt werden, was tats\u00e4chlich geschehen ist, welche Systeme betroffen sind, wie weit ein m\u00f6glicher Angreifer in die Infrastruktur vorgedrungen ist und ob Daten eingesehen, ver\u00e4ndert, gel\u00f6scht oder \u00fcbertragen wurden.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Cyberangriff im Unternehmen \u2013 was ist tats\u00e4chlich passiert?<\/h2>\n
Nach einem Sicherheitsvorfall reichen einzelne Warnmeldungen eines Sicherheitssystems h\u00e4ufig nicht aus, um den tats\u00e4chlichen Umfang eines Angriffs zu beurteilen. Ein kompromittiertes Benutzerkonto, eine verd\u00e4chtige Netzwerkverbindung oder eine Schadsoftware auf einem einzelnen System kann lediglich ein Teil eines wesentlich umfangreicheren Vorfalls sein.<\/p>\n
Die IT-forensische Untersuchung verfolgt deshalb einen \u00fcbergreifenden Ansatz. Abh\u00e4ngig von der vorhandenen Beweislage k\u00f6nnen unter anderem folgende Fragen untersucht werden:<\/p>\n
- \n
- Wann lassen sich die ersten Hinweise auf eine Kompromittierung feststellen?<\/li>\n
- Wie k\u00f6nnte der initiale Zugriff auf die Infrastruktur erfolgt sein?<\/li>\n
- Welche Systeme und Benutzerkonten waren betroffen?<\/li>\n
- Wurden administrative oder privilegierte Konten verwendet?<\/li>\n
- Hat sich ein Angreifer innerhalb der Infrastruktur weiterbewegt?<\/li>\n
- Wurden zus\u00e4tzliche Zug\u00e4nge oder Persistenzmechanismen eingerichtet?<\/li>\n
- Welche Dateien und Datenbest\u00e4nde wurden aufgerufen?<\/li>\n
- Gibt es technische Hinweise auf eine \u00dcbertragung oder Exfiltration von Daten?<\/li>\n
- Wurden Daten ver\u00e4ndert, verschl\u00fcsselt oder gel\u00f6scht?<\/li>\n
- Welche Sicherheitsmechanismen wurden m\u00f6glicherweise umgangen oder manipuliert?<\/li>\n
- Welche externen Systeme oder IP-Adressen waren an der Kommunikation beteiligt?<\/li>\n
- Welche Indicators of Compromise lassen sich identifizieren?<\/li>\n
- L\u00e4sst sich der urspr\u00fcngliche Eintrittsweg technisch rekonstruieren?<\/li>\n
- Welche Auswirkungen des Vorfalls k\u00f6nnen anhand der vorhandenen Spuren belegt werden?<\/li>\n<\/ul>\n
Eine seri\u00f6se forensische Untersuchung muss ebenso aufzeigen, welche Fragen anhand der vorhandenen Daten nicht zweifelsfrei beantwortet werden k\u00f6nnen. Nicht jede technische Auff\u00e4lligkeit stellt einen Beweis dar. Deshalb unterscheiden wir zwischen festgestellten Tatsachen, technischen Indizien, daraus ableitbaren Schlussfolgerungen und Sachverhalten, die aufgrund der verf\u00fcgbaren Daten nicht abschlie\u00dfend beurteilt werden k\u00f6nnen.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Warum eine fr\u00fchzeitige forensische Untersuchung wichtig ist<\/h2>\n
Digitale Spuren sind teilweise fl\u00fcchtig. Logdateien werden \u00fcberschrieben, Cloud- und Security-Systeme besitzen begrenzte Aufbewahrungszeiten, Arbeitsspeicher ver\u00e4ndert sich kontinuierlich und durch administrative Eingriffe k\u00f6nnen relevante Artefakte ver\u00e4ndert oder vernichtet werden.<\/p>\n
Nach Bekanntwerden eines Cyberangriffs besteht deshalb h\u00e4ufig ein Spannungsfeld zwischen drei Zielen: Angriff eind\u00e4mmen \u2013 Gesch\u00e4ftsbetrieb sichern \u2013 digitale Spuren erhalten.<\/strong><\/p>\n
Eine forensische Untersuchung darf notwendige Ma\u00dfnahmen zur Eind\u00e4mmung eines laufenden Angriffs nicht unangemessen verz\u00f6gern. Gleichzeitig sollten relevante Systeme und Datenquellen nach M\u00f6glichkeit gesichert werden, bevor Neuinstallationen, Bereinigungen oder andere weitreichende Ver\u00e4nderungen vorgenommen werden.<\/p>\n
LanCologne kann bereits in einer fr\u00fchen Phase dabei unterst\u00fctzen, forensisch relevante Datenquellen zu identifizieren und die weiteren Untersuchungsschritte zu priorisieren. Wie sich Beweiserhalt und Eind\u00e4mmung koordinieren lassen<\/a>, ist dabei eine der ersten praktischen Fragen.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Forensische Erstbewertung des Sicherheitsvorfalls<\/h2>\n
