Technisch-organisatorische Gutachten nach Cybervorfällen

Welche Tatsachenfrage soll geklärt werden?

Wir prüfen technische und organisatorische Tatsachen zu einem vereinbarten Fragenkatalog: Welche Sicherheitsmaßnahmen bestanden zum Vorfallszeitpunkt, welche Entscheidungen sind dokumentiert und welche Zusammenhänge mit dem Schaden lassen sich belegen? Umfang und verfügbare Nachweise werden vor der Beauftragung geklärt.

Was Sie als Ergebnis erhalten

Das schriftliche Gutachten benennt Auftrag und Fragen, Quellen, zeitbezogene Befunde, vereinbarte Bewertungsmaßstäbe, Annahmen und offene Punkte. Kausalitäts- und Plausibilitätsaussagen werden von gesicherten Befunden getrennt. Auf Wunsch wird eine verständliche Zusammenfassung vereinbart. Die rechtliche Bewertung erfolgt gesondert.

Methodischer Rahmen

Technische Analyse Wir untersuchen die vorhandene Systemlandschaft, Sicherheitsarchitektur und Vorfallsdokumentation auf Basis anerkannter Standards (ISO 27001, BSI IT-Grundschutz, NIST CSF).

Compliance-Bewertung Wir vergleichen technische und organisatorische Befunde mit den im Auftrag vereinbarten Bewertungsmaßstäben. Welche gesetzlichen Anforderungen anwendbar sind, ist gesondert rechtlich zu klären.

Grundlage für gesonderte Rechtsbewertung Wir dokumentieren technische und organisatorische Befunde als Grundlage einer gesonderten rechtlichen Bewertung.

Dokumentation Alle Gutachten folgen einem klaren Aufbau: Auftrag → Befund → Bewertung → Schlussfolgerung. Auf Wunsch mit Zusammenfassung für Nicht-Techniker.

Was der Auftrag nicht umfasst

Der Gutachtenauftrag umfasst keine Rechtsberatung oder Haftungsentscheidung, keine akute Incident Response und keine Datenrettung. Eine eigene Vollforensik oder aktive Spurensicherung ist nicht Bestandteil des hier beschriebenen Prüfauftrags. Vorhandene Forensikberichte und technische Nachweise können als Quellen ausgewertet werden. Die Unabhängigkeit und mögliche Interessenkonflikte sind für das konkrete Mandat zu klären.

Gutachtenauftrag und Beweisfragen klären

Nennen Sie zunächst Ihre Rolle, die Tatsachenfrage, den Vorfallszeitraum und die vorhandenen Unterlagen. Vertrauliche Falldaten erst über einen vereinbarten sicheren Übergabeweg.

Gutachtenauftrag und Beweisfragen klären

Prüfrahmen für Gutachten nach Cybervorfällen

Unsere Gutachten folgen einem standardisierten Prüfrahmen: Auftrag und Beweisfragen, Dokumentenbasis, technische Befunde, organisatorische Befunde, Bewertung gegen anerkannte Maßstäbe, Kausalitäts- und Plausibilitätsanalyse sowie klare Schlussfolgerungen.

Bewertungsmaßstäbe

Die Auswahl ist auf den vereinbarten Auftrag, den relevanten Zeitpunkt und die vorliegenden Nachweise zu beziehen. Die rechtliche Anwendbarkeit gesetzlicher Anforderungen wird gesondert geklärt; die folgende Übersicht ist keine Compliance-Zusage.

• ISO/IEC 27001 für Informationssicherheits-Managementsysteme
• BSI IT-Grundschutz für organisatorische und technische Sicherheitsmaßnahmen
• NIS2 und deutsches NIS2-Umsetzungsgesetz für Governance- und Risikomanagementpflichten
• KRITIS-Anforderungen nach BSIG, soweit einschlägig
• Vertrags-, Versicherungs- und Branchenanforderungen, soweit sie technische Tatsachenfragen betreffen

Gutachtenstruktur

1. Auftrag, Untersuchungsgegenstand und Beweisfragen
2. Dokumenten- und Datenbasis
3. Technischer Befund: Architektur, Schutzmaßnahmen, Schwachstellen, Incident-Timeline
4. Organisatorischer Befund: Governance, Verantwortlichkeiten, ISMS, Notfallorganisation
5. Bewertung gegen den Stand der Technik
6. Kausalitäts- und Plausibilitätsanalyse
7. Zusammenfassung für Nicht-Techniker und vollständige Anlagen

Qualitätssicherung

Jeder Befund wird einer Quelle, einem Dokument, einem Interview oder einem technischen Artefakt zugeordnet. Annahmen werden gekennzeichnet. Wo die Datenlage keine sichere Aussage erlaubt, benennen wir die Grenze der Aussage ausdrücklich. Das macht die Aussagegrenzen nachvollziehbar und verhindert Scheingenauigkeit.

