Reaktion auf Vorfälle

Regelmäßige Verbindungen eines Arbeitsplatzrechners zu einem neuen externen Server, ein Host, der interne Bereiche nach SMB-, RDP- oder Datenbankports scannt, neue Administratorsitzungen zu vielen Servern und ein großer Upload in einen Cloud-Speicher von einem Server, der sonst wenig sendet. Sie kommen meist in dieser Reihenfolge, bevor eine Datei verschlüsselt wird.

Oft ja, weil die Schritte vor der Verschlüsselung über das Netz laufen: Command-and-Control-Verbindungen, Scans, Lateral Movement und Datendiebstahl. In diesem Zeitfenster lässt sich ein Angriff noch stoppen. Nicht jeder Angriff zeigt alle Schritte, und ein Angriff, der auf einem Rechner bleibt, gibt dem Netz wenig zu sehen.

Nein. NetSenX meldet das Netzwerkverhalten, das Ransomware meist vorausgeht, damit Ihr Team handeln kann, solange noch Zeit ist. Hosts isolieren, den Angreifer entfernen und Daten wiederherstellen bleibt Aufgabe Ihres Teams, Ihres Endpunktschutzes und Ihrer Backups.

Die betroffenen Hosts vom Netz trennen, ihre Logs sichern, die dort verwendeten Zugangsdaten zurücksetzen und Ihren Incident-Response-Dienstleister anrufen. Fällt Ihre Organisation unter NIS2, beginnt die 24-Stunden-Frist für die Frühwarnung, sobald Sie von einem erheblichen Vorfall Kenntnis erlangen.

Trennen Sie die betroffenen Rechner vom Netz, am Switch oder durch Ziehen des Kabels und Abschalten des WLAN. Lassen Sie sie nach Möglichkeit eingeschaltet, weil der Arbeitsspeicher Beweise enthält, es sei denn, Sie können sie anders nicht isolieren. Nehmen Sie keinen Kontakt zu den Angreifern auf und zahlen Sie nichts, bevor Sie sich beraten haben. Rufen Sie Ihren Incident-Response-Dienstleister, die Hotline Ihres Cyberversicherers, falls vorhanden, oder Ihr nationales CSIRT an. Ändern Sie Administratorpasswörter von einem sauberen Gerät aus, prüfen Sie, ob Ihre Backups intakt und getrennt sind, und beginnen Sie ein schriftliches Protokoll mit Uhrzeiten, was Sie sehen und tun. Fallen Sie unter NIS2, läuft die 24-Stunden-Frist für die Frühwarnung ab dem Moment, in dem Sie Kenntnis von einem erheblichen Vorfall erlangen; binden Sie daher die für Meldungen zuständige Person von Anfang an ein.

Ungefähr in dieser Reihenfolge, angepasst an Ihre Lage. Erstens: Betroffene Rechner vom Netz isolieren, ohne sie auszuschalten, und die Ausbreitung an Switches oder Firewall stoppen. Zweitens: Incident-Response-Dienstleister, Hotline des Versicherers und bei Bedarf Anwälte anrufen und ein Vorfallprotokoll beginnen. Drittens: Beweise sichern und prüfen, ob Backups intakt und offline sind. Viertens: herausfinden, wie die Angreifer hereinkamen, welche Systeme sie erreichten und ob Daten abgeflossen sind, und die Meldepflichten nach NIS2 und DSGVO mit ihren Fristen prüfen. Fünftens: entscheiden, was Belegschaft, Kunden und Partner erfahren. Sechstens: den Angreifer entfernen, Zugangsdaten zurücksetzen und den Einstiegsweg schließen. Siebtens: aus sauberen Backups nach Priorität neu aufbauen und wiederherstellen. Achtens: wochenlang genau beobachten und ein Lessons-Learned-Review abhalten. NetSenX hilft bei den Schritten vier und acht, mit Netzbeweisen und fortlaufender Erkennung.

Das ist eine geschäftliche und rechtliche Entscheidung, und Strafverfolgungsbehörden raten davon ab: Es finanziert die Angreifer, garantiert weder die Rückgabe der Dateien noch die Löschung gestohlener Daten, und eine Zahlung an eine sanktionierte Gruppe kann illegal sein. Entscheiden Sie gemeinsam mit Ihrem Incident-Response-Dienstleister, Ihrem Versicherer und Ihren Juristen, und melden Sie den Vorfall der Polizei und, wo es gilt, Ihrem CSIRT. NetSenX verhandelt nicht und stellt keine Daten wieder her; es hilft, früher zu sehen, was die Angreifer im Netz getan haben.

Eine Zahlung macht den Diebstahl nicht rückgängig. Sie würden Kriminelle für das Versprechen bezahlen, Daten zu löschen, die zu behalten sie jeden Grund haben, und Strafverfolgungsbehörden, darunter Europol und nationale Polizeibehörden, raten von Zahlungen ab; es gibt berichtete Fälle, in denen Daten nach der Zahlung veröffentlicht oder verkauft wurden. Eine Zahlung an eine sanktionierte Person oder Gruppe kann zudem rechtswidrig sein. Die Entscheidung liegt bei der Geschäftsleitung, gemeinsam mit Incident-Response-Dienstleister, Versicherer und Anwälten. Klären Sie vorher die Fakten: was wirklich abgeflossen ist, ob personenbezogene Daten dabei sind, welche Meldungen unabhängig von einer Zahlung fällig sind und was Sie den Betroffenen sagen. Nach der DSGVO wird eine Verletzung des Schutzes personenbezogener Daten danach beurteilt, was geschehen ist, nicht danach, ob Lösegeld gezahlt wurde. NetSenX verhandelt nicht; es hilft bei den Fakten, mit Alarmen, die zeigen, welche Hosts wann ungewöhnliche Mengen nach außen gesendet haben.

Ein Ransomware-Verhandler ist ein Spezialist, oft gestellt von einer Incident-Response-Firma oder über die Liste des Versicherers, der im Namen des Opfers mit den Angreifern kommuniziert. Seine Aufgabe ist, Zeit zu gewinnen, Belege dafür zu erhalten, was mitgenommen wurde, zu prüfen, ob ein Entschlüsselungswerkzeug funktioniert, und, falls das Unternehmen zahlen will, Sanktionslisten zu prüfen und die Bedingungen abzuwickeln. Einen zu beauftragen heißt nicht, dass Sie sich zur Zahlung entschieden haben: Gespräche können Tage für die Wiederherstellung aus Backups bringen. Öffnen Sie den Chat der Angreifer nicht und antworten Sie nicht selbst auf ihre E-Mails, bevor Sie beraten wurden, denn was Sie schreiben, kann Ihre Lage schwächen. Fragen Sie zuerst Ihren Versicherer, weil Policen oft dessen Firma vorschreiben, und bewahren Sie jede Nachricht als Beweis auf. NetSenX spielt bei Verhandlungen keine Rolle; seine Alarme helfen festzustellen, was das Netz tatsächlich verlassen hat, was zählt, wenn die Behauptungen der Angreifer geprüft werden.

Prüfen Sie, was das Netz wann verlassen hat: Firewall- und Proxy-Logs, Audit-Logs von Cloud-Speichern und die Logs der betroffenen Rechner. Das übliche Zeichen sind große Uploads in einen Cloud-Speicher oder an eine unbekannte Adresse in den Tagen vor der Verschlüsselung. Bitten Sie Ihren Incident-Response-Dienstleister, die Datenmengen mit dem abzugleichen, was jeder Server enthält, und sichern Sie die Logs, bevor sie überschrieben werden. Veröffentlichen die Angreifer eine Probe auf einer Leak-Seite, sagt das etwas darüber, was sie mitgenommen haben, aber selten alles, und ihre Behauptungen beweisen weder das eine noch das andere. NetSenX bewahrt seine Alarme zu ungewöhnlichen ausgehenden Datenmengen pro Host mit Zeitpunkt, Ziel und Menge auf, was hilft, die Größe eines Transfers einzuschätzen. Dateinamen in verschlüsselten Sitzungen sieht es nicht.

