Forensik nach dem Angriff: Erst verstehen, dann wieder aufbauen
Der Impuls nach einem Angriff ist, alles schnell neu aufzusetzen. Wer das tut, löscht die Antworten auf die entscheidenden Fragen: Wie kamen die Angreifer hinein, wie lange waren sie da, was haben sie mitgenommen? Diese Seite erklärt, was Forensik leistet, wie Beweise gesichert werden und wann Sie externe Hilfe brauchen.
- Isolieren statt neu aufsetzen, bis Spuren gesichert sind
- RAM flüchtige Spuren gehen beim Ausschalten verloren
- Zeitleiste vom ersten Zugriff bis zur Verschlüsselung
- ZAC Zentrale Ansprechstelle Cybercrime der Landeskriminalämter
Was Forensik beantwortet
Forensik ist keine Schuldsuche in der eigenen IT. Sie liefert die Fakten, auf denen Wiederanlauf, Meldungen, Versicherungsfall und Anzeige stehen.
- Wie
Der Einstiegsweg
Phishing-Mail, gestohlene VPN-Zugangsdaten, ungepatchtes Gateway, Dienstleisterzugang? Erst wenn der Weg bekannt ist, kann er geschlossen werden. Ohne diese Antwort ist jeder Wiederanlauf ein Wiederanlauf mit offener Tür.
- Wie weit
Das Ausmaß
Welche Systeme wurden erreicht, welche Konten übernommen, welche Hintertüren eingerichtet? Angreifer legen sich oft mehrere Zugänge an. Wer nur den ersten schließt, wird über den zweiten zurückkommen.
- Was
Der Datenabfluss
Welche Daten wurden kopiert, in welchem Umfang, wohin? Diese Angaben bestimmen die DSGVO-Meldung, die Information der Betroffenen und die Bewertung der Lösegeldfrage. Ohne Forensik bleibt es bei Vermutungen.
Für wen die Antworten gebraucht werden: Datenschutzaufsicht und ggf. BSI für die Meldungen, Versicherer für die Schadenregulierung, Strafverfolgung für die Anzeige, Geschäftsleitung für die Entscheidung über Wiederanlauf und Zahlung, und für die Lessons Learned danach.
Warum Systeme nicht sofort neu aufgesetzt werden
Neu aufsetzen fühlt sich nach Fortschritt an. In den ersten Stunden zerstört es Beweise und verlängert den Vorfall.
-
Spuren verschwinden
Speicherabbilder, temporäre Dateien, Protokolle und die Werkzeuge der Angreifer liegen auf den betroffenen Systemen. Eine Neuinstallation überschreibt sie unwiederbringlich. Was danach fehlt, lässt sich nicht rekonstruieren.
-
Der Zugangsweg bleibt offen
Wer nicht weiß, wie die Angreifer hineinkamen, setzt das neue System mit derselben Schwachstelle oder demselben gestohlenen Passwort auf. Angreifer beobachten das und kommen zurück, oft innerhalb weniger Wochen.
-
Hintertüren überleben
Angreifer richten zusätzliche Konten, geplante Aufgaben oder Fernzugänge ein, auch auf Systemen, die nicht verschlüsselt wurden. Ohne Forensik werden nur die sichtbar betroffenen Systeme bereinigt, die unsichtbaren bleiben kompromittiert.
-
Meldungen und Versicherung brauchen Belege
Aufsicht, Versicherer und Strafverfolgung fragen nach Umfang und Ablauf. Ohne gesicherte Beweise können Sie den Datenabfluss weder eingrenzen noch ausschließen. Im Zweifel müssen Sie dann vom Schlimmsten ausgehen.
Die Regel: Betroffene Systeme vom Netz trennen und laufen lassen. Neu aufgesetzt wird aus sauberen Quellen, nachdem Speicherabbilder und Festplattenkopien gesichert sind und der Zugangsweg bekannt ist. Die Ausnahme: Läuft die Verschlüsselung sichtbar und lässt sich nicht anders stoppen, ist Ausschalten das kleinere Übel.
Beweissicherung in fünf Schritten
Die ersten Schritte kann Ihre IT vorbereiten, die eigentliche Sicherung übernehmen Forensiker. Wichtig ist die Reihenfolge: flüchtige Daten zuerst, alles protokolliert.
-
Isolieren, nicht ausschalten
Netzwerkkabel ziehen, WLAN deaktivieren, Port am Switch sperren. Der Rechner bleibt an. Im Arbeitsspeicher liegen laufende Prozesse, Netzwerkverbindungen und oft Schlüsselmaterial, das nach dem Ausschalten verloren ist.
-
Flüchtige Daten sichern
Speicherabbild des Arbeitsspeichers, Liste laufender Prozesse, offene Netzwerkverbindungen, angemeldete Benutzer. Das übernehmen Forensiker mit geeigneten Werkzeugen. Eigene Versuche mit Bordmitteln verändern das System und sind später schwer zu bewerten.
