Ransomware-Angriff
Systeme sind verschlüsselt, Daten womöglich abgeflossen. Wir klären Einfallstor, Ausbreitung und Datenabfluss – Grundlage für den Wiederaufbau und die Bewertung von Meldepflichten.
Incident Response & Forensik
IT-Forensik: Vorfälle aufklären, Beweise sichern
Fakten statt Vermutungen.
Nach einem Cyberangriff oder bei Verdacht auf Innentäter zählen belastbare Fakten. Mit unserer IT-Forensik sichern wir digitale Spuren nach anerkannten Methoden – remote oder bei Ihnen vor Ort –, rekonstruieren den Tathergang und dokumentieren die Ergebnisse nachvollziehbar.
- 24/7-Notfall-Hotline
- Remote & vor Ort
- Dokumentierte Beweiskette
Definition
Was ist IT-Forensik?
IT-Forensik – auch digitale Forensik oder Computerforensik – ist die methodische Sicherung und Analyse digitaler Spuren, um Sicherheitsvorfälle und Straftaten aufzuklären. Sie geht den Fragen nach, die nach einem Vorfall zählen: Wie sind die Angreifer eingedrungen, welche Systeme und Daten sind betroffen, seit wann besteht der Zugriff – und wer ist verantwortlich? Wir orientieren uns am Leitfaden IT-Forensik des BSI und an der internationalen Norm ISO/IEC 27037, die Leitlinien für die Identifizierung, Sammlung und Sicherung digitaler Beweismittel enthält. Die Qualität der Beweissicherung entscheidet, ob sich ein Vorfall später belegen lässt.
Forensik liefert die Grundlage für zentrale Entscheidungen: Welche Systeme müssen neu aufgebaut werden? Liegt eine Datenschutzverletzung vor, die nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde zu melden ist – und müssen Betroffene nach Art. 34 DSGVO benachrichtigt werden? Fällt Ihr Unternehmen unter NIS2, sind erhebliche Sicherheitsvorfälle der gemeinsamen Meldestelle von BSI und BBK zu melden – mit einer frühen Erstmeldung binnen 24 Stunden und einer Meldung binnen 72 Stunden nach Kenntnis des Vorfalls sowie einer Abschlussmeldung spätestens einen Monat nach dieser Meldung. Wir liefern die technischen Fakten dafür; die rechtliche Bewertung treffen Sie mit Ihrer Rechtsberatung. Auf Wunsch stimmen wir uns auch mit Ihrem Cyber-Versicherer ab.
Im akuten Vorfall arbeitet die Forensik Hand in Hand mit der Vorfallbehandlung: Angreifer werden ausgesperrt, ohne die Spuren zu vernichten, die für Aufklärung und Meldungen gebraucht werden. Mehr dazu unter Incident Response & Forensik.
Unser Vorgehen
So läuft eine forensische Untersuchung ab
Am Anfang steht ein vertrauliches Gespräch – im Ernstfall über unsere 24/7-Notfall-Hotline: Was ist bekannt, welche Systeme sind betroffen, was ist Ihr Ziel? Flüchtige Daten wie Arbeitsspeicher, laufende Prozesse und Netzwerkverbindungen sichern wir zuerst – nach der Reihenfolge der Flüchtigkeit, wie sie RFC 3227 beschreibt.
Gesichert wird remote oder bei Ihnen vor Ort. Remote erfassen wir die relevanten Artefakte vieler Systeme parallel – ideal bei verteilten Standorten und Cloud-Diensten. Vor Ort erstellen wir bitgenaue Images, wo möglich über Schreibblocker. Hashwerte belegen die Integrität jeder Sicherung, jede Übergabe dokumentieren wir in der Beweismittelkette (Chain of Custody). Analysiert wird ausschließlich an Kopien.
In der Analyse verknüpfen wir Spuren aus Clients, Servern, Cloud-Diensten, Firewalls und EDR-Systemen zu einer Zeitleiste und ordnen sie nach MITRE ATT&CK ein. Gefundene Schadsoftware untersuchen wir bei Bedarf vertieft in einer Malware-Analyse.
Typische Szenarien
Wann eine forensische Untersuchung notwendig ist
Übernommenes E-Mail-Konto
Rechnungen wurden manipuliert oder Zahlungen umgeleitet. Wir werten Anmelde- und Audit-Protokolle, Weiterleitungsregeln und Postfachzugriffe aus.
Verdacht auf Innentäter
Beschäftigte sollen Geschäftsgeheimnisse mitgenommen, Daten gelöscht oder Systeme sabotiert haben. Wir untersuchen Endgeräte, USB-Nutzung, Cloud-Uploads und E-Mails – unter Wahrung von Datenschutz und Mitbestimmung.
