Digitale Spuren nach einem PC-Angriff sichern und verstehen
Ein unbekanntes Programm startet von selbst, Dateien tragen plötzlich andere Endungen oder ein Onlinedienst meldet eine Anmeldung aus einem fremden Land. In solchen Momenten entsteht verständlicherweise der Wunsch, den Computer sofort aufzuräumen. Verdächtige Dateien werden gelöscht, Schutzprogramme installiert, Kennwörter geändert und Windows neu gestartet. Genau diese gut gemeinten Handlungen können jedoch digitale Spuren verändern oder vollständig beseitigen. Wer verstehen möchte, wie der Angriff ablief, muss deshalb zwei Ziele miteinander verbinden: weiteren Schaden begrenzen und gleichzeitig möglichst viele unveränderte Informationen erhalten.
Nach einem Angriff zählt nicht nur die schnelle Bereinigung
Ein kompromittierter Computer enthält möglicherweise Hinweise darauf, wann der Angriff begann, welche Schwachstelle genutzt wurde und auf welche Dateien ein Angreifer zugegriffen hat. Diese Informationen können in Protokolldateien, im Arbeitsspeicher, im Dateisystem, im Browser, in E-Mails und auf Netzwerkgeräten liegen. Eine professionelle Computer-Forensik versucht, solche Spuren nachvollziehbar zu sichern, zeitlich zu ordnen und auszuwerten. Das Ziel besteht nicht einfach darin, irgendeine Schadsoftware zu finden. Es soll ein möglichst belastbares Bild davon entstehen, was auf dem System tatsächlich geschehen ist. NIST nennt Dateien, Betriebssystemdaten, Netzwerkverkehr und Anwendungsdaten als zentrale Quellen forensischer Untersuchungen.
Erst eindämmen oder zuerst Beweise sichern?
Diese Frage lässt sich nicht für jeden Vorfall gleich beantworten. Verschlüsselt eine Schadsoftware gerade weitere Dateien oder werden offensichtlich Daten übertragen, besitzt die Begrenzung des laufenden Schadens höchste Priorität. Ist das verdächtige Verhalten bereits beendet und der Computer steht lediglich noch eingeschaltet da, kann ein übereiltes Herunterfahren wertvolle flüchtige Daten vernichten. Microsoft empfiehlt, Reaktionsmaßnahmen so abzuwägen, dass weder wichtige Daten noch Geschäftsfunktionen oder Beweismittel unnötig verloren gehen. Notwendige Veränderungen sollten dokumentiert werden, damit später nachvollziehbar bleibt, welche Spuren vom Angreifer und welche durch die eigene Reaktion entstanden sind.
Bei laufender Verschlüsselung muss der Schaden gestoppt werden
Wenn Dateinamen sichtbar verändert werden, Lösegeldforderungen erscheinen oder Netzwerkfreigaben fortlaufend verschlüsselt werden, darf die Beweissicherung nicht zur Ausrede für Untätigkeit werden. Der betroffene Rechner sollte möglichst schnell vom Netzwerk getrennt werden. Bei unmittelbar fortschreitender Zerstörung kann auch ein Ausschalten notwendig sein, obwohl dadurch der Inhalt des Arbeitsspeichers verloren geht. Die richtige Entscheidung richtet sich nach dem Verhältnis zwischen drohendem Schaden und dem Wert flüchtiger Spuren. Microsoft beschreibt genau diese Abwägung: Bei drohender Löschung, Verschlüsselung oder Abwanderung wichtiger Daten können sofortige Änderungen notwendig sein.
Das Netzwerkkabel ist häufig der erste sinnvolle Ansatz
Ein verdächtiger Computer kann über das Netzwerk weitere Systeme angreifen, Daten übertragen oder neue Befehle empfangen. Das Entfernen des Netzwerkkabels beziehungsweise die Isolation über vorhandene Sicherheitswerkzeuge kann diese Verbindung unterbrechen. In einem Unternehmen sollte dies nach dem bestehenden Notfallplan und möglichst durch die zuständige IT erfolgen. Microsoft nennt die Isolation eines betroffenen Endgerätes als typische Reaktion auf einen erkannten Angriff. Das Gerät sollte anschließend nicht wieder mit dem normalen Netzwerk verbunden werden, nur um zu prüfen, ob das Internet noch funktioniert.
