Ein Cybervorfall beginnt selten mit der Meldung „Sie wurden gehackt“. Meistens ist das erste Anzeichen eine verdächtige Anmeldung bei einem Unternehmenskonto, eine unerwartete E-Mail-Weiterleitungsregel, ein deaktivierter EDR-Agent, ein nicht erreichbarer Server oder die Beschwerde eines Mitarbeiters über eine ungewöhnliche Aufforderung zur Multi-Faktor-Authentifizierung.

Zu diesem Zeitpunkt ist dem Unternehmen das Ausmaß des Angriffs noch nicht bekannt. Doch gerade die ersten Entscheidungen darüber entscheiden, ob das Ereignis ein lokales Problem bleibt oder sich zu einer mehrwöchigen Krise mit Betriebsunterbrechung, Datenverlust und Reputationsschaden entwickelt.

Die Zeit für diese Entscheidungen wird immer knapper. In den schnellsten von Unit 42 untersuchten Fällen benötigten die Angreifer 72 Minuten, um vom ersten Zugriff bis zum bestätigten Datendiebstahl zu gelangen. Das ist etwa viermal schneller als noch ein Jahr zuvor. Es handelt sich hierbei nicht um die durchschnittliche Dauer aller Angriffe, sondern um die schnellsten Fälle; dennoch verdeutlicht dieser Wert sehr gut, wie stark sich das Zeitfenster für die Verteidiger verengt hat. In unseren eigenen Untersuchungen haben wir Angriffe auf die AWS-Infrastruktur beobachtet, die in weniger als 10 Minuten durchgeführt wurden. Sobald der Angreifer den Schlüssel erhalten hatte, begann er sofort mit dem Datenexport. Er benötigte lediglich 6 Minuten, um mit dem Datenexport aus dem Bucket des Unternehmens zu beginnen.

Die richtige Reaktion im Jahr 2026 ist kein heldenhafter Einsatz der diensthabenden Schicht. Es handelt sich um einen im Voraus vorbereiteten und gesteuerten Prozess, der es ermöglicht, die Aktivitäten des Angreifers schnell einzudämmen, Beweismittel zu sichern, kritische Abläufe aufrechtzuerhalten und die Systeme wieder in Betrieb zu nehmen, ohne dass es zu einer erneuten Kompromittierung kommt.

Was sich bis zum Jahr 2026 geändert hat

Ein Angriff beschränkt sich nicht mehr auf ein einziges System

Ein moderner Angreifer kann gleichzeitig die lokale Infrastruktur, ein Cloud-Konto, die Unternehmens-E-Mail, SaaS-Anwendungen und den Zugang eines Auftragnehmers nutzen.

Selbst nach der Isolierung eines infizierten Laptops können folgende Elemente bestehen bleiben:

  • eine aktive Cloud-Sitzung;
  • ein Refresh-Token;
  • eine OAuth-Berechtigung;
  • ein API-Schlüssel;
  • ein kompromittiertes Dienstkonto;
  • delegierter Administratorzugriff;
  • ein alternativer Verwaltungskanal über einen legitimen Cloud-Dienst.

Nach Angaben von Unit 42 mussten in 87 % der untersuchten Vorfälle Beweise aus mindestens zwei verschiedenen Quellen – in den komplexesten Fällen sogar aus zehn – miteinander abgeglichen werden, um den Vorfall aufzuklären. Das bedeutet, dass sich die Untersuchung nicht mehr auf einen einzelnen Computer oder ein einzelnes Ereignisprotokoll beschränken darf: Es ist notwendig, Identitäts-, Endpunkt-, Netzwerk-, Cloud- und SaaS-Daten gleichzeitig zu analysieren. (Unit 42)

Das Modell „schädliche Datei finden, löschen und den Computer neu installieren“ gewährleistet keine umfassende Abwehr mehr.

Identitäten und Schwachstellen sind gleichermaßen wichtig

Ein moderner Sicherheitsvorfall hat keinen einzigen universellen Angriffsvektor.

Laut Daten von Unit 42 standen 65 % der ursprünglichen Eindringversuche in ihren Untersuchungen im Zusammenhang mit identitätsbasierten Techniken: gestohlene Anmeldedaten, Manipulationen der MFA, Session-Hijacking, das Vortäuschen einer Identität als Support-Mitarbeiter oder der Missbrauch legitimer Fernzugriffsrechte. (Unit 42)

Gleichzeitig nennt der Verizon DBIR 2026 die Ausnutzung von Software-Schwachstellen als führenden Erstangriffsvektor in seiner Stichprobe: Sie trat bei 31 % der Datenlecks auf und lag damit erstmals vor gestohlenen Anmeldedaten.

Praktische Schlussfolgerung: Man darf sich nicht zwischen Identitätsschutz und Schwachstellenmanagement entscheiden müssen. Ein ausgereiftes Reaktionsprogramm muss beide Bereiche abdecken. Das Team muss in der Lage sein, gleichzeitig Tokens und Sitzungen zu widerrufen, privilegierten Zugriff zu analysieren, anfällige externe Dienste zu schließen und festzustellen, welchen Weg der Angreifer genau genutzt hat.

