Kontakt
Telefon & 24/7-Notfall-Hotline+49 2932 465265-0 E-Mailinfo@rootsektor.deMo–Fr 08:00–17:00 Uhr · außerhalb der Geschäftszeiten: 24/7-Notfall-Hotline
Pentest-Angebot anfordern Notfall meldenIncident Response & Forensik
Vorbereitet statt improvisiert.
Ob sich ein Cyberangriff aufklären lässt, entscheidet sich oft lange vor dem Angriff. Mit Forensic Readiness – der forensischen Vorbereitung Ihres Unternehmens – sorgen wir dafür, dass im Ernstfall die richtigen Protokolle vorhanden, die Zeitstempel verlässlich und die Abläufe zur Beweissicherung geklärt sind. So beantworten Sie die entscheidenden Fragen schneller – für Wiederanlauf, Meldepflichten und Versicherung.
Definition
Forensic Readiness ist die Fähigkeit eines Unternehmens, digitale Spuren im Ernstfall schnell, vollständig und nachvollziehbar zu sichern und auszuwerten – ohne den Betrieb unnötig zu stören. Dazu gehören Protokollierung, Aufbewahrung und Zeitsynchronisation ebenso wie klare Rollen, eingeübte Abläufe und abgestimmte Regeln mit Datenschutz und Betriebsrat.
Der Grund ist einfach: Eine forensische Untersuchung kann nur auswerten, was aufgezeichnet und aufbewahrt wurde. In der Praxis scheitert die Aufklärung deshalb häufig nicht an der Analyse, sondern an fehlenden oder unbrauchbaren Daten.
Das BSI widmet dem Thema im IT-Grundschutz den Baustein DER.2.2 „Vorsorge für die IT-Forensik“. Er verlangt unter anderem, die rechtlichen Rahmenbedingungen zu prüfen und dabei Betriebs- oder Personalrat sowie Datenschutzbeauftragte einzubeziehen, einen Leitfaden für Erstmaßnahmen zu erstellen und – ohne eigenes Forensik-Team – geeignete Dienstleister schon vorab zu identifizieren. Auch ISO/IEC 27001:2022 sieht in Anhang A Maßnahmen zur Protokollierung (8.15), zur Uhrensynchronisation (8.17) und zum Sammeln von Beweismaterial (5.28) vor.
Hinzu kommen enge Meldefristen: Meldepflichtige Datenschutzverletzungen sind nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde zu melden. Einrichtungen, die unter NIS2 fallen, melden erhebliche Sicherheitsvorfälle in Deutschland nach § 32 BSIG gestuft an die gemeinsame Meldestelle von BSI und BBK: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach der Meldung. Finanzunternehmen müssen schwerwiegende IKT-bezogene Vorfälle nach DORA ebenfalls in mehreren Stufen melden. Wer diese Fristen einhalten will, braucht die Fakten schnell.
Unser Vorgehen
Wir beginnen mit Szenarien, die für Sie realistisch sind – etwa Ransomware, ein übernommenes Microsoft-365-Konto, Datenabfluss durch Innentäter oder ein kompromittierter Webshop. Für jedes Szenario klären wir, welche Fragen Sie nach einem Vorfall beantworten müssten und welche Daten Sie dafür bräuchten.
Anschließend gleichen wir Soll und Ist ab: Was wird wo protokolliert, wie lange aufbewahrt, und laufen alle Uhren synchron? Dabei prüfen wir Stichproben direkt in Ihrer Umgebung – denn eine Richtlinie ist noch keine funktionierende Protokollierung.
Das Ergebnis ist ein umsetzbares, priorisiertes Konzept – auf Wunsch begleiten wir die Umsetzung und testen die Abläufe in einer Übung.
Typische Risiken
Wichtige Ereignisse werden nicht aufgezeichnet, oder Logs überschreiben sich bei Standardeinstellungen oft schon nach kurzer Zeit. Fällt ein Angriff erst nach Wochen auf, bleibt der Erstzugriff im Dunkeln.
Microsoft Entra ID hält Anmelde- und Überwachungsprotokolle derzeit je nach Lizenz nur 7 oder 30 Tage vor, der Ereignisverlauf von AWS CloudTrail reicht 90 Tage zurück. Ohne Export sind ältere Spuren verloren.
Laufen Uhren auseinander oder fehlen Zeitzonenangaben, lassen sich Ereignisse nicht zuverlässig verknüpfen – die Beweiskraft leidet.
Liegen Protokolle nur auf dem kompromittierten System, können Angreifer mit Administratorrechten sie löschen oder manipulieren.
Ein Neustart löscht den Arbeitsspeicher, ein neu aufgesetzter Server alle Spuren – und eine Anmeldung mit Domänen-Admin-Konto am kompromittierten System liefert Angreifern womöglich weitere Zugangsdaten.
Ohne Hashwerte und dokumentierte Übergaben lässt sich nicht belegen, dass gesicherte Daten unverändert sind.
Module
Keine starren Pakete: Wir starten dort, wo Sie stehen, und stimmen den Umfang individuell ab.
Bestandsaufnahme
Kompakte Analyse Ihrer Protokollierung, Aufbewahrung und Abläufe anhand realistischer Szenarien.
