Ing. Tibor PoštekGerichtssachverständiger
Gerichtlich bestellter Sachverständiger – Sicherheit und Schutz von Informationssystemen Fachgebiet 10 10 00
Sind Daten abgeflossen, ist jemand in Ihr Firmensystem eingedrungen oder müssen Sie unabhängig nachweisen, dass Ihr System sicher ist? Ich beurteile, welche Maßnahmen fehlen oder versagt haben, und erkläre es so, dass es die Geschäftsführung ebenso versteht wie das Gericht. Für Unternehmen, Rechtsanwälte und Versicherungen.
Sicherheit von Systemen, Zugriff darauf und Schutz von Daten
Ich beantworte ausschließlich fachliche Fragen. Das Fachgebiet 10 10 00 gliedert sich nach der Verordnung Nr. 228/2018 Z. z. in drei Bereiche, die sich in der Praxis überschneiden.
A) Sicherheit des Informationssystems
Verordnung: „Sicherheitsaspekte von Informationssystemen“
- Sicherheitsarchitektur und Konfiguration
- Sicherheitsrichtlinien und ihre Umsetzung
- Übereinstimmung mit Dokumentation und ISO-Normen
- vom Dienstleister oder der Versicherung zugesagte Maßnahmen
- Stellungnahme vor Ausschreibung, Vertrag oder Versicherung
Entsprachen die Sicherheitsmaßnahmen der Dokumentation und waren sie zum maßgeblichen Zeitpunkt tatsächlich umgesetzt und wirksam?
B) Schutz vor unbefugtem Zugriff
Verordnung: „Schutz vor unbefugtem Zugriff auf das System“
- Konten, Rollen und Zugriffsrechte
- Passwörter und Zwei-Faktor-Authentifizierung
- privilegierte und Administratorkonten
- Zugriffe ehemaliger Mitarbeiter und Dienstleister
- Logs und Audit-Aufzeichnungen: wer, wann, was
Kam es zu einem unbefugten Zugriff? Wann, über welches Konto und welche Schutzmaßnahme hat versagt?
C) Schutz und Sicherung von Daten
Verordnung: „Schutz von Daten vor Missbrauch oder Verlust, Datensicherung“
- Verschlüsselung und Berechtigungen für sensible Daten
- Datensicherung, Trennung der Backups und Wiederherstellungstests
- Umfang der betroffenen Daten nach einem Vorfall
- Integrität von Dokumenten und E-Mails
- Zustellung einer E-Mail laut Serveraufzeichnungen
Waren die Daten vor Abfluss und Verlust geschützt? Ließen sie sich aus Backups wiederherstellen?
Womit Sie sich an mich wenden können
Zu jedem der drei Bereiche vier Modellsituationen und Fragen, die sich dem Sachverständigen stellen lassen. Ich helfe Ihnen, sie so zu formulieren, dass es darauf eine eindeutige Antwort gibt.
A) Sicherheit des Informationssystems
- Sicherheit vor einer Ausschreibung. Der Anbieter eines Cloud-Systems bewirbt sich um einen Auftrag, und der Auftraggeber verlangt den Nachweis, wie Zugriffe und Daten geschützt sind.Entspricht die Sicherheit des Systems der Dokumentation und den internationalen ISO-Normen? Welche Maßnahmen fehlen oder sind nicht wirksam?
- Bedingung der Versicherung. Ein Unternehmen schließt eine Cyberversicherung ab, und die Versicherung verlangt eine unabhängige Bestätigung, dass die Backups getrennt sind und die Anmeldung durch Zwei-Faktor-Authentifizierung geschützt ist.Sind die erklärten Maßnahmen tatsächlich umgesetzt und wirksam? Entsprechen Datensicherung und Benutzerauthentifizierung den Angaben des Unternehmens im Fragebogen der Versicherung?
- Vom Dienstleister zugesagte Maßnahmen. Der Vertrag sah Datenverschlüsselung und Multi-Faktor-Authentifizierung vor. Nach einem Datenleck behauptet der Kunde, sie seien nicht umgesetzt worden.Waren die vereinbarten Maßnahmen zum Zeitpunkt des Datenlecks tatsächlich umgesetzt und wirksam?