Anbieter sind Teil der Angriffsfläche geworden

Laut dem Verizon DBIR 2026 waren Dritte an 48 % der Datenlecks beteiligt – das sind 60 % mehr als im Vorjahr. Als Einstiegspunkt kann ein Softwareanbieter, ein MSP, ein Integrator, ein Cloud-Dienst oder ein Auftragnehmer mit legitimem Zugriff fungieren.

Das Unternehmen muss im Voraus wissen:

  • wer die Protokolle des Anbieters bereitstellen kann;
  • wie schnell sein Zugriff entzogen werden kann;
  • wie lange die Telemetriedaten gespeichert werden;
  • welche Maßnahmen vertraglich zulässig sind;
  • wer für die Kommunikation verantwortlich ist;
  • wie man Beweise in einer fremden Infrastruktur sichert.

Wenn diese Fragen erst während eines Angriffs aufkommen, verliert das Team bereits wertvolle Zeit.

Erpressung erfordert keine Verschlüsselung mehr

Die Verschlüsselung der Infrastruktur stellt nach wie vor eine ernsthafte Bedrohung dar, ist jedoch kein zwingender Bestandteil von Erpressungsangriffen mehr. Angreifer können Daten entwenden und sofort mit der Androhung der Veröffentlichung oder des Verkaufs fortfahren, ohne groß angelegte Verschlüsselungsvorfälle zu verursachen, auf die Sicherheitsmaßnahmen traditionell ausgerichtet sind.

Ransomware war bei fast der Hälfte der im Verizon DBIR 2026 untersuchten Datenlecks im Spiel. Das Fehlen verschlüsselter Server bedeutet jedoch nicht, dass der Vorfall unbedeutend ist: Unbefugter Zugriff auf E-Mail-Systeme, CRM-Systeme, Dateispeicher oder Cloud-Umgebungen kann zu vergleichbaren finanziellen und rufschädigenden Folgen führen.

KI beschleunigt beide Seiten

KI hilft Angreifern dabei, die Angriffsfläche schneller zu analysieren, Social Engineering anzupassen, Schwachstellen zu suchen und Schadcode zu erstellen. Der Verizon DBIR 2026 hebt 15 Angriffstechniken hervor, die bereits durch generative KI verstärkt werden.

Verteidiger wiederum nutzen Modelle zur Korrelation von Ereignissen, zur Erstellung von Zeitachsen, zur Gruppierung von Warnmeldungen und zur Vorbereitung von Abfragen für die Bedrohungssuche.

Doch Automatisierung ersetzt keinen überprüfbaren Prozess. Eine voreilige Fehlentscheidung in einer Krisensituation kann sich als ebenso gefährlich erweisen wie eine zu langsame Reaktion.

Ein neuer Rahmen: Die Reaktion beginnt bereits vor dem Vorfall

Im April 2025 veröffentlichte das NIST die SP 800-61 Revision 3, die den Leitfaden aus dem Jahr 2012 ablöste.

Die wichtigste Änderung besteht darin, dass die Incident-Response nicht mehr als separater, linearer Prozess betrachtet wird, der nach einem Alarm eingeleitet wird. Sie ist in das allgemeine Modell des Cyber-Risikomanagements NIST CSF 2.0 integriert und mit allen sechs Funktionen dieses Modells verknüpft:

Govern, Identify, Protect, Detect, Respond und Recover.

Rollenmanagement, Bestandsaufnahme der Ressourcen, Segmentierung, Datensicherung, Lieferantenverträge und Protokollierung sind keine unterstützenden Maßnahmen, sondern Teil der Vorkehrungen für den Fall eines Vorfalls. (NIST Computer Security Resource Center)

Am 11. Juni 2026 veröffentlichte das NIST außerdem IR 8374 Revision 1 – ein aktualisiertes Profil zum Management von Ransomware-Risiken auf Basis von CSF 2.0. Das Dokument verbindet Vorbereitung, Schutz, Reaktion und Wiederherstellung zu einem einheitlichen Risikomanagementzyklus. (NIST Computer Security Resource Center)

Die wichtigste Schlussfolgerung ist einfach:

Die richtige Reaktion beginnt lange vor dem ersten Alarm.

Vor dem Vorfall muss das Unternehmen Rollen und Zuständigkeiten festlegen, einen netzwerkunabhängigen Kommunikationskanal einrichten, eine ausreichende Protokollierung sicherstellen, Sicherungskopien schützen und die Wiederherstellungsverfahren überprüfen. Zudem sind separate Playbooks für Ransomware, die Kompromittierung der Unternehmens-E-Mail, die Übernahme von Cloud-Konten, Datendiebstahl und Angriffe über Auftragnehmer erforderlich.

Von besonderer Bedeutung sind Übungen. Ein Plan, der nur auf dem Papier existiert und noch nie unter Zeitdruck getestet wurde, bleibt eine Hypothese und ist kein Schutzinstrument.

Die ersten 60 Minuten: Das System nicht blindlings reparieren

Zu Beginn eines Vorfalls verfügt das Team fast immer nur über unvollständige Informationen.

In diesem Moment sind nicht nur die Handlungen des Angreifers gefährlich, sondern auch impulsive Entscheidungen der Verteidiger: das massenhafte Abschalten von Servern, das verfrühte Bereinigen von Systemen, das chaotische Ändern von Passwörtern oder die sofortige Wiederherstellung aus einem ungeprüften Backup.

