Beweise sichern, bevor sie verschwinden
Ein Mitarbeiter geht, ein Postfach wurde gekapert, und Sie müssen wissen, was mit Ihren Daten passiert ist. Wir sichern die Protokolle in Microsoft 365 und auf den Geräten, bevor Fristen ablaufen, werten sie aus und schreiben einen Bericht, mit dem Ihr Anwalt und Ihr Datenschutzbeauftragter arbeiten können. Keine Vermutungen, nur das, was die Systeme zeigen.
- Auswertung ab 1.490 €
- Prüfsummen und Beweiskette
- Bericht für Anwalt und Datenschutz
Sechs Anlässe, ein Vorgehen
Ob jemand von innen Daten mitnimmt, von außen in ein Konto eindringt oder ein Notebook verschwindet: Die Spuren liegen an denselben Stellen, und sie halten nicht ewig.
Weitere Anlässe, die wir regelmäßig sehen: ein ausgeschiedener Mitarbeiter meldet sich noch an, weil Zugänge offen geblieben sind. Erfasste Arbeitszeit und tatsächliche Aktivität im Homeoffice passen nicht zusammen. Verdacht auf Scheinrechnungen oder Absprachen mit Lieferanten, bei dem Postfächer gesichert werden müssen, bevor jemand aufräumt. Trennung von Gesellschaftern oder Wechsel der Geschäftsführung mit dokumentierter Übergabe von Administratorrechten und Geräten. Eine Hinweisgebermeldung, nach der die Meldestelle eng begrenzt prüfen und jeden Schritt für die Akte festhalten muss. Und der Vertragsstreit, in dem eine E-Mail nur so viel zählt, wie sich ihre Herkunft und ihr Zeitpunkt nachvollziehen lassen.
Warum die Uhr läuft
Die Protokolle, aus denen sich ein Vorgang rekonstruieren lässt, werden nicht ewig aufbewahrt. Wer wartet, bis der Anwalt nach Belegen fragt, hat oft schon einen Teil verloren.
Tage: Anmeldeprotokolle
Microsoft Entra ID hält fest, wer sich wann von wo angemeldet hat. Nach 30 Tagen ist das weg, bei Basislizenzen schon nach 7 Tagen, ohne Ausnahme.
Tage: Aktivitätsprotokolle
Downloads, Löschungen, Freigaben und Postfachzugriffe in Microsoft 365 sind ein halbes Jahr abrufbar. Danach nur noch mit teuren Zusatzlizenzen, oder gar nicht.
Tage: Papierkorb
Gelöschte Dateien in OneDrive und SharePoint lassen sich 93 Tage zurückholen. Am 94. Tag sind sie endgültig weg.
Tage: ein zurückgesetztes Gerät
Wird ein Mac oder PC neu aufgesetzt, sind lokale Spuren verloren. Deshalb gehört das Gerät nach der Rückgabe erst zu uns und dann wieder in den Betrieb.
Mitarbeiterabgang: was wir prüfen
Die meisten Fälle beginnen mit einem Satz wie „Ich glaube, sie hat alles gelöscht" oder „Er hat sich vor der Kündigung noch den ganzen Ordner gezogen." Beides lässt sich prüfen. Das Ergebnis ist manchmal schlimmer als vermutet und manchmal harmloser, aber es ist belegt.
In Microsoft 365
Welche Dateien wurden wann und von welchem Anschluss heruntergeladen, welche gelöscht, welche über anonyme Links freigegeben. Ob Weiterleitungsregeln im Postfach angelegt wurden. Ob nach der Sperrung noch jemand drin war. Minutengenau, aus dem Überwachungsprotokoll des Mandanten.
Auf dem Gerät
Was auf dem Notebook liegt, was in den Papierkorb wanderte, welche externen Datenträger angeschlossen waren, was per AirDrop das Haus verließ, welche Befehle im Terminal liefen und ob vor der Rückgabe aufgeräumt wurde. Rein lesend, mit Prüfsumme für jede gesicherte Datei.