- Fernzugriff des Dienstleisters. Der Vertrag erlaubte dem externen Administrator den Zugriff nur auf Anforderung und mit Protokollierung. Nach dem Vorfall stellte sich heraus, dass der Zugriff dauerhaft bestand.War der Zugriff des Dienstleisters so beschränkt und protokolliert, wie es der Vertrag vorsah? Lässt sich aus den Aufzeichnungen feststellen, was über diesen Zugriff ausgeführt wurde?
B) Schutz vor unbefugtem Zugriff
- Zugriff ohne Berechtigung. Ein Mitarbeiter hat Gehälter und Gesundheitsdaten von Kollegen eingesehen, obwohl er keinen Zugriff darauf haben sollte.Waren Konten und Berechtigungen angemessen eingerichtet? Hat das System ermöglicht, dass er an die Daten gelangt?
- Ehemaliger Mitarbeiter. Ein Vertriebsmitarbeiter meldete sich noch eine Woche nach seinem Ausscheiden im CRM an und lud die Kundenliste herunter.Wurde das Konto nach Ende des Arbeitsverhältnisses gesperrt? Wann und von wo hat er sich angemeldet?
- Gemeinsames Administratorpasswort. Fünf IT-Mitarbeiter nutzten ein einziges Administratorkonto. Nach dem Löschen der Datenbank ist unklar, wer es getan hat.Ließ sich aus den Audit-Aufzeichnungen nachträglich feststellen, wer die Operation wann ausgeführt hat?
- Kompromittiertes Firmenpostfach. Jemand meldete sich im Postfach der Buchhalterin an und richtete eine Weiterleitung ein. Ein Geschäftspartner erhielt eine Rechnung mit fremder Kontonummer.War das Postfach durch Multi-Faktor-Authentifizierung geschützt? Lässt sich aus den Aufzeichnungen die fremde Anmeldung feststellen und seit wann sie bestand?
C) Schutz und Sicherung von Daten
- Fehlgeschlagene Backups nach Ransomware. Die Backups lagen auf demselben Speicher wie die Produktionsdaten, und der Angriff verschlüsselte auch sie. Die Versicherung prüft die Leistung.Gab es einen funktionierenden Mechanismus für Datensicherung und Wiederherstellung? Waren die Backups von der Produktionsumgebung getrennt?
- Kundenpasswörter im Klartext. Aus einem Onlineshop ist die Datenbank abgeflossen, und es zeigte sich, dass Passwörter und Kartennummern unverschlüsselt gespeichert waren.Waren die Kundendaten in einer Weise geschützt, die dem üblichen Standard entsprach? Welche Maßnahme fehlte?
- Veränderte Rechnung im System. Im Buchhaltungssystem tauchte eine Rechnung mit geänderter Kontonummer auf. Jemand hat die Datei bearbeitet und wieder hochgeladen, das Unternehmen zahlte auf ein fremdes Konto.Wer war berechtigt, das Dokument zu ändern? Wer hat es laut Aufzeichnungen wann geändert? Hat das System Dokumentänderungen so protokolliert, dass sie sich nachträglich zurückverfolgen lassen?
- Angezweifelte E-Mail. Die Gegenseite behauptet, die E-Mail mit der Kündigung nie erhalten zu haben oder dass ihr Inhalt nachträglich verändert wurde.Wurde die E-Mail versendet und dem Server zugestellt? Blieb ihr Inhalt unverändert? Wer hatte Zugriff auf das Postfach?
Ausbildung und Praxis
Da sich Technologien sehr schnell weiterentwickeln, ist es für mich selbstverständlich, mein Fachwissen kontinuierlich zu vertiefen und neue Trends zu verfolgen.
-
2016 – 2018
Bc. – Informatik, Ing. – Informationssysteme
Fakultät für Management und Informatik, Universität Žilina
-
seit 2018
Softwareingenieur – Entwicklung komplexer Informationssysteme
Versicherungen, Ministerien, private Unternehmen.
