Forensische Untersuchung für Unternehmen

Datenabfluss, verdächtige Aktivität, strittiges Dokument oder kompromittiertes Konto: Wir analysieren die digitalen Spuren, um zu verstehen, was geschehen ist, und dokumentierte Schlussfolgerungen zu ziehen.

Ihre Situation schildernUnsere Leistungen ansehen
Verstehen

Was ist eine forensische Untersuchung im Unternehmen?

Bei der forensischen Untersuchung einer Organisation werden die Daten Ihrer Systeme erhoben, gesichert und untersucht, um zu rekonstruieren, was tatsächlich geschehen ist, und daraus überprüfbare technische Erkenntnisse zu gewinnen.

  1. 1

    Spuren sichern

    Vor jeder Analyse müssen die relevanten Daten gesichert werden, damit sie weder verändert werden noch verloren gehen. Dieser Schritt wahrt die Integrität der Elemente, auf die sich die Untersuchung stützt.

  2. 2

    Daten erheben und analysieren

    Wir erheben die relevanten Daten nach einer dokumentierten Methode und gleichen anschliessend die Spuren aus Arbeitsplatzrechnern, Konten, Protokollen, Dateien oder Cloud-Umgebungen ab, um die Ereignisse zu rekonstruieren.

  3. 3

    Die Fakten feststellen

    Die Analyse unterscheidet, was die Daten belegen, was sie nahelegen und was sich aus ihnen nicht schliessen lässt. Die Feststellungen werden dokumentiert und in ihren zeitlichen Ablauf eingeordnet.

Erkennen Sie sich in einer dieser Situationen wieder?

Ihre Situation ist anders?

Jeder Vorfall hat seinen eigenen Kontext. Schildern Sie uns, was Sie festgestellt haben, welche Systeme betroffen sind und was Sie klären möchten: Wir zeigen Ihnen, welche Untersuchungen in Frage kommen.

Ihre Situation schildern
Unsere Leistungen

Unsere Einsätze in Unternehmen

Cyberangriff, Datenabfluss, interner Betrug, Rechtsstreit… Hier finden Sie die wichtigsten digitalen Untersuchungen, die unser Forensik-Team für Unternehmen durchführt.

  1. 1 / 5Aktive Kompromittierung

    Untersuchung eines kompromittierten M365-Kontos oder einer M365-Umgebung

    Situation

    Ein geschäftliches Microsoft-365-Konto oder eine Microsoft-365-Umgebung ist kompromittiert.

    Ziel

    Die Kompromittierung bestätigen oder ausschliessen, den Angriffsvektor ermitteln, die eingesehenen oder abgeflossenen Daten, die Handlungen des Angreifers sowie allfällige laterale Bewegungen bestimmen. Die Kontrolle zurückgewinnen und dabei die Spuren sichern. Ein verwertbares Dossier für die Versicherung, eine Strafanzeige oder jede andere zuständige Behörde erstellen.

    Beispiele für Tätigkeiten

    • Sofortmassnahmen: Umsetzung der vorrangigen Schritte
    • Empfehlungen und Unterstützung bei den Eindämmungsmassnahmen
    • Begleitung bei der technischen Bewältigung des Vorfalls
    • Sicherung der Spuren (notwendig bei einer Strafanzeige)
    • Suche nach Persistenzmechanismen
    • Analyse des betroffenen Geräts (je nach Feststellungen)
    • Eingrenzung des Ausmasses der Kompromittierung
    • Ergebnispräsentation und Empfehlungen für präventive und korrigierende Massnahmen

    Läuft der Angriff noch? Unser CSIRT-Team kann notfallmässig eingreifen, um den Vorfall einzudämmen und die Umgebung abzusichern, und sichert dabei die für die Untersuchung nötigen Spuren.

    CSIRT-Notfall
  2. 2 / 5

    Sicherung und Analyse des Arbeitsplatzrechners

    Situation

    Eine Mitarbeiterin oder ein Mitarbeiter verlässt das Unternehmen, und vor dem Austritt fallen ungewöhnliche Anmeldungen, Übertragungen oder Downloads auf.

    Ziel

    Feststellen, ob vor dem Austritt der betreffenden Person Daten eingesehen, kopiert, übertragen oder abgezogen wurden.