Zu Beginn wird der bislang bekannte Sachverhalt aufgenommen. Dazu geh\u00f6ren beispielsweise Zeitpunkt und Art der Entdeckung, bereits festgestellte Auff\u00e4lligkeiten, betroffene Systeme, vorhandene Sicherheitsmeldungen, bekannte Benutzerkonten, durchgef\u00fchrte Gegenma\u00dfnahmen und die vorhandene IT-Infrastruktur.<\/p>\n
Gemeinsam mit dem Auftraggeber werden anschlie\u00dfend die konkreten Untersuchungsziele definiert. Bei umfangreichen Vorf\u00e4llen erm\u00f6glicht dieses Vorgehen eine Priorisierung besonders relevanter Systeme und Datenquellen.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Welche Systeme und Datenquellen werden untersucht?<\/h2>\n
Abh\u00e4ngig von Infrastruktur und Vorfall k\u00f6nnen beispielsweise Windows-, Linux- und macOS-Systeme, Server und Arbeitsplatzrechner, Active Directory und Identit\u00e4tsinfrastrukturen, virtuelle Systeme, Firewalls, VPN-Systeme, Netzwerkkomponenten, Microsoft 365, Azure, weitere Cloud-Dienste, E-Mail-Systeme, EDR-, XDR- und SIEM-Daten, Security- und Systemprotokolle, Netzwerk- und Verbindungsdaten, Datentr\u00e4ger, externe Speichermedien, Arbeitsspeicher sowie Backup-Systeme untersucht beziehungsweise gesichert werden.<\/p>\n
Nicht die Anzahl der untersuchten Systeme ist entscheidend, sondern deren forensische Relevanz f\u00fcr die Rekonstruktion des Vorfalls.<\/p>\n
Je nach betroffener Plattform greifen wir auf die jeweilige Fachdisziplin zur\u00fcck \u2013 etwa die forensische Untersuchung von Windows-Systemen<\/a>, die Untersuchung von Linux-Servern<\/a>, macOS-Forensik<\/a> oder die Auswertung mobiler Endger\u00e4te<\/a>.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Digitale Beweissicherung und Beweiserhalt<\/h2>\n
<\/p>\nSoweit es die jeweilige Situation erfordert und technisch erm\u00f6glicht, werden relevante Daten forensisch gesichert. Dabei k\u00f6nnen Integrit\u00e4tswerte dokumentiert und Originaldaten von den f\u00fcr die Untersuchung verwendeten Arbeitskopien getrennt werden.<\/p>\n
Bei beweisrelevanten Untersuchungen kann zus\u00e4tzlich eine dokumentierte Chain of Custody gef\u00fchrt werden. Ziel ist es, Herkunft und Integrit\u00e4t relevanter Untersuchungsdaten nachvollziehbar zu dokumentieren.<\/p>\n
Eine praktische Frage im laufenden Betrieb ist dabei, welche Logdaten als Beweisdaten aufbewahrt werden sollten<\/a> \u2013 und wie mit gel\u00f6schten oder manipulierten Logdateien<\/a> umzugehen ist.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Kompromittierungsanalyse<\/h2>\n
Die gesicherten Daten werden auf Hinweise einer m\u00f6glichen Kompromittierung untersucht. Dazu k\u00f6nnen geh\u00f6ren:<\/p>\n
- \n
- verd\u00e4chtige Prozesse und Programme<\/li>\n
- ungew\u00f6hnliche Benutzeranmeldungen und neu angelegte Konten<\/li>\n
- Ver\u00e4nderungen von Berechtigungen<\/li>\n
- Remote-Zugriffe sowie PowerShell- oder Kommandozeilenaktivit\u00e4ten<\/li>\n
- geplante Tasks, Dienste und Autostartmechanismen<\/li>\n
- Netzwerkverbindungen und Schadsoftware<\/li>\n
- manipulierte Systemdateien und weitere relevante Artefakte<\/li>\n<\/ul>\n
Eine zentrale Teilfrage lautet dabei, welche Systeme tats\u00e4chlich kompromittiert wurden<\/a> \u2013 und welche lediglich als betroffen vermutet werden.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Rekonstruktion des Angriffsverlaufs \u2013 Incident Timeline<\/h2>\n
<\/p>\nEine zentrale Aufgabe umfangreicher IT-forensischer Untersuchungen besteht in der zeitlichen Rekonstruktion des Vorfalls. Ereignisse unterschiedlicher Systeme und Datenquellen werden miteinander korreliert.<\/p>\n
Dadurch kann schrittweise ein Gesamtbild entstehen: Wann begann der Angriff? Welches System war zuerst betroffen? Welche Konten wurden anschlie\u00dfend verwendet? Welche Systeme wurden danach erreicht? Wann wurden Daten aufgerufen, ver\u00e4ndert oder verschl\u00fcsselt?<\/p>\n
