Ein Ransomware-Angriff legt die Produktion lahm. Ein Mitarbeiter hat offenbar vertrauliche Kundendaten abgezogen. Oder ein externer Dienstleister hat sich unerlaubt Zugang zu internen Systemen verschafft. Solche Szenarien kommen häufiger vor, als viele Geschäftsführer wahrhaben wollen. Das Bundesamt für Sicherheit in der Informationstechnik registrierte allein im Jahr 2023 rund 70 Prozent mehr gemeldete Cyberangriffe auf Unternehmen als im Vorjahr. Was in den ersten Stunden nach einem Vorfall passiert, entscheidet oft darüber, ob ein Unternehmen rechtlich handlungsfähig bleibt oder nicht.
Was digitale Forensik im Unternehmenskontext bedeutet
Digitale Forensik bezeichnet die systematische Sicherung, Analyse und Dokumentation digitaler Spuren nach einem sicherheitsrelevanten Ereignis. Im Unternehmenskontext geht es dabei nicht nur um technische Aufklärung, sondern um verwertbare Beweise. Der Unterschied ist entscheidend: Eine interne IT-Abteilung kann herausfinden, was passiert ist. Ob die dabei gewonnenen Erkenntnisse aber vor Gericht standhalten, vor einer Datenschutzbehörde akzeptiert werden oder gegenüber einer Versicherung gelten, hängt von der Methodik ab.
Forensische Untersuchungen müssen dokumentieren, wann welche Maßnahme ergriffen wurde, wer Zugriff auf die gesicherten Daten hatte und ob die Integrität der Beweise durchgängig gewährleistet war. Fehlt diese sogenannte Chain of Custody, also die lückenlose Nachweiskette, können Beweise vor Gericht für unverwertbar erklärt werden. Das gilt für Strafanzeigen gegen externe Angreifer ebenso wie für zivilrechtliche Klagen gegen ehemalige Mitarbeiter.
Die ersten 72 Stunden: Wo die meisten Fehler passieren
Die häufigsten forensischen Fehler entstehen nicht aus Böswilligkeit, sondern aus verständlichem Aktionismus. Systeme werden neu gestartet, um sie schnell wieder verfügbar zu machen. Log-Dateien werden gelöscht, weil sie vermeintlich keinen Mehrwert haben. Backups werden eingespielt, bevor jemand den Ausgangszustand dokumentiert hat.
Jede dieser Aktionen vernichtet potenziell beweisrelevante Daten unwiederbringlich. Im Arbeitsspeicher eines kompromittierten Servers können sich Schadcode-Fragmente oder Zugangsdaten befinden, die nach einem Neustart verloren sind. Auf Festplatten überschriebene Dateisystemmetadaten lassen sich oft nicht mehr rekonstruieren. Wer nach einem Vorfall schnell handeln will, sollte deshalb zwei Dinge trennen: die Wiederherstellung des Betriebs und die forensische Sicherung der Beweise. Beides gleichzeitig funktioniert in der Regel nicht, ohne eines davon zu beschädigen.
Rechtliche Meldepflichten und Fristen
Für viele Unternehmen überraschend: Bei einem Datenschutzvorfall, also immer dann, wenn personenbezogene Daten betroffen sind, gilt eine Meldefrist von 72 Stunden gegenüber der zuständigen Datenschutzbehörde. Diese Frist beginnt, sobald das Unternehmen von dem Vorfall Kenntnis erlangt. Die Meldung muss auch dann erfolgen, wenn noch nicht alle Details geklärt sind. Wer wartet, bis die forensische Untersuchung abgeschlossen ist, hat die Frist meist bereits gerissen.
Parallel dazu gibt es für Betreiber kritischer Infrastrukturen und Unternehmen im Anwendungsbereich des IT-Sicherheitsgesetzes 2.0 eigene Meldepflichten gegenüber dem BSI. Seit Inkrafttreten der NIS-2-Richtlinie im Oktober 2024 gelten diese Pflichten für deutlich mehr Branchen als bisher, darunter Post- und Kurierdienste, Lebensmittelverarbeitung und Teile des verarbeitenden Gewerbes. Wer nicht weiß, ob das eigene Unternehmen betroffen ist, sollte das jetzt klären und nicht nach dem nächsten Vorfall.
