Auf digitaler Spurensuche

In Episode 150 des c't-Datenschutz-Podcasts geht es um IT-Forensik,
insbesondere die digitale Spurensicherung nach Cyberangriffen und
bei Verdachtsfällen im Unternehmen. Redakteur Holger Bleich und
heise-Verlagsjustiziar Joerg Heidrich haben dazu Joanna Lang-Recht
eingeladen. Sie leitet den Bereich Forensik bei der Intersoft
Consulting Services AG und bringt einen ungewöhnlichen Werdegang
mit: Nach einem Germanistikstudium wechselte sie zur IT-Security
und erwarb zahlreiche Zertifizierungen im Bereich Forensik. Joanna
beschreibt IT-Forensik als klassische Spurensuche, nur eben
komplett digital. Ermittelt wird auf Laptops, Smartphones, Servern
oder in ganzen IT-Landschaften. Ziel sei es, sauber zu
rekonstruieren: Wer ist eingedrungen, welche Daten sind betroffen
und wie groß ist der Schaden. Ihr Team identifiziert Spuren,
sichert sie möglichst gerichtsfest und wertet sie neutral aus. Den
größten Teil ihrer Einsätze machen laut Joanna Ransomware-Angriffe
aus. Mehr als die Hälfte aller Vorfälle drehen sich um erpresste
Unternehmen, deren Systeme verschlüsselt wurden. Feiertage gelten
dabei als Hochrisikophase: IT-Abteilungen sind dünn besetzt,
Angriffe werden später bemerkt, Schäden wachsen. Ein heikles Thema
ist das Zahlen von Lösegeld. Viele Unternehmen verhandeln
tatsächlich mit den Erpressern, oft aus purer Not, weil Backups
fehlen oder unbrauchbar sind. Joanna schildert, dass diese
kriminellen Gruppen professionell auftreten: mit eigenen
Chatportalen, Support-Strukturen und einer Art Notrufsystem. Wer
zahlt, erhält in der Regel auch funktionierende
Entschlüsselungsschlüssel, sonst würde das kriminelle
Geschäftsmodell zusammenbrechen. Neben externen Angriffen
bearbeiten Forensik-Teams auch interne Fälle in Unternehmen:
Verdacht auf Datendiebstahl durch Mitarbeitende,
Wirtschaftsspionage oder Arbeitszeitbetrug. Hier sei besondere
Vorsicht gefragt, erzählt Joanna. Untersuchungen müssen eng am
konkreten Verdacht bleiben, um nicht unnötig in private Daten
einzudringen. Bring-your-own-Device-Modelle erschweren solche
Ermittlungen erheblich und machen sie manchmal sogar unmöglich. Im
Spannungsfeld zwischen Aufklärung und Datenschutz betont Joanna die
Zusammenarbeit mit den Datenschutz-Aufsichtsbehörden der Länder.
Meldungen zu Sicherheitsvorfällen laufen demnach meist pragmatisch
ab, Nachfragen bleiben sachlich. Betroffenenrechte spielen Joanna
bei der Spurensuche eine Rolle, bremsen die Ermittlungen aber
selten, solange die Datensicherung gut begründet ist. Vor jeder
Analyse prüfe das Team, ob ein berechtigtes Interesse gemäß DSGVO
vorliege und ob Privatnutzung der Geräte erlaubt war. Bei unklaren
Situationen lehne man Aufträge ab.