IT‑forensische Analyse: Beweissicherung nach Cyberangriffen

Bewahren Sie Ruhe und trennen Sie die betroffenen Systeme nicht unüberlegt vom Strom. Schalten Sie die Geräte nicht aus. Jede Veränderung kann wichtige digitale Spuren vernichten. Isolieren Sie die betroffenen Systeme, wenn möglich, auf Netzwerkebene und dokumentieren Sie alle Auffälligkeiten sowie die bisherigen Schritte. Kontaktieren Sie umgehend unsere Experten für eine professionelle IT‑forensische Analyse, um das weitere Vorgehen abzustimmen und keine Beweismittel zu gefährden.

Die Auswertung von Beschäftigtendaten im Rahmen einer IT‑forensischen Analyse ist grundsätzlich möglich. Sie unterliegt jedoch insbesondere den Anforderungen des § 26 Abs. 1 S. 2 BDSG (Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses) sowie der hierzu einschlägigen Rechtsprechung des Bundesarbeitsgerichts. Es müssen konkrete Anhaltspunkte dokumentiert sein, die den Verdacht einer Straftat im Beschäftigungsverhältnis begründen. Weiterhin sind im Rahmen einer Verhältnismäßigkeitsprüfung die Interessen von Arbeitgeber und Beschäftigten gegeneinander abzuwägen. Zudem ist die Beteiligung des Betriebsrats (sofern vorhanden) gemäß § 87 Abs. 1 Nr. 6 BetrVG im Regelfall zwingend erforderlich.Wir begleiten Unternehmen bei der rechtskonformen Ausgestaltung interner Ermittlungen und stellt sicher, dass die Untersuchung datenschutzrechtlich einwandfrei durchgeführt wird.

Die Verantwortung liegt grundsätzlich immer bei der Geschäftsführung. Die Koordinierung der IT‑forensischen Analyse hingegen liegt typischerweise beim IT‑Sicherheitsverantwortlichen oder CISO, wird aber häufig in enger Abstimmung mit der Geschäftsführung, dem Datenschutzbeauftragten und der Rechtsabteilung koordiniert. intersoft consulting unterstützt bei der internen Rollenklärung und übernimmt auf Wunsch auch die Kommunikation mit Behörden, Versicherungen und externen Stellen – damit Sie sich auf das Wesentliche konzentrieren können.

Durch jahrelange Erfahrung in der IT‑Forensik können wir in der Regel im Erstgespräch den Umfang der IT‑forensischen Untersuchung präzise einschätzen. Um eine Analyse so kurz wie möglich halten zu können, ist es wichtig, den Zeitraum der Tat so genau wie möglich eingrenzen zu können. Wurden z. B. Daten seit drei Wochen abgezogen oder ist nur ein Tag betroffen? Anschließend werden Artefakte nur aus diesem Zeitraum untersucht und nicht aus der gesamten Laufzeit eines Systems. Der Aufwand einer Untersuchung wird individuell mit Ihnen abgestimmt. Ein weiterer maßgebender Faktor sind die Größe und die Anzahl der Datenträger, welche untersucht werden sollen. Zu Beginn eines jeden Auftrages werden forensische Master- und Arbeitskopien angefertigt. In diesem Prozess werden die Inhalte 1:1 auf einen neuen Datenträger kopiert. Die Dauer hängt von der Größe der zu kopierenden Datenträger ab.

Auch notwendige Tools und die für den Sachverhalt relevanten Artefakte zur Aufklärung des Falls sind für den Umfang entscheidend. Das liegt vor allem daran, dass die forensischen Tools und die Analysten Zeit benötigen, um die erstellten Kopien nach Informationen zu durchsuchen. Die Ergebnisse einer Analyse werden von uns manuell verifiziert. Abschließend zu der IT‑forensischen Analyse wird ein gerichtsverwertbares IT‑Gutachten erstellt, worin sich die aufbereiteten Informationen befinden und für den entsprechenden Adressatenkreis beschrieben werden. In diesem Bericht werden die vorgenommenen Schritte und Ergebnisse der Analyse detailliert beschrieben.

Betrifft ein Sicherheitsvorfall Systeme oder Daten in mehreren Ländern, wird die IT‑forensische Analyse rechtlich komplexer. Je nach betroffenem Staat gelten unterschiedliche Anforderungen an Datenschutz, Beweissicherung und Meldepflichten. Innerhalb der EU bietet die DSGVO einen einheitlichen Rahmen – außerhalb der EU müssen länderspezifische Regelungen berücksichtigt werden. intersoft consulting verfügt über das nötige Know-how, um auch grenzüberschreitende Vorfälle strukturiert und rechtskonform zu bearbeiten.

Ja – in vielen Fällen. Nach Art. 33 DSGVO sind Unternehmen verpflichtet, Datenschutzverletzungen innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde zu melden, sofern ein Risiko für betroffene Personen besteht. In bestimmten Branchen – etwa kritischen Infrastrukturen – greifen zusätzlich die Meldepflichten nach dem BSI-Gesetz. Die IT‑forensische Analyse liefert die notwendige Dokumentation, um diese Meldungen vollständig und fristgerecht einzureichen.

Die Kosten einer IT‑forensischen Analyse richten sich nach dem individuellen Aufwand. Dabei ist die Dauer der Analyse ausschlaggebend. Es ist wesentlich, wie viele und was für Systeme untersucht werden. Zum Beispiel eine einzelne Festplatte, mehrere Server oder Logfiles. Zusätzlich spielen die Art des Angriffes (interner Datendiebstahl, DDoS-Angriff, etc.) und die individuellen Fragestellungen des Kunden eine Rolle. Demnach ist auch entscheidend, wie viele Spuren und Informationen gefunden werden können und in ein gerichtsfestes IT‑Gutachten überführt werden

Wir schätzen in der IT‑Forensik einen Aufwand, der auf unseren tiefgreifenden Erfahrungswerten basiert. Bei einem ersten Telefonat mit dem Kunden werden die Rahmenbedingungen geklärt. Um ein Gesamtbild von dem Auftrag zu erlangen, werden von uns viele Fragen gestellt, damit der Aufwand der Analyse vorab eingegrenzt werden kann. Für die Auftragsbearbeitung ist eine transparente Zusammenarbeit mit dem Auftraggeber notwendig. Dieser muss einen Ansprechpartner zur Verfügung stellen, damit alle benötigten Informationen und Systemzugänge für die untersuchenden IT‑Forensiker zugänglich sind.