Wie eine solche Angriffschronologie eines Cybervorfalls<\/a> entsteht und wo ihre Grenzen liegen, behandeln wir gesondert. Sind mehrere Dienstleister beteiligt, stellt sich zus\u00e4tzlich die Frage nach einer gemeinsamen Timeline<\/a>.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Initial Access und Root Cause Analysis<\/h2>\n
Soweit die vorhandenen Spuren dies erm\u00f6glichen, wird untersucht, wie der urspr\u00fcngliche Zugriff auf die Infrastruktur erfolgt sein k\u00f6nnte. M\u00f6gliche Ursachen k\u00f6nnen kompromittierte Zugangsdaten, exponierte Dienste, Sicherheitsl\u00fccken, manipulierte E-Mails, Remote-Zug\u00e4nge oder andere technische Angriffswege sein.<\/p>\n
Eine Ursache wird nicht deshalb als festgestellt bezeichnet, weil sie technisch plausibel erscheint. Entscheidend ist, welche Schlussfolgerung durch die tats\u00e4chlich vorhandenen Artefakte gest\u00fctzt wird.<\/p>\n
Vertiefend: Root-Cause-Analyse eines Cyberangriffs<\/a>, Eintrittsweg forensisch bestimmen<\/a> sowie Phishing-Verdacht technisch pr\u00fcfen<\/a>.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Laterale Bewegung, Berechtigungsausweitung und Persistenz<\/h2>\n
Bei komplexeren Angriffen bleibt ein Angreifer h\u00e4ufig nicht auf dem urspr\u00fcnglich kompromittierten System. Deshalb kann untersucht werden, ob weitere Systeme angesprochen, Zugangsdaten verwendet, privilegierte Konten kompromittiert oder administrative Werkzeuge eingesetzt wurden. Hierdurch l\u00e4sst sich der tats\u00e4chliche Umfang eines Vorfalls h\u00e4ufig wesentlich genauer bestimmen.<\/p>\n
Laterale Bewegung<\/h3>\n
Untersucht wird, ob und auf welchem Weg weitere Systeme innerhalb der Infrastruktur erreicht wurden. Vertiefend: laterale Bewegung im Unternehmen rekonstruieren<\/a>.<\/p>\n
Privilegierte Konten<\/h3>\n
Die Verwendung administrativer Konten ver\u00e4ndert die Reichweite eines Vorfalls erheblich. Vertiefend: Kompromittierung von Administratorkonten<\/a> und gestohlene Zugangsdaten<\/a>.<\/p>\n
Persistenz<\/h3>\n
Geplante Tasks, Dienste, Autostartmechanismen und zus\u00e4tzlich eingerichtete Zug\u00e4nge k\u00f6nnen einem Angreifer dauerhaften Zugriff erm\u00f6glichen. Vertiefend: Persistenzmechanismen nachweisen<\/a>.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Datenzugriff und m\u00f6gliche Datenexfiltration<\/h2>\n
Eine der wichtigsten Fragen nach einem Cyberangriff lautet h\u00e4ufig, ob Unternehmensdaten entwendet wurden. Dabei muss klar unterschieden werden zwischen:<\/p>\n
- \n
- Daten waren erreichbar<\/strong><\/li>\n
- Daten wurden aufgerufen<\/strong><\/li>\n
- Daten wurden gesammelt<\/strong> beziehungsweise f\u00fcr eine m\u00f6gliche \u00dcbertragung vorbereitet<\/li>\n
- es existieren technische Hinweise<\/strong> auf eine \u00dcbertragung<\/li>\n
- eine \u00dcbertragung kann technisch nachvollzogen<\/strong> werden<\/li>\n<\/ul>\n
LanCologne dokumentiert, welche dieser Aussagen durch die vorhandene Beweislage gest\u00fctzt werden. Kann eine tats\u00e4chliche Daten\u00fcbertragung nicht belegt werden, wird aus einem theoretisch m\u00f6glichen Zugriff kein vermeintlich bewiesener Datenabfluss konstruiert.<\/p>\n
Vertiefend: Hinweise auf Datenexfiltration pr\u00fcfen<\/a>, Umfang m\u00f6glicherweise abgeflossener Daten eingrenzen<\/a> und Betroffenheit personenbezogener Daten<\/a>.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#9B2242″ custom_padding=“50px|0|50px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Cybervorfall forensisch untersuchen lassen<\/h2>\n
Akuter oder zur\u00fcckliegender Cybervorfall? Sprechen Sie mit uns \u00fcber die betroffene Infrastruktur und die zu kl\u00e4renden Fragestellungen.<\/p>\n
Sachverhalt vertraulich besprechen<\/a>
\n[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\nIT-Forensik nach einem Ransomware-Angriff<\/h2>\n
