Kontakt
Telefon & 24/7-Notfall-Hotline+49 2932 465265-0 E-Mailinfo@rootsektor.deMo–Fr 08:00–17:00 Uhr · außerhalb der Geschäftszeiten: 24/7-Notfall-Hotline
Pentest-Angebot anfordern Notfall meldenIncident Response & Forensik
Eindämmen. Aufklären. Vorbereiten.
Bei einem Cyberangriff zählt jede Entscheidung. Mit Incident Response helfen wir Ihnen, den Vorfall einzudämmen, Spuren zu sichern, den Angriff aufzuklären und den Betrieb geordnet wiederherzustellen – remote und vor Ort. Und wir bereiten Sie so vor, dass ein Sicherheitsvorfall gar nicht erst zur Krise wird.
Überblick
Incident Response (IR) ist die strukturierte Reaktion auf einen IT-Sicherheitsvorfall: Angriff erkennen, Schaden begrenzen, Angreifer aussperren, Systeme bereinigen und den Betrieb sicher wiederherstellen. Eng damit verbunden ist die IT-Forensik, die digitale Spuren nach anerkannten Methoden sichert und rekonstruiert, was tatsächlich passiert ist. Zusammen spricht man von DFIR – Digital Forensics and Incident Response. Kurz: Incident Response stoppt den Angriff, die Forensik klärt ihn auf.
Warum die ersten Stunden zählen: In einem IT-Notfall fallen früh Entscheidungen mit großer Tragweite. Welche Systeme müssen vom Netz, ohne dass Beweise verloren gehen? Haben die Angreifer noch Zugriff? Zugleich laufen Fristen: Meldepflichtige Datenschutzverletzungen sind nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden zu melden, bei erheblichen Sicherheitsvorfällen unter NIS2 ist spätestens 24 Stunden nach Kenntnis eine frühe Erstmeldung fällig. Wer bei einem Cyberangriff schnell erfahrene Hilfe hat, begrenzt Schaden und Folgekosten.
Warum Vorbereitung den Unterschied macht: Ein Notfallplan mit klaren Rollen, geübte Abläufe und eine Protokollierung, die im Ernstfall die nötigen Spuren liefert, verkürzen jede Reaktion. Deshalb umfasst unser Bereich beides: akute Hilfe und Vorbereitung – orientiert an den IT-Grundschutz-Bausteinen DER.2.1 bis DER.2.3 und dem BSI-Standard 200-4 sowie an ISO/IEC 27035 und NIST SP 800-61 Rev. 3.
Angreiferwissen aus der Offensive: Als Dienstleister für Incident Response kennen wir auch die Gegenseite – aus Penetration Testing und Red Teaming & APT-Simulation, wo wir die Techniken von Angreifern kontrolliert und im Auftrag selbst anwenden. Deshalb wissen wir, wo Angreifer Spuren hinterlassen und wie sie sich festsetzen.
Unsere Leistungen
Wählen Sie die Leistung, die zu Ihrer Situation passt. Alle Angebote in diesem Bereich erstellen wir individuell.
Soforthilfe bei Cyberangriffen – remote & vor Ort eindämmen, aufklären, wiederherstellen.
Hilfe bei Verschlüsselung und Erpressung – eindämmen, aufklären, sauber wiederherstellen.
Digitale Beweise sichern, Angriffe rekonstruieren und Innentäterfälle aufklären.
Schadsoftware sicher analysieren, IoCs ableiten und Erkennungsregeln bereitstellen.
Prüfen, ob Angreifer unbemerkt in Netzwerk, Identitäten oder Cloud aktiv sind oder waren.
Notfallplan & Playbooks – Rollen und Meldewege, damit im Ernstfall jeder Handgriff sitzt.
Realistische Krisenszenarien mit Management und IT proben – ohne Risiko für den Betrieb.
Logging und Beweissicherung vorbereiten, damit die Forensik im Ernstfall gelingt.