Suchen Sie nach der Übertragung, nicht nach der Behauptung. Angreifer übertreiben manchmal, um den Druck zu erhöhen, und manchmal haben sie tatsächlich alles mitgenommen, was sie sagen. Prüfen Sie Firewall- und Proxy-Logs auf große ausgehende Übertragungen in den Tagen vor der Verschlüsselung, besonders zu Cloud-Speichern oder Adressen, die sonst niemand nutzt, und notieren Sie, welche internen Hosts sie gesendet haben. Vergleichen Sie die Menge mit dem, was diese Server enthalten. Fordern Sie eine Beweisprobe nur über Ihren Dienstleister an und sehen Sie sich an, was sie enthält. Audit-Logs von Cloud-Speichern und SaaS-Diensten können Massen-Downloads zeigen. Zeigen die Beweise keine nennenswerte ausgehende Übertragung, hilft das bei der Entscheidung und bei einer Meldung, aber fehlende Belege auf einem Weg beweisen nicht, dass nichts auf einem anderen abgeflossen ist. NetSenX bewahrt Alarme zu ungewöhnlichen ausgehenden Datenmengen pro Host mit Zeitpunkt, Ziel und Menge auf; Dateinamen in verschlüsselten Übertragungen sieht es nicht.

Oft ja, wenn die Logs aus dieser Zeit noch existieren. Die veröffentlichten Dateien liefern Hinweise: Ihr jüngstes Änderungsdatum legt den frühestmöglichen Zeitpunkt des Diebstahls fest, und die Ordner, aus denen sie stammen, verweisen auf die beteiligten Server. Suchen Sie dann in Firewall-, Proxy- und Cloud-Audit-Logs nach großen ausgehenden Übertragungen von diesen Servern um diese Zeit und nach dem ersten regelmäßigen Kontakt zu einem unbekannten externen Server, der oft den Beginn des Einbruchs markiert. Lassen Sie das Ihren Incident-Response-Dienstleister erledigen und laden Sie die geleakten Daten nicht selbst von der Seite herunter: Beziehen Sie Dienstleister und Anwälte ein, denn der Umgang mit gestohlenen Daten birgt eigene Risiken. Zeigen Sie die Veröffentlichung bei der Polizei an. NetSenX bewahrt Alarme zu ungewöhnlichen ausgehenden Mengen pro Host mit Zeitpunkt und Ziel für die Alarmhistorie Ihres Plans auf, was das Zeitfenster deutlich eingrenzen kann.

Nein. NetSenX analysiert Flow-Metadaten und einige Protokollfelder und entschlüsselt nie Verkehr. Verlassen Daten das Netz über eine verschlüsselte Verbindung, was fast immer der Fall ist, sieht es, welcher Host wie viel wann an welches Ziel geschickt hat, aber nicht Namen oder Inhalt der Dateien. Das ist trotzdem nützlich: Es sagt Ihnen, welchen Server Sie untersuchen müssen, wie groß die Übertragung war und wann sie stattfand, was oft genügt, um einzugrenzen, was darin gewesen sein kann. Um zu wissen, welche Dateien genommen wurden, kombinieren Sie es mit Quellen, die Dateien sehen: Audit-Logs von Dateiservern und Cloud-Speichern, Telemetrie aus Endpoint Detection and Response (EDR), Werkzeuge zur Verhinderung von Datenabfluss oder eine forensische Untersuchung des Servers. Veröffentlichen die Angreifer Proben, zeigen auch diese, welche Ordner betroffen waren.

Sie versuchen es, wenn sie sich einen Weg offengehalten haben: gestohlene Passwörter, ein vergessenes Fernzugriffswerkzeug, ein neues Konto, eine geplante Aufgabe oder ein nie gepatchtes VPN. Manche Kriminelle verkaufen den Zugang auch weiter, sodass ein zweiter Angriff von jemand anderem durch dieselbe Tür kommen kann. Setzen Sie nach einem Vorfall alle möglicherweise betroffenen Zugangsdaten zurück, auch Dienstkonten, entfernen Sie nicht genehmigte Fernzugriffswerkzeuge, schließen Sie den Einstiegsweg, bauen Sie betroffene Rechner aus geprüften Images neu auf und beobachten Sie das Netz wochenlang genau. Erneute Verbindungen zu den Servern der Angreifer sind ein typisches Zeichen; NetSenX erkennt C2-Beaconing in jedem Plan, auch im Free-Plan, und nach den Indikatoren aus Ihrem Vorfallbericht können Sie in Firewall- und DNS-Logs suchen.

Incident Response ist das geordnete Vorgehen, mit dem ein Unternehmen einen Sicherheitsvorfall erkennt, eindämmt, sich davon erholt und daraus lernt. Dazu gehört die technische Arbeit, etwa Rechner isolieren, den Angreifer entfernen und Systeme wiederherstellen, und die Entscheidungen darum herum: wer leitet, wer informiert wird, wann externe Hilfe kommt, was an Behörden, Versicherer und Kunden gemeldet wird. Ein kleines Unternehmen braucht dafür kein Sicherheitsteam. Es braucht einen kurzen schriftlichen Plan, Telefonnummern, die funktionieren, wenn E-Mail ausfällt, jemanden, der nachts entscheiden darf, und Beweise, die zeigen, was passiert ist. NetSenX hilft bei Beweisen und Fristen: Es erkennt Netzverhalten, das oft auf einen Einbruch hinweist, erklärt jeden Alarm und verfolgt die Fristen nach Artikel 23 NIS2 pro Vorfall. Angreifer entfernen oder Systeme wiederherstellen kann es nicht.

Das bekannteste Modell hat sechs: Vorbereitung, Identifizierung, Eindämmung, Beseitigung, Wiederherstellung und Lessons Learned, aus dem Handbuch für Incident Handler des SANS Institute. Der frühere Leitfaden von NIST, SP 800-61 Revision 2, fasste dieselbe Arbeit in vier Phasen zusammen. Im April 2025 ersetzte NIST ihn durch SP 800-61 Revision 3, die Incident Response an die sechs Funktionen des Cybersecurity Framework 2.0 bindet: Govern, Identify, Protect, Detect, Respond und Recover. Alle sagen dasselbe: Der größte Teil der Arbeit liegt vor dem Vorfall, in der Vorbereitung, und danach, in der Verbesserung. Für ein kleines Unternehmen ist die praktische Reihenfolge einfach: bemerken, Schaden begrenzen, Ursache entfernen, sicher weiterarbeiten und ändern, was den Vorfall ermöglicht hat. Diese Abfolge für die eigenen Systeme aufzuschreiben, ist der nützlichste erste Schritt.

Indem Sie jetzt entscheiden, was Sie sonst mitten in der Nacht improvisieren müssten. Schreiben Sie einen einseitigen Plan: wer leitet, wer Systeme abschalten darf, wer mit Kunden, Versicherern und Behörden spricht. Halten Sie Telefonnummern auf Papier und in einem zweiten Kanal bereit, weil E-Mail und Chat ausfallen oder kompromittiert sein können. Kennen Sie Ihre drei oder vier wichtigsten Systeme und die Reihenfolge, in der Sie sie wiederherstellen würden, und testen Sie eine Wiederherstellung aus dem Backup. Vereinbaren Sie Konditionen mit einem Incident-Response-Dienstleister, bevor Sie ihn brauchen, und prüfen Sie, wen Ihre Cyberversicherung zuerst anzurufen verlangt. Stellen Sie sicher, dass die nötigen Logs existieren und lange genug aufbewahrt werden: Firewall, VPN, Verzeichnis und Netzhistorie. NetSenX liefert die Netzhistorie und erklärte Alarme, und PDF-Berichte ab dem Starter-Plan erleichtern die Übergabe eines Beweispakets.

Weniger, als die meisten Vorlagen nahelegen, solange er unter Druck funktioniert. Das Wesentliche passt auf zwei oder drei Seiten: wer leitet und wer vertritt, die Telefonnummern der Personen und Dienstleister, die Sie anrufen, wann Sie ein System isolieren oder das Unternehmen vom Internet trennen, wo die Backups liegen und wie die wichtigsten Systeme wiederhergestellt werden, und wer über Meldungen an CSIRT, Datenschutzbehörde, Versicherer und Kunden entscheidet, mit deren Fristen. Ergänzen Sie eine kurze Checkliste für die erste Stunde und eine Vorlage für das Vorfallprotokoll. Drucken Sie ihn aus, denn der Dateiserver mit dem Plan könnte genau der verschlüsselte sein. Überarbeiten Sie ihn nach jedem Vorfall und mindestens einmal im Jahr. NetSenX verfolgt die Fristen nach Artikel 23 NIS2 pro Vorfall und führt ein Audit-Log der Alarme und Analystenentscheidungen, was den Meldeteil des Plans unterstützt.