-
Datenträger forensisch kopieren
Von den wichtigsten betroffenen Systemen werden vollständige Abbilder der Festplatten erstellt, mit Prüfsummen versehen und schreibgeschützt aufbewahrt. Die Untersuchung arbeitet mit der Kopie, das Original bleibt unverändert.
-
Protokolle sichern, bevor sie rotieren
Firewall, VPN, Proxy, Domänencontroller, E-Mail-Server, Cloud-Dienste, EDR, Backup-System. Viele Systeme überschreiben Protokolle nach Tagen. Exportieren Sie sie sofort an einen sicheren Ort außerhalb des betroffenen Netzes.
- Anmeldeprotokolle: Wer hat sich wann von wo angemeldet?
- Netzwerkprotokolle: Welche Daten sind wohin geflossen?
- Änderungsprotokolle: Neue Konten, Gruppenmitgliedschaften, geplante Aufgaben
-
Lückenlos dokumentieren
Wer hat wann was an welchem System getan, mit welchem Ergebnis? Jede Handlung mit Uhrzeit und Name. Diese Kette belegt später, dass Beweise unverändert sind, und schützt vor dem Vorwurf, Spuren seien nachträglich entstanden.
Die Zeitleiste: Vom ersten Zugriff bis zur Verschlüsselung
Das Kernergebnis der Forensik ist eine Zeitleiste des Angriffs. Sie entsteht aus vielen Quellen, die einzeln wenig, zusammen aber ein Bild ergeben.
| Quelle | Was sie zeigt | Typische Frage |
|---|---|---|
| E-Mail-Server und Postfächer | Eingang der Phishing-Mail, geöffnete Anhänge, eingerichtete Weiterleitungen | War eine Mail der Einstieg, und wer hat sie geöffnet? |
| VPN- und Fernzugangsprotokolle | Anmeldungen von ungewöhnlichen Orten oder zu ungewöhnlichen Zeiten | Wurden gestohlene Zugangsdaten ohne zweiten Faktor genutzt? |
| Domänencontroller | Neue Konten, Rechteänderungen, Anmeldungen privilegierter Konten | Wann wurden Administratorrechte erlangt? |
| Endgeräte und EDR | Ausgeführte Werkzeuge, deaktivierter Schutz, seitliche Bewegung | Auf welchen Systemen waren die Angreifer aktiv? |
| Firewall und Proxy | Ausgehende Datenmengen, Verbindungen zu Steuerservern | Sind Daten abgeflossen, wie viel und wohin? |
| Backup-System | Löschungen, geänderte Aufbewahrung, fehlgeschlagene Sicherungen | Wann wurden Backups angegriffen, welche sind noch sauber? |
| Dateisystem | Zeitstempel verschlüsselter Dateien, Erpresserschreiben | Wann begann die Verschlüsselung, in welcher Reihenfolge? |
Was die Zeitleiste sichtbar macht: Meist liegt zwischen dem ersten Zugriff und der Verschlüsselung eine Verweildauer von Tagen bis Wochen. In dieser Zeit wurden Daten kopiert. Deshalb gehört zu jeder Verschlüsselung die Prüfung auf Datenabfluss.
Zusammenarbeit mit Strafverfolgung und Versicherer
Forensik findet nicht im Alleingang statt. Zwei Partner haben eigene Erwartungen an die Beweissicherung und bringen eigene Fähigkeiten mit.
-
Zentrale Ansprechstelle Cybercrime (ZAC)
Jedes Landeskriminalamt betreibt eine ZAC für Unternehmen. Sie nimmt Anzeigen auf, berät zur Beweissicherung und ordnet den Angriff bekannten Gruppen zu. Sie stellt Ihren Betrieb nicht still. Je früher der Kontakt, desto besser lassen sich Beweissicherung und Ermittlung abstimmen. Eine Anzeigepflicht besteht in der Regel nicht, die Anzeige wird aber empfohlen und von vielen Versicherern erwartet.
-
Cyberversicherer
Die Police regelt, wann und wie der Schaden gemeldet wird und welche Forensiker beauftragt werden dürfen. Viele Versicherer haben feste Partner und übernehmen deren Kosten nur bei Abstimmung. Melden Sie den Vorfall vor der Beauftragung. Der forensische Bericht ist später Grundlage der Schadenregulierung: Er belegt Ursache, Umfang und Ihre Sorgfalt.
Wann externe Forensik nötig ist
Kleine Vorfälle kann eine erfahrene IT mit Unterstützung bewerten. In diesen Fällen brauchen Sie spezialisierte Forensiker, und zwar früh.
- Systeme wurden verschlüsselt oder ein Erpresserschreiben liegt vor.