Warum Rootsektor
Mo–Fr 08:00–17:00 Uhr erreichen Sie uns unter +49 2932 465265-0, außerhalb dieser Zeiten ist dieselbe Nummer unsere 24/7-Notfall-Hotline. Wir helfen remote und vor Ort – in Deutschland und international.
Als Penetrationstester wenden wir Angriffstechniken selbst an – und wissen, wo Spuren und zurückgelassene Hintertüren zu finden sind.
Wir sind unabhängig von Herstellern und Dienstleistern, auch von Ihrem IT-Dienstleister. Beweise sichern wir mit Hashwerten und lückenloser Beweismittelkette, Fakten trennen wir klar von Bewertungen.
Wir liefern die technischen Fakten für Meldungen an Datenschutzaufsicht, die gemeinsame Meldestelle von BSI und BBK oder die BaFin, behalten die Fristen mit Ihnen im Blick und stimmen uns auf Wunsch mit Ihrem Cyber-Versicherer ab.
Ablauf
Jeder Vorfall ist anders, die Grundstruktur bleibt gleich: Wir folgen den anerkannten Phasen der Vorfallsbehandlung. Eine feste Ansprechperson bei Rootsektor koordiniert die Arbeiten und hält Ihre Entscheider auf dem Laufenden.
Notfallplan, Meldewege, Playbooks, aussagekräftige Protokolle und geübte Abläufe – je besser die Vorbereitung, desto schneller die Eindämmung.
Wir bewerten die ersten Hinweise, grenzen betroffene Systeme, Konten und Daten ein und sichern flüchtige Spuren aus dem Arbeitsspeicher. So entsteht ein erstes Lagebild – auch zur Frage, ob Meldepflichten greifen.
Wir isolieren betroffene Systeme, sperren kompromittierte Konten und kappen Zugänge der Angreifer – abgestimmt mit Ihrem IT-Team, damit möglichst viel weiterläuft und keine Beweise verloren gehen.
Wir identifizieren Einfallstor, Schadsoftware und Hintertüren und begleiten die Bereinigung – etwa das koordinierte Zurücksetzen von Zugangsdaten im Active Directory oder den Neuaufbau kompromittierter Systeme.
Systeme und Daten werden aus geprüften, sauberen Sicherungen wiederhergestellt und schrittweise in Betrieb genommen – unter verstärkter Überwachung, damit eine Rückkehr der Angreifer früh auffällt.
Ein Abschlussbericht dokumentiert Ursache, Verlauf und Maßnahmen. In einer Lessons-Learned-Besprechung leiten wir Verbesserungen für Technik, Prozesse und Notfallplan ab.
Einsatzfelder
Drei Situationen, drei Schwerpunkte – je nachdem, ob ein Angriff gerade läuft, aufgeklärt werden muss oder Sie vorsorgen möchten.
Akut
Ein Angriff läuft oder wurde gerade entdeckt. Jetzt gilt es, den Schaden zu begrenzen und unter Zeitdruck richtig zu entscheiden.
Aufklären
Sie brauchen belastbare Fakten – darüber, was passiert ist, welche Daten betroffen sind und ob die Angreifer noch im Netz sind.
Vorbereiten
Im Ernstfall sollen alle wissen, was zu tun ist – und die nötigen Spuren vorhanden sein.
Vorfallsbericht
Nach einem Vorfall müssen Sie Entscheidungen begründen – gegenüber Geschäftsleitung, Behörden und Versicherern, manchmal auch vor Gericht. Unser Bericht dokumentiert, was passiert ist, wie es dazu kam und was jetzt zu tun ist – belegt mit Quellen und Zeitstempeln und für Dritte nachvollziehbar.
Rufen Sie uns sofort an: +49 2932 465265-0 – außerhalb der Geschäftszeiten (Mo–Fr 08:00–17:00 Uhr) ist dieselbe Nummer unsere 24/7-Notfall-Hotline. Alternativ melden Sie den Vorfall über unser Notfall-Formular oder per E-Mail an incident@rootsektor.de – wir rufen Sie zurück.