1. Bestimmen Sie einen Incident-Leiter

Eine seriöse Untersuchung lässt sich nicht über chaotische Anrufe, private Nachrichten und Dutzende paralleler Chats durchführen.

Es bedarf einer einheitlichen „Response Bridge“ und eines benannten Incident Commanders.

Er ist nicht verpflichtet, forensische Maßnahmen persönlich durchzuführen. Seine Aufgabe ist es, den Prozess zu steuern:

  • einen einheitlichen Plan aufrechtzuerhalten;
  • Verantwortliche für die einzelnen Aufgaben zu benennen;
  • Prioritätskonflikte zu beseitigen;
  • Entscheidungen festzuhalten;
  • die technischen und verwaltungstechnischen Abläufe aufeinander abzustimmen;
  • den bestätigten Status regelmäßig zu aktualisieren;
  • die Abstimmung kritischer Maßnahmen zu überwachen.

Der technisch versierteste Experte muss nicht unbedingt die gesamte Leitung des Vorfalls übernehmen. Die Analysten untersuchen den Angriff, und der Incident Commander sorgt dafür, dass die Untersuchung nicht zu einer Reihe unkoordinierter Maßnahmen ausartet.

2. Wechseln Sie zu einem vertrauenswürdigen Kommunikationskanal

Wenn die Unternehmens-E-Mail, das Authentifizierungssystem oder der Messenger kompromittiert sein könnten, darf die Untersuchung nicht über diese Kanäle besprochen werden.

Nutzen Sie einen vorab eingerichteten Out-of-Band-Kanal. Folgende Informationen sollten nicht über potenziell kompromittierte Systeme übertragen werden:

  • Isolierungspläne;
  • Hypothesen zur Untersuchung;
  • neue Passwörter;
  • Schlüssel und Tokens;
  • gesammelte Beweismittel;
  • Informationen zur Kommunikation mit dem Angreifer;
  • interne Entscheidungen der Unternehmensleitung.

Ein Angreifer, der die Maßnahmen des Teams einsehen kann, erhält die Möglichkeit, seine Taktik anzupassen, Spuren zu verwischen und alternative Zugangswege im Voraus vorzubereiten.

3. Bestätigen Sie den Vorfall und ermitteln Sie das vorläufige Ausmaß

Man muss nicht auf das vollständige Bild warten, um mit der Reaktion zu beginnen.

Die erste Einschätzung sollte mindestens fünf Fragen beantworten:

  1. Was genau wurde entdeckt?
  2. Welche Benutzer, Geräte und Dienste könnten betroffen sein?
  3. Hält die Aktivität des Angreifers noch an?
  4. Besteht das Risiko, dass ein kritischer Prozess zum Stillstand kommt?
  5. Gibt es Anzeichen für Datendiebstahl, die Vernichtung von Sicherungskopien oder die Kompromittierung privilegierter Zugriffe?

Die Einstufung kann sich im Laufe der Untersuchung ändern. Wichtig ist, so früh wie möglich eine Arbeitshypothese zu formulieren und Prioritäten festzulegen.

Es ist sinnvoll, von Anfang an zwischen bestätigten Fakten, wahrscheinlichen Schlussfolgerungen, unbestätigten Hypothesen und unbekannten Umständen zu unterscheiden. Dies verringert das Risiko, dass die Vermutung eines einzelnen Analysten zur Grundlage für eine verheerende Managemententscheidung wird.

4. Isolieren Sie Beweismittel, aber vernichten Sie sie nicht

Isolierung und Abschaltung sind nicht dasselbe.

Ein betroffener Host sollte in der Regel mithilfe von EDR, NAC, VLAN, einem Switch oder einer Cloud-Richtlinie vom Netzwerk getrennt werden. Man sollte ihn jedoch nicht unnötigerweise sofort:

  • ihn auszuschalten oder neu zu starten;
  • Dateien zu löschen;
  • einen Antiviren-Scan durchzuführen;
  • das Betriebssystem neu zu installieren;
  • das Gerät nach einer oberflächlichen Überprüfung wieder in Betrieb zu nehmen.

Im Arbeitsspeicher können sich Verschlüsselungsschlüssel, aktive Netzwerkverbindungen, eingeschleuste Prozesse, Zugriffstoken, noch nicht gespeicherte Befehle und Spuren der Angreifer-Tools befinden.

Ausnahmen sind möglich, wenn der weitere Betrieb des Systems eine unzumutbare Gefahr für Menschen, kritische Infrastrukturen oder den Geschäftsbetrieb darstellt. Eine solche Entscheidung muss jedoch bewusst getroffen und im Vorfallprotokoll festgehalten werden.

5. Legen Sie eine einheitliche Zeitachse fest

Halten Sie jedes relevante Ereignis fest:

  • Zeitpunkt des ersten Alarms;
  • die Quelle der Erkennung;
  • Änderung des Systemzustands;
  • Anweisungen der Administratoren;
  • Isolierung von Geräten;
  • Sperrung von Benutzerkonten;
  • Export von Protokollen;
  • Erstellung von Snapshots;
  • getroffene Entscheidungen;
  • verantwortliche Personen und diejenigen, die die Maßnahmen genehmigt haben.

