Unerklärliche Auffälligkeiten
Anmeldungen zu ungewöhnlichen Zeiten, deaktivierte Schutzprogramme oder nächtlicher Datenverkehr – einzeln harmlos, zusammen womöglich ein Muster.
Incident Response & Forensik
Compromise Assessment: Sind Angreifer schon in Ihrem Netz?
Klarheit statt Bauchgefühl.
Nicht jeder Angriff fällt sofort auf: Angreifer verschaffen sich Zugang, richten Hintertüren ein und warten ab. Mit einem Compromise Assessment – auf Deutsch Kompromittierungsanalyse – suchen wir in Endpunkten, Protokollen, Identitäten und Cloud-Diensten gezielt nach Spuren aktueller und vergangener Angriffe. Sie erhalten eine belastbare Aussage, ob es in Ihrer Umgebung Anzeichen einer Kompromittierung gibt – und was jetzt zu tun ist.
- Endpunkte, Identitäten & Cloud
- Remote & vor Ort
- Individuelles Angebot
Definition
Was ist ein Compromise Assessment?
Ein Compromise Assessment ist eine proaktive, strukturierte Untersuchung Ihrer IT-Umgebung auf Anzeichen einer Kompromittierung. Es beantwortet die unbequeme Frage: „Sind wir gehackt worden – und sind die Angreifer noch da?“ Anders als bei der IT-Forensik gibt es zu Beginn meist keinen bestätigten Vorfall, sondern einen Anlass: einen Verdacht, eine Warnung von außen, eine Übernahme oder den Wunsch nach Gewissheit.
Dafür kombinieren wir die flächendeckende Suche nach bekannten Einbruchsspuren (Indicators of Compromise, IoCs) mit der Analyse verdächtiger Verhaltensmuster (Indicators of Attack, IoAs) und hypothesengestütztem Threat Hunting – auf Endpunkten, in Protokollen, im Active Directory und in Cloud-Diensten wie Microsoft 365 und Entra ID.
Damit beantwortet das Assessment eine andere Frage als Schwachstellenanalyse und Penetrationstest. Diese zeigen, wo Angreifer eindringen könnten – das Compromise Assessment sucht nach Spuren von Angreifern, die diesen Weg womöglich längst gegangen sind. Das ist entscheidend, denn ein Update schließt eine Lücke, entfernt aber keine bereits installierte Hintertür. Zudem tarnen sich Angreifer oft mit gültigen Zugangsdaten und legitimen Werkzeugen – Aktivitäten, die kein Schwachstellenscan aufdeckt.
Unser Vorgehen
So suchen wir nach Spuren von Angreifern
Am Anfang steht ein vertrauliches Gespräch über Anlass, Umgebung und Ziele. Bei konkretem Verdacht stimmen wir die Kommunikation über einen separaten Kanal ab, damit mitlesende Angreifer nichts bemerken.
Für die Datenerhebung nutzen wir Ihr vorhandenes EDR, temporäre Sammelwerkzeuge oder Exporte von Protokollen und Audit-Logs. Wir erheben gezielt die Artefakte, die Angreifer hinterlassen. Cloud-Protokolle sichern wir zuerst, weil sie je nach Lizenz teils nur Tage oder Wochen vorgehalten werden.
In der Analyse gleichen wir die Daten mit aktuellen IoCs ab, suchen nach Ausreißern und prüfen Hypothesen: Wurden Anmeldedaten aus dem Arbeitsspeicher ausgelesen? Läuft Fernwartungssoftware, die niemand freigegeben hat? Verdächtige Funde verifizieren wir forensisch – und erhärtet sich ein Verdacht, informieren wir Ihre vereinbarte Ansprechperson sofort.
Typische Anlässe
Sind wir gehackt worden? Anlässe für ein Compromise Assessment
Warnung von außen
Hinweise des BSI, der Polizei, Ihres IT-Dienstleisters oder von Geschäftspartnern verdienen eine Prüfung – auch wenn intern alles normal wirkt.
Ausgenutzte Lücke in Edge-Systemen
Eine kritische Schwachstelle in VPN-Gateway, Firewall oder Mailserver wurde aktiv ausgenutzt, bevor Ihr Update eingespielt war. Wir klären, ob Angreifer das Zeitfenster genutzt haben.