-
seit 2022
Mitgründer und CTO der Plattform Stribog
Leitung von Technologie und Informationssicherheit
-
seit 2025
Rechtswissenschaften – berufsbegleitendes Studium
Juristische Fakultät, Paneuropäische Hochschule, Bratislava
-
2026
Gerichtlich bestellter Sachverständiger – Sicherheit und Schutz von Informationssystemen eingetragen
Justizministerium der SR · Fachgebiet 10 10 00, Reg.-Nr. 916198
-
2026
Schulung zum Cybersicherheitsmanager absolviert
TÜV SÜD, gemäß Gesetz Nr. 69/2018 Z. z. über die Cybersicherheit
-
2026 – 2027
Gerichtlich bestellter Sachverständiger – Software Prüfung bestanden Eintragung 2027
Prüfung beim Justizministerium der SR im Juni 2026 bestanden. Eintragung nach Abschluss der Fachausbildung an der STU in Bratislava.
Häufige Fragen zum Sachverständigengutachten
Können Sie die Sicherheit unseres Systems beurteilen, auch wenn wir keinen Rechtsstreit haben?
Ja. Eine unabhängige fachliche Stellungnahme des Sachverständigen beauftragen Unternehmen vor einer Ausschreibung, vor Vertragsabschluss oder auf Wunsch eines Kunden oder einer Versicherung. Sie können sie dem Kunden vorlegen oder später in einem Rechtsstreit verwenden.
Wie läuft die Erstellung eines Gutachtens ab?
Wir gehen Ihre Fragen durch und vereinbaren Unterlagen, Preis und Termin. Sie erhalten ein Gutachten mit allen Formerfordernissen und der Sachverständigenklausel; die Schlussfolgerungen kann ich auch vor Gericht vertreten.
Wer kann ein Sachverständigengutachten in Auftrag geben?
Das Unternehmen direkt, ein Rechtsanwalt für seinen Mandanten oder eine Versicherung. In einem Gerichtsverfahren bestellt mich das Gericht als Sachverständigen und legt die Fragen fest.
Helfen Sie mir bei der Formulierung der Fragen an den Sachverständigen?
Ja, und ich empfehle, das noch vor der Beauftragung zu tun. Die Fragen müssen fachlich und nicht rechtlich sein, und sie müssen sich anhand der Aufzeichnungen eindeutig beantworten lassen. Ich arbeite für beide Seiten eines Rechtsstreits.
Begutachten Sie auch Versicherungsfälle?
Ja. Bei Cyber-Versicherungsfällen beurteile ich, ob die in den Versicherungsbedingungen geforderten Maßnahmen umgesetzt und wirksam waren, wie die Daten geschützt waren und ob sie sich wiederherstellen ließen.
Welche Unterlagen benötigen Sie?
Typischerweise Logs und Aufzeichnungen aus den Systemen, technische Dokumentation, Sicherheitsrichtlinien und Verträge mit Dienstleistern. Alles aus Ihren eigenen Systemen, den Betrieb störe ich nicht. Die genaue Liste vereinbaren wir bei der Beauftragung.
Wie gehen Sie mit vertraulichen Unterlagen um?
Ich bin zur Verschwiegenheit verpflichtet. Den sicheren Weg der Übergabe vereinbaren wir im Voraus.
Was kostet ein Sachverständigengutachten?
Der Preis wird nach Umfang der Fragen und Unterlagen vereinbart und vor Beginn der Arbeit festgelegt. In einfacheren Fällen genügt eine kürzere fachliche Stellungnahme. Bei Bestellung durch ein Gericht richtet sich die Sachverständigenvergütung nach der Verordnung Nr. 491/2004 Z. z.
Melden Sie sich so früh wie möglich
Aufzeichnungen in den Systemen werden schon nach wenigen Wochen überschrieben. Schreiben Sie mir kurz, was passiert ist; ich sage Ihnen unverbindlich, wie es weitergeht.
- tibor@postek.sk
- Telefon
- +421 915 24 79 79
- Tätigkeitsgebiet
- Gesamte Slowakei, auch online