Weniger Leute, als Sie denken, aber mit klaren Rollen. Eine Person leitet und entscheidet, meist die Geschäftsführung oder jemand, den sie benennt, mit einer namentlich festgelegten Vertretung. Eine Person erledigt oder steuert die technische Arbeit: Ihr IT-Administrator, Ihr IT-Dienstleister oder eine externe Incident-Response-Firma. Eine Person übernimmt die Kommunikation mit Belegschaft, Kunden und Lieferanten, und eine behält die rechtliche Seite und die Meldungen im Blick, oft zusammen mit dem Datenschutzbeauftragten und einer Anwältin. In einem Unternehmen mit 30 Beschäftigten können das drei Personen mit mehreren Hüten sein. Entscheidend ist, dass jede Rolle schriftlich festgehalten ist, dass die Leitung nachts entscheiden kann, ohne auf eine Sitzung zu warten, und dass die externen Nummern vorab vereinbart sind. Ab dem Starter-Plan, der die Teamverwaltung enthält, gibt NetSenX jeder dieser Personen ein eigenes Konto, sodass Alarmbegründungen und Entscheidungen für das ganze Team sichtbar sind.

Ein Retainer ist eine Vereinbarung mit einer Incident-Response-Firma, die geschlossen wird, bevor etwas passiert, und Ihnen eine Reaktion innerhalb einer vereinbarten Zeit sowie Preis und Bedingungen zusichert. Ohne ihn suchen Sie einen Anbieter, verhandeln einen Vertrag und gewähren Zugang, während der Angreifer noch aktiv ist. Viele Cyberversicherer haben eine eigene Liste von Response-Firmen und erwarten, dass Sie zuerst diese anrufen; prüfen Sie also Ihre Police, bevor Sie gesondert etwas unterschreiben. Ein kleines Unternehmen braucht vielleicht keinen bezahlten Retainer, wenn die Hotline des Versicherers das abdeckt, es muss aber wissen, wen es anruft, was diese Firma am ersten Tag braucht und wie sie auf Ihre Systeme zugreift. NetSenX ist keine Incident-Response-Firma. Es gibt der Firma, die Sie rufen, erklärte Alarme und eine Netzhistorie von vor dem Vorfall, also meist genau die Beweise, die sich hinterher am schwersten rekonstruieren lassen.

Eine Tabletop-Übung ist eine Besprechung, in der die Personen, die einen Vorfall bearbeiten würden, ein realistisches Szenario Schritt für Schritt durchspielen, ohne ein System anzufassen. Eine Moderation stellt die Lage in Etappen vor: ein Alarm am späten Abend, eine Lösegeldforderung am Montagmorgen, der Anruf eines Journalisten, ein Backup, das sich ebenfalls als verschlüsselt herausstellt. In jeder Etappe sagt das Team, was es tun würde, wer entscheidet und wen es anruft. Neunzig Minuten mit Geschäftsführung, IT, Kommunikation und der Person für Rechtsfragen genügen. Der Wert liegt in den Lücken, die sichtbar werden: eine Telefonnummer, die niemand hat, eine Entscheidung, die niemand treffen darf, ein Log, das niemand führt. Schreiben Sie sie auf, beheben Sie sie und wiederholen Sie die Übung ein- bis zweimal im Jahr. Ein Szenario auf Basis eines echten Alarms oder eines früheren Vorfalls lehrt mehr als ein allgemeines.

Es sind Sprossen einer Leiter. Ein Ereignis ist alles, was geschieht und aufgezeichnet werden kann: eine Anmeldung, eine Verbindung, eine Dateiänderung. Ein Alarm ist ein Ereignis oder Muster von Ereignissen, das ein Werkzeug markiert, weil es wichtig sein könnte, etwa ein Arbeitsplatzrechner, der alle paar Minuten einen neuen externen Server kontaktiert. Ein Vorfall ist das, was Sie erklären, nachdem Sie einen oder mehrere Alarme geprüft und festgestellt haben, dass die Sicherheit tatsächlich verletzt wurde oder wird: Ein Angreifer ist drin, Daten wurden gestohlen, ein Dienst wurde gestört. Der Unterschied zählt, weil Pflichten an Vorfälle geknüpft sind, nicht an Alarme: Die NIS2-Meldefristen beginnen mit der Kenntnis eines erheblichen Vorfalls, nicht wenn ein Werkzeug Alarm schlägt. NetSenX erzeugt Alarme mit einer verständlichen Begründung; ob daraus ein Vorfall wird, beurteilen Sie, und diese Entscheidung wird im Audit-Log festgehalten.

Indem Sie den Alarm mit dem abgleichen, was Sie wissen, schnell und jedes Mal in derselben Reihenfolge. Stellen Sie vier Fragen: Sind Gerät und Besitzer bekannt, gibt es einen geschäftlichen Grund für dieses Verhalten, sind Ziel oder Konto vertraut, und ist auf demselben Host oder zur selben Zeit noch etwas Ungewöhnliches passiert? Ein Backup-Job, ein Software-Update oder ein Administrator, der spät arbeitet, erklären viele Alarme in Minuten. Was niemand erklären kann, mehrere Hosts betrifft oder auf einen anderen Alarm folgt, gehört eskaliert. Notieren Sie, was Sie geprüft haben, auch wenn es harmlos war, damit die nächste Person nicht bei null anfängt. NetSenX erklärt bei jedem Alarm, welche Netzmerkmale ihn ausgelöst haben, nennt die MITRE-ATT&CK-Technik, wo eine zutrifft, und lässt Sie einen Fehlalarm markieren, wobei die Entscheidung im Audit-Log festgehalten wird.

Nach der Wirkung auf das Geschäft, nicht danach, wie alarmierend er aussieht. Eine einfache Skala reicht: niedrig, wenn ein Gerät betroffen und eingedämmt ist, mittel, wenn ein Konto oder mehrere Geräte beteiligt sind, hoch, wenn wichtige Systeme oder personenbezogene Daten gefährdet sind, und kritisch, wenn der Betrieb stillsteht oder Daten das Unternehmen verlassen haben. Fragen Sie, was betroffen ist, wie viele Systeme und Personen, ob personenbezogene oder Kundendaten beteiligt sind, ob es sich ausbreitet und ob Leistungen gestört sind, die Sie für andere erbringen. Die Antwort entscheidet, wer angerufen wird, wie schnell und ob Meldepflichten greifen können: NIS2 arbeitet mit dem Begriff des erheblichen Vorfalls, die DSGVO mit der Verletzung des Schutzes personenbezogener Daten, jeweils mit eigenen Kriterien. Legen Sie die Skala vorab fest und schreiben Sie sie in Ihren Plan. NetSenX zeigt bei jedem Alarm, was auf welchen Hosts gesehen wurde, ein Ausgangspunkt für diese Bewertung, kein Ersatz dafür.

Eine namentlich benannte Person mit einer benannten Vertretung und der Befugnis, ohne Sitzung zu handeln. Entscheidungen im Vorfall sind dringend und unangenehm: das Unternehmen vom Internet trennen, ein Produktionssystem stoppen, die Polizei rufen, Kunden informieren. Ist niemand klar dazu befugt, gehen Stunden mit dem Warten auf Zustimmung verloren. In den meisten kleinen Unternehmen entscheidet die Geschäftsführung, beraten von der IT und einem externen Dienstleister; in größeren handelt ein Incident Manager im Auftrag der Leitung innerhalb vereinbarter Grenzen. Halten Sie fest, welche Entscheidungen diese Person allein treffen darf und welche die Leitung brauchen, und sorgen Sie dafür, dass die Vertretung erreichbar ist, wenn die Leitung reist. NIS2 macht zudem die Leitungsorgane erfasster Einrichtungen dafür verantwortlich, Risikomanagementmaßnahmen im Bereich Cybersicherheit zu billigen und ihre Umsetzung zu überwachen; die Leitung sollte den Plan also kennen, bevor er gebraucht wird.