Im Bericht
Eine Zeitleiste, die beide Quellen zusammenführt, die Verwahrungskette der Geräte und eine klare Trennung: Das ist belegt, das ist nicht belegbar, das war unsere eigene Handlung. Genau so, wie ein Anwalt es vor Gericht brauchen kann.
Sicherheitsvorfall: was wir prüfen
Nach einem Phishing-Angriff oder einer fremden Anmeldung stellt Ihr Datenschutzbeauftragter eine Frage, die Sie innerhalb von 72 Stunden beantworten müssen: Wurde auf personenbezogene Daten zugegriffen, und wessen? Wir liefern die Antwort aus den Protokollen statt aus dem Bauchgefühl.
Das Angriffsfenster
Von welchen Adressen kam der Angreifer, wann war er im Konto, welche Sitzungen waren seine und welche die Ihres Mitarbeiters. Wir grenzen das Fenster ein, statt pauschal alles als betroffen zu erklären.
Was er gesehen hat
Microsoft unterscheidet, ob ein ganzer Ordner synchronisiert oder einzelne Mails geöffnet wurden. Im zweiten Fall bekommen Sie die genaue Liste. Dazu prüfen wir Weiterleitungen, Regeln und Versand aus dem Konto.
Wer betroffen ist
Über die Inhaltssuche ordnen wir die Zugriffe Ihren Kunden und Mandanten zu. Das Ergebnis ist ein Befund je Betroffenem, den Ihr Datenschutzbeauftragter direkt in die Meldung übernehmen kann.
Was Ihre Cyber-Versicherung verlangt
Die Musterbedingungen des Gesamtverbands der Versicherer (AVB Cyber, Stand 2024) sind an dieser Stelle eindeutig. Forensikkosten sind versichert, aber nur nach vorheriger Abstimmung mit dem Versicherer. Der Versicherungsnehmer hat das Schadenbild so lange unverändert zu lassen, bis der Versicherer eine Veränderung gestattet, und jede unvermeidbare Veränderung nachvollziehbar zu dokumentieren. Wer nach einem Angriff sofort neu installiert, riskiert die Leistung.
Schadenbild einfrieren
Lesende Sicherung der ersten betroffenen Geräte und Export der Protokolle, bevor jemand bereinigt. Das BSI nennt das forensische Abbild ausdrücklich als erstes Mittel nach einem schweren Vorfall; gewöhnliche Backup-Programme leisten das nicht.
Ursache und Umfang belegen
Einfallsweg, betroffene Konten, angelegte Weiterleitungsregeln, fremde Anmeldungen, Zeitpunkt der Kenntnis. In der Form, die Schadenregulierer und Datenschutzbeauftragter gleichermaßen verwenden können.
Ein Stand für alle
Versicherer, Datenschutzbeauftragter, Anwalt und bei Anzeige die Polizei bekommen dieselben Dateien mit denselben Prüfsummen. Niemand muss später erklären, warum zwei Berichte verschiedene Zahlen nennen.
So läuft es ab
1. Auftrag
Ein kurzes Gespräch und ein schriftlicher Auftrag der Geschäftsführung mit dem konkreten Anlass. Ohne den fangen wir nicht an.
2. Sofortsicherung
Wir exportieren die Protokolle aus Microsoft 365 und versiegeln sie mit Prüfsummen. Das geht aus der Ferne und ist der Teil, bei dem jede Stunde zählt.
3. Gerätesicherung
Zurückgegebene Notebooks sichern wir rein lesend, ohne Netz, mit einem dokumentierten Ablauf. Das Gerät bleibt danach unverändert in Verwahrung.
4. Auswertung
Zeitleisten, Abgleich beider Quellen, Prüfung der naheliegenden Verdachtsmomente. Auch die, die sich nicht bestätigen, denn das gehört in den Bericht.