Geleakte Zugangsdaten
Passwörter oder interne Daten tauchen in Datenlecks oder im Darknet auf, etwa gemeldet durch unser Darknet Monitoring. Wir klären, ob sie für Zugriffe genutzt wurden.
Übernahme oder Fusion
Bevor Sie das Netz eines zugekauften Unternehmens anbinden, sollten Sie wissen, ob Sie damit auch Angreifer übernehmen.
Rund um Audits und Nachweise
Vor einer Zertifizierung oder einem Nachweis gegenüber Aufsichtsbehörden – oder wenn ein Audit Lücken in der Protokollierung aufgedeckt hat – klären Sie, ob Anzeichen einer unentdeckten Kompromittierung vorliegen.
Nach einem Sicherheitsvorfall
Wurden wirklich alle Zugänge entfernt? Das BSI warnt im IT-Grundschutz-Baustein DER.2.3: Bleibt die Bereinigung nach einem gezielten Angriff unvollständig, kehren die Angreifer sehr wahrscheinlich zurück – etwa nach einer längeren Ruhephase.
Abgrenzung
Compromise Assessment, Pentest oder Schwachstellenanalyse?
Drei Leistungen, drei Fragen – sie ergänzen sich, ersetzen sich aber nicht.
Wo sind wir verwundbar?
Schwachstellenanalyse
Findet bekannte Schwachstellen in der Breite – verifiziert und priorisiert.
- Blick nach vorn: mögliche Einfallstore
- Methode: Scans mit manueller Verifizierung
- Ergebnis: Liste offener Lücken
Kommt ein Angreifer hinein?
Penetrationstest
Nutzt Schwachstellen kontrolliert aus und belegt, wie weit ein Angreifer käme.
- Blick nach vorn: reale Ausnutzbarkeit
- Methode: manuelle Angriffe nach anerkannten Standards
- Ergebnis: belegte Angriffswege
Ist schon jemand drin?
Compromise Assessment
Sucht nach Spuren tatsächlicher Angreifer – aktuell oder in der Vergangenheit.
- Blick zurück und ins Jetzt: echte Aktivitäten
- Methode: IoC-Suche und Threat Hunting
- Ergebnis: Aussage zur Kompromittierung
Ablauf
So läuft ein Compromise Assessment ab
Diskret und – wie im gesamten Bereich Incident Response & Forensik – angelehnt an anerkannte Incident-Response-Phasen.
-
01
Vorbereitung & Scoping
Vertrauliches Erstgespräch, auf Wunsch mit Vertraulichkeitsvereinbarung. Wir legen Systeme, Datenquellen und Zeitraum fest, klären Datenschutz und Mitbestimmung und erstellen ein individuelles Angebot.
-
02
Datenerhebung
Sammelwerkzeuge oder Ihr EDR, Export von Protokollen und Cloud-Audit-Logs – remote oder vor Ort, lesend und ressourcenschonend, in OT-Netzen möglichst passiv.
-
03
Erkennung & Analyse
IoC-Abgleich, Verhaltensanalyse und Threat Hunting über Endpunkte, Identitäten, Netzwerk und Cloud, eingeordnet nach MITRE ATT&CK.
-
04
Verifizierung & Eskalation
Verdächtige Funde prüfen wir forensisch. Bestätigt sich eine Kompromittierung, informieren wir Sie sofort und unterstützen auf Wunsch bei Eindämmung, Beseitigung, Wiederherstellung und Meldepflichten.
-
05
Bericht & Nachbereitung
Ergebnisbericht und Abschlussbesprechung mit Management und IT. Temporär installierte Werkzeuge entfernen wir anschließend wieder.
Ergebnisbericht
Klare Aussage, nachvollziehbar belegt
Am Ende steht eine klare Gesamtbewertung: Kompromittierung festgestellt, Hinweise mit Klärungsbedarf oder keine Anzeichen im untersuchten Umfang. Wir dokumentieren, welche Systeme, Datenquellen und Zeiträume wir betrachtet haben – und wo fehlende Protokolle die Aussagekraft begrenzen.