Meist fünf Dinge. Ob Systeme oder der ganze Standort isoliert werden, mit der Unterbrechung, die das bedeutet. Wen sie hinzuzieht: eine Incident-Response-Firma, die Hotline des Versicherers, eine Anwaltskanzlei. Ob der Vorfall meldepflichtig sein kann, beim nationalen CSIRT nach NIS2 oder bei der Datenschutzbehörde nach DSGVO, und wer die Meldung vorbereitet. Was Belegschaft, Kunden und Partner wann erfahren, ohne zu versprechen, was noch nicht feststeht. Und wie das Geschäft weiterläuft: manuelle Abläufe, alternative Kommunikation, welche Kunden zuerst angerufen werden. Nichts davon ist technisch, deshalb kann ein technisches Team es nicht allein entscheiden. Bereiten Sie diese Entscheidungen als Optionen in Ihrem Plan vor. NetSenX gibt der Leitung einen sachlichen Ausgangspunkt: welche Hosts wann welches Verhalten zeigten, und die für den Vorfall verfolgten Fristen nach Artikel 23 NIS2.

Verlegen Sie die Besprechung des Vorfalls auf einen Kanal, den der Angreifer nicht mitlesen kann, bevor Sie etwas über Ihre Pläne sagen. Angreifer, die ein Postfach oder das Verzeichnis kontrollieren, lesen oft die Nachrichten des Response-Teams mit und passen sich an. Vereinbaren Sie vorab einen Ausweichkanal: Telefonate, eine Messenger-Gruppe auf Geräten ohne Firmenkonten oder einen separaten Arbeitsbereich mit eigenen Anmeldungen. Halten Sie eine gedruckte Kontaktliste bereit, weil das Adressbuch unerreichbar sein kann. Bitten Sie Versicherer, Bank und wichtige Kunden, jede Anfrage von Ihnen telefonisch zu bestätigen, denn Kriminelle verschicken mitten in einem Vorfall manchmal gefälschte Nachrichten. Sind Verzeichnis und Mail neu aufgebaut und die Zugangsdaten zurückgesetzt, kehren Sie zurück. Die Alarme von NetSenX liegen in einem eigenen Dashboard, das Sie von einem sauberen Gerät aus öffnen können, sodass das Netzbild nicht von der Firmen-E-Mail abhängt.

Weil das Gedächtnis unter Stress versagt und später alle fragen werden, was wann passiert ist. Ein einfaches Protokoll hält Uhrzeit, Beobachtung, Entscheidung, wer sie warum getroffen hat und was getan wurde fest. Es erlaubt einer zweiten Person, nachts zu übernehmen, ohne neu anzufangen, zeigt Versicherer und Behörde, dass Sie zügig und überlegt gehandelt haben, und ist die Grundlage für die Zeitleiste in einer NIS2-Meldung oder einer DSGVO-Meldung. Es schützt auch die Entscheider: Eine Wahl, die hinterher falsch aussieht, war mit dem damaligen Wissen oft vernünftig, und das Protokoll belegt es. Führen Sie es außerhalb der betroffenen Systeme, auf Papier oder in einem gemeinsamen Dokument, das von einem sauberen Gerät erreichbar ist, und notieren Sie alle Zeiten in einer Zeitzone. NetSenX steuert Alarme mit Zeitstempel und ein Audit-Log der Analystenentscheidungen bei, die Sie Ihrem eigenen Protokoll beifügen können.

Trennen Sie das Netz, nicht den Strom, und kopieren Sie, bevor Sie aufräumen. Wenn Sie einen betroffenen Rechner am Switch-Port, an der Firewall oder über das Endpunktwerkzeug isolieren, kann der Angreifer ihn nicht mehr nutzen, während Arbeitsspeicher, laufende Prozesse und offene Verbindungen für die Untersuchung erhalten bleiben. Bevor Sie Rechner neu aufsetzen, Dateien löschen oder Konten entfernen, exportieren Sie die relevanten Logs, notieren Sie verdächtige Konten und Dateien und erstellen Sie, wo Fachleute dazu raten, ein Speicherabbild und ein Festplatten-Image. Sperren Sie die Ziele des Angreifers an der Firewall, halten Sie aber fest, welche und wann. Müssen Sie zwischen Tempo und Beweisen wählen, etwa weil sich die Verschlüsselung ausbreitet, gewinnt das Tempo: Erst den Schaden stoppen. Netzbeweise gehen am leichtesten verloren, weil viele Geräte nur eine kurze Historie speichern; NetSenX bewahrt seine Alarme mit Zeitpunkt, Hosts und Zielen für die Historie Ihres Plans auf.

Trennen Sie ihn vom Netz, lassen Sie ihn aber eingeschaltet, sofern nichts dagegen spricht. Kabel ziehen und WLAN abschalten nimmt dem Angreifer die Kontrolle und stoppt die Ausbreitung, während der Arbeitsspeicher Beweise behält, die beim Herunterfahren verschwinden: laufende Programme, Netzverbindungen, manchmal Schlüssel, die bei der Wiederherstellung helfen. Ausschalten ist richtig, wenn Sie den Rechner anders nicht isolieren können und der Schaden sich schnell ausbreitet, oder wenn Fachleute darum bitten. Melden Sie sich nicht als Administrator an, um sich umzusehen, starten Sie keine Bereinigungswerkzeuge und keinen Neustart, bevor Sie beraten wurden, denn jeder Schritt verändert die Beweise. Notieren Sie Uhrzeit und Vorgehen. Ist der Rechner ein Server, von dem andere abhängen, isolieren Sie ihn am Switch oder an der Firewall, statt wahllos Kabel zu ziehen. Ein Netzwerksensor wie NetSenX bewahrt auf, was der Rechner tat, bevor Sie ihn getrennt haben.

Eine kurze Liste häufiger Fehler. Löschen oder neu aufsetzen Sie keine Rechner, bevor Beweise gesichert sind, sonst verlieren Sie die Möglichkeit herauszufinden, wie der Angreifer hereinkam. Setzen Sie Passwörter nicht einzeln zurück, solange der Angreifer zusieht; planen Sie die Eindämmung und führen Sie sie in einem Zug durch. Besprechen Sie den Vorfall nicht per E-Mail oder Chat, die kompromittiert sein könnten. Kontaktieren oder bezahlen Sie die Angreifer nicht ohne Rat Ihres Dienstleisters, Versicherers und Ihrer Anwälte. Stellen Sie nicht aus Backups wieder her, bevor Sie wissen, dass sie älter als der Einbruch sind. Verkünden Sie nicht öffentlich, was Sie noch nicht wissen, und versprechen Sie Kunden nicht, dass keine Daten betroffen sind, bevor Sie es geprüft haben. Versäumen Sie keine Fristen: Eine NIS2-Frühwarnung oder eine DSGVO-Meldung kann mit unvollständigen Angaben abgegeben und später ergänzt werden. Und hören Sie nicht auf, das Netz zu beobachten, wenn die Systeme wieder laufen.

Arbeiten Sie sich anhand der Zeitstempel von dem, was Sie wissen, rückwärts. Beginnen Sie bei dem Rechner, an dem der Vorfall bemerkt wurde, fragen Sie, welcher andere Host sich zuerst auf ungewöhnliche Weise mit ihm verbunden hat, und wiederholen Sie das für diesen Host. Endpunkt-Logs zeigen Anmeldungen und neue Programme, Verzeichnis-Logs, welches Konto von welchem Rechner aus genutzt wurde, Firewall- und VPN-Logs die ersten Verbindungen nach außen. Die frühesten regelmäßigen Meldungen an einen Server des Angreifers kennzeichnen oft den ersten infizierten Rechner. Patient null ist wichtig, weil er zeigt, wie der Angreifer hereinkam, und dieser Weg muss vor der Wiederherstellung geschlossen sein. Denken Sie daran, dass der erste gefundene Rechner oft nicht der erste infizierte ist. NetSenX-Alarme enthalten Zeiten, Hosts und Ziele, und ab dem Pro-Plan verknüpft die netzweite Korrelation Scans, neue Sitzungen und Beaconing über Hosts hinweg zu einer Geschichte, was diese Suche verkürzt.