Wenn Unterlagen nicht dasselbe Bild zeigen

Ein Richtliniendokument beschreibt einen Soll-Zustand. Ein technisches Protokoll kann dagegen zeigen, wie ein System tatsächlich betrieben wurde. Beide Quellen sind relevant, beantworten aber unterschiedliche Fragen. Deshalb ist zwischen einer vorgesehenen Maßnahme, ihrer Umsetzung und einem Nachweis ihrer Wirksamkeit zu unterscheiden.

Ein hypothetisches Beispiel: Die Backup-Richtlinie sieht tägliche Sicherungen vor. Ein vorliegendes Protokoll belegt einen erfolgreichen Sicherungslauf; ein Wiederherstellungstest fehlt. Daraus lässt sich weder die vollständige Wiederherstellbarkeit aller Systeme noch deren Gegenteil ableiten. Für diese Aussage werden weitere Nachweise benötigt.

Drei Fragen an jeden wesentlichen Befund

• Welchen Zeitraum belegt die Quelle? Eine nach dem Vorfall geänderte Konfiguration beschreibt nicht automatisch den Zustand vor dem Angriff.
• Welche Aussage trägt der Nachweis? Eine dokumentierte Freigabe belegt eine Entscheidung, aber nicht ohne Weiteres ihre technische Umsetzung.
• Welche andere Erklärung kommt in Betracht? Ein Ausfall kann mehrere Ursachen haben. Eine zeitliche Abfolge allein ersetzt keine Untersuchung des technischen Zusammenhangs.

Wo sich ein Widerspruch nicht auflösen lässt, bleibt er im Ergebnis sichtbar. So wird erkennbar, welche Schlussfolgerungen belegt sind, welche auf Annahmen beruhen und welche Fragen mit der verfügbaren Datenbasis offenbleiben.

Typische Beweisfragen

• War ein Informationssicherheits-Managementsystem vorhanden und wirksam betrieben?
• Entsprachen technische Schutzmaßnahmen, Backup-Konzept, Patchmanagement und Zugriffsschutz dem anerkannten Stand der Technik?
• Wurden Leitungsorgane ausreichend informiert, geschult und in die Risikosteuerung eingebunden?
• War der Cybervorfall bei angemessenen Maßnahmen vermeidbar oder wäre der Schaden deutlich geringer ausgefallen?
• Welche Befunde sind sicher belegbar und welche Aussagen bleiben wegen fehlender Daten offen?

Welche Nachweise wir typischerweise auswerten

Wir prüfen ISMS-Dokumentation, Risikoanalysen, Auditberichte, Management-Reviews, Sicherheitsrichtlinien, technische Architektur, Asset-Listen, Schwachstellenberichte, Forensikberichte, Logdaten, Incident-Timeline, Backup- und Wiederanlaufnachweise, Versicherungsunterlagen, Protokolle der Geschäftsleitung und relevante Kommunikation mit Dienstleistern, Behörden oder Versicherern.

Gutachterliche Grenzen

Ein gutes Gutachten benennt nicht nur Befunde, sondern auch Grenzen. Wenn Logdaten fehlen, Dokumente nachträglich erstellt wurden oder technische Systeme nicht mehr verfügbar sind, wird das ausdrücklich dokumentiert. Diese Transparenz erhöht die Verwertbarkeit, weil sie die Aussagekraft der Befunde realistisch einordnet.

Beispiel für eine nachvollziehbare Befundkette

Eine nachvollziehbare Befundkette beginnt nicht mit einer Wertung, sondern mit überprüfbaren Tatsachen. Beispiel: Ein Backup war vorhanden, aber nicht netzgetrennt. Daraus folgt zunächst nur ein technischer Befund. Danach wird geprüft, ob Netztrennung nach dem relevanten Standard und Risikoprofil erforderlich war. Erst danach wird bewertet, ob die fehlende Trennung den Schaden vergrößert hat. Diese Trennung von Befund, Maßstab und Schlussfolgerung ist zentral für die Verwertbarkeit.

Kurzfassung der Methode

Unsere Methode lautet: Vorhandene Dokumente auswerten, technische Artefakte prüfen, Verantwortlichkeiten klären, Maßstab festlegen, Abweichungen bewerten, Kausalität plausibilisieren und Grenzen der Aussage offenlegen. Dadurch entsteht ein Gutachten, das nicht nur technisch richtig, sondern auch für Entscheider verständlich ist.