Verwenden Sie eine einheitliche Zeitzone, vorzugsweise UTC. Bewahren Sie die Originalprotokolle getrennt von den Arbeitskopien auf, berechnen Sie die Prüfsummen der gesammelten Dateien und halten Sie fest, wer wann mit den Beweismitteln gearbeitet hat.

Ohne eine Zeitachse verwandelt sich die Untersuchung schnell in eine Ansammlung widersprüchlicher Erinnerungen.

6. Schützen Sie Ihre Sicherungskopien

Bei einem Ransomware-Vorfall gehören Backup-Systeme oft zu den ersten Zielen des Angreifers.

Beginnen Sie nicht mit einer massiven Wiederherstellung, bevor nicht geklärt ist:

  • ob der Angreifer Zugriff auf die Backup-Konsole hat;
  • ob die Konten der Administratoren kompromittiert wurden;
  • ob Snapshots gelöscht wurden;
  • ob die Speicherrichtlinien geändert wurden;
  • wann der ursprüngliche Einbruch vermutlich stattgefunden hat;
  • Enthält die ausgewählte Kopie einen Verankerungsmechanismus?
  • ob isolierte oder unveränderliche Kopien erhalten geblieben sind.

Der erfolgreiche Status des letzten Sicherungsauftrags bestätigt lediglich, dass eine Kopie erstellt wurde. Er bestätigt nicht, dass diese sauber und für eine sichere Wiederherstellung geeignet ist.

Bei einem aktiven Vorfall kann das DFIR-Team von PWN-ALL die technische Koordination übernehmen: erste Eindämmungsmaßnahmen, Sicherung von Beweismitteln, Ermittlung des Ausmaßes der Kompromittierung und Erstellung eines sicheren Wiederherstellungsplans. Das Unternehmen verfügt über Erfahrung im Umgang mit Ransomware, Datendiebstahl, BEC, der Übernahme von Zugangsdaten und der Kompromittierung von Cloud-Umgebungen.

Die Reaktion muss in parallelen Abläufen erfolgen

Ein häufiger Fehler besteht darin, zunächst die technische Untersuchung abzuschließen und erst danach die Geschäftsleitung, die Rechtsabteilung, den Versicherer und die Geschäftsinhaber einzubeziehen.

Bei einem tatsächlichen Vorfall müssen diese Abläufe gleichzeitig stattfinden.

Technischer Arbeitsablauf

Das Team muss den Angreifer lokalisieren, den wahrscheinlichen ursprünglichen Angriffsvektor ermitteln, die betroffenen Ressourcen und Identitäten identifizieren, die Einbruchsmechanismen aufdecken, eine mögliche Datenexfiltration bewerten und eine sichere Wiederherstellung vorbereiten.

Management-Ablauf

Die Geschäftsleitung und die Prozessverantwortlichen müssen die Auswirkungen auf das Geschäft bewerten, Prioritäten für die Wiederherstellung festlegen, die zulässige Ausfallzeit bestimmen und Maßnahmen abstimmen, mit denen kritische Prozesse gestoppt werden können.

Rechtlicher und kommunikativer Ablauf

Parallel dazu müssen die Eigentümer der betroffenen Daten ermittelt, vertragliche Verpflichtungen geprüft, geltende Meldepflichten festgelegt, der Versicherer kontaktiert und interne sowie externe Mitteilungen vorbereitet werden.

Die konkreten Anforderungen variieren je nach Branche, Verträgen und Rechtsordnungen. Daher sollte die rechtliche Bewertung nicht erst nach Vorlage des endgültigen forensischen Berichts erfolgen.

Die Aufgabe des DFIR-Teams besteht darin, diesem Prozess überprüfbare technische Fakten zur Verfügung zu stellen: einen Zeitplan, eine Liste der betroffenen Ressourcen, bestätigte Indikatoren, eine Einschätzung des ursprünglichen Zugriffs sowie Informationen über eine mögliche Exfiltration. Die endgültige rechtliche Einstufung obliegt den Fachberatern der Organisation.

Identity Takeback: Die Kontrolle über Identitäten zurückgewinnen

In einer hybriden Infrastruktur reicht es nicht aus, den Server wiederherzustellen. Zunächst muss sich das Unternehmen vergewissern, dass es wieder die Kontrolle über sein eigenes Identifikationssystem hat.

Zu überprüfen sind:

  • privilegierte und Notfall-Benutzerkonten;
  • aktive Sitzungen und Refresh-Token;
  • neue oder geänderte MFA-Verfahren;
  • OAuth-Anwendungen und erteilte Berechtigungen;
  • Service-Principals und Workload-Identitäten;
  • Föderationsregeln;
  • Richtlinien für den bedingten Zugriff;
  • delegierter Administratorzugriff;
  • API-Schlüssel, Zertifikate und CI/CD-Geheimnisse;
  • E-Mail-Weiterleitungsregeln;
  • registrierte Geräte;
  • Zugriff für Auftragnehmer.

Eine Passwortänderung beendet nicht immer die aktive Cloud-Sitzung. Daher muss die Rotation von Anmeldedaten mit dem Widerruf von Tokens, dem Beenden von Sitzungen und der Überprüfung vertrauenswürdiger Anwendungen einhergehen.

