Nach dem Leak will der Versicherer 'digitale Beweise' — was ist das, wer sammelt die?

Das Erste, was ihr jetzt tun solltet, ist, diese Rechner nicht auszuschalten und auf keinen Fall neu zu starten. Trennt die Geräte nur vom Netz, indem ihr das Internetkabel zieht oder WLAN ausschaltet. Wenn ihr sie ausschaltet, werden die Spuren des Angreifers im Arbeitsspeicher (RAM) gelöscht und der Beweis ist weg.

In einem ähnlichen Fall mit gefälschten Rechnungen hatten wir einen Verlust von 36.000 Pfund. Eine im Panel des Versicherers gelistete Forensikfirma hat die Images in zwei Tagen erstellt. Die Berichterstellung kostete 6.500 Pfund, wir haben unseren Selbstbehalt von 2.500 Pfund gezahlt, den Rest hat die Versicherung übernommen — sowohl die Kosten für den Bericht als auch das gesamte gestohlene Geld.

Schaut euch die Klausel 'Beweisvorlage und Beweislast' in den allgemeinen Bedingungen eurer Police genau an. Berichte, die von Dritten erstellt werden, denen der Versicherer nicht zugestimmt hat, können von der Schadenskommission aus formalen Gründen abgelehnt werden.

Screenshots sind kein Beweis, weil in den lokalen Logs die Quell-IP, die Session-Tokens der Nutzer und die Posteingangsregeln (inbox rules) untersucht werden müssen. Der Angreifer hat vielleicht eine versteckte Weiterleitungsregel im E-Mail-Konto des Buchhalters eingerichtet; der Forensiker erkennt das anhand der Audit-Logs und fügt es mit Hash-Verifizierung dem Bericht hinzu.

Versicherungen nutzen die Beweisanforderung oft als Vorwand, um nicht zu zahlen oder den Prozess monatelang zu verzögern. Wenn ihr die Schritte nicht genau nach Verfahren geht, sagen sie 'ihr habt eure eigenen Beweise verunreinigt' und schließen die Akte sofort, seid sehr vorsichtig.

War bei Abschluss eurer Cyber-Police der 'Baustein für Incident Response und forensische Untersuchung' enthalten? Wenn dieser Baustein vorhanden ist, muss der Versicherer sein eigenes Forensikteam schicken, euch kann er nicht die Pflicht auferlegen, eine Firma zu finden.

Hinweis: Dies ist meine persönliche Erfahrung, das muss nicht auf alle zutreffen.

versucht bloß nicht das Outlook-Profil oder so auf dem Rechner des Buchhalters zu löschen.. dann übrigns jede gelöschte Datei erzeugt Verdacht lasst alles so wie es ist und wartet bis der Experte kommt.

Meine Frage klingt vielleicht etwas naiv entschuldigt bitte. Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Das war's entschuldige, wenn ich zu lang war.

Meine Frage ist geklärt, vielen Dank.

Wenn ich dich richtig verstehe, meinst du Folgendes: Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt. Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Die Diskussion ist abgeschweift, ich fasse mal zusammen. halt sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen dass er sich nicht lohnt.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Wenn wir ins Detail gehen: Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten. Korrigiert mich, falls ich falsch liege.

Mich interessiert das auch. Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Wenn ihr das Ergebnis hier postet hilft es auch anderen.

nichts vergessen: Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

das war's, entschuldige, wenn ich zu lang war.

Bei mir war es genau umgekehrt, deshalb schreibe ich das. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet. Wenn es jemand anders macht, würde mich das auch interessieren.

Hier lauert eine Falle, die ich nicht unerwähnt lassen möchte. Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

Wenn es jemand anders macht, würde mich das auch interessieren.

Beim Lesen dieser Antwort war ich erleichtert, es liegt also nicht nur an mir. Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss.

Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht. Das war's, entschuldige, wenn ich zu lang war.

absolut. naja wenn ich noch etwas hinzufügen darf: Beginnt mit einem kleinen Test, bindet nicht gleich alles fest.

maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.