    Beispiele für Tätigkeiten

    • Klärung des Kontexts und der zu untersuchenden Fragen
    • Sicherung des Arbeitsplatzrechners, des Postfachs und der verfügbaren Spuren
    • Forensische Sicherung des Arbeitsplatzrechners und Erhebung der relevanten Protokolle
    • Analyse der Anmeldungen, USB-Datenträger, Nachrichtendienste, Cloud-Synchronisationen und Dateiübertragungen
    • Rekonstruktion des zeitlichen Ablaufs und Erstellung des Berichts
  3. 3 / 5

    Analyse eines Datenabflusses

    Situation

    Ein internes Dokument kursiert ausserhalb des Unternehmens, und seine Herkunft ist unbekannt. Es besteht der Verdacht auf einen Datenabfluss.

    Ziel

    Feststellen, ob Daten die Umgebung des Unternehmens verlassen haben, die möglichen Abflusswege ermitteln und den Umfang der betroffenen Informationen beurteilen.

    Beispiele für Tätigkeiten

    • Klärung des Kontexts und Formulierung der Hypothesen
    • Erhebung der relevanten Spuren auf Arbeitsplatzrechnern, in Postfächern, Cloud-Umgebungen und Sicherheitssystemen
    • Suche nach dem betroffenen Dokument oder den betroffenen Daten anhand ihrer Merkmale, Hashwerte oder Schlüsselwörter
    • Analyse ungewöhnlicher Übertragungen: Volumen, Uhrzeiten, Ziele und genutzte Kanäle
    • Suche nach Indikatoren einer Kompromittierung und, wo sinnvoll, nach Spuren einer externen Veröffentlichung
    • Rekonstruktion des zeitlichen Ablaufs, Schlussfolgerungen und Empfehlungen
  4. 4 / 5

    Analyse der Integrität eines Dokuments

    Situation

    Ein Dokument weist ungewöhnliche Merkmale auf, und wir wollen feststellen, ob es verändert, verfälscht oder ersetzt wurde.

    Ziel

    Feststellen, ob ein digitales Dokument verändert wurde, wann diese Änderungen erfolgt sein können und welche technischen Elemente sie belegen.

    Beispiele für Tätigkeiten

    • Klärung der Fragestellung und Einschätzung der Machbarkeit
    • Erhebung und Sicherung der verschiedenen verfügbaren Versionen
    • Analyse der Metadaten und der Dateistruktur
    • Vergleich der Versionen, Inhalte und technischen Eigenschaften
    • Suche nach Spuren von Änderung, Erstellung, Konvertierung oder Löschung
    • Rekonstruktion des zeitlichen Ablaufs und Formulierung der Schlussfolgerungen
  5. 5 / 5

    Analyse eines Audio- oder Videomediums

    Situation

    Eine Audioaufnahme oder ein Video wird uns als echt vorgelegt, und wir haben Grund, daran zu zweifeln.

    Ziel

    Nach technischen Elementen suchen, die eine allfällige Veränderung, Generierung oder Manipulation des Mediums erkennen lassen.

    Beispiele für Tätigkeiten

    • Klärung der Fragestellung und Einschätzung der Machbarkeit
    • Erhebung und Sicherung der Originaldatei
    • Analyse der Struktur, der Metadaten und der technischen Merkmale
    • Suche nach akustischen, visuellen oder zeitlichen Unstimmigkeiten
    • Suche nach Spuren von Schnitt, Neukodierung, Umwandlung oder Generierung
    • Analyse der verfügbaren Kontextelemente
    • Schlussfolgerungen mit Vertrauensniveau und Grenzen der Analyse

Ihre Situation entspricht keinem dieser Fälle?

Dies sind die häufigsten Untersuchungen, sie decken aber nicht alle Fälle ab. Schildern Sie uns Ihre Fragestellung und Ihre Rahmenbedingungen: Wir prüfen die Machbarkeit und empfehlen Ihnen die passende Analyse.

Mit einer Fachperson sprechen
Umfang

Was wir analysieren können

Eine Untersuchung beschränkt sich nie auf einen einzelnen Rechner. Die Spuren überschneiden sich zwischen den Geräten, der Cloud, dem Netzwerk und den Dateien selbst. Entdecken Sie die Umgebungen, die wir abdecken.

Arbeitsplätze und Server

Die Rechner, auf denen die Daten bearbeitet wurden, ob physisch oder virtuell.

WindowsmacOSLinuxVirtuelle MaschinenDatenträgerabbilder

E-Mail und Zusammenarbeit

Kommunikation, Freigaben und Arbeitsbereiche: die wichtigste Spurenquelle im Unternehmen.