Ein forensisches Abbild ist eine exakte, überprüfte Kopie einer Festplatte oder des Arbeitsspeichers eines Rechners, angefertigt, damit Ermittler sie untersuchen können, ohne das Original zu verändern. Es wird mit speziellen Werkzeugen erstellt, mit einem Hash wie SHA-256 versehen, damit jede spätere Änderung erkennbar ist, und mit einem Nachweis aufbewahrt, wer es in der Hand hatte. Sie brauchen eines, wenn der Vorfall zu einem Rechtsstreit, einem Versicherungsfall, einem Polizeiverfahren oder Fragen einer Behörde führen kann, und wenn Sie wissen wollen, wie der Angreifer hereinkam, bevor Sie den Rechner neu aufsetzen. Gewöhnliche Backups ersetzen es nicht, weil sie gelöschte Dateien, Arbeitsspeicher und Systembereiche auslassen. Lassen Sie es nach Möglichkeit von Fachleuten erstellen. Netzbeweise ergänzen es: NetSenX hält fest, was über das Netz lief, was das Abbild eines einzelnen Rechners nicht zeigen kann.

Die Beweiskette ist der schriftliche Nachweis, wer ein Beweisstück wann und wie gesichert hat und wer es seitdem in der Hand hatte. Für ein Festplatten-Abbild, einen Log-Export oder einen Netzmitschnitt heißt das: Quelle, Datum und Uhrzeit, verwendete Methode oder Werkzeug, ein Hash-Wert, der belegt, dass sich die Kopie nicht verändert hat, der Aufbewahrungsort und jede Person, die darauf zugegriffen hat. Ohne diesen Nachweis können Gericht, Versicherer oder Behörde bezweifeln, dass der Beweis das ist, wofür Sie ihn ausgeben. Ein kleines Unternehmen kann das einfach halten: ein Blatt pro Beweisstück, Kopien auf einmal beschreibbarem oder zugriffsgeschütztem Speicher und keine Arbeit an den Originalen. NetSenX führt ein Audit-Log der Alarme, Analystenentscheidungen und Konfigurationsänderungen und ab dem Starter-Plan einen Nachweispfad (Proof Trail), was diese Dokumentation für die Netzseite eines Vorfalls stützt.

Exportieren Sie sie, sobald ein Vorfall vermutet wird, bevor Sie irgendetwas anderes ändern. Viele Geräte speichern Logs nur einige Tage oder bis zu einer Größengrenze: Firewalls, VPN-Gateways, Switches und manche Cloud-Dienste überschreiben zuerst die ältesten Einträge, und ein aktiver Angreifer versucht womöglich, sie zu löschen. Legen Sie vorab eine Liste der wichtigen Logs an, typischerweise Firewall, VPN, Verzeichnis und Authentifizierung, E-Mail, Endpunkt-Konsole und DNS, mit dem Exportweg für jedes. Kopieren Sie sie im Vorfall auf Speicher außerhalb der betroffenen Systeme, notieren Sie Uhrzeit und Hash jeder Datei und erhöhen Sie, wenn möglich, die Aufbewahrungsdauer auf den Geräten. Fragen Sie Ihre Cloud-Anbieter, wie weit ihre Audit-Logs zurückreichen. NetSenX speichert seine Alarme im eigenen Dienst für die Alarmhistorie Ihres Plans, 30 Tage im Free-Plan und länger in bezahlten Plänen, egal was mit Ihren Geräten geschieht.

Beseitigung heißt, die Präsenz des Angreifers vollständig zu entfernen, bevor Sie Systeme wieder in Betrieb nehmen. Dazu gehört, Schadsoftware und Werkzeuge zu löschen, den Einstiegsweg zu schließen, vom Angreifer angelegte Konten, geplante Aufgaben und Fernzugriffssoftware zu entfernen, alle möglicherweise betroffenen Zugangsdaten zurückzusetzen und die ausgenutzten Schwachstellen zu patchen. In der Praxis ist es oft verlässlicher, betroffene Rechner aus sauberen Images neu aufzubauen, als sie zu bereinigen, weil sich schwer beweisen lässt, dass jede Änderung gefunden wurde. Beseitigung scheitert, wenn sie unvollständig ist: Angreifer mit einem verbliebenen Stützpunkt kommen zurück, manchmal Wochen später. Sie sollte auf Grundlage der Beweise aus Ihrer Untersuchung geplant und nicht geraten werden. Ob sie gelungen ist, zeigt der Blick auf das Netz danach: NetSenX erkennt erneutes Beaconing zu bekannten oder neuen externen Servern und neue laterale Sitzungen, in jedem Plan.

Von einem sauberen Gerät aus, in geplanter Reihenfolge und innerhalb eines kurzen Zeitfensters. Beginnen Sie mit den Konten, die alles steuern: Domänen- und Cloud-Administratoren, das Backup-System, Fernzugriff und Dienstkonten mit weitreichenden Rechten. Im Active Directory wird das Konto, das Kerberos-Tickets signiert (krbtgt), zweimal zurückgesetzt, mit Zeit für die Replikation dazwischen, damit gefälschte Tickets ungültig werden. Setzen Sie dann normale Benutzer zurück, widerrufen Sie aktive Sitzungen und Token in Cloud-Diensten und verlangen Sie Multi-Faktor-Authentifizierung (MFA), wo sie fehlt. Verschicken Sie neue Passwörter nicht per möglicherweise kompromittierter E-Mail. Setzen Sie zu früh zurück, solange der Angreifer noch einen Stützpunkt hat, fängt er die neuen Passwörter einfach ab; dämmen Sie also zuerst ein. Identitätsänderungen liegen außerhalb des Blicks eines Netzwerksensors; NetSenX zeigt, ob die Rechner des Angreifers sich danach weiter nach außen melden.

Sicher wissen können Sie es nicht, aber Sie können begründetes Vertrauen aufbauen. Prüfen Sie, ob Sie verstehen, wie er hereinkam, und dieser Weg geschlossen ist, ob jedes von ihm angelegte Konto und Werkzeug entfernt wurde und ob die Zugangsdaten zurückgesetzt sind. Achten Sie dann auf das Ausbleiben von Aktivität: keine Verbindungen zu seinen bekannten Servern, keine neuen Administratorkonten, keine unerklärlichen Anmeldungen, keine Scans zwischen Hosts. Durchsuchen Sie Logs und Endpunkte nach den Indikatoren aus Ihrer Untersuchung, etwa IP-Adressen, Domains und Datei-Hashes. Bleiben Sie mindestens mehrere Wochen besonders aufmerksam, denn manche Angreifer warten. Ein Compromise Assessment durch eine externe Firma liefert einen unabhängigen Blick. NetSenX unterstützt diesen Abwesenheitstest vom Netz aus: Beaconing, Scans, laterale Bewegung und ungewöhnliche ausgehende Mengen werden in jedem Plan erkannt, auch im Free-Plan, sodass Stille in den überwachten Segmenten etwas bedeutet.

Die Hardware meist ja, die Installation nicht. Ransomware und die mitgebrachten Werkzeuge verändern das Betriebssystem, legen Konten an und hinterlassen schwer auffindbare Persistenz; verlässlich ist daher, betroffene Rechner zu löschen, aus geprüften Images neu zu installieren und die Daten aus einem Backup von vor dem Einbruch wiederherzustellen. Bewahren Sie die Festplatten oder deren Abbilder von Rechnern, die für die Untersuchung gebraucht werden, auf, bevor Sie sie wieder nutzen. Infektionen auf Firmware-Ebene gibt es, sie sind aber selten; Ihr Dienstleister sagt Ihnen, ob es einen Grund gibt, Hardware zu ersetzen. Auch nicht betroffene Rechner müssen geprüft werden, weil Angreifer oft mehr Systeme berühren, als sie verschlüsseln. Bevor Sie neu aufgebaute Rechner wieder anschließen, stellen Sie sicher, dass der Einstiegsweg geschlossen ist. Die Netzwerkkarte von NetSenX zeigt, welche Hosts während des Vorfalls mit den betroffenen kommuniziert haben, was bei der Entscheidung hilft, was noch zu prüfen ist.