<\/p>\nEin Ransomware-Angriff beginnt nicht zwangsl\u00e4ufig mit der sichtbaren Verschl\u00fcsselung von Daten. Zwischen initialem Zugriff und Verschl\u00fcsselung k\u00f6nnen Stunden, Tage oder in bestimmten F\u00e4llen noch l\u00e4ngere Zeitr\u00e4ume liegen.<\/p>\n
W\u00e4hrend dieser Phase k\u00f6nnen Zugangsdaten gesammelt, zus\u00e4tzliche Systeme kompromittiert, Berechtigungen erweitert, Sicherheitsmechanismen ver\u00e4ndert oder Datenbest\u00e4nde untersucht worden sein. Die sichtbare Verschl\u00fcsselung kann damit lediglich die Endphase eines wesentlich umfangreicheren Angriffs darstellen.<\/p>\n
Eine forensische Ransomware-Untersuchung kann deshalb unter anderem umfassen:<\/p>\n
- \n
- initialer Angriffsweg und betroffene Benutzerkonten<\/li>\n
- privilegierte Zugriffe und laterale Bewegungen<\/li>\n
- Persistenzmechanismen<\/li>\n
- Manipulation von Sicherheitsl\u00f6sungen<\/li>\n
- Zugriffe auf Server und Datenbest\u00e4nde<\/li>\n
- Hinweise auf Datenexfiltration<\/li>\n
- zeitlicher Ablauf bis zur Verschl\u00fcsselung<\/li>\n<\/ul>\n
Ziel ist es, den Vorfall soweit wie technisch m\u00f6glich vom ersten feststellbaren Ereignis bis zu den sichtbaren Auswirkungen zu rekonstruieren.<\/p>\n
Vertiefend: Zeitraum zwischen Erstkompromittierung und Verschl\u00fcsselung<\/a>, Reichweite der Verschl\u00fcsselung bestimmen<\/a> und Ransomware auf Linux-Systemen<\/a>.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Microsoft 365, Cloud und Identit\u00e4tsinfrastrukturen<\/h2>\n
<\/p>\nMicrosoft 365, Azure, weitere Cloud-Dienste sowie Active Directory und andere Identit\u00e4tsinfrastrukturen z\u00e4hlen zu den Datenquellen, die im Rahmen einer Untersuchung gesichert und ausgewertet werden k\u00f6nnen. Welche Aussagen m\u00f6glich sind, h\u00e4ngt davon ab, welche Audit- und Anmeldedaten vorhanden sind und wie lange sie aufbewahrt wurden.<\/p>\n
Vertiefend: Kompromittierung von Microsoft 365 untersuchen<\/a>, aktive Cloud-Sessions nach einem Angriff<\/a>, Diebstahl von Session-Tokens<\/a> und Zur\u00fccksetzen kompromittierter Zugangsdaten und Tokens<\/a>.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Forensische Untersuchung f\u00fcr Cyberversicherungen<\/h2>\n
Nach einem Cybervorfall k\u00f6nnen Ursache, Umfang und Auswirkungen eines Sicherheitsereignisses auch f\u00fcr die Schadenregulierung einer Cyberversicherung relevant sein. LanCologne unterst\u00fctzt Unternehmen und \u2013 abh\u00e4ngig vom Mandat \u2013 Versicherer beziehungsweise deren beauftragte Stellen bei der technischen Aufarbeitung.<\/p>\n
Dokumentiert werden k\u00f6nnen insbesondere Ursache und zeitlicher Verlauf, betroffene IT-Systeme, Umfang der feststellbaren Kompromittierung, Hinweise auf unbefugte Zugriffe, Datenzugriffe und m\u00f6glicher Datenabfluss, Manipulation oder Verschl\u00fcsselung von Daten, technische Auswirkungen auf den Gesch\u00e4ftsbetrieb sowie durchgef\u00fchrte Untersuchungs- und Sicherungsma\u00dfnahmen.<\/p>\n
Der konkrete Untersuchungsumfang kann mit den Beteiligten abgestimmt und in klar definierte Projektphasen unterteilt werden. Aussagen zu Versicherungsdeckung, Regulierungsanspruch oder rechtlicher Verantwortlichkeit treffen wir nicht.<\/p>\n
Vertiefend: IT-Forensik f\u00fcr Versicherungen<\/a> sowie Datenexfiltration vor der Verschl\u00fcsselung pr\u00fcfen<\/a>.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
IT-Forensik im Kontext von NIS2 und BSIG<\/h2>\n
F\u00fcr besonders wichtige und wichtige Einrichtungen sieht \u00a7 32 BSIG bei erheblichen Sicherheitsvorf\u00e4llen abgestufte Meldepflichten vor \u2013 beginnend mit einer Erstmeldung innerhalb von 24 Stunden nach Kenntniserlangung, gefolgt von einer weiteren Meldung innerhalb von 72 Stunden und einer sp\u00e4teren Abschlussmeldung.<\/p>\n
Ob ein Unternehmen im Einzelfall meldepflichtig ist und welche Fristen konkret gelten, ist eine rechtliche Bewertung. Diese nehmen wir nicht vor. Unsere Aufgabe ist die technische Untersuchung.<\/p>\n