5. Bericht
Ein Dokument für Nicht-Techniker mit Anlagen für Techniker. Wir gehen es mit Ihnen durch, auf Wunsch zusammen mit Ihrem Anwalt oder Datenschutzbeauftragten.
Was Sie bekommen
Der Bericht ist das Produkt. Er ist so aufgebaut, dass ein Geschäftsführer ihn in zehn Minuten versteht und ein Anwalt ihn Seite für Seite verwenden kann.
Verwahrungskette
Wer hatte die Geräte wann, was wurde daran gemacht, auch von uns. Lückenlos, mit Uhrzeiten.
Zeitleisten
Der Vorgang Minute für Minute, aus der Cloud und vom Gerät, nebeneinandergelegt. Wo beide Quellen dasselbe zeigen, steht es dabei.
Belegt und nicht belegbar
Zwei getrennte Abschnitte. Was die Protokolle zeigen, und was sie nicht zeigen können, etwa den Inhalt einer AirDrop-Übertragung oder das Motiv.
Beweiskette und Anlagen
Jede Rohdatei, jedes Archiv und der Bericht selbst mit SHA-256-Prüfsumme. Dazu die vollständigen Exporte, Löschlisten, Dateilisten und das Sicherungsskript im Quelltext. Nachvollziehbar für jeden, der es prüfen will.
Was es kostet
Festpreise, damit Sie in einer ohnehin unangenehmen Lage nicht auch noch über Stunden diskutieren müssen. Alle Preise netto.
Microsoft-365-Auswertung: ab 1.490 €
Export und Auswertung der Aktivitätsprotokolle für ein Benutzerkonto oder ein Angriffsfenster, Kurzbericht mit Zeitleiste und Prüfsummen. Bei sehr großen Mandanten oder mehreren Konten nach Absprache.
Gerätesicherung: 990 € je Gerät
Lesende Sicherung eines Mac oder PC, Auswertung von Protokollen, Verläufen, Papierkorb und Datenträgerhistorie, Aufnahme in die Beweiskette.
Komplettpaket: ab 3.900 €
Cloud-Auswertung, bis zu zwei Geräte, Verwahrung, der vollständige Bericht und ein Termin mit Ihrem Anwalt oder Datenschutzbeauftragten. Das ist der Umfang, den ein Verfahren in der Regel braucht.
Offboarding-Protokoll: 249 € je Austritt
Für Unternehmen mit Wartungsvertrag bei uns: Bei jedem Austritt sperren wir die Zugänge, sichern die Protokolle der letzten 90 Tage und legen ein Kurzprotokoll ab. Falls später doch etwas ist, liegt der Beleg schon da.
Zwei Fälle aus diesem Jahr
Anonymisiert, aber mit echten Zahlen. So sieht das Ergebnis aus, wenn es fertig ist.
Trainingsunternehmen, Köln
Fristlose Kündigung, Klage vor dem Arbeitsgericht. Wir haben 11.453 Protokolleinträge ausgewertet und zwei zurückgegebene Notebooks gesichert. Ergebnis: ein Download von 3.826 Dateien an einem Nachmittag, elf AirDrop-Übertragungen an ein privates Gerät, ein externer Datenträger am Tag des Downloads und ein Terminal-Verlauf, der das Aufräumen vor der Rückgabe zeigt. Beides in einem Bericht, den der Anwalt direkt verwenden konnte.
Beratungsunternehmen, Rheinland
Zwei Postfächer nach einem Phishing-Angriff für rund eine Stunde in fremder Hand. Der Datenschutzbeauftragte brauchte innerhalb von 48 Stunden die Antwort, ob Mandantendaten gelesen wurden. Wir haben das Angriffsfenster auf die Minute eingegrenzt, die Zugriffsart je Postfach bestimmt und einen Befund je Mandant geliefert. Die Meldung ging fristgerecht raus, ohne pauschal alle Kunden zu alarmieren.