Microsoft 365ExchangeGoogle WorkspaceTeamsSharePointOneDrive

Cloud und Identitäten

Anmeldungen, Berechtigungen und Freigaben: wer wann und von wo aus auf was zugegriffen hat.

Entra IDAuthentifizierungsprotokolleAnwendungszugriffeExterne Freigaben

Netzwerk und Sicherheit

Die Protokolle Ihrer Systeme, die ausgehende Datenflüsse und Alarme festhalten.

FirewallProxyVPNEDRSIEM

Datenträger und Mobilgeräte

Wechseldatenträger und geschäftliche Geräte, oft im Zentrum von Datenkopien.

USB-SticksExterne FestplattenNASSmartphonesTablets

Dokumente und Medien

Die Dateien selbst, deren interne Struktur Änderungen und Manipulationen offenlegt.

MetadatenOffice-DateienPDFAudioVideo

Unsere Untersuchungen erfolgen in einem definierten rechtlichen Rahmen und ausschliesslich auf den Systemen, Konten und Daten, deren Analyse das Mandat erlaubt.

Ihre Umgebung ist nicht aufgeführt? Sagen Sie es uns: Wir zeigen Ihnen vor jeder Verpflichtung, was technisch analysierbar ist.

Ablauf

So läuft ein Mandat ab

Sechs Schritte, von der ersten Kontaktaufnahme bis zum Bericht.

  1. Gemeinsam mit Ihnen legen wir die zu klärenden Fragen, den Umfang des Einsatzes und den anwendbaren rechtlichen Rahmen fest. Falls nötig formulieren wir die Fragen um, damit die Ergebnisse relevant und verwertbar sind, stets mit Ihrem Einverständnis.

    Am Ende dieses Gesprächs sagen wir Ihnen klar, was technisch machbar ist, wo die Analyse allenfalls an Grenzen stösst und welche Ergebnisse Sie vernünftigerweise erwarten können.

  2. Wir sichern Arbeitsplatzrechner, Postfächer und Logs rasch, um jeden Verlust und jede Veränderung von Daten zu verhindern. Dieser Schritt ist entscheidend, denn manche digitalen Spuren, insbesondere in der Cloud, werden nur während einer begrenzten Dauer aufbewahrt.

    Ein Neustart, eine Neuinstallation oder das Löschen eines kompromittierten Kontos kann Elemente, die für die Analyse nützlich sind, endgültig vernichten. Werden die Spuren von Anfang an gesichert, können wir eine zuverlässige und verwertbare Untersuchung gewährleisten.

  3. Wir erstellen eine forensische Kopie des Datenträgers, ohne die Originaldaten zu verändern. Ihre Integrität wird mittels Hashwert kontrolliert und verifiziert, danach erfolgen alle Analysen an der Kopie.

    Diese Methode gewährleistet die Integrität der Beweismittel und ermöglicht es Dritten, unsere Feststellungen zu überprüfen und zu reproduzieren.

  4. Wir analysieren die Spuren, die Systeme und Anwendungen hinterlassen, um die Ereignisse zu rekonstruieren: Anmeldungen, Übertragungen, Löschungen, externe Datenträger, Cloud-Aktivitäten...

    Jedes Element wird in eine Chronologie eingeordnet und mit seiner technischen Quelle verknüpft.

  5. Wir stellen jede Feststellung den verschiedenen alternativen Hypothesen gegenüber, auch jenen, die sie in Frage stellen könnten.

    Diese Bewertung zeigt den tatsächlichen Wert der technischen Elemente und vermeidet voreilige Schlüsse.

  6. Wir übergeben einen klaren und verwertbaren Bericht mit der Chronologie der Fakten, den technischen Elementen, unseren Schlussfolgerungen und Empfehlungen.

    Der Bericht unterscheidet, was erwiesen, wahrscheinlich oder nicht feststellbar ist, und wird anschliessend gemeinsam mit Ihnen besprochen.

Ergebnisse

Sie erhalten einen klaren, strukturierten und verwertbaren Bericht

Zum Abschluss des Mandats übergeben wir Ihnen einen Bericht, der die wesentlichen Elemente der Untersuchung zusammenfasst:

  • Chronologie der Ereignisse

    Die rekonstruierten Ereignisse mit Zeitstempel, verknüpft mit den technischen Spuren, die sie belegen.

  • Schlussfolgerungen

    Was die Daten belegen, was sie nahelegen und was sich aus ihnen nicht schliessen lässt.