Einen guten Überblick über aktuelle Entwicklungen in der Praxis liefern spezialisierte Anbieter: Regelmäßig veröffentlicht etwa LB-Forensik Beiträge zu forensischen Methoden und rechtlichen Anforderungen, die für Unternehmen praxisnah aufbereitet sind.
Interne Untersuchung oder externer Dienstleister?
Viele mittelständische Unternehmen versuchen, IT-Vorfälle intern zu bewältigen. Das spart kurzfristig Geld, schafft aber mehrere Probleme gleichzeitig. Erstens fehlt es oft an forensischer Software und dem nötigen Know-how für rechtssichere Beweissicherung. Zweitens entsteht ein Interessenkonflikt, wenn die interne IT-Abteilung selbst Teil des betroffenen Systems ist oder ihre eigene Arbeit bewertet werden soll. Drittens akzeptieren Staatsanwaltschaften und Gerichte interne Untersuchungsberichte oft nur eingeschränkt, wenn kein unabhängiger Sachverständiger beteiligt war.
Externe forensische Dienstleister bringen zertifizierte Methoden mit und können als unabhängige Gutachter auftreten. Ihre Berichte haben vor Behörden und Gerichten ein höheres Gewicht. Der Einsatz lohnt sich insbesondere dann, wenn strafrechtliche Konsequenzen möglich sind, wenn Versicherungsansprüche geltend gemacht werden sollen oder wenn Schadensersatzforderungen gegen Dritte im Raum stehen.
Was Unternehmen konkret vorbereiten sollten
Wer erst dann anfängt, Prozesse zu definieren, wenn ein Vorfall bereits eingetreten ist, verliert wertvolle Zeit. Ein Incident-Response-Plan gehört zur Grundausstattung jedes Unternehmens ab einer gewissen Größe. Er legt fest, wer intern als erstes informiert wird, welche Systeme sofort isoliert werden müssen, wann externe Forensiker hinzugezogen werden und wie die Kommunikation mit Behörden, Versicherung und betroffenen Kunden abläuft.
- Zuständigkeiten klären: Wer hat die Entscheidungsbefugnis in den ersten Stunden? IT-Leiter, Datenschutzbeauftragter und Geschäftsführung müssen abgestimmte Rollen haben.
- Kontakte vorhalten: Externe forensische Dienstleister, Rechtsanwalt mit IT-Recht-Fokus und die zuständige Datenschutzbehörde sollten als Kontakte jederzeit abrufbar sein.
- Logs zentral speichern: Systemlogs sollten auf einem separaten, vor Manipulation geschützten Server liegen, nicht nur auf den betroffenen Systemen selbst.
- Mitarbeiter schulen: Die häufigste Fehlerquelle ist menschliches Handeln in Panik. Wer weiß, dass Systeme nicht neu gestartet werden dürfen, bevor jemand den Ausgangszustand gesichert hat, macht diesen Fehler seltener.
- Versicherungsbedingungen kennen: Cyber-Versicherungen verlangen oft, dass forensische Untersuchungen nach bestimmten Standards durchgeführt werden. Wer das nicht erfüllt, riskiert die Ablehnung des Schadensersatzes.
Datenschutz und Forensik: ein echter Zielkonflikt
Bei der forensischen Untersuchung werden zwangsläufig Daten erhoben und gespeichert, die unter Umständen sensibel sind. E-Mails von Mitarbeitern, Zugriffszeiten, private Nachrichten auf Firmengeräten. Hier entsteht ein echter Zielkonflikt zwischen dem berechtigten Aufklärungsinteresse des Unternehmens und den Persönlichkeitsrechten der Beschäftigten.
Ohne rechtliche Grundlage darf auch eine forensische Untersuchung nicht schrankenlos in Mitarbeiterdaten eindringen. Betriebsvereinbarungen zur IT-Nutzung und zur Durchführung von Untersuchungen schaffen hier Klarheit. Wo keine solche Vereinbarung existiert, kann die Auswertung privater Kommunikation auf Dienstgeräten als unzulässiger Eingriff gewertet werden, selbst wenn der Verdacht auf eine Straftat besteht. Beweise, die so gewonnen wurden, sind im Arbeitsrechtsstreit oft nicht verwertbar.
Digitale Forensik ist kein rein technisches Thema. Sie ist ein rechtliches Werkzeug, das nur dann sein volles Potenzial entfaltet, wenn Unternehmen die Rahmenbedingungen kennen und vorbereitet sind. Wer jetzt investiert, zahlt im Ernstfall deutlich weniger, als wer improvisiert.