Eine IT-forensische Analyse kann Erkenntnisse zu Zeitpunkt und Verlauf des Vorfalls, zu betroffenen Systemen, technischen Auswirkungen, Kompromittierungsindikatoren, m\u00f6glicher Ursache und Umfang der Kompromittierung liefern \u2013 also die technische Tatsachengrundlage, auf die sich eine Meldung st\u00fctzen muss.<\/p>\n
Stand der regulatorischen Angaben: August 2026. Diese Passage ersetzt keine Rechtsberatung.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Umfangreiche Cybervorf\u00e4lle strukturiert untersuchen<\/h2>\n
Nicht jeder Cybervorfall erfordert dieselbe Untersuchungstiefe. Ein einzelner kompromittierter Arbeitsplatz unterscheidet sich erheblich von einem Vorfall, bei dem mehrere Standorte, Server, Active Directory, Cloud-Dienste und hunderte Endger\u00e4te betroffen sein k\u00f6nnten.<\/p>\n
Deshalb werden umfangreiche Untersuchungen in definierbare Projektphasen gegliedert. Nach einer ersten technischen Bewertung k\u00f6nnen Untersuchungsziele, Priorit\u00e4ten, relevante Systeme und erforderliche Ressourcen festgelegt werden.<\/p>\n
Dadurch bleibt auch bei komplexen Vorf\u00e4llen nachvollziehbar, welche Fragestellungen untersucht werden, welche Systeme hierf\u00fcr erforderlich sind, welche Erkenntnisse bereits vorliegen und welche weiteren Untersuchungsschritte fachlich sinnvoll sind.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Ergebnisse f\u00fcr Gesch\u00e4ftsf\u00fchrung und Entscheidungstr\u00e4ger<\/h2>\n
Ein Cybervorfall muss nicht nur technisch verstanden werden. Gesch\u00e4ftsf\u00fchrung, Rechtsabteilung, Versicherer und weitere Entscheidungstr\u00e4ger ben\u00f6tigen h\u00e4ufig eine andere Darstellung als die unmittelbar beteiligten IT-Spezialisten.<\/p>\n
Deshalb kann die technische Detaildokumentation bei umfangreichen Untersuchungen durch eine Management Summary erg\u00e4nzt werden. Diese fasst die wesentlichen Erkenntnisse verst\u00e4ndlich zusammen und trennt gesicherte Feststellungen, technische Indizien, daraus ableitbare Bewertungen und verbleibende Unsicherheiten.<\/p>\n
Vertiefend: technisch belastbarer Abschlussbericht f\u00fcr die Gesch\u00e4ftsf\u00fchrung<\/a> und Dokumentation der Entscheidungen der Gesch\u00e4ftsleitung<\/a>.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Was Unternehmen nach der Untersuchung erhalten k\u00f6nnen<\/h2>\n
<\/p>\nForensischer Untersuchungsbericht<\/h3>\n
Dokumentation von Untersuchungsauftrag, Datengrundlage, Vorgehensweise, relevanten Befunden und technischen Schlussfolgerungen.<\/p>\n
Incident Timeline<\/h3>\n
Chronologische Darstellung der f\u00fcr den Sicherheitsvorfall relevanten Ereignisse.<\/p>\n
Management Summary<\/h3>\n
Zusammenfassung der wesentlichen Ergebnisse f\u00fcr Gesch\u00e4ftsleitung und Entscheidungstr\u00e4ger.<\/p>\n
\u00dcbersicht betroffener Systeme und Konten<\/h3>\n
Darstellung der im Rahmen der Untersuchung festgestellten beziehungsweise wahrscheinlich betroffenen Komponenten.<\/p>\n
Indicators of Compromise<\/h3>\n
Dokumentation relevanter technischer Kompromittierungsindikatoren, soweit vorhanden.<\/p>\n
Ursachenanalyse<\/h3>\n
Bewertung des technisch nachvollziehbaren Eintrittswegs und der zugrunde liegenden Ursache, soweit dies anhand der vorhandenen Spuren m\u00f6glich ist.<\/p>\n
Bewertung m\u00f6glicher Datenzugriffe und Datenabfl\u00fcsse<\/h3>\n
Differenzierte Darstellung dessen, was anhand der vorhandenen Daten tats\u00e4chlich festgestellt werden konnte.<\/p>\n
Dokumentation der Beweissicherung<\/h3>\n
Soweit Bestandteil des Auftrags: Dokumentation von Datensicherungen, Integrit\u00e4tswerten und Chain of Custody.<\/p>\n
Technische Anlagen<\/h3>\n
Relevante Artefakte, Tabellen, Logausz\u00fcge, Screenshots und weitere technische Nachweise.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Warum LanCologne f\u00fcr die IT-forensische Untersuchung?<\/h2>\n