In kontrollierter Reihenfolge, auf sauberer Grundlage und mit offenen Augen. Stellen Sie zuerst sicher, dass der Einstiegsweg des Angreifers geschlossen ist und seine Konten und Werkzeuge entfernt sind. Bauen Sie zuerst den Kern neu auf: Verzeichnis, Administratorkonten, Backup-System und Firewall, mit neuen Zugangsdaten. Stellen Sie dann die Systeme nach geschäftlicher Priorität wieder her, aus Backups, von denen Sie geprüft haben, dass sie vor dem Einbruch entstanden sind, und die vor der Nutzung gescannt wurden. Bringen Sie jedes System zunächst in einem überwachten Netzsegment zurück, bevor alle Zugriff erhalten, und lassen Sie die Benutzer bei neuen Passwörtern mit Multi-Faktor-Authentifizierung (MFA). Sagen Sie der Belegschaft, was sie melden soll, wenn etwas merkwürdig wirkt, und rechnen Sie damit, dass die Wiederherstellung länger dauert als der Angriff. Beobachten Sie das Netz wochenlang genau; NetSenX erkennt erneutes Beaconing, Scans und laterale Bewegung in jedem Plan, und genau so fällt eine unvollständige Bereinigung oft auf.

Oft teilweise, wenn Sie es vorbereitet haben. Legen Sie vorab fest, welche Prozesse kritisch sind und wie sie ein paar Tage ohne IT laufen: Bestellformulare auf Papier, Telefonlisten von Kunden und Lieferanten, handschriftliche Lieferscheine, ein Ersatz-Laptop, der nie im Firmennetz war. Wenn Sie betroffene Systeme isolieren, können andere womöglich weiterlaufen; gute Segmentierung zahlt sich deshalb gerade im Vorfall aus, nicht nur davor. Vorsicht bei Abkürzungen: Private Geräte oder einen Laptop von zu Hause an das beschädigte Netz anzuschließen, kann das Problem verbreiten oder Beweise vernichten. Kommunizieren Sie mit der Belegschaft über einen Kanal außerhalb der betroffenen Systeme und sagen Sie klar, was sie nicht tun soll. Versicherer und Kunden schätzen ein Unternehmen, das sie weiter bedient hat. NetSenX zeigt, welche Segmente und Hosts betroffen sind, was bei der Entscheidung hilft, was sicher online bleiben kann.

Mindestens mehrere Wochen, nach einem schweren Einbruch länger. Angreifer, die einen Stützpunkt behalten haben, warten oft, bis sich das Response-Team entspannt, und an andere verkaufter Zugang kann viel später genutzt werden. Prüfen Sie in dieser Zeit täglich die Alarme, suchen Sie nach Verbindungen zu den Indikatoren aus Ihrer Untersuchung, achten Sie auf neue Administratorkonten und Fernzugriffswerkzeuge und vergewissern Sie sich, dass Backups weiterlaufen und nicht von ungewöhnlichen Hosts berührt werden. Behandeln Sie jede Wiederholung des ursprünglichen Musters als neuen Vorfall, nicht als Rauschen. Legen Sie vorab fest, wer was prüft und wann die erhöhte Aufmerksamkeit endet. NetSenX erkennt Beaconing, Scans, laterale Bewegung und ungewöhnliche ausgehende Mengen in jedem Plan, auch im Free-Plan, und seine Alarmhistorie, 30 Tage im Free-Plan und länger in bezahlten Plänen, erlaubt den Vergleich der Wochen nach dem Vorfall mit den Wochen davor.

Es ist eine Besprechung, meist wenige Wochen nach dem Vorfall, in der alle Beteiligten durchgehen, was passiert ist und was sich ändern soll. Rekonstruieren Sie die Zeitleiste anhand des Vorfallprotokolls und stellen Sie dann vier Fragen: Was lief gut, was lief schlecht, was wussten oder hatten wir nicht, und was ändern wir, mit einer verantwortlichen Person und einem Termin für jede Änderung. Ohne Schuldzuweisung: Ziel ist, Systeme und Abläufe zu verbessern, nicht jemanden zu bestrafen, sonst werden beim nächsten Mal Fehler verschwiegen. Typische Ergebnisse sind ein geschlossener Fernzugang, MFA, wo sie fehlte, ein inzwischen offline gehaltenes Backup, eine funktionierende Telefonliste, ein länger aufbewahrtes Log. Übernehmen Sie die Ergebnisse in Ihren Plan und Ihre nächste Tabletop-Übung. NetSenX-Alarme und das Audit-Log geben dem Review eine sachliche Zeitleiste für die Netzseite.

Legen Sie die Regel vorab fest, denn ein kleines Unternehmen hat selten eine Nachtschicht. Schreiben Sie auf, welche Alarme es rechtfertigen, jemanden zu wecken, wer diese Person ist und was sie allein tun darf: etwa einen Arbeitsplatzrechner isolieren, aber nicht den ERP-Server herunterfahren. Alles andere wartet bis zum Morgen, mit einer Prüfung zu einer festen Uhrzeit. Lagern Sie die Überwachung aus, vereinbaren Sie dieselben Regeln schriftlich mit dem Dienstleister. Machen Sie die ersten Schritte so einfach, dass sie ohne Fachwissen gehen: Gerät vom Netz trennen, Uhrzeit notieren, die benannte Nummer anrufen. Testen Sie die Anrufkette einmal. NetSenX schickt Alarme mit einer verständlichen Begründung und den beteiligten Hosts, sodass die geweckte Person schnell erkennt, ob es ein Backup-Job ist oder ein Arbeitsplatzrechner, der in den frühen Morgenstunden einen neuen externen Server anruft. Eine Nachtschicht stellt es Ihnen nicht.

Oft ja, denn die Verschlüsselung ist der letzte Schritt einer längeren Abfolge. Vorher müssen Angreifer meist hineinkommen, ihren eigenen Server kontaktieren, sich umsehen, Dateiserver und Backups erreichen und bei den meisten heutigen Angriffen Daten abziehen. Diese Schritte dauern oft Tage und laufen über das Netz: ein Arbeitsplatzrechner, der regelmäßig einen neuen externen Server anruft, ein Host, der interne Bereiche scannt, neue Administratorsitzungen zu Servern, ein großer Upload in der Nacht. Angreifer wählen Wochenenden und Feiertage, weil niemand hinsieht, nicht weil die früheren Schritte unsichtbar wären. Die sinnvolle Frage ist, ob etwas diese Zeichen aufgezeichnet hat und ob jemand den Alarm gesehen hätte. NetSenX erkennt Beaconing, Scans, laterale Bewegung und ungewöhnliche ausgehende Mengen in jedem Plan, auch im Free-Plan; ob auf einen Alarm am Freitagabend vor Montag reagiert wird, hängt von Ihrer Alarmierungskette ab.

Zu unterschiedlich, als dass eine einzelne Zahl nützlich wäre: von Stunden, wenn eine automatisierte Gruppe ein exponiertes System ausnutzt, bis zu Wochen, wenn der Zugang bei jemand anderem gekauft wird oder die Angreifer sich Zeit lassen, Backups zu finden und Daten abzuziehen. Gleich bleibt die Abfolge: Zugang, Kontakt zum Server des Angreifers, Erkundung, Bewegung zu Servern, Datendiebstahl und erst dann Verschlüsselung. Jede Stufe ist eine Gelegenheit, etwas zu bemerken. Planen Sie, als hätten Sie wenig Zeit: Halten Sie Backups offline, damit sie überleben, sorgen Sie dafür, dass Fernzugriff Multi-Faktor-Authentifizierung (MFA) verlangt, und legen Sie vorab fest, wer nachts einen Host isoliert. Behandeln Sie jedes Zeichen der frühen Stufen, etwa einen Arbeitsplatzrechner, der interne Bereiche scannt, als dringend. NetSenX alarmiert in jedem Plan auf das Netzverhalten dieser Stufen, und genau daraus entsteht die Zeit zum Handeln.