- Es gibt Hinweise auf Datenabfluss: große ausgehende Übertragungen, Leak-Drohung, Daten tauchen extern auf.
- Privilegierte Konten wie Domänen-Administratoren wurden übernommen oder neu angelegt.
- Der Einstiegsweg ist nach einem Tag noch unbekannt.
- Personenbezogene Daten sind betroffen und Meldungen an Aufsicht oder BSI stehen an.
- Der Versicherer verlangt eine forensische Untersuchung als Bedingung der Regulierung.
- Der eigene IT-Dienstleister hat die betroffene Umgebung betreut und kann sich nicht selbst prüfen.
- Die Geschäftsleitung braucht belastbare Grundlagen für die Entscheidung über Lösegeld oder Wiederaufbau.
Rolle von JAMORIE: Wir führen keine technische Forensik durch. Wir koordinieren auf Leitungsebene: Forensiker beauftragen und steuern, Ergebnisse in Meldungen und Entscheidungen übersetzen, Versicherer und ZAC einbinden. Wie gut das im Ernstfall läuft, entscheidet die Vorbereitung, etwa durch eine Notfallübung.
Die anderen Fragen des Vorfalls
Die Forensik liefert die Fakten für zwei Entscheidungen: Was melden wir, und zahlen wir? Beide Seiten bauen auf dieser auf.
- Übersicht
Die ersten 24 Stunden
Eindämmen, Lagebild, Meldungen, Wiederanlaufplan: die Reihenfolge für den Vorfall auf der Startseite.
- Erpressung
Lösegeld zahlen oder nicht
Argumente, Risiken, rechtliche Fragen und der Entscheidungsprozess mit Geschäftsleitung, Versicherer und Anwalt.
- Meldepflichten
Datenabfluss melden
DSGVO-Fristen, Betroffene identifizieren, Struktur einer Meldung, Dokumentationspflicht und NIS2.
Zur Forensik
Können wir die Rechner nicht einfach neu aufsetzen und weiterarbeiten?
Sie können, aber Sie verlieren damit die Antwort auf die wichtigste Frage: Wie kamen die Angreifer hinein? Bleibt der Zugangsweg offen, kommt der zweite Angriff. Außerdem brauchen Versicherer, Datenschutzaufsicht und Strafverfolgung belastbare Angaben zum Umfang. Neu aufgesetzt wird, nachdem Spuren gesichert sind, nicht davor.
Wie lange dauert eine forensische Untersuchung?
Erste belastbare Aussagen zu Einstiegsweg und betroffenen Systemen gibt es oft nach wenigen Tagen. Ein vollständiger Bericht mit Zeitleiste und Umfang des Datenabflusses braucht je nach Größe der Umgebung zwei bis sechs Wochen. Der Wiederanlauf wartet nicht auf den Abschlussbericht, sondern auf die Freigabe der bereinigten Systeme.
Wer bezahlt die Forensik?
Viele Cyberversicherungen übernehmen Forensikkosten und benennen eigene Dienstleister. Melden Sie den Schaden, bevor Sie beauftragen, sonst riskieren Sie die Kostenübernahme. Ohne Versicherung tragen Sie die Kosten selbst. Sie sind in der Regel deutlich geringer als ein zweiter Angriff wegen eines nicht erkannten Zugangswegs.
Was macht die Zentrale Ansprechstelle Cybercrime mit unseren Beweisen?
Die ZAC des Landeskriminalamts nimmt die Anzeige auf, sichert bei Bedarf selbst Beweise und ordnet den Angriff bekannten Gruppen zu. Sie kennt Werkzeuge und Vorgehen der Täter und kann die eigene Forensik damit beschleunigen. Ihr Betrieb wird nicht stillgelegt; die ZAC arbeitet mit Unternehmen, nicht gegen sie.
Reicht unser IT-Dienstleister für die Forensik?
Selten. Ein Systemhaus kann Systeme wiederherstellen, aber Forensik ist ein eigenes Handwerk mit eigenen Werkzeugen und Methoden. Dazu kommt ein Interessenkonflikt, wenn der Dienstleister die Umgebung selbst betreut hat. Nutzen Sie den Dienstleister für Wiederaufbau und Betrieb, die Forensik für die Aufklärung.
Tobias Mogk
Sie brauchen jemanden, der Forensik, Meldungen und Entscheidungen zusammenhält?
Hinterlassen Sie Ihre Kontaktdaten, wir rufen zurück. Wir koordinieren auf Leitungsebene und übersetzen forensische Ergebnisse in Entscheidungen. Die technische Forensik kommt von spezialisierten Partnern oder Ihrem Versicherer.
- Einordnung: Was gesichert ist, was noch fehlt
- Welche Beteiligten jetzt einzubinden sind
- Wie Ergebnisse in Meldungen und Wiederanlauf einfließen
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen