Was ein unbehandelter
Vorfall tatsächlich kostet.
Basierend auf unseren internen Daten zur Incident-Response und verifizierten öffentlichen Berichten aus den Jahren 2024–2025 – verschiedene Branchen, verschiedene Regionen.
Bevor Sie in Panik geraten,
schätzen Sie das Ausmaß der Situation ein.
Beantworten Sie vier Fragen. Wir berechnen eine Echtzeit-Risikobewertung und die ersten vier Maßnahmen, die Ihr Team sofort ergreifen sollte – bevor jemand vor Wut auf die Tastatur loshämmert.
▸ Die ersten vier Maßnahmen
- Isolieren Sie betroffene Hosts vom Netzwerk – schalten Sie sie nicht aus.
- Speicher- und Volume-Schattenkopien auf mindestens einem Host sichern.
- Zugangsdaten der letzten 72 Stunden widerrufen; Dienstkonten rotieren.
- Errichten Sie eine Kommunikationsbrücke mit PWN•ALL, bevor Sie Backups anfassen.
vier Phasen.
Eine Brücke.
Wir bearbeiten jeden Vorfall über eine einzige, geprüfte Reaktionsbrücke – Ihr Team, unsere DFIR-Analysten, eine gemeinsame Zeitleiste und Belege bei jedem Schritt.
Eindämmung
Isolierung auf Netzwerkebene, ohne Beweismaterial zu vernichten. Wir stoppen laterale Bewegungen am Switch, blockieren C2, sperren privilegierte Konten und sichern den Speicher auf Pivot-Hosts.
Umfang
Forensische Triage aller verschlüsselten Ressourcen, des ursprünglichen Zugangsvektors, der Persistenz und der Spuren der Exfiltration. Wir identifizieren den Stamm, die TTPs des Angreifers und die Verweildauer.
Wiederherstellung
Wiederherstellung in einer „Clean-Room“-Umgebung, Überprüfung der Backup-Integrität, Abgleich des Entschlüsselers mit unserer internen Bibliothek und – sofern Schlüssel vorhanden sind – schrittweise Entschlüsselung der Produktionsdaten.
Absicherung
Behebung der Grundursache, Bereinigung von Identitäten, Einführung von EDR/MFA, wo diese fehlen, und ein schriftlicher Bericht, den Ihr Vorstand, Ihr Versicherer und Ihre Aufsichtsbehörde tatsächlich lesen können.
Jeder Stamm hat eine
eine Schwachstelle. Wir finden sie.
Unsere Forschungsbibliothek für Entschlüsselungsprogramme und unsere Verhandlungsinformationen werden anhand realer Fälle aktualisiert, die wir jede Woche abschließen. Wenn es einen Weg gibt, Daten ohne Zahlung wiederherzustellen, finden wir ihn zuerst.
LockBit • BlackCat • Play
- Domänencontroller & Veeam-Zielauswahl
- Schattenkopien löschen über vssadmin/WMI
- Schrittweise Exfiltration über MEGA/Rclone
- Teilweise Schlüsselwiederherstellung, sofern möglich
Akira • Royal • Rhysida
- ESXi-Stopp und Verschlüsselung auf VMFS-Ebene
- Linux-ELF-Ransomware auf Appliances
- Volumenwiederherstellung auf Datenspeicherebene
- Integritätsprüfung auf Hypervisor-Seite
Cl0p • Karakurt • RansomHub
- Reiner Datendiebstahl, keine Verschlüsselung
- Überwachung und Sperrung von Websites mit Datenlecks
- Koordination der rechtlichen Offenlegung
- Von uns verwaltete Kommunikation mit Betreibern
Ein Analyst
auf die Uhr.
Sobald Sie anrufen, wird eine gemeinsame Brücke mit zeitgestempelten Aktionen, Beweissicherung und einem Live-Schweregrad-Dashboard eingerichtet. Ihr Versicherer und Ihr Rechtsteam können sich schreibgeschützt zuschalten.
Keine Geheimnisse. Kein Schweigen.
Jeder PWN-ALL-Vorfall läuft auf derselben Brückenvorlage, die Ihre Aufsichtsbehörden und Ihr Cyber-Versicherer bereits akzeptieren. Sie sehen, was wir sehen. Sie genehmigen jede destruktive Maßnahme. Nichts wird ohne Ihre Zustimmung verschlüsselt, gelöscht oder bezahlt.
Nach der Eindämmung erhalten Sie einen Bericht zur Beweiskette, eine auf MITRE ATT&CK abgestimmte Zeitleiste und einen 30/60/90-Tage-Sicherheitsplan – kein PDF voller Screenshots.
Fragen
, die um 3 Uhr morgens gestellt werden.
Sollten wir das Lösegeld zahlen?
Das ist fast nie der richtige erste Schritt. Wir verhandeln nur als letztes Mittel, während Wiederherstellungsoptionen geprüft werden, und nur mit rechtlicher und sanktionsrechtlicher Freigabe. In ~94 % unserer Fälle ist eine vollständige oder teilweise Wiederherstellung ohne Zahlung möglich.
Wie schnell können Sie auf der Brücke sein?
Unsere SLA sieht vor, dass wir innerhalb von 60 Minuten nach dem ersten Anruf mit einem Analysten auf einer gemeinsamen Bridge mit Ihrem Team verbunden sind. Die Anleitung zur Eindämmung beginnt in der Regel innerhalb der ersten 15 Minuten, während parallel dazu die Bestandsaufnahme läuft.
Wir haben bereits alles ausgeschaltet. Ist das schlimm?
Das ist nicht ideal – der flüchtige Speicher enthält Schlüssel, eingeschleuste Prozesse und Betreiber-Traces –, aber es ist wiederherstellbar. Starten Sie nichts neu, bis wir an der Leitung sind. Wir verfügen über Verfahren für die Cold-Triage.
Arbeiten Sie mit unserem Cyber-Versicherer zusammen?
Ja. PWN-ALL ist so konzipiert, dass es sich in Standard-IR-Panels einbinden lässt. Wir stellen dem Versicherer zeitgestempelte Maßnahmen, Kostenkontrollen und einen Abschlussbericht in dem Format zur Verfügung, das die meisten Versicherer akzeptieren.
Was ist, wenn Daten nicht nur verschlüsselt, sondern auch gestohlen wurden?
Wir untersuchen die Datenexfiltration separat: Was wurde entwendet, von wo und für wie lange? Anschließend koordinieren wir die Offenlegung, rechtliche Schritte und – sofern angemessen – die Überwachung der Leak-Seiten sowie die Kommunikation mit den Angreifern.
Warten Sie nicht bis
Montagmorgen.
Mit jeder Stunde, die Sie zögern, werden Backups gelöscht, Beweise verfallen und die Täter tauchen tiefer unter. PWN-ALL ist an Werktagen, am Wochenende und an Feiertagen für Sie da – die Uhr macht keinen Unterschied, und wir auch nicht.
50 % aller Angriffe enden immer noch mit einer Verschlüsselung. Warten Sie nicht ab, um herauszufinden, zu welcher Hälfte Sie gehören.