Besonders gefährlich ist es, eine Massenrotation aus einer kompromittierten Verwaltungsumgebung heraus durchzuführen.

Zunächst wird eine saubere Arbeitszone mit geprüften Geräten, einem separaten Kommunikationskanal, kontrollierten Konten und eigenständiger Protokollierung eingerichtet. Erst danach beginnt das koordinierte Identitäts-Takeback.

Cloud und SaaS erfordern ein separates Playbook

Ein Cloud-Vorfall kann nicht wie eine gewöhnliche Infektion eines Arbeitsplatzrechners untersucht werden.

Ein Teil der Beweise existiert ausschließlich in den Protokollen des Anbieters und wird möglicherweise nur für einen begrenzten Zeitraum aufbewahrt. In den ersten Stunden sollten folgende Daten gesichert werden:

  • Anmelde- und Audit-Protokolle;
  • den Änderungsverlauf des IAM;
  • Protokolle der Control Plane;
  • E-Mail- und Collaboration-Ereignisse;
  • Änderungen an Richtlinien und Netzwerkregeln;
  • Informationen zur Erstellung von Schlüsseln und Tokens;
  • Snapshots von Datenträgern und Konfigurationen;
  • Daten von SaaS-Anwendungen, die über SSO oder OAuth verbunden sind.

Separat müssen die Einrichtung neuer Administratoren, Änderungen an der Föderation, die Vergabe von Langzeit-Tokens, OAuth-Consent-Grants, die Deaktivierung von Sicherheitsrichtlinien, die Inbetriebnahme neuer Cloud-Ressourcen und der Datenexport überprüft werden.

Das Verfahren für die Notfall-Eskalation an den Anbieter, die Befugnisse der Beteiligten und das Verfahren zur Aufbewahrung von Telemetriedaten müssen im Voraus festgelegt werden.

PWN-ALL nutzt separate Prozesse zur Untersuchung von Kompromittierungen von Microsoft 365, Google Workspace, der Cloud-Infrastruktur und Unternehmenskonten. Dies ermöglicht die Analyse von Aktivitäten, die auf herkömmlichen Endpunkten möglicherweise keine Spuren hinterlassen haben.

Einsatz von KI bei der Untersuchung

KI kann folgende Vorgänge beschleunigen:

  • die Normalisierung von Ereignissen;
  • die Gruppierung von Warnmeldungen;
  • die Erstellung einer Zeitachse;
  • die Vorbereitung von Abfragen für die Threat Hunting;
  • den Abgleich von Indikatoren;
  • Suche nach Anomalien;
  • Analyse großer Protokollmengen;
  • Erstellung von Zwischenberichten.

Das Modell darf jedoch keine Entscheidungen mit hohem Schadenspotenzial eigenständig treffen.

Ein sicherer Prozess setzt die Nutzung einer kontrollierten Umgebung, die Minimierung sensibler Daten, die Protokollierung von Anfragen und Antworten, die Überprüfung der Schlussfolgerungen durch einen Analysten sowie die Verknüpfung jeder Hypothese mit den ursprünglichen Telemetriedaten voraus.

Ohne zusätzliche Abstimmung darf das Modell nicht damit beauftragt werden, ein kritisches Segment abzuschalten, Benutzerkonten zu löschen, Geheimnisse in großem Umfang zu rotieren, Artefakte zu vernichten, Mitteilungen an Kunden zu veröffentlichen oder eine endgültige Schlussfolgerung über das Nichtvorliegen einer Exfiltration zu ziehen.

KI kann eine Richtung für die Untersuchung vorschlagen. Die Verantwortung für die Schlussfolgerung liegt weiterhin beim Menschen.

Wiederherstellung bedeutet nicht die Rückkehr zum vorherigen Zustand

Der gefährlichste Satz während eines Vorfalls:

„Wir stellen einfach alles aus dem Backup wieder her.“

Wenn die ursprüngliche Architektur mitsamt den früheren Schwachstellen, kompromittierten Geheimnissen und Konfigurationsfehlern wiederhergestellt wird, kann der Angreifer zurückkehren.

Eine sichere Wiederherstellung erfolgt schrittweise:

  1. Es wird eine saubere Verwaltungsumgebung erstellt.
  2. Die Kontrolle über die Identitäten wird wiederhergestellt.
  3. Der ursprüngliche Angriffsvektor wird geschlossen.
  4. Die Mechanismen zur Etablierung werden entfernt.
  5. Geheimnisse, Schlüssel, Tokens und Zertifikate werden rotiert.
  6. Die Sicherungskopien werden überprüft.
  7. Kritische Abhängigkeiten werden wiederhergestellt.
  8. Die Systeme werden in kontrollierten Gruppen wieder in Betrieb genommen.
  9. In jeder Phase werden Sicherheit und Funktionsfähigkeit überprüft.
  10. Nach der Inbetriebnahme wird die verstärkte Überwachung fortgesetzt.

Der Geschäftsverantwortliche bestätigt die Funktionsfähigkeit des Dienstes, und das Sicherheitsteam bestätigt, dass keine Anzeichen für eine anhaltende Kompromittierung vorliegen.

Die Verfügbarkeit des Systems bedeutet noch nicht, dass der Vorfall abgeschlossen ist.