Datenabfluss und Erpressung
Daten tauchen im Darknet oder bei Wettbewerbern auf, oder Erpresser drohen mit Veröffentlichung. Wir ermitteln, welche Daten betroffen sind und wie sie abgeflossen sind.
Kompromittierte Server und Webshops
Ein Webshop verteilt Schadcode oder ein Server baut verdächtige Verbindungen auf. Wir analysieren Logs, Dateisysteme und Webshell-Spuren.
Schadsoftware auf Endgeräten
Virenschutz oder EDR schlagen an, doch Umfang und Ursache sind unklar. Wir klären Infektionsweg und Ausmaß.
Mögliche Schwerpunkte
Unsere forensischen Leistungen
Keine festen Pakete, sondern typische Einsatzfelder – Umfang und Vorgehen stimmen wir auf Ihren Fall ab.
Nach einem Angriff
Vorfallsanalyse
Aufklärung von Ransomware-Angriffen, Business E-Mail Compromise oder kompromittierten Servern – verzahnt mit Eindämmung und Wiederherstellung.
- Sicherung flüchtiger und persistenter Spuren
- Rekonstruktion des Angriffsverlaufs
- Fakten für Meldungen, Versicherer und Wiederaufbau
Interne Ermittlungen
Ermittlung von Innentätern
Diskrete Untersuchung bei Verdacht auf Datendiebstahl, Sabotage oder Missbrauch durch Beschäftigte.
- Abstimmung mit Datenschutz, Betriebsrat und Rechtsberatung
- Auswertung von Endgeräten, E-Mails und Cloud-Speichern
- Dokumentation für arbeits- und strafrechtliche Schritte
Forensic Readiness
Vorbereitung auf den Ernstfall
Damit bei einem Vorfall die nötigen Spuren vorhanden sind – im Sinne des IT-Grundschutz-Bausteins DER.2.2 „Vorsorge für die IT-Forensik“. Mehr dazu unter Forensic Readiness.
- Prüfung von Protokollierung und Aufbewahrungsfristen
- Vorgaben zur Beweissicherung für Ihr IT-Team
- Einbindung in Notfallplan und Playbooks
Ablauf
Ablauf einer forensischen Untersuchung
Angelehnt an den Leitfaden IT-Forensik des BSI und an Empfehlungen zur Vorfallbehandlung wie ISO/IEC 27035 und NIST SP 800-61 Rev. 3.
-
01
Erstkontakt & erste Hinweise
Per 24/7-Notfall-Hotline, Notfall- oder Kontaktformular. Wir klären den Sachverhalt und sagen Ihnen, wie Sie Spuren bis zur Sicherung erhalten.
-
02
Scoping & individuelles Angebot
Wir legen Ziele, Systeme und Prioritäten fest. Erweiterungen des Umfangs stimmen wir vorher mit Ihnen ab.
-
03
Beweissicherung
Remote oder bei Ihnen vor Ort – mit Hashwerten und dokumentierter Beweismittelkette.
-
04
Analyse & Rekonstruktion
Zeitleiste des Angriffs, Einordnung nach MITRE ATT&CK und Suche nach weiteren betroffenen Systemen anhand der IoCs.
-
05
Eindämmung & Wiederherstellung begleiten
Wir zeigen, welche Konten, Systeme und Hintertüren bereinigt werden müssen – damit der Wiederaufbau nicht auf kompromittierten Grundlagen erfolgt.
-
06
Bericht & Lessons Learned
Bericht und Abschlussbesprechung mit konkreten Maßnahmen. Ob die Härtung wirkt, zeigt später ein Penetrationstest – den Umfang beschreiben Sie über unser Pentest-Angebot.
Forensischer Bericht
Der forensische Bericht: nachvollziehbar für Management, Rechtsabteilung und Technik
Unser Bericht beantwortet die entscheidenden Fragen: Was ist passiert, wie konnte es passieren, was ist betroffen, und was ist jetzt zu tun? Alle Befunde sind mit Quellen und Zeitstempeln belegt, die Beweismittel über Hashwerte gesichert – gerichtsverwertbar dokumentiert, soweit möglich. Über die Verwertung in einem Verfahren entscheidet das Gericht.
- Management Summary mit den wesentlichen Erkenntnissen
- Zeitleiste des Vorfalls und Darstellung des Angriffswegs
- Dokumentation der Beweissicherung mit Hashwerten und Beweismittelkette
- Betroffene Systeme, Konten und Daten – als Grundlage für Meldungen
- Klare Trennung von Fakten, Schlussfolgerungen und Annahmen
- Maßnahmenempfehlungen und Lessons Learned
Spuren sichern, bevor sie verloren gehen
Je früher gesichert wird, desto mehr lässt sich aufklären. Im akuten Fall erreichen Sie unsere 24/7-Notfall-Hotline unter +49 2932 465265-0 – oder melden Sie den Vorfall über das Notfall-Formular.