Forensische Untersuchung statt reiner St\u00f6rungsbeseitigung<\/h3>\n
Unser Schwerpunkt liegt nicht ausschlie\u00dflich darauf, ein betroffenes System wieder in Betrieb zu nehmen. Wir untersuchen die digitalen Spuren mit dem Ziel, den tats\u00e4chlichen Ablauf des Vorfalls nachvollziehbar zu rekonstruieren.<\/p>\n
Eigenes forensisches Labor<\/h3>\n
Beweissicherungen und Untersuchungen k\u00f6nnen innerhalb unserer eigenen forensischen Infrastruktur durchgef\u00fchrt werden.<\/p>\n
Unterschiedliche Datenquellen \u2013 ein Gesamtbild<\/h3>\n
Ein Sicherheitsvorfall l\u00e4sst sich h\u00e4ufig nicht aus einer einzelnen Logdatei erkl\u00e4ren. Deshalb k\u00f6nnen Daten aus Endger\u00e4ten, Servern, Identit\u00e4tssystemen, Netzwerkkomponenten, Cloud-Diensten und Sicherheitsl\u00f6sungen miteinander korreliert werden.<\/p>\n
Werkzeugergebnisse werden kritisch bewertet<\/h3>\n
Forensische und Security-Werkzeuge unterst\u00fctzen die Untersuchung, ersetzen jedoch nicht die fachliche Bewertung. Relevante Befunde werden soweit m\u00f6glich anhand zus\u00e4tzlicher Artefakte und Datenquellen verifiziert.<\/p>\n
Transparente Aussagegrenzen<\/h3>\n
Eine technisch m\u00f6gliche Handlung ist noch kein Nachweis daf\u00fcr, dass sie tats\u00e4chlich stattgefunden hat. Deshalb dokumentieren wir nicht nur Feststellungen, sondern auch deren Beweiswert und technische Grenzen.<\/p>\n
Zur Qualifikation: T\u00dcV-zertifizierter IT-Forensiker in K\u00f6ln<\/a>.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Cyberangriff festgestellt \u2013 was jetzt?<\/h2>\n
Bei einem laufenden oder k\u00fcrzlich entdeckten Cybervorfall sollten Ma\u00dfnahmen zur Eind\u00e4mmung, Wiederherstellung und Beweissicherung koordiniert erfolgen.<\/p>\n
Soweit die konkrete Gefahrenlage dies zul\u00e4sst, sollten potenziell relevante Systeme und Daten nicht unn\u00f6tig ver\u00e4ndert werden. Insbesondere k\u00f6nnen unkoordinierte Neuinstallationen, Bereinigungen, das L\u00f6schen von Benutzerkonten oder Protokolldaten sowie weitreichende Ver\u00e4nderungen an betroffenen Systemen die sp\u00e4tere Rekonstruktion erschweren.<\/p>\n
Gleichzeitig hat die Eind\u00e4mmung eines aktiven Angriffs eine hohe Priorit\u00e4t. Deshalb sollte zun\u00e4chst gekl\u00e4rt werden:<\/p>\n
- \n
- welche Systeme betroffen sind<\/li>\n
- welche Ma\u00dfnahmen unmittelbar erforderlich sind<\/li>\n
- welche Datenquellen kurzfristig erhalten werden m\u00fcssen<\/li>\n
- welche Systeme den h\u00f6chsten forensischen Informationswert besitzen<\/li>\n
- welche Ma\u00dfnahmen bereits durchgef\u00fchrt wurden<\/li>\n<\/ul>\n
Vertiefend: Systeme nach einem Cyberangriff isolieren<\/a> und Bereinigung oder Rebuild eines kompromittierten Systems<\/a>.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#0A0814″ custom_padding=“50px|0|50px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
IT-Forensik nach Cyberangriffen – aus Köln, bundesweit im Einsatz<\/h2>\n
Bei einem akuten Cybervorfall sind wir 24\/7 erreichbar – 365 Tage im Jahr, rund um die Uhr: +49 (0)221 64306610<\/a>. Reguläre Geschäftszeiten sind montags bis freitags von 08:00 bis 18:00 Uhr.<\/p>\n
LanCologne hat den Sitz in der Horbeller Straße 31 in 50858 Köln. Untersuchungen führen wir seit 2015 bundesweit durch.<\/p>\n
Für Unternehmen im Großraum Köln bedeutet der Standort kurze Wege: Datenträger können persönlich übergeben werden, und betroffene Systeme können bei Bedarf vor Ort gesichert werden – etwa dann, wenn ein Transport betrieblich nicht möglich oder forensisch nicht sinnvoll ist.<\/p>\n
Die fachliche Grundlage ist eine vom TÜV Rheinland geprüfte Qualifikation für Mobilgeräte- und Windows-Forensik, öffentlich einsehbar in der Zertifikatsdatenbank Certipedia unter der Prüfzeichennummer 0000067863.<\/p>\n
Akuten Cybervorfall besprechen<\/a>[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
H\u00e4ufig gestellte Fragen<\/h2>\n