Im Rahmen der Wiederherstellung bewertet PWN-ALL saubere Backups, die Möglichkeit der Systemwiederherstellung, verfügbare Optionen zur Entschlüsselung und Schlüsselwiederherstellung und legt anschließend Prioritäten für die Wiederinbetriebnahme der Infrastruktur fest. Das Ergebnis hängt von der Ransomware-Familie, dem Zustand der Systeme, den gesicherten Beweismitteln und der Qualität der Backups ab, weshalb eine vollständige Entschlüsselung oder die Wiederherstellung aller Daten nicht garantiert werden kann.

Wenn ein Unternehmen die Zahlung eines Lösegelds in Betracht zieht

Ein professioneller Umgang mit Ransomware sollte nicht davon ausgehen, dass eine Zahlung unter keinen Umständen in Frage kommt.

Manchmal zieht die Unternehmensleitung eine Zahlung in Betracht, weil Leben oder die Sicherheit von Menschen gefährdet sind, kritische Prozesse zum Stillstand kommen, keine brauchbaren Sicherungskopien vorhanden sind, das Risiko eines unwiederbringlichen Geschäftsverlusts besteht oder die Kosten eines längeren Betriebsausfalls extrem hoch sind.

Offizielle Empfehlungen sprechen sich gegen eine Zahlung aus: Sie garantiert weder die Wiederherstellung des Zugriffs auf die Daten noch die Beseitigung der Schadsoftware oder die Löschung gestohlener Informationen. Zudem kann das Unternehmen, das gezahlt hat, erneut zum Ziel werden.

Dabei handelt es sich bei der Zahlung nicht um eine technische Maßnahme, sondern um eine außergewöhnliche Managemententscheidung in einer Krisensituation.

Zunächst müssen Alternativen geprüft werden

Vor einer Entscheidung sollte Folgendes geprüft werden:

  • die Eignung von Sicherungskopien;
  • die Möglichkeit einer teilweisen Wiederherstellung;
  • die Wiederherstellung kritischer Dienste;
  • vorübergehende manuelle Prozesse;
  • die Verfügbarkeit von Entschlüsselungsprogrammen;
  • Möglichkeit der Datenwiederherstellung aus anderen Quellen;
  • die zulässige Dauer des Notfallbetriebs.

Die Behauptung des Angreifers, dass die Zahlung der einzige Ausweg sei, darf nicht ohne eine unabhängige technische Überprüfung akzeptiert werden.

PWN-ALL kann den tatsächlichen Zustand der Infrastruktur und der Sicherungskopien bewerten, die Möglichkeit einer Entschlüsselung oder Wiederherstellung der Schlüssel untersuchen und der Geschäftsleitung einen Vergleich der verfügbaren Szenarien vorlegen. Die endgültige Entscheidung liegt bei den befugten Vertretern der betroffenen Organisation.

Die tatsächlichen Folgen müssen ermittelt werden

Es reicht nicht aus, lediglich die Höhe des Lösegelds mit den Kosten für die Wiederherstellung zu vergleichen.

Zu berücksichtigen sind die Auswirkungen auf die Mitarbeiter, die Dauer des Betriebsausfalls, die Stabilität der vorübergehenden Prozesse, die Folgen für Kunden und Partner, die Wahrscheinlichkeit einer Datenveröffentlichung, die Kosten für eine sichere Wiederherstellung sowie der Reputationsschaden.

Die Entscheidung muss sich auf belegte Fakten stützen und nicht nur auf Versprechungen und die von den Angreifern gesetzten Fristen.

Rechtliche und sanktionsbezogene Einschränkungen werden separat bewertet

Der Empfänger, eine verbundene Gruppe, ein Vermittler oder die genutzte Zahlungsinfrastruktur können Sanktions- oder anderen Beschränkungen unterliegen.

Offizielle Sanktionsbehörden warnen ausdrücklich vor Risiken für Unternehmen, die Ransomware-Zahlungen unterstützen. Daher müssen die geltenden Beschränkungen vor jeglichem Handeln von qualifizierten Rechts- und Sanktionsberatern geprüft werden.

PWN-ALL übernimmt die technische Seite des Prozesses: Es sammelt Daten über die Infrastruktur des Angreifers, überprüft dessen Angaben, dokumentiert die Kommunikation und stellt dem Versicherer sowie den zuständigen Beratern die Unterlagen zur Verfügung. Die rechtliche Bewertung und die Entscheidung über die Transaktion liegen weiterhin bei der Organisation und ihren bevollmächtigten Beratern.

Die Kommunikation mit dem Angreifer muss kontrolliert erfolgen

Eine eigenständige Korrespondenz mit dem Erpresser kann die Kritikalität einzelner Systeme, die interne Situation der Organisation oder die Grenzen ihrer Möglichkeiten offenlegen.

Nach entsprechender Absprache kann PWN-ALL die kontrollierte Kommunikation begleiten und dabei helfen:

  • zu überprüfen, ob der Angreifer tatsächlich über die angegebenen Daten verfügt;
  • eine Testentschlüsselung anzufordern;
  • die Funktionsfähigkeit des Entschlüsselungsprogramms zu bewerten;
  • die technische Realisierbarkeit der Forderungen festzustellen;
  • zusätzliche Zeit zu gewinnen;
  • den vollständigen Verlauf der Nachrichten und Entscheidungen zu dokumentieren.

