Cybercrime & IT-Forensik

Nach einem digitalen Vorfall muss zuerst geklärt werden, was tatsächlich geschehen ist.

Ein unberechtigter Zugriff, ein möglicher Datenabfluss oder auffällige Aktivitäten in digitalen Systemen werfen häufig mehrere Fragen gleichzeitig auf: Welche Systeme sind betroffen? Welche Daten könnten eingesehen, verändert oder übertragen worden sein? Wie erfolgte der Zugriff? Und welche digitalen Spuren müssen gesichert werden?

IT-Forensik schafft die Grundlage, diese Fragen strukturiert zu untersuchen.

Digitale Spuren sichern, bevor sie bewertet werden.

Die ersten Maßnahmen nach einem Vorfall können darüber entscheiden, welche Informationen später noch zur Verfügung stehen. Abhängig vom Sachverhalt können System- und Zugriffsdaten, Netzwerkprotokolle, flüchtige Speicherinformationen und weitere digitale Artefakte relevant sein.

Auf dieser Grundlage können Angriffswege, zeitliche Abläufe und mögliche Datenbewegungen rekonstruiert und eingeordnet werden. Wo eine spätere Verwendung der Erkenntnisse in rechtlichen Verfahren relevant sein kann, werden Dokumentation, Integrität und Nachvollziehbarkeit der Beweissicherung von Beginn an berücksichtigt.

Vom technischen Befund zur Entscheidungsgrundlage.

Für Verantwortliche genügt es nicht, zu wissen, dass ein System möglicherweise kompromittiert wurde. Entscheidend ist zu verstehen, was die technischen Erkenntnisse für den konkreten Sachverhalt bedeuten: Welche Systeme und Informationen sind betroffen? Welche Aktivitäten lassen sich nachvollziehen? Welche weiteren Sicherungs- oder Untersuchungsschritte sind erforderlich?

Technische Erkenntnisse werden deshalb so aufbereitet, dass sie auch für verantwortliche Entscheidungsträger nachvollziehbar und nutzbar sind.

Leistungen

Leistungen im Bereich Cybercrime & IT-Forensik

Sicherung relevanter digitaler Spuren nach einem Vorfall.

Untersuchung digitaler Spuren bei internen Vorfällen, möglichen Datenabflüssen und Manipulationen.

Technische Untersuchung des Angriffsverlaufs, möglicher Angriffsvektoren und relevanter Aktivitäten.

Untersuchung betroffener Informationen, Systeme und möglicher Übertragungswege.

Analyse verfügbarer technischer und operativer Spuren zur Einordnung möglicher Akteure und Zusammenhänge.

Nachverfolgung digitaler Transaktionen und Analyse relevanter Zusammenhänge in dezentralen Netzwerken.

Strukturierte Sicherung und Dokumentation digitaler Spuren unter Berücksichtigung einer möglichen späteren Verwendung in Straf- oder Zivilverfahren.

Bewertung digitaler Infrastrukturen im Zusammenhang mit Übernahmen, Fusionen und Kooperationen.

Analyse bestehender Systeme und relevanter Schwachstellen.

Forensische Tiefe dort, wo sie erforderlich ist.

Je nach Vorfall können unter anderem Memory-Forensik, Netzwerkprotokollanalyse und die Auswertung von Indicators of Compromise erforderlich sein. Welche Methoden eingesetzt werden, richtet sich nach der konkreten Fragestellung.

Bei Untersuchungen, bei denen eine spätere rechtliche Verwendung relevant sein kann, wird auch die nachvollziehbare Dokumentation der Beweiskette – Chain of Custody – berücksichtigt.

Wenn digitale und wirtschaftliche Sachverhalte zusammenkommen.

Cybervorfälle können Teil eines umfassenderen Sachverhalts sein, etwa bei Informationsabfluss, Industriespionage oder internen Handlungen. Wo technische Forensik allein nicht ausreicht, können weitere Spezialisten, Sachverständige und Ermittlungsressourcen einbezogen werden. Bei internationalen Sachverhalten stehen zusätzliche Strukturen unseres Netzwerks zur Verfügung.

Digitalen Vorfall einordnen.

Welche Maßnahmen zuerst sinnvoll sind, hängt vom konkreten Vorfall und vom Zustand der betroffenen Systeme ab.