- Management Summary mit Gesamtbewertung und Handlungsbedarf
- Untersuchter Umfang, Datenquellen und Zeitraum
- Befunde mit Belegen, Zeitstempeln, Systemen und Konten
- Einordnung nach MITRE ATT&CK
- Blinde Flecken in Protokollierung und Erkennung
- IoCs und Erkennungsregeln für Ihr Monitoring
- Priorisierte Maßnahmen und Lessons Learned
Finden Sie heraus, ob Angreifer in Ihrem Netz sind
Eine Kompromittierungsanalyse schafft Klarheit – diskret, herstellerunabhängig und mit konkreten nächsten Schritten. Anlass und Umfang besprechen wir vertraulich.
FAQ
Häufige Fragen zum Compromise Assessment
Ihre Frage ist nicht dabei? Rufen Sie uns an: +49 2932 465265-0 oder schreiben Sie an info@rootsektor.de.
Woran erkenne ich, ob mein Unternehmen gehackt wurde?
Verschlüsselte Dateien oder eine Erpressernachricht stehen meist am Ende eines Angriffs – dann liegt ein akuter Notfall vor, und Sie sollten sofort unsere 24/7-Notfall-Hotline unter +49 2932 465265-0 anrufen oder das Formular Notfall melden nutzen. Vorher zeigen sich oft nur leise Hinweise: Anmeldungen aus fremden Ländern, neue Administratorkonten, unbekannte Fernwartungssoftware oder Weiterleitungsregeln in Postfächern. Ein Compromise Assessment prüft solche Hinweise systematisch.
Was passiert, wenn Sie tatsächlich Angreifer finden?
Wir informieren Ihre vereinbarte Ansprechperson sofort und planen mit Ihnen die nächsten Schritte: Spuren sichern, Angreifer koordiniert aussperren, Systeme bereinigen. Auf Wunsch übernehmen wir die IT-Forensik, stimmen uns mit Ihrem Cyber-Versicherer ab und unterstützen bei Meldepflichten – etwa bei der Meldung an die Datenschutzaufsicht nach Art. 33 DSGVO (unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden) oder, sofern Sie unter NIS2 fallen, bei der frühen Erstmeldung eines erheblichen Sicherheitsvorfalls an die gemeinsame Meldestelle von BSI und BBK binnen 24 Stunden.
Was unterscheidet ein Compromise Assessment von IT-Forensik?
Die IT-Forensik beginnt mit einem bekannten Vorfall und geht in die Tiefe: Wie kamen die Angreifer herein, und welche Daten sind betroffen? Das Compromise Assessment geht in die Breite und klärt, ob es überhaupt einen Vorfall gibt. Ein Fund kann der Startpunkt einer forensischen Untersuchung sein.
Brauchen wir dafür ein SIEM oder EDR?
Nein. Vorhandene Werkzeuge nutzen wir gern, sonst setzen wir temporäre Sammelwerkzeuge ein. Wie weit wir zurückblicken können, hängt aber davon ab, welche Protokolle Sie aufbewahren – genau hier setzt Forensic Readiness an.
Wie oft ist ein Compromise Assessment sinnvoll?
Anlassbezogen, sobald ein Verdacht besteht, eine kritische Schwachstelle ausgenutzt wurde oder Netze zusammengeführt werden. Darüber hinaus regelmäßig, etwa jährlich oder nach einem Dienstleisterwechsel – als Ergänzung zu Ihren Penetrationstests.
Gibt ein Compromise Assessment hundertprozentige Sicherheit?
Nein – das kann seriös niemand zusagen. Sie erhalten eine fundierte Aussage für die untersuchten Systeme, Datenquellen und Zeiträume; fehlende Daten, etwa bereits überschriebene Protokolle, benennen wir offen im Bericht.
Wie wird ein Compromise Assessment abgerechnet?
Der Aufwand hängt von der Zahl der Systeme, den Cloud-Diensten und dem betrachteten Zeitraum ab. Nach dem Scoping erhalten Sie ein individuelles Angebot; Erweiterungen stimmen wir vorher mit Ihnen ab.
Weiterführende Seiten
Compromise Assessment vertraulich anfragen
Schildern Sie uns kurz Anlass und Eckdaten Ihrer Umgebung, etwa die Zahl der Systeme und genutzte Cloud-Dienste – wir behandeln Ihre Anfrage vertraulich und melden uns persönlich. Akuter Vorfall? Unsere 24/7-Notfall-Hotline erreichen Sie unter +49 2932 465265-0, alternativ nutzen Sie Notfall melden.