Für Anwälte, Datenschutzbeauftragte und Versicherer
Sie brauchen keinen IT-Dienstleister, der Ihrem Mandanten erklärt, was er ohnehin weiß. Sie brauchen Fakten in einem Format, mit dem Sie weiterarbeiten können.
Arbeitsrecht
Sie bekommen Zeitleisten mit Quellenangabe, die Verwahrungskette der Geräte und die Trennung zwischen belegt und nicht belegbar. Wir sprechen mit Ihnen direkt, nicht über den Mandanten.
Datenschutz
Angriffsfenster, Zugriffsart, betroffene Personen je Konto. In der Sprache, die Sie für die Meldung an die Aufsichtsbehörde brauchen, mit den Rohdaten als Anlage.
Cyber-Versicherung
Für die Schadenregulierung eine nachvollziehbare Dokumentation des Vorfalls mit Prüfsummen, statt einer E-Mail mit „wir glauben, es war so".
Was wir nicht tun, und warum das gut für Sie ist
Wir werten nur auf schriftlichen Auftrag der Geschäftsführung und nur bei konkretem Anlass aus. Das Auslesen von Mitarbeiterdaten ohne Grund ist nicht erlaubt, und ein Bericht, der so entstanden ist, hilft Ihnen vor Gericht nicht. Wir bewerten nichts rechtlich und sprechen keine Empfehlungen aus, das ist Sache Ihres Anwalts. Wir sind kein öffentlich bestellter Sachverständiger; was Sie von uns bekommen, ist eine technische Sachdarstellung mit Beweiskette, die ein Gericht als Parteivortrag verwenden kann und die einem Sachverständigen als Grundlage dient, falls das Gericht einen bestellt.
Und wir versprechen nicht, dass am Ende das herauskommt, was Sie vermuten. Manchmal zeigt der Bericht, dass ein Download einen harmlosen Arbeitsgrund hatte. Auch das steht dann drin, denn genau das macht den Rest des Berichts glaubwürdig.
Häufige Fragen
Sehen Sie, was per AirDrop, USB-Stick oder privater Cloud das Haus verlassen hat?
Teilweise. Auf einem Mac ist protokolliert, dass eine AirDrop-Übertragung stattfand, wann, an welchen Gerätetyp und wie groß sie war, aber nicht, welche Dateien es waren. Externe Datenträger hinterlassen Spuren beim Anschließen und Auswerfen, nicht beim Kopieren. Private Cloud-Dienste zeigen sich über installierte Programme und Konten. Wir schreiben in den Bericht, was belegt ist, und ebenso deutlich, was nicht.
Was ist, wenn das Gerät schon zurückgesetzt wurde?
Dann sind die lokalen Spuren verloren. Bei einem Mac mit Apple-Chip ist der Datenträger verschlüsselt, ein Zurücksetzen vernichtet den Schlüssel, danach kann niemand mehr etwas wiederherstellen. Die Cloud-Protokolle in Microsoft 365 bleiben davon unberührt, und die sind in den meisten Fällen die stärkere Quelle. Deshalb: Geräte nach der Rückgabe nicht neu aufsetzen, sondern erst zu uns.
Dürfen wir das ohne Wissen des Mitarbeiters machen?
Eine Auswertung ist bei konkretem Verdacht und verhältnismäßigem Umfang zulässig, dafür braucht es einen dokumentierten Anlass und einen schriftlichen Auftrag der Geschäftsführung. Ob und wann Sie den Mitarbeiter oder den Betriebsrat einbeziehen müssen, klären Sie mit Ihrem Anwalt. Wir fangen ohne Auftrag nicht an, das schützt Sie und uns.
Wie schnell geht das?
Die Sicherung der Cloud-Protokolle beginnt in der Regel am selben Werktag, aus der Ferne. Ein Kurzbericht zur Microsoft-365-Auswertung liegt üblicherweise nach zwei bis drei Werktagen vor, der vollständige Bericht mit Geräten nach etwa einer Woche. Wenn eine Frist drängt, sagen Sie es uns, dann richten wir die Reihenfolge danach.