FAQ
Häufige Fragen zur IT-Forensik
Ihre Frage ist nicht dabei? Rufen Sie uns an: +49 2932 465265-0 oder schreiben Sie an info@rootsektor.de.
Was tun im Notfall?
Schalten Sie betroffene Systeme nicht aus und setzen Sie sie nicht neu auf – sonst gehen flüchtige Spuren im Arbeitsspeicher verloren. Trennen Sie sie stattdessen vom Netzwerk, melden Sie sich dort nicht mit Administratorkonten an, notieren Sie Beobachtungen mit Uhrzeit und verzichten Sie auf eigene Untersuchungen. Richtet sich der Verdacht gegen Mitarbeitende, weihen Sie zunächst nur einen kleinen Kreis ein. Rufen Sie unsere 24/7-Notfall-Hotline an: +49 2932 465265-0, oder nutzen Sie das Notfall-Formular. Mehr dazu unter IT-Notfall & Soforthilfe.
Arbeiten Sie remote oder vor Ort?
Beides. Spuren aus Cloud-Diensten, EDR-Systemen oder verteilten Standorten sichern wir remote über gesicherte Verbindungen; Datenträger-Images, einzelne Geräte oder diskrete Ermittlungen übernehmen wir bei Ihnen vor Ort – in Deutschland und international. Oft kombinieren wir beide Wege.
Sind die Ergebnisse vor Gericht verwertbar?
Wir arbeiten nach anerkannten forensischen Grundsätzen: bitgenaue Kopien, Integritätsnachweis über Hashwerte, sorgfältig dokumentierte Beweismittelkette und Analyse nur an Kopien. So sind die Ergebnisse gerichtsverwertbar dokumentiert, soweit dies im Einzelfall möglich ist. Ob ein Beweismittel verwertet wird, entscheidet das Gericht.
Was ist bei Ermittlungen gegen Mitarbeitende zu beachten?
Interne Ermittlungen berühren Persönlichkeitsrechte und Datenschutz. Maßnahmen zur Aufdeckung von Straftaten setzen in der Regel einen dokumentierten, konkreten Verdacht und eine sorgfältige Verhältnismäßigkeitsprüfung voraus. Je nach Maßnahme hat der Betriebsrat Mitbestimmungsrechte, etwa nach § 87 Abs. 1 Nr. 6 BetrVG; bei erlaubter Privatnutzung von E-Mail und Internet ist besondere Vorsicht geboten. Wir stimmen das Vorgehen früh mit Datenschutz, Rechtsberatung und – wo erforderlich – Betriebsrat ab.
Arbeiten Sie mit Polizei, Behörden und Versicherern zusammen?
Ob Sie Strafanzeige erstatten, entscheiden Sie – gern gemeinsam mit Ihrer Rechtsberatung. Wir unterstützen die Übergabe an die Ermittlungsbehörden – erste Anlaufstelle für Unternehmen sind die Zentralen Ansprechstellen Cybercrime (ZAC) der Polizei –, liefern die Fakten für Meldungen an Datenschutzaufsicht oder die gemeinsame Meldestelle von BSI und BBK und stimmen uns auf Wunsch mit Ihrem Cyber-Versicherer ab.
Können gelöschte Daten wiederhergestellt werden?
Häufig ja, solange die Speicherbereiche nicht überschrieben wurden. Bei SSDs und Smartphones erschweren TRIM und Verschlüsselung die Wiederherstellung – zusagen lässt sie sich daher nicht. Je früher ein Gerät gesichert wird, desto besser sind die Chancen.
Worin unterscheiden sich IT-Forensik, Malware-Analyse und Compromise Assessment?
Die IT-Forensik klärt einen konkreten Vorfall über alle betroffenen Systeme hinweg auf. Die Malware-Analyse untersucht gefundene Schadsoftware im Detail. Ein Compromise Assessment prüft – auch ohne konkreten Vorfall –, ob sich Angreifer unbemerkt in Ihrer Umgebung aufhalten.
Weiterführende Seiten
Vertraulich über Ihren Fall sprechen
Schildern Sie uns kurz, was passiert ist oder welchen Verdacht Sie haben – wir behandeln Ihre Anfrage streng vertraulich. Bei einem akuten Vorfall rufen Sie direkt an: +49 2932 465265-0 – Mo–Fr 08:00–17:00 Uhr, außerhalb dieser Zeiten unter derselben Nummer als 24/7-Notfall-Hotline – oder nutzen Sie das Notfall-Formular.