Die ersten 24 Stunden nach einem IT-Vorfall
In den ersten Stunden wird entschieden, ob ein Vorfall später aufklärbar ist. Eine Reihenfolge, die Spuren sichert, statt sie zu vernichten.
Ein Vorfall ist keine technische Störung, sondern ein Ereignis mit Fristen, Beweislast und Haftung. Deshalb steht am Anfang keine Fehlersuche, sondern eine Reihenfolge.
Stunde 0 bis 1: Feststellen und isolieren
- 1Betroffene Systeme vom Netz trennen – Netzwerkkabel ziehen oder Port sperren, aber das System eingeschaltet lassen.
- 2Uhrzeit, Beobachtung und handelnde Person notieren. Ab hier wird jede Handlung protokolliert.
- 3Verantwortliche Person benennen, die entscheidet. Parallele Alleingänge zerstören mehr als der Angreifer.
- 4Externe Zugänge einschränken: Fernwartung, VPN, offene Verwaltungsoberflächen.
Stunde 1 bis 4: Spuren sichern
- 1Flüchtige Daten zuerst: Arbeitsspeicherabbild, aktive Verbindungen, laufende Prozesse, angemeldete Benutzer.
- 2Danach Datenträgerabbilder erstellen – als Kopie, niemals am Original arbeiten.
- 3Protokolldateien sichern, bevor sie überschrieben werden: Firewall, Verzeichnisdienst, E-Mail-Server, Anwendungen.
- 4Für jede Sicherung eine Prüfsumme bilden und schriftlich festhalten, wer wann was gesichert hat.
Stunde 4 bis 24: Bewerten und melden
Parallel zur technischen Analyse laufen die Fristen. Sind personenbezogene Daten betroffen, ist die Verletzung des Schutzes personenbezogener Daten nach Art. 33 DSGVO grundsätzlich binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu melden. Besteht ein hohes Risiko für die Betroffenen, sind diese nach Art. 34 DSGVO zusätzlich zu benachrichtigen. Eine Meldung mit unvollständigem Kenntnisstand ist zulässig und besser als eine verspätete.
| Adressat | Wann | Grundlage |
|---|---|---|
| Datenschutzaufsicht | binnen 72 Stunden nach Bekanntwerden | Art. 33 DSGVO |
| Betroffene Personen | unverzüglich bei hohem Risiko | Art. 34 DSGVO |
| Cyberversicherung | nach Vertrag, meist unverzüglich | Versicherungsbedingungen |
| Strafverfolgung | bei Erpressung oder Datenabfluss empfehlenswert | Zentrale Ansprechstellen Cybercrime der Länder |
Was in dieser Phase nicht passieren darf
- Systeme neu aufsetzen, bevor gesichert wurde – das vernichtet den Angriffsweg.
- Aufräumen: gelöschte Dateien, geleerte Protokolle und bereinigte Verzeichnisse machen die Aufklärung unmöglich.
- Auf Erpressungsforderungen ohne juristische Beratung reagieren.
- Interne Kommunikation über möglicherweise kompromittierte Kanäle führen.
Wiederanlauf
Erst wenn der Angriffsweg bekannt ist, darf wiederhergestellt werden. Andernfalls wird die Schwachstelle mit eingespielt. Zum Wiederanlauf gehören zwingend neue Zugangsdaten für alle betroffenen Konten, das Zurückziehen bestehender Sitzungen und eine erhöhte Protokollierung in den folgenden Wochen.
Häufige Fragen
Klingt nach Ihrem Thema?
Wir bauen und betreiben Software für Branchen, die von großen Anbietern übersehen werden – und prüfen sie selbst auf Sicherheit. Schildern Sie uns Ihre Ausgangslage.
Projekt besprechenPassend dazu
Logging, das im Ernstfall trägt
Die meisten Systeme protokollieren viel und beweisen wenig. Welche Ereignisse tatsächlich gebraucht werden, wie lange sie aufbewahrt werden dürfen und warum die Uhr entscheidend ist.
Security Audit: worauf wir bei Webanwendungen schauen
Die Befunde wiederholen sich. Die Prüfpunkte, mit denen wir jede Anwendung beginnen – und die Klassen von Fehlern, die dabei fast immer auftauchen.