Auf zwei Wegen. Ein Datenträger kann die Schadsoftware selbst tragen, die startet, wenn jemand eine getarnte Datei öffnet, und manche Schadsoftware kopiert sich auf jeden gefundenen Datenträger, um zwischen Rechnern und Standorten zu wandern. Und ein Laufwerk, das bei Beginn der Verschlüsselung angeschlossen ist, wird einfach mit allem anderen verschlüsselt; deshalb schützt ein Backup auf einer dauerhaft angeschlossenen USB-Festplatte nicht vor Ransomware. Schalten Sie das automatische Ausführen von Programmen auf Wechselmedien ab, prüfen Sie unbekannte Datenträger an einem eigenen Rechner, lassen Sie wo möglich nur firmeneigene Geräte zu und trennen Sie Backup-Laufwerke nach jedem Lauf. Das spanische INCIBE hat einen realen Fall veröffentlicht, in dem sich Ransomware beim Anschließen infizierter Geräte verbreitete. Eine Übertragung per USB läuft nicht über das Netz, ein Netzwerksensor sieht sie also nicht; NetSenX sieht, was der infizierte Rechner danach tut, etwa Scans oder Anrufe bei einem externen Server.

Bewahren Sie alles unverändert auf, was zeigt, was wann geschah und was Sie getan haben. Dazu gehören das Vorfallprotokoll mit Uhrzeiten und Entscheidungen; Exporte der Logs von Firewall, VPN, Verzeichnis, E-Mail und Endpunkten; die Lösegeldforderung und alle Nachrichten der Angreifer; Screenshots dessen, was Benutzer sahen; forensische Abbilder, wo Fachleute sie erstellt haben; und Belege der entstandenen Kosten. Notieren Sie zu jeder Datei Hash, Speicherort und wer sie in der Hand hatte. Versicherer brauchen meist die Zeitleiste und die Kostenbelege; die Polizei die Nachrichten der Angreifer, Zahlungsforderungen und Indikatoren; Behörden wollen wissen, welche Daten betroffen waren und wie Sie reagiert haben. Fragen Sie jede Stelle früh, was sie braucht, und bewahren Sie Kopien außerhalb der betroffenen Systeme auf. NetSenX-Alarme mit Zeiten, Hosts und Zielen sowie das Audit-Log können Teil dieses Pakets sein, mit PDF-Berichten ab dem Starter-Plan.

Für die Alarmhistorie Ihres Plans: 30 Tage im Free-Plan und länger in jedem bezahlten Plan, die genauen Zeiträume stehen auf der Preisseite. Alarme werden mit Zeitpunkt, beteiligten Hosts, Zielen, Datenmengen und den auslösenden Gründen gespeichert, zusammen mit den Analystenentscheidungen im Audit-Log. Kann ein Vorfall zu einem Versicherungsfall, zu Fragen einer Behörde oder zu einem Gerichtsverfahren führen, verlassen Sie sich nicht allein auf die Aufbewahrung: Exportieren Sie das Wichtige, solange der Vorfall frisch ist, mit PDF-Berichten ab dem Starter-Plan, und bewahren Sie den Export bei Ihren übrigen Beweisen auf. Überlegen Sie vor einem Vorfall, welchen Zeitraum Sie brauchen: Verweildauern können Wochen betragen, eine kurze Historie endet dann womöglich vor Beginn des Einbruchs. Die Logs von Firewall, VPN und Verzeichnis haben eigene, oft kürzere Aufbewahrungszeiten, die Sie besser heute prüfen als mitten in einem Vorfall.

Die erste Stunde übernehmen Sie selbst, und für alles, was über ein einzelnes eingedämmtes Gerät hinausgeht, holen Sie eine Firma. Ihr eigenes Team kennt die Systeme, es sollte also Rechner isolieren, das Protokoll beginnen und Beweise sichern. Eine externe Firma bringt mit, was ein kleines Team selten hat: forensische Werkzeuge und Erfahrung, Wissen über die Gewohnheiten von Angreifern, Kontakte zu Strafverfolgungsbehörden und Glaubwürdigkeit bei Versicherern und Behörden. Holen Sie sie, wenn ein Angreifer noch aktiv sein könnte, wenn Server oder viele Geräte betroffen sind, wenn Daten abgeflossen sein könnten oder wenn der Vorfall meldepflichtig sein oder zu einem Versicherungsfall führen könnte. Prüfen Sie zuerst, ob Ihre Cyberversicherung eine Firma vorgibt, denn eine andere kann den Schutz berühren, und vereinbaren Sie vorab, welchen Zugang sie braucht. NetSenX ist keine Incident-Response-Firma; die erklärten Alarme und die Netzhistorie, die es aufbewahrt, sind genau das, was diese Firma am ersten Tag verlangen wird.

Ehrlich, konkret und nur mit dem, was Sie wissen, und dann mit Aktualisierungen. Sagen Sie, was wann geschehen ist, welche Kategorien ihrer Daten betroffen waren, was Sie getan haben, was Sie noch untersuchen, was sie tun sollten, etwa auf Phishing mit ihren Daten achten, und wen sie kontaktieren können. Sagen Sie nicht, dass keine Daten betroffen seien, bevor die Untersuchung das stützt; eine Korrektur kostet mehr Vertrauen als eine vorsichtige erste Nachricht. Stimmen Sie den Wortlaut mit Anwälten und Datenschutzbeauftragten ab, denn die Benachrichtigung von Personen kann eine Rechtspflicht mit eigenem Pflichtinhalt sein, und mit Ihrem Versicherer. Versenden Sie sie über einen nicht kompromittierten Kanal und warnen Sie Kunden, dass gefälschte Folgenachrichten kursieren können. Beweise machen die Nachricht präzise: NetSenX-Alarme zeigen, welche Hosts wann ungewöhnliche Mengen nach außen gesendet haben, was hilft zu sagen, welche Systeme und damit welche Kunden betroffen sind.

Teilweise. Netzaufzeichnungen können zeigen, dass ein bestimmter Server, der mit den Daten dieses Kunden, im fraglichen Zeitraum keine ungewöhnlichen Mengen nach außen gesendet hat und kein neues externes Ziel Daten von ihm erhalten hat. Das ist ein aussagekräftiger Beweis, besonders wenn der Server normalerweise wenig sendet. Allein ist es aber kein Nachweis: Daten können zuerst auf einen anderen internen Rechner kopiert und von dort gesendet worden sein, in kleinen Mengen unter offensichtlichen Schwellen abgeflossen sein oder über einen Kanal, den der Sensor nicht sieht, etwa einen direkt genutzten Cloud-Dienst oder ein nicht überwachtes Segment. Legen Sie es dem Kunden als das vor, was es ist: ein Beleg für fehlende Aktivität auf den überwachten Wegen, ergänzt um Server- und Cloud-Logs. NetSenX bewahrt Alarme zu ungewöhnlichen ausgehenden Mengen pro Host auf, und seine Netzwerkkarte zeigt, welche Hosts mit diesem Server gesprochen haben.

In den meisten EU-Ländern ist das nationale CSIRT oder die Cybersicherheitsbehörde der erste kostenlose Anruf, und mehrere bieten Dienste für kleine Unternehmen an. Spanien hat die kostenlose Hotline 017 von INCIBE; Polen hat CERT Polska, das Vorfallmeldungen entgegennimmt; Deutschland hat das BSI und die Zentralen Ansprechstellen Cybercrime der Polizei der Länder; Frankreich hat die nationale Plattform Cybermalveillance für Unternehmen und die ANSSI für regulierte Einrichtungen; Italien hat CSIRT Italia bei der ACN; die Niederlande haben das Digital Trust Center für Unternehmen und das NCSC für vitale Sektoren. Sie geben Hinweise, manchmal Indikatoren und Kontakte, übernehmen aber in der Regel nicht die Wiederherstellung für Sie. Der zweite frühe Anruf ist die Hotline Ihres Cyberversicherers, falls vorhanden, und Straftaten gehören zur Anzeige bei der Polizei. NetSenX bietet keine Incident Response an, aber seine Alarme geben jedem, den Sie anrufen, einen sachlichen Ausgangspunkt.