Konzeption
Das vollständige Rahmenwerk für den Ernstfall – technisch und organisatorisch.
Begleitung
Wir begleiten die Einführung und prüfen, ob alles im Ernstfall trägt.
Ablauf
Forensic Readiness ist Teil der Vorbereitung auf Sicherheitsvorfälle – laut Leitfäden wie ISO/IEC 27035 und NIST SP 800-61 Rev. 3 die Grundlage wirksamer Incident Response – und ein Kernbaustein Ihres Incident-Response-Managements.
Ausgangslage, Szenarien, Vorgaben etwa aus NIS2, DORA oder ISO/IEC 27001 und vorhandene Werkzeuge. Danach erhalten Sie ein individuelles Angebot.
Interviews mit IT, Datenschutz und Fachbereichen sowie Prüfung von Konfigurationen und Stichproben in Ihrer Umgebung.
Logging, Aufbewahrung, Zeitsynchronisation, Leitfäden, Vorlagen zur Beweismittelkette, Legal Hold sowie Rollen- und Kontaktplan.
Wir unterstützen bei der Umsetzung sowie der Abstimmung mit Betriebsrat und Datenschutz und schulen die Verantwortlichen in der Spurensicherung.
Ein Probelauf zeigt, ob Daten und Abläufe tragen – etwa in Krisen- & Tabletop-Übungen. Regelmäßige Reviews halten das Konzept aktuell.
Ergebnis
Sie erhalten praxistaugliche Unterlagen für den Ernstfall, die Sie zugleich bei Audits als Nachweis Ihrer Vorbereitung heranziehen können. Alle Ergebnisse besprechen wir mit Management, IT und Datenschutz.
Im Ernstfall fehlt die Zeit, Protokollierung nachzurüsten oder Zuständigkeiten zu klären. Wir zeigen Ihnen, wo Sie stehen und welche Schritte den größten Unterschied machen.
FAQ
Ihre Frage ist nicht dabei? Rufen Sie uns an: +49 2932 465265-0 oder schreiben Sie an info@rootsektor.de.
Gerade dann. Auch ein externes Forensik-Team kann nur mit vorhandenen Spuren arbeiten. Der BSI-Baustein DER.2.2 betont deshalb, dass die strategische Vorbereitung auch ohne eigene Forensik-Expertise notwendig ist. Ihr Team muss vor allem wissen, welche Erstmaßnahmen Spuren erhalten.
Eine pauschale Frist gibt es nicht. Sie sollte lang genug sein, um auch Angriffe aufzuklären, die erst nach Wochen oder Monaten auffallen, und nicht länger, als der Zweck es erfordert. Gestufte, begründete Fristen je Datenquelle erleichtern die Abstimmung mit Datenschutz und Betriebsrat.
Grundsätzlich ja, wenn sie zweckgebunden, verhältnismäßig und transparent geregelt ist. Als Rechtsgrundlage kommt vor allem das berechtigte Interesse an der Sicherheit Ihrer IT in Betracht (Art. 6 Abs. 1 lit. f DSGVO). Wichtig sind abgestufte Zugriffsrechte, feste Löschfristen und – wo nötig – eine Datenschutz-Folgenabschätzung.
Wenn es einen Betriebsrat gibt, in aller Regel ja: Nach § 87 Abs. 1 Nr. 6 BetrVG hat er ein Mitbestimmungsrecht bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen – nach der Rechtsprechung genügt schon, dass sie dazu objektiv geeignet sind. Das trifft typischerweise auch auf zentrale Protokollierung und SIEM zu. Am besten regelt das eine Betriebsvereinbarung, verhandelt vor dem Ernstfall; im öffentlichen Dienst gilt Entsprechendes für den Personalrat.
Ein Legal Hold setzt routinemäßige Löschungen gezielt aus, sobald ein Vorfall, Rechtsstreit oder behördliches Verfahren absehbar ist. Einen Anknüpfungspunkt bietet Art. 17 Abs. 3 lit. e DSGVO: Das Recht auf Löschung gilt nicht, soweit Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind. Wichtig sind klare Auslöser, Zuständigkeiten und ein definiertes Ende.
Ja. Ohne eigenes Forensik-Team verlangt DER.2.2 ohnehin, geeignete Forensik-Dienstleister schon in der Vorbereitung zu identifizieren und zu dokumentieren. Hinterlegen Sie gern unsere Kontaktdaten und die 24/7-Notfall-Hotline +49 2932 465265-0 in Ihrem Eskalationsplan. Einen Bereitschafts- oder Retainer-Vertrag brauchen Sie dafür nicht – solche Verträge bieten wir nicht an. Im Ernstfall wenden Sie sich direkt an uns; Umfang und Vorgehen stimmen wir dann individuell mit Ihnen ab.
Erzählen Sie uns kurz von Ihrer Umgebung – etwa Standorte, Cloud-Dienste und regulatorische Vorgaben –, und wir melden uns für ein unverbindliches Erstgespräch. Bei einem akuten Sicherheitsvorfall erreichen Sie unsere 24/7-Notfall-Hotline unter +49 2932 465265-0 oder nutzen Sie das Formular Notfall melden.
This page is also available in English.