Diese Unterstützung ersetzt keine rechtliche Prüfung, stellt keine Zahlungsempfehlung dar und überträgt dem DFIR-Team nicht das Recht, Entscheidungen im Namen des Auftraggebers zu treffen.

Die Angaben des Angreifers müssen überprüft werden

Bis zur endgültigen Entscheidung können eine Testentschlüsselung einer begrenzten Auswahl an Dateien, der Nachweis des Zugriffs auf die angegebenen Daten sowie die Bestätigung der Funktionsfähigkeit des vorgeschlagenen Tools angefordert werden.

Doch selbst eine erfolgreiche Überprüfung garantiert keine vollständige Wiederherstellung.

Der Angreifer könnte einen instabilen Entschlüsseler übermitteln, nur einen Teil der Daten entschlüsseln, die gestohlenen Informationen speichern, diese an andere Beteiligte weitergeben oder über den verbleibenden Zugriff zurückkehren.

Die erhaltenen Tools sollten in einer isolierten Umgebung analysiert und getestet werden.

Verhandlungen halten die Ermittlungen nicht auf

Die Kommunikation mit dem Angreifer ersetzt nicht die Reaktion.

Parallel dazu muss Folgendes fortgesetzt werden:

  • die Lokalisierung der Bedrohung;
  • die Suche nach dem ursprünglichen Angriffsvektor;
  • die Beendigung kompromittierter Sitzungen;
  • die Rotation von Zugangsdaten;
  • den Schutz der Sicherungskopien;
  • Beweissicherung;
  • Überprüfung der Cloud-Umgebung;
  • Suche nach Mechanismen zur Absicherung;
  • Vorbereitung einer sicheren Wiederherstellung.

Nach der Zahlung gilt der Vorfall nicht als abgeschlossen. Die Systeme müssen dennoch bereinigt oder neu eingerichtet werden, kompromittierte Zugangsdaten müssen ersetzt und Sicherheitsmechanismen müssen entfernt werden.

Die Zahlung kann zwar einen Aspekt der Krise verändern, beseitigt jedoch weder die Kompromittierung noch ersetzt sie eine sichere Wiederherstellung.

Was man während eines aktiven Vorfalls nicht tun sollte

Die gesamte Infrastruktur ohne Plan abschalten

Dies kann flüchtige Beweismittel zerstören, die Analyse erschweren und nicht betroffene Prozesse unterbrechen. Die Isolierung muss punktuell oder segmentweise erfolgen und auf einer Risikobewertung basieren.

Systeme vor der Datenerfassung neu installieren

Eine schnelle Formatierung löscht Spuren des ursprünglichen Zugriffs, der Etablierung und der Bewegungen des Angreifers.

Den Sieg nach der Entfernung der Malware verkünden

Eine schädliche Datei kann nur eines von vielen Werkzeugen sein. Es müssen Identitäten, Cloud-Sitzungen, Tokens, Fernzugriff, E-Mail-Regeln, SaaS-Anwendungen und die Verwaltungsinfrastruktur überprüft werden.

Das Ändern des Passworts als vollständige Abwehr betrachten

Dem Angreifer könnten aktive Sitzungen, Refresh-Token, OAuth-Berechtigungen oder alternative MFA-Methoden verbleiben.

Kompromittierte Kommunikationskanäle nutzen

Der Angreifer kann Teamnachrichten lesen, seine Taktik anpassen und Spuren verwischen.

Selbstständig Kontakt mit dem Erpresser aufnehmen

Unvorbereitete Kommunikation kann die Verhandlungsposition verschlechtern, die Kritikalität von Systemen offenlegen oder zusätzliche rechtliche und betriebliche Risiken schaffen.

Systeme vor der Schließung des Angriffseingangs wiederherstellen

Andernfalls wird die Wiederherstellung zu einem erneuten Vorfall.

Das Fehlen einer Verschlüsselung als fehlenden Datenverlust betrachten

Datendiebstahl kann über legitime Cloud-Dienste und aktive Benutzersitzungen erfolgen, ohne dass dabei die für Ransomware typischen Ereignisse auftreten.

Sicherungskopien ohne Überprüfung vertrauen

Eine Kopie muss nicht nur auf Lesbarkeit, sondern auch auf Integrität, Sauberkeit und das Fehlen gespeicherter Verknüpfungsmechanismen überprüft werden.

Unbestätigte Schlussfolgerungen veröffentlichen

Man darf nicht versprechen, dass kein Datenleck vorliegt, solange dies nicht durch eine Untersuchung bestätigt wurde.

Die Umgebung aufgrund fehlender neuer Warnmeldungen für sicher erklären

Das Ausbleiben von Ereignissen kann nicht unbedingt bedeuten, dass kein Angreifer vorhanden ist, sondern auch auf unzureichende Transparenz hindeuten.

Wie lässt sich die Bereitschaft messen?

Die Anzahl der geschlossenen Warnmeldungen sagt fast nichts über die Fähigkeit einer Organisation aus, einen schweren Angriff zu überstehen.

