Incident Response

Ein SIEM sammelt die Protokolle aus Firewall, Servern, Endgeräten und Cloud an einer Stelle und vergleicht sie miteinander. Ein einzelner fehlgeschlagener Login ist nichts. Zweihundert davon in vier Minuten, gefolgt von einem erfolgreichen, sind der Anfang eines Vorfalls.

Typischer Ablauf: Die Korrelation meldet nachts um halb drei einen ungewöhnlichen Datenabfluss. Die Rufbereitschaft sitzt wenige Minuten später am Bildschirm und klärt als Erstes, ob das ein Sicherungslauf ist oder nicht.

Zuerst stoppen wir die Ausbreitung. Je nach Lage isolieren wir infizierte Systeme, sperren Benutzerkonten oder passen Firewall-Regeln an.

Typischer Ablauf: Bei einem Ransomware-Angriff trennen wir die betroffenen Systeme vom übrigen Netz, bevor die Verschlüsselung über den ersten Server hinausläuft. Wie viel sich retten lässt, hängt davon ab, wie früh die Erkennung greift. Eine Quote sagen wir deshalb vorher nicht zu.

Mit forensischen Methoden klären wir, wo der Angriff begann, wie weit er reichte und was er angerichtet hat.

Typischer Ablauf: Nach einem Einbruch in eine Datenbank werten wir die Protokolle des Zeitraums aus, bestimmen die genutzte Schwachstelle und halten fest, welche Datensätze betroffen sind. Das ist die Grundlage für die Meldung nach Artikel 33 DSGVO und klärt auch, ob eine Meldung überhaupt nötig ist.

Aus der Analyse entsteht der Plan: was sofort vom Netz muss, was neu aufgesetzt wird und welche Zugangsdaten als kompromittiert gelten. Die Reihenfolge richtet sich danach, was Ihren Betrieb am wenigsten kostet.

Typischer Ablauf: Hat ein Angreifer seinen Zugang über Monate gehalten, entfernen wir ihn in Stufen. Erst schließen wir die Wege hinein, dann entfernen wir seine Werkzeuge, zuletzt werden alle Zugangsdaten erneuert. Wer die Reihenfolge tauscht, verrät dem Angreifer, dass er entdeckt ist.

Wir stellen die betroffenen Systeme wieder her und schließen die Lücke, durch die der Angriff kam.

Typischer Ablauf: Nach einem erfolgreichen Phishing-Angriff genügt es nicht, die betroffenen Konten zurückzusetzen. Dazu gehören ein zweiter Faktor, ein schärferer Filter und eine Schulung zu genau dem Muster, das funktioniert hat.

Zum Schluss steht ein Bericht mit dem Hergang, den betroffenen Systemen, der Lücke, durch die es begann, und den Maßnahmen, die diesen Weg dauerhaft schließen.

Typischer Ablauf: Sie erhalten eine Chronologie des Vorfalls, die Auswertung der ausgenutzten Schwächen und eine Liste von Maßnahmen, sortiert nach Aufwand und Wirkung. So entscheiden Sie selbst, was zuerst passiert.