Was kostet eine IT-forensische Untersuchung nach einem Cyberangriff?<\/h3>\n
Eine pauschale Preisangabe ist bei komplexen Cybervorf\u00e4llen nicht seri\u00f6s m\u00f6glich. Der Aufwand h\u00e4ngt unter anderem von Anzahl und Art der betroffenen Systeme, Datenvolumen, Infrastruktur, Untersuchungszeitraum, vorhandenen Logs und der konkreten Fragestellung ab. Nach einer technischen Erstbewertung kann der Untersuchungsumfang definiert und bei gr\u00f6\u00dferen Vorf\u00e4llen in einzelne Projektphasen gegliedert werden.<\/p>\n
Wie schnell sollte eine Untersuchung nach einem Cybervorfall beginnen?<\/h3>\n
Grunds\u00e4tzlich m\u00f6glichst fr\u00fch, da bestimmte digitale Spuren fl\u00fcchtig sind oder durch den laufenden Betrieb ver\u00e4ndert beziehungsweise \u00fcberschrieben werden k\u00f6nnen. Gleichzeitig m\u00fcssen erforderliche Ma\u00dfnahmen zur Eind\u00e4mmung eines laufenden Angriffs ber\u00fccksichtigt werden.<\/p>\n
Kann festgestellt werden, wie ein Angreifer in das Unternehmen gelangt ist?<\/h3>\n
In vielen F\u00e4llen kann der m\u00f6gliche Eintrittsweg anhand unterschiedlicher Artefakte rekonstruiert werden. Ob eine eindeutige Feststellung m\u00f6glich ist, h\u00e4ngt jedoch von den vorhandenen Daten und zwischenzeitlich erfolgten Ver\u00e4nderungen ab.<\/p>\n
Kann festgestellt werden, ob Unternehmensdaten gestohlen wurden?<\/h3>\n
Das h\u00e4ngt von der vorhandenen Beweislage ab. Teilweise k\u00f6nnen konkrete Daten\u00fcbertragungen nachvollzogen werden. In anderen F\u00e4llen l\u00e4sst sich lediglich feststellen, dass bestimmte Daten zug\u00e4nglich waren oder aufgerufen wurden. Diese Sachverhalte werden in unserer Bewertung klar voneinander getrennt.<\/p>\n
Kann ein Ransomware-Angriff rekonstruiert werden?<\/h3>\n
Soweit die vorhandenen Spuren dies zulassen, ja. Untersucht werden k\u00f6nnen unter anderem der initiale Angriffsweg, betroffene Benutzerkonten, privilegierte Zugriffe, laterale Bewegungen, Persistenzmechanismen, Zugriffe auf Datenbest\u00e4nde, Hinweise auf Datenexfiltration sowie der zeitliche Ablauf bis zur Verschl\u00fcsselung.<\/p>\n
K\u00f6nnen auch bereits zur\u00fcckliegende Cyberangriffe untersucht werden?<\/h3>\n
Ja. Auch zur\u00fcckliegende Vorf\u00e4lle k\u00f6nnen untersucht werden. Die m\u00f6gliche Untersuchungstiefe h\u00e4ngt jedoch unter anderem davon ab, welche Systeme noch vorhanden sind, wie lange Protokolldaten gespeichert wurden und welche Ver\u00e4nderungen seit dem Vorfall vorgenommen wurden.<\/p>\n
Welche Systeme werden bei einem Cybervorfall untersucht?<\/h3>\n
Abh\u00e4ngig von Infrastruktur und Vorfall k\u00f6nnen unter anderem Windows-, Linux- und macOS-Systeme, Server und Arbeitsplatzrechner, Active Directory und Identit\u00e4tsinfrastrukturen, virtuelle Systeme, Firewalls, VPN- und Netzwerkkomponenten, Microsoft 365 und weitere Cloud-Dienste, E-Mail-Systeme, EDR-, XDR- und SIEM-Daten, Protokolldaten, Datentr\u00e4ger, Arbeitsspeicher sowie Backup-Systeme untersucht werden. Entscheidend ist nicht die Anzahl, sondern die forensische Relevanz.<\/p>\n
Welche Daten ben\u00f6tigt ein IT-Forensiker?<\/h3>\n
F\u00fcr die Erstbewertung sind zun\u00e4chst der bekannte Sachverhalt, Zeitpunkt und Art der Entdeckung, bereits festgestellte Auff\u00e4lligkeiten, vorhandene Sicherheitsmeldungen, betroffene Systeme und Konten sowie bereits durchgef\u00fchrte Gegenma\u00dfnahmen relevant. Welche Daten anschlie\u00dfend gesichert werden, ergibt sich aus den gemeinsam definierten Untersuchungszielen.<\/p>\n
Kann Microsoft 365 forensisch untersucht werden?<\/h3>\n
Ja, abh\u00e4ngig von den verf\u00fcgbaren Protokolldaten. Microsoft 365, Azure und weitere Cloud-Dienste geh\u00f6ren zu den Datenquellen, die im Rahmen einer Untersuchung gesichert und ausgewertet werden k\u00f6nnen. Welche Aussagen m\u00f6glich sind, h\u00e4ngt davon ab, welche Audit- und Anmeldedaten im konkreten Mandanten vorhanden sind und wie lange sie aufbewahrt wurden.<\/p>\n
