Instant Response

Ein SIEM sammelt die Protokolle aus Firewall, Servern, Endgeräten und Cloud an einer Stelle und vergleicht sie miteinander. Ein einzelner fehlgeschlagener Login ist nichts. Zweihundert davon in vier Minuten, gefolgt von einem erfolgreichen, sind der Anfang eines Vorfalls.

Typischer Ablauf: Die Korrelation meldet nachts um halb drei einen ungewöhnlichen Datenabfluss. Die Rufbereitschaft ist wenige Minuten später am Bildschirm und beginnt mit der Einordnung — ist das ein Sicherungslauf oder ist es keiner.

Unser Team ergreift umgehend Maßnahmen, um die Ausbreitung der Bedrohung zu stoppen. Dies kann die Isolation infizierter Systeme, das Sperren von Benutzerkonten oder die Anpassung von Firewall-Regeln umfassen.

Typischer Ablauf: Bei einem Ransomware-Angriff werden die betroffenen Systeme vom übrigen Netz getrennt, bevor die Verschlüsselung über den ersten Server hinausläuft. Wie viel sich retten lässt, hängt davon ab, wie früh die Erkennung greift — eine Quote sagen wir vorher nicht zu.

Unsere Experten führen eine gründliche forensische Untersuchung durch, um die Ursache, den Umfang und die Auswirkungen des Vorfalls zu bestimmen.

Typischer Ablauf: Nach einem Datenbankeinbruch werten wir die Protokolle des Zeitraums aus, bestimmen die genutzte Schwachstelle und halten fest, welche Datensätze betroffen sind. Das ist die Grundlage für die Meldung nach Artikel 33 DSGVO — und für die Frage, ob eine Meldung überhaupt nötig ist.

Aus der Analyse entsteht der Plan für die Bereinigung: was sofort vom Netz muss, was neu aufgesetzt wird, welche Zugangsdaten als kompromittiert gelten. Die Reihenfolge richtet sich danach, was den Betrieb am wenigsten kostet — nicht danach, was technisch am elegantesten wäre.

Typischer Ablauf: Steht am Ende nicht ein einzelner Schädling, sondern ein Zugang, der über Monate gehalten wurde, läuft die Entfernung in Stufen: erst die Wege schließen, dann die Werkzeuge entfernen, zuletzt alle Zugangsdaten erneuern. Wer die Reihenfolge tauscht, verrät dem Angreifer, dass er entdeckt ist.

Wir stellen betroffene Systeme wieder her und implementieren zusätzliche Sicherheitsmaßnahmen, um zukünftige Angriffe zu erschweren.

Typischer Ablauf: Nach einem erfolgreichen Phishing-Angriff genügt es nicht, die betroffenen Konten wiederherzustellen. Dazu gehören ein zweiter Faktor, ein schärferer Filter und eine Schulung zu genau dem Muster, das funktioniert hat.

Zum Schluss steht ein Bericht: der Hergang, die betroffenen Systeme, die Lücke, durch die es begann, und die Maßnahmen, die verhindern, dass derselbe Weg ein zweites Mal offensteht.

Typischer Ablauf: Sie erhalten eine Chronologie des Vorfalls, die Auswertung der ausgenutzten Schwächen und eine Liste von Maßnahmen — nach Aufwand und Wirkung sortiert, damit Sie entscheiden können, was zuerst passiert.