Brauchen wir das auch bei einer ordentlichen Kündigung?
Nicht zwingend. Sinnvoll ist es immer dann, wenn der Mitarbeiter Zugriff auf Kundendaten, Kalkulationen oder Entwicklungsstände hatte und Sie ein ungutes Gefühl haben. Für Unternehmen mit Wartungsvertrag bei uns gibt es das Offboarding-Protokoll: Bei jedem Austritt sichern wir die Protokolle der letzten 90 Tage und legen sie ab. Meistens braucht sie niemand. Wenn doch, sind sie da.
Funktioniert das auch mit Google Workspace oder ohne Microsoft 365?
Unser Schwerpunkt ist Microsoft 365 in Verbindung mit Mac und Windows, dort haben wir die Werkzeuge und die Erfahrung. Google Workspace hat vergleichbare Protokolle, die wir ebenfalls auswerten können. Fragen Sie kurz an, dann sagen wir Ihnen ehrlich, ob wir Ihnen helfen können.
Ist das ein gerichtsfestes Gutachten?
Es ist eine technische Sachdarstellung mit Beweiskette, Prüfsummen und offengelegter Methode. Ein Gutachten im Sinne der Gerichtsordnung erstellt nur ein vom Gericht bestellter Sachverständiger. Unser Bericht ist das, was Sie und Ihr Anwalt als Parteivortrag einbringen, und die Grundlage, auf der ein Sachverständiger aufsetzen kann. Genau so haben wir ihn aufgebaut.
Was erwartet unsere Cyber-Versicherung nach einem Angriff von uns?
Nach den Musterbedingungen des Versichererverbands (AVB Cyber) müssen Sie das Schadenbild unverändert lassen, bis der Versicherer eine Veränderung gestattet, jede Untersuchung zu Ursache und Höhe des Schadens ermöglichen und Forensikkosten vorher mit dem Versicherer abstimmen. Bei grober Fahrlässigkeit kann die Leistung gekürzt werden. Praktisch heißt das: nicht neu installieren, nicht aufräumen, sondern zuerst sichern lassen und den Versicherer einbinden. Die konkreten Pflichten stehen in Ihrer Police, wir richten die Sicherung danach aus.
Können wir die Kosten der Aufarbeitung vom Mitarbeiter zurückverlangen?
Das entscheidet Ihr Anwalt, nicht wir. Das Bundesarbeitsgericht hat 2021 entschieden, dass Ermittlungskosten bei konkretem Verdacht als Schadensersatz gegen den Arbeitnehmer in Betracht kommen und dass der Ausschluss der Kostenerstattung in erster Instanz dem nicht entgegensteht (8 AZR 276/20). Voraussetzung ist ein genauer Nachweis, wer was wann und aus welchem Verdacht geprüft hat, und dass die Kosten der Aufklärung dienten, nicht der späteren Rechtsverfolgung. Deshalb bekommen Sie von uns zu jeder Rechnung einen Tätigkeitsnachweis mit Datum, Dauer, Tätigkeit und Verdachtsbezug, getrennt nach Aufklärung und Beweissicherung. Ob und in welcher Höhe das durchsetzbar ist, klärt Ihr Anwalt.
Was kostet das?
Die Microsoft-365-Auswertung ab 1.490 Euro, die Sicherung eines Geräts 990 Euro, das Komplettpaket mit Bericht und bis zu zwei Geräten ab 3.900 Euro. Das Offboarding-Protokoll für Wartungskunden 249 Euro je Austritt. Alle Preise netto. Spezialisierte Forensik-Anbieter rechnen nach ihren veröffentlichten Tagessätzen für denselben Umfang meist 5.000 bis 11.000 Euro ab.
Wenn es gerade brennt, rufen Sie an
Wir sagen Ihnen in einem kurzen Gespräch, was jetzt zuerst gesichert werden muss und was das kostet. Danach entscheiden Sie in Ruhe.
Rückruf anfordern