Kann ein kompromittiertes Active Directory untersucht werden?<\/h3>\n
Active Directory und weitere Identit\u00e4tsinfrastrukturen z\u00e4hlen zu den forensisch relevanten Datenquellen. Untersucht werden k\u00f6nnen beispielsweise Anmeldevorg\u00e4nge, neu angelegte Konten, \u00c4nderungen von Berechtigungen und die Verwendung privilegierter Konten. Ob sich daraus ein vollst\u00e4ndiges Bild ergibt, h\u00e4ngt von den vorhandenen Protokolldaten und deren Aufbewahrungsdauer ab.<\/p>\n
Welche Rolle spielt IT-Forensik bei einer Cyberversicherung?<\/h3>\n
Der technische Untersuchungsbericht kann abh\u00e4ngig vom Auftrag so strukturiert werden, dass relevante technische Feststellungen f\u00fcr Versicherer beziehungsweise deren beauftragte Stellen nachvollziehbar dargestellt werden. Welche Informationen im konkreten Schadenfall ben\u00f6tigt werden, richtet sich nach Versicherungsvertrag und Auftrag. Aussagen zur Deckung treffen wir nicht.<\/p>\n
Welche Rolle spielt IT-Forensik bei NIS2-relevanten Sicherheitsvorf\u00e4llen?<\/h3>\n
Wir k\u00f6nnen die technische Tatsachengrundlage eines Sicherheitsvorfalls untersuchen und dokumentieren. Die rechtliche Bewertung einer konkreten Meldepflicht sollte durch die hierf\u00fcr zust\u00e4ndigen Stellen beziehungsweise die rechtliche Beratung des Unternehmens erfolgen.<\/p>\n
Kann ein forensischer Bericht sp\u00e4ter rechtlich verwendet werden?<\/h3>\n
Wenn dies bereits bei Auftragserteilung bekannt ist, k\u00f6nnen Beweissicherung, Dokumentation und Untersuchungsablauf entsprechend ausgerichtet werden. Eine pauschale Garantie der sp\u00e4teren gerichtlichen W\u00fcrdigung w\u00e4re jedoch unseri\u00f6s; \u00fcber den Beweiswert entscheidet letztlich das zust\u00e4ndige Gericht.<\/p>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#9B2242″ custom_padding=“50px|0|50px|0″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n
Einen Cybervorfall nicht nur beheben \u2013 sondern verstehen<\/h2>\n
Nach einem Sicherheitsvorfall k\u00f6nnen technische Entscheidungen weitreichende Auswirkungen haben. LanCologne unterst\u00fctzt dabei, relevante digitale Spuren zu sichern, den Vorfall strukturiert zu untersuchen und die verf\u00fcgbaren Erkenntnisse nachvollziehbar zu dokumentieren.<\/p>\n
Forensische Erstbewertung anfragen<\/a>
\n[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section][et_pb_section fb_built=“1″ _builder_version=“4.16″ background_color=“#ffffff“ custom_padding=“10px||30px||true|false“ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ global_colors_info=“{}“]<\/p>\n\nWeiterf\u00fchrende Fachseiten<\/h2>\n
- \n
- IT-Forensik \u2013 \u00dcbersicht<\/a><\/li>\n
- IT-Forensik f\u00fcr Unternehmen<\/a><\/li>\n
- IT-Forensik f\u00fcr Versicherungen<\/a><\/li>\n
- Windows-Forensik<\/a><\/li>\n
- Linux-Forensik<\/a><\/li>\n
- macOS-Forensik<\/a><\/li>\n<\/ul>\n<\/div>\n
[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section]<\/p>\n","protected":false},"excerpt":{"rendered":"
Ein Cyberangriff stellt Unternehmen h\u00e4ufig innerhalb k\u00fcrzester Zeit vor weitreichende technische, organisatorische und rechtliche Fragestellungen. Neben der Eind\u00e4mmung des Vorfalls und der Wiederherstellung des Gesch\u00e4ftsbetriebs muss gekl\u00e4rt werden, was tats\u00e4chlich geschehen ist, welche Systeme betroffen sind, wie weit ein m\u00f6glicher Angreifer in die Infrastruktur vorgedrungen ist und ob Daten eingesehen, ver\u00e4ndert, gel\u00f6scht oder \u00fcbertragen wurden.Cyberangriff […]<\/p>\n","protected":false},"author":1,"featured_media":399418,"parent":391316,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"","meta":{"_et_pb_use_builder":"on","_et_pb_old_content":"
- IT-Forensik f\u00fcr Unternehmen<\/a><\/li>\n
- IT-Forensik \u2013 \u00dcbersicht<\/a><\/li>\n
- Daten wurden aufgerufen<\/strong><\/li>\n
- Daten waren erreichbar<\/strong><\/li>\n