FAQ
Ihre Frage ist nicht dabei? Rufen Sie uns an: +49 2932 465265-0 oder schreiben Sie an info@rootsektor.de.
Trennen Sie betroffene Systeme vom Netzwerk, aber schalten Sie sie nicht aus – sonst gehen flüchtige Spuren im Arbeitsspeicher verloren. Löschen Sie nichts, setzen Sie nichts neu auf und notieren Sie Beobachtungen mit Uhrzeit. Dann rufen Sie uns an oder nutzen das Formular unter Notfall melden. Weitere Sofortmaßnahmen finden Sie unter IT-Notfall & Soforthilfe.
Oft gelten mehrere Pflichten parallel. Datenschutzverletzungen sind nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde zu melden – es sei denn, sie führen voraussichtlich zu keinem Risiko für die Betroffenen; bei hohem Risiko sind diese nach Art. 34 DSGVO zu benachrichtigen. Einrichtungen unter NIS2 – auch Betreiber kritischer Anlagen – melden erhebliche Sicherheitsvorfälle gestuft: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach dieser Meldung; in Deutschland nach § 32 BSIG an die gemeinsame Meldestelle von BSI und BBK. Finanzunternehmen melden schwerwiegende IKT-bezogene Vorfälle nach DORA an die Aufsicht, meist die BaFin. Wir liefern die technischen Fakten, die rechtliche Bewertung treffen Sie mit Ihrer Rechtsberatung.
Ja. Auf Wunsch stimmen wir uns mit Ihrem Cyber-Versicherer ab und liefern die Fakten für die Schadenbearbeitung – etwa Ursache, Umfang und ergriffene Maßnahmen. Viele Policen verlangen eine unverzügliche Schadenmeldung und enthalten Vorgaben zur Einbindung externer Dienstleister. Informieren Sie Ihren Versicherer deshalb früh und prüfen Sie Ihre Obliegenheiten.
Nein. Bereitschafts- oder Retainer-Verträge bieten wir nicht an – Sie können sich im Ernstfall direkt an uns wenden, auch wenn Sie noch nicht mit uns zusammenarbeiten. Die Leistungen dieses Bereichs bieten wir individuell an; Umfang und Konditionen stimmen wir gleich zu Beginn mit Ihnen ab.
Das hängt vor allem von Ihren Datensicherungen ab. Sind vom Netz getrennte oder unveränderbare Backups vorhanden und unversehrt, stehen die Chancen gut; für einige Ransomware-Varianten gibt es zudem kostenlose Entschlüsselungswerkzeuge, etwa über die Initiative No More Ransom. Eine vollständige Wiederherstellung kann seriös niemand zusagen. Lösegeldverhandlungen führen wir nicht – BSI und Polizei raten von Lösegeldzahlungen grundsätzlich ab. Mehr dazu unter Ransomware-Notfallhilfe.
In vielen Fällen ist eine Strafanzeige sinnvoll. Erste Anlaufstelle für Unternehmen sind die Zentralen Ansprechstellen Cybercrime (ZAC) der Polizeien von Bund und Ländern. Ob Sie Anzeige erstatten, entscheiden Sie – gern gemeinsam mit Ihrer Rechtsberatung. Wir bereiten unsere Dokumentation so auf, dass Sie sie an die Ermittler übergeben können.
Sie möchten einen Notfallplan aufbauen, eine Tabletop-Übung durchführen oder prüfen lassen, ob Angreifer bereits in Ihrem Netzwerk sind? Schreiben Sie uns – Sie erhalten ein individuelles Angebot. Bei einem akuten Vorfall rufen Sie bitte direkt an: +49 2932 465265-0 – oder nutzen Sie das Formular unter Notfall melden.
This page is also available in English.