Ja, in den meisten Fällen. Ransomware, Erpressung, Betrug und Datendiebstahl sind Straftaten, und eine Anzeige hilft den Ermittlern, Fälle zu verknüpfen, führt manchmal zu Entschlüsselungsschlüsseln aus Operationen der Strafverfolgung und wird von Versicherern für einen Schadensfall oft verlangt. Die Anzeige bei der Polizei ist getrennt von einer behördlichen Meldung an Ihr CSIRT oder Ihre Datenschutzbehörde; womöglich müssen Sie mehrere abgeben. Viele Länder haben spezialisierte Stellen für Cyberkriminalität oder Online-Anzeigen für Unternehmen, und Ihr nationales CSIRT sagt Ihnen, wohin Sie sich wenden. Bringen Sie die Fakten mit: Zeitleiste, Lösegeldforderung und Nachrichten, Zahlungsaufforderungen, Indikatoren wie IP-Adressen und Domains und die bisherigen Kosten. Eine Anzeige bedeutet nicht, die Kontrolle über Ihre Wiederherstellung zu verlieren, und macht den Vorfall in der Regel nicht öffentlich. NetSenX-Alarme mit Zeiten, Hosts und Zielen können Teil dessen sein, was Sie übergeben.

Manchmal, an den Nebenwirkungen statt an der Absicht. Das spanische INCIBE hat einen realen Fall veröffentlicht, in dem ein Mitarbeiter Schadcode einschleuste und eine Million Euro stahl. Solche Fälle beruhen auf Zugängen, die die Person ohnehin hat; die Vorbeugung liegt deshalb in den Abläufen: Funktionstrennung bei Zahlungen, Freigabe durch eine zweite Person, Code-Review bei Änderungen an Finanzsystemen und zügiger Entzug von Zugängen bei Rollenwechseln. Technische Zeichen können trotzdem auftreten: ein Arbeitsplatzrechner, der einen unbekannten externen Server kontaktiert, neue Verbindungen zum Zahlungs- oder ERP-System von einem Rechner, der es nie genutzt hat, ungewöhnliche Uploads. NetSenX beobachtet Geräte und Verbindungen, nie Menschen: Es kann dieses Verhalten im Netz erkennen, in jedem Plan, beurteilt aber keine Absicht und sieht nicht, was in einer Anwendung geschieht. Eine Person zu untersuchen ist Sache der Personalabteilung und der Juristen, und wo es einen gibt, des Betriebsrats.

Prüfen Sie zuerst die gewöhnlichen Ursachen und suchen Sie dann nach Anzeichen eines Angriffs. Viele Ausfälle kommen von einem abgelaufenen Zertifikat oder einer abgelaufenen Domain, einer vollen Festplatte, einem fehlgeschlagenen Update oder einem Problem beim Hoster. Fragen Sie den Anbieter und sehen Sie auf seine Statusseite, dann in die Logs des Webservers: Eine plötzliche Flut von Anfragen aus vielen Adressen deutet auf einen Denial-of-Service-Angriff; geänderte Seiten, neue Administratorkonten oder unbekannte Dateien auf eine Kompromittierung der Website selbst; ein geänderter DNS-Eintrag auf einen Angriff auf Ihre Domainregistrierung. Sichern Sie die Logs, bevor Sie etwas neu starten. Speichert die Website Kundendaten oder nimmt sie Zahlungen an, behandeln Sie eine Kompromittierung als mögliche Datenschutzverletzung. NetSenX schützt keine öffentlichen Websites, die außerhalb Ihres Netzes gehostet werden; steht der Webserver in Ihrem Netz, zeigt es ungewöhnliche ausgehende Verbindungen und Datenmengen von ihm.

Nein, und der Unterschied liegt darin, wo beides wirkt. Ein verteilter Denial-of-Service-Angriff (DDoS) überflutet Ihre Website, Ihr VPN oder Ihre Internetleitung mit Verkehr von vielen Rechnern, bis sie nicht mehr antworten. Ihn zu stoppen braucht Kapazität vor Ihnen: bei Ihrem Internetanbieter, in einem Content Delivery Network oder bei einem Scrubbing-Dienst, der die Flut aufnimmt und filtert, bevor sie Ihre Leitung erreicht. Netzwerkerkennung im Unternehmen wie NetSenX beobachtet das Verhalten Ihrer eigenen Hosts, um Eindringlinge, Beaconing, Scans, laterale Bewegung und abfließende Daten zu finden; sie blockiert keinen Verkehr und hat nicht die Bandbreite, eine Flut abzufangen. Fragen Sie Ihren Anbieter, welchen DDoS-Schutz Ihre Leitung heute hat, und erwägen Sie für öffentliche Dienste ein geschütztes Hosting. Manche DDoS-Angriffe dienen als Ablenkung; prüfen Sie daher, ob während des Ausfalls intern noch etwas anderes passiert.

Beweise und Fristen, keine zusätzlichen Hände. Während eines Vorfalls liefert NetSenX Alarme zu Beaconing, Scans, lateraler Bewegung und ungewöhnlichen ausgehenden Datenmengen, in jedem Plan, jeweils mit verständlicher Begründung, beteiligten Hosts, Zielen, Mengen und Zeiten sowie der MITRE-ATT&CK-Technik, wo eine zutrifft; die Netzwerkkarte, wer mit wem spricht; ein Audit-Log der Alarme und Analystenentscheidungen; und die Verfolgung der Fristen nach Artikel 23 NIS2, mit einer für Ihren Datenschutzbeauftragten vorbereiteten Meldung nach Artikel 33 DSGVO, deren Abgabe bei Ihnen bleibt. Ab dem Starter-Plan kommen PDF-Berichte und Reaktionsempfehlungen hinzu, ab dem Pro-Plan die Korrelation der Hosts zu einer Geschichte. Angreifer entfernen, Daten wiederherstellen oder verhandeln kann es nicht, und es sieht weder in verschlüsselte Sitzungen noch in Segmente, die Sie nicht überwachen. Das übernehmen Ihr Dienstleister, Ihre Endpunktwerkzeuge und Ihre Backups.

Schließen Sie zuerst seine Tür und stellen Sie dann Fragen. Sperren Sie die Konten des Lieferanten, seinen VPN-Zugang und Fernwartungswerkzeuge auf Ihren Systemen, bis er bestätigt, was betroffen war, und ändern Sie gemeinsam genutzte Zugangsdaten oder API-Schlüssel. Fragen Sie ihn schriftlich, was wann geschehen ist, welche seiner Systeme betroffen waren, ob Ihre Daten oder Zugangsdaten offengelegt wurden und welche Indikatoren einer Kompromittierung er hat, und durchsuchen Sie dann Ihre Logs danach. Prüfen Sie, was sein Zugang erreichen konnte: welche Server, welche Daten. Behandeln Sie zahlungsbezogene E-Mails von ihm mit Vorsicht, weil gestohlene Mailverläufe für Rechnungsbetrug wiederverwendet werden. Wurden Ihre Daten über ihn offengelegt, haben Sie womöglich eigene Meldepflichten. Prüfen Sie den Vertrag auf Sicherheits- und Meldeklauseln. NetSenX erkennt Beaconing und ungewöhnliche Sitzungen von Hosts, die der Lieferant genutzt hat, und seine Netzwerkkarte zeigt, womit diese Hosts tatsächlich gesprochen haben.

Weil die Bereinigung eine andere ist. Ein kompromittiertes Konto heißt, jemand hat Passwort oder Sitzung eines Benutzers, nutzbar von überall: Abhilfe sind zurückgesetzte Zugangsdaten, widerrufene Sitzungen, geprüfte Postfachregeln und durchgesetzte Multi-Faktor-Authentifizierung (MFA), die Beweise liegen in Identitäts- und Dienst-Logs. Ein kompromittiertes Gerät heißt, jemand kontrolliert den Rechner selbst, oft mit Schadsoftware: Abhilfe ist, ihn zu isolieren und neu aufzubauen, die Beweise liegen auf dem Endpunkt und in seinem Netzverkehr. Viele Vorfälle betreffen beides, etwa Passwörter, die von einem infizierten Laptop gestohlen wurden, oder ein Konto, mit dem Werkzeuge auf einem Server installiert wurden. Klären Sie, was vorliegt, bevor Sie Maßnahmen wählen, sonst setzen Sie Passwörter auf einem Gerät zurück, das die neuen mitschneidet. NetSenX sieht die Geräteseite im Netz: einen Rechner, der einen externen Server anruft, scannt oder neue Sitzungen öffnet. Kontomissbrauch von außerhalb Ihres Netzes ist Sache der Identitäts-Logs.