Es gab einen Vorfall, oder einen Verdacht, und Sie müssen wissen, was passiert ist. Ich kläre, wie ein Angreifer hereingekommen ist, was er erreicht hat und ob er noch da ist.

Wann IT-Forensik nötig ist

Ein Server, Laptop oder Cloud-Konto verhält sich auffällig, und niemand weiß, warum.
Daten wurden verschlüsselt (Ransomware), oder es liegt eine Erpressung vor.
Kundendaten oder interne Dokumente sind dort aufgetaucht, wo sie nicht hingehören.
Ein Konto wurde übernommen, etwa durch Phishing oder gestohlene Zugangsdaten.
Ein Mitarbeitender steht im Verdacht, Daten mitgenommen oder Rechte missbraucht zu haben.
Versicherung, Geschäftsführung oder eine Behörde verlangt eine belastbare Aufklärung.

Oft ist es zunächst nur ein Verdacht. Auch dann lohnt sich eine Prüfung: Sie zeigt entweder, dass nichts passiert ist, oder sie findet den Vorfall, bevor er größer wird.

Die ersten Schritte bei einem Verdacht

Was in den ersten Stunden passiert, entscheidet darüber, ob sich ein Vorfall später aufklären lässt.

Nicht ausschalten. Ein laufendes System enthält Spuren im Arbeitsspeicher, die beim Herunterfahren verloren gehen. Trennen Sie betroffene Systeme stattdessen vom Netz.
Nichts aufräumen. Keine Dateien löschen, keine Neuinstallation, kein Virenscanner mit automatischer Bereinigung. Das zerstört genau die Spuren, die gebraucht werden.
Logs sichern. Firewall-, VPN-, Mail- und Cloud-Logs haben oft kurze Aufbewahrungsfristen. Exportieren Sie sie oder verlängern Sie die Aufbewahrung.
Notieren, was Sie wissen. Wer hat was wann bemerkt, und was wurde seitdem getan? Mit Uhrzeit.
Zugänge prüfen. Passwörter betroffener Konten erst ändern, wenn klar ist, dass der Angreifer dabei nicht mitliest, etwa über ein übernommenes Postfach.
Meldepflichten im Blick behalten. Bei personenbezogenen Daten gilt nach Art. 33 DSGVO in der Regel eine Frist von 72 Stunden für die Meldung an die Aufsichtsbehörde.

Vorgehen

Erstreaktion und Eindämmung

Gemeinsam mit Ihrem Team grenze ich ein, welche Systeme betroffen sind, und stoppe die weitere Ausbreitung, ohne dabei Beweise zu vernichten.

Beweissicherung

Datenträger, Arbeitsspeicher, Logs und Cloud-Daten werden gesichert und mit Prüfsummen dokumentiert. Eine lückenlose Beweiskette (Chain of Custody) hält fest, wer wann was gesichert hat, damit die Ergebnisse auch gegenüber Dritten bestehen.

Analyse

Ich werte Logs, Dateisysteme, Konten und Konfigurationen aus, in klassischer Infrastruktur ebenso wie in Microsoft 365, Google Workspace, AWS, Azure oder GCP. Ziel ist eine Antwort auf drei Fragen: Wie ist der Angreifer hereingekommen? Was hat er erreicht? Ist er noch da?

Zeitlinie

Aus den Spuren entsteht eine Zeitlinie des Angriffs, vom ersten Zugriff bis zur Entdeckung. Sie zeigt, welche Daten in welchem Zeitraum gefährdet waren, und ist die Grundlage für Meldungen und Entscheidungen.

Bericht und Härtung

Am Ende steht ein Bericht in zwei Teilen: eine Zusammenfassung für Geschäftsführung, Versicherung und Behörden und ein technischer Teil für Ihr Team. Die gefundenen Schwachstellen fließen direkt in konkrete Maßnahmen, damit derselbe Weg kein zweites Mal funktioniert. War ein Konto per Phishing übernommen, gehört dazu meist eine phishing-resistente Anmeldung mit YubiKeys oder Passkeys, die ich auf Wunsch mit Ihrem Team einführe.

Was Sie bekommen

Eine nachvollziehbare Rekonstruktion des Vorfalls statt Vermutungen
Gesicherte und dokumentierte Beweise
Eine belastbare Grundlage für Meldungen nach DSGVO und, wo zutreffend, NIS2
Antworten für Versicherung, Kunden und Geschäftsführung
Priorisierte Maßnahmen, die die Ursache beheben und nicht nur das Symptom

Remote oder vor Ort

Ein großer Teil der Analyse lässt sich remote erledigen, besonders bei Cloud-Umgebungen. Im gesamten DACH-Raum arbeite ich remote, vor Ort im Umkreis von rund 150 km um Oldenburg. Befunde und Zugangsdaten tausche ich nur verschlüsselt aus, auf Wunsch per PGP.

Verwandte Leistungen: IT-Security & IAM für die Härtung danach, KI-Security, wenn ein Sprachmodell oder Agent betroffen ist.

IT-Forensik und Incident Response