Aussagekräftigere Kennzahlen:

  • Zeit bis zur Bestätigung des Vorfalls;
  • die Zeit bis zur Ernennung eines Incident Commanders;
  • die Zeit bis zur ersten Isolierung;
  • die Zeit bis zum Beenden kompromittierter Sitzungen;
  • Zeit bis zum Erhalt der Cloud-Protokolle;
  • Zeit bis zur Überprüfung eines sauberen Backups;
  • Anteil der kritischen Systeme mit ausreichender Telemetrie;
  • Vollständigkeit der Zeitachse;
  • Zeit bis zur Beseitigung des ursprünglichen Angriffsvektors;
  • Anteil der nach der Nachbetrachtung (Post-Incident Review) umgesetzten Maßnahmen.

Es ist wichtig, nicht nur die Geschwindigkeit, sondern auch die Qualität der Lösungen zu messen:

  • wie viele Maßnahmen ohne zugewiesenen Verantwortlichen durchgeführt wurden;
  • wie viele Änderungen nicht in das Protokoll eingetragen wurden;
  • welche Nachweise verloren gegangen sind;
  • wie viele Systeme erneut wiederhergestellt werden mussten;
  • welche Annahmen aus dem IR-Plan sich als falsch erwiesen haben.

Nach einem Vorfall ist kein formelles Dokument mit dem Vermerk „Gespräch geführt“ erforderlich, sondern ein konkreter Plan für Änderungen mit Verantwortlichen, Fristen und Überprüfungskriterien.

Mindestanforderungen an die Bereitschaft der Organisation im Jahr 2026

Vor dem Vorfall muss das Unternehmen über Folgendes verfügen:

  • ein genehmigter IR-Plan;
  • eine Matrix der Rollen und Befugnisse;
  • ein netzwerkunabhängiger Kommunikationskanal;
  • separate Playbooks für die wichtigsten Szenarien;
  • eine Übersicht über kritische Systeme und Abhängigkeiten;
  • ausreichende Aufbewahrungsfrist für Protokolle;
  • unveränderliche und überprüfbare Sicherungskopien;
  • Verfahren zur Beweissicherung;
  • eine saubere Verwaltungsumgebung;
  • Kontaktdaten des externen DFIR-Teams;
  • Vorlagen für interne und externe Mitteilungen;
  • Verfahren zur Bearbeitung von Forderungen des Erpressers;
  • regelmäßige Tabletop- und technische Übungen.

Es sollte nicht nur das technische Team überprüft werden. An den Übungen müssen die Geschäftsleitung, die IT, die Sicherheitsabteilung, die Verantwortlichen für die Geschäftsprozesse, die Rechts- und Kommunikationsabteilungen, der Versicherer, wichtige Lieferanten und der externe DFIR-Partner teilnehmen.

Ein Plan, der noch nie unter Zeitdruck getestet wurde, ist eine Vermutung und kein Schutzmittel.

Reaktion bedeutet, mit Unsicherheit umzugehen

Während eines Angriffs gelingt es selten, sofort alle Antworten zu erhalten.

Ein starkes Team wartet nicht auf absolute Gewissheit und handelt gleichzeitig nicht blindlings. Es trennt Fakten von Hypothesen, trifft reversible Entscheidungen, wo dies möglich ist, koordiniert Abwehrmaßnahmen, sichert Beweismittel, führt eine einheitliche Zeitachse und steuert parallel dazu technische und geschäftliche Risiken.

Ein Vorfall lässt sich nicht vollständig vorhersehbar machen.

Aber man kann die Arbeit des Teams vorhersehbar machen.

Wann ein externes Reaktionsteam benötigt wird

PWN-ALL wird bei Vorfällen hinzugezogen, bei denen Schnelligkeit, die Sicherung von Beweismitteln und eine kontrollierte Wiederherstellung entscheidend sind:

  • Ransomware und Erpressung ohne Verschlüsselung;
  • Datendiebstahl und -veröffentlichung;
  • BEC und Kompromittierung der Unternehmens-E-Mail;
  • Übernahme von Zugangsdaten;
  • Kompromittierung von Microsoft 365 und Google Workspace;
  • Angriffe auf die Cloud-Infrastruktur;
  • Hacking von Webanwendungen und Servern;
  • Vorfälle durch Lieferanten und Auftragnehmer.

Die Arbeit kann Notfallmaßnahmen, digitale Forensik, die Ermittlung des Ausmaßes der Kompromittierung, die Sicherung und Aufbewahrung von Beweismitteln, die Untersuchung von Entschlüsselungsmöglichkeiten, die Überprüfung von Backups, die technische Begleitung kontrollierter Kommunikation, die sichere Wiederherstellung, die Erstellung von Berichten sowie die anschließende Stärkung der Sicherheitsmaßnahmen. Für aktive Vorfälle verfügt PWN-ALL über einen separaten, rund um die Uhr verfügbaren Reaktionsprozess.

Bei einem aktiven Vorfall:

Schalten Sie die betroffenen Systeme nicht aus, löschen Sie keine Spuren, antworten Sie dem Angreifer nicht eigenmächtig und beginnen Sie nicht mit einer massiven Wiederherstellung, bevor eine erste Einschätzung vorliegt.

Die erste Aufgabe besteht darin, die Aktivitäten des Angreifers einzudämmen, ohne dabei Informationen zu vernichten, die für die Untersuchung, die Entscheidungsfindung und die sichere Wiederherstellung des Geschäftsbetriebs erforderlich sind.