  • Empfehlungen

    Die präventiven und korrigierenden Massnahmen, die zu prüfen sind, um das Risiko einer Wiederholung zu senken oder die Lage abzusichern.

  • Unterstützung bei rechtlichen Schritten

    Die technischen Elemente, die Sie für Ihre Versicherung, eine Strafanzeige, eine Meldung oder jeden Austausch mit einer zuständigen Behörde benötigen.

Unsere Garantien

Warum Sie Ihre Untersuchung SecuLabs anvertrauen sollten

  • Eine rigorose Methodik

    Unsere Untersuchungen stützen sich auf anerkannte Methoden und Standards, abgestimmt auf Art und Tragweite jedes Dossiers.

  • Gesicherte und nachvollziehbare Beweismittel

    Forensische Kopien, Kontrolle der Hashwerte und eine lückenlose Beweismittelkette gewährleisten die Integrität und Nachvollziehbarkeit der analysierten Elemente.

  • Strikte Vertraulichkeit

    Daten, versiegelte Asservate und Akten werden sicher in einem Tresor aufbewahrt und sind nur berechtigten Beteiligten zugänglich.

  • Im Verfahren anerkannte Expertise

    Unsere Fachleute arbeiten für Anwaltschaft, Gerichte und Behörden, mit Berichten, die verstanden, diskutiert und verteidigt werden können.

  • Eine unabhängige Methodik

    Keine Abhängigkeit von Software Dritter: Unsere Schlussfolgerungen beruhen auf den beobachteten Daten und werden bei Bedarf mit mehreren Methoden überprüft.

  • Klar begründete Schlussfolgerungen

    Wir unterscheiden, was die Daten belegen, was sie nahelegen und was sie nicht zu schliessen erlauben.

Notfall

Ein Angriff läuft gerade?

Die forensische Untersuchung stellt die Fakten im Nachhinein fest. Ist die Kompromittierung aktiv, geht es zuerst darum, die Kontrolle zurückzugewinnen, ohne die Spuren zu zerstören. Starten Sie nichts neu, installieren Sie nichts neu: Trennen Sie die Geräte vom Netzwerk und rufen Sie unser CSIRT an.

Notfalleinsatz anfordern
Kompetenzen aufbauen

Unsere Schulungen: die richtigen Reflexe für Ihre Teams

Die meisten Beweise verschwinden in den ersten Stunden, gelöscht von internen Teams, die es gut meinen. Unsere Schulungen vermitteln ihnen die richtigen Handgriffe.

Forensik · SOC / CSIRTCode: OFD-320Dauer: 2 Tage

Forensische Malware-Analyse

Führen Sie eine vollständige forensische Untersuchung rund um eine Ransomware durch, vom ersten Eindringen bis zur Analyse ihrer Auswirkungen und der technischen Spuren in der kompromittierten Umgebung.

Zur Schulung
ErmittlungCode: OFD-210Dauer: 1,5 Tage

OSINT & digitale Ermittlungen

Lernen Sie, Informationen aus offenen Quellen zu recherchieren, abzugleichen und zu analysieren, um digitale Spuren in verwertbare Erkenntnisse zu verwandeln.

Zur Schulung
GRC · ResilienzCode: GRC-110Dauer: 1 Tag

Business Continuity Management

Antizipieren Sie kritische Unterbrechungen, strukturieren Sie Ihre Business Continuity und bereiten Sie Ihre Organisation darauf vor, den Betrieb in einer Krise, auch einer Cyberkrise, aufrechtzuerhalten oder wiederaufzunehmen.

Zur Schulung
Alle Schulungen ansehen
Häufige Fragen

Was Unternehmen uns fragen

Das Ausschalten eines Geräts kann flüchtige Daten zerstören, die für die Untersuchung wertvoll sind. Am besten trennen Sie es vom Netzwerk (Internetverbindung trennen und Flugmodus aktivieren) und lassen es am Stromnetz angeschlossen, damit sich der Akku nicht entlädt.

Schildern Sie uns Ihre Situation

Wir sagen Ihnen, was eine Untersuchung feststellen kann, was nicht, und in welcher Frist.

Machbarkeitseinschätzung anfordernLaufender Vorfall?

Vertrauliches Gespräch, Machbarkeitseinschätzung vor jeder Verpflichtung

Recht

Siegelungen, gerichtliche Gutachten, Privatgutachten und Prüfung von Gutachten.

Privatpersonen

Kompromittiertes Gerät oder Konto, zweifelhafte E-Mail, Wiederherstellung persönlicher Daten.