WLAN nicht durch hektisches Klicken abschalten
Bei einem Notebook ohne Netzwerkkabel muss möglicherweise die Funkverbindung getrennt werden. Jeder Klick auf dem verdächtigen System verändert jedoch dessen Zustand. Programme schreiben Protokolle, Dateien erhalten neue Zugriffszeiten und laufende Prozesse können reagieren. In professionell verwalteten Umgebungen ist deshalb eine zentrale Isolation über eine Endpoint-Sicherheitslösung vorzuziehen. Privatnutzer müssen häufig pragmatischer handeln. Sie sollten die erforderliche Änderung möglichst gezielt vornehmen und anschließend notieren, wann und wie das Gerät vom Netzwerk getrennt wurde.
Vor jeder Veränderung den sichtbaren Zustand fotografieren
Eine Lösegeldforderung, ein verdächtiges Programmfenster oder eine Fehlermeldung kann nach einem Neustart verschwunden sein. Deshalb lohnt es sich, den Bildschirm zunächst mit einem zweiten Gerät zu fotografieren. Die Aufnahme sollte möglichst auch Datum, Uhrzeit, Dateinamen, Fensterüberschriften und sichtbare Meldungen erfassen. Zusätzlich werden angeschlossene Datenträger, Netzwerkkabel und geöffnete Anwendungen notiert. Ein Foto ersetzt keine technische Untersuchung, bewahrt aber Informationen, die später für die zeitliche Einordnung wichtig sein können.
Ein handschriftliches Einsatzprotokoll verhindert Erinnerungslücken
Bereits wenige Stunden nach einem Vorfall ist schwer zu rekonstruieren, welche Maßnahme zuerst erfolgte. Deshalb sollte jede Handlung mit Datum und Uhrzeit festgehalten werden: Wann wurde der verdächtige Vorgang entdeckt? Wer saß am Computer? Welche Meldung war sichtbar? Wann wurde das Netzwerkkabel entfernt? Wurde ein Programm geschlossen oder das Gerät ausgeschaltet? Microsoft empfiehlt, notwendige Änderungen während der Reaktion in einem Änderungsprotokoll festzuhalten. Eine solche Dokumentation hilft, eigene Eingriffe später von Angriffsspuren zu unterscheiden.
Die Systemuhr kann falsch gehen
Zeitstempel sind für die Rekonstruktion eines Angriffs besonders wichtig. Sie zeigen beispielsweise, wann eine Datei erstellt, verändert oder ausgeführt wurde. Diese Angaben sind jedoch nur dann zuverlässig einzuordnen, wenn bekannt ist, ob die Uhr des betroffenen Computers korrekt eingestellt war. Ein Foto der angezeigten Systemzeit zusammen mit einer verlässlichen Vergleichszeit kann spätere Abweichungen sichtbar machen. Auch Zeitzone und Sommerzeit spielen eine Rolle, weil Server, Cloudplattformen und Sicherheitsprodukte Ereignisse teilweise in unterschiedlichen Zeitformaten speichern.
Ein Neustart löscht flüchtige Spuren
Der Arbeitsspeicher enthält Informationen, die nur vorhanden sind, solange der Computer läuft. Dazu können aktive Prozesse, offene Netzwerkverbindungen, entschlüsselte Inhalte und kurzzeitig verwendete Zugangsdaten gehören. Nach dem Ausschalten gehen diese Daten normalerweise verloren. CISA empfiehlt bei Ransomware-Vorfällen ausdrücklich, besonders flüchtige oder nur kurz gespeicherte Beweismittel wie Arbeitsspeicher, Windows-Sicherheitsprotokolle und Inhalte von Firewall-Puffern frühzeitig zu bewahren.
Trotzdem ist eingeschaltet lassen nicht immer richtig
Aus dem Wert des Arbeitsspeichers folgt nicht, dass ein angegriffener Computer unter allen Umständen weiterlaufen sollte. Eine aktive Schadsoftware kann Dateien zerstören, Daten übertragen oder andere Systeme infizieren. Außerdem kann ein Angreifer aus der Ferne Spuren löschen. Das Gerät lediglich unbeaufsichtigt eingeschaltet zu lassen, wäre daher riskant. Bei wichtigen Systemen sollte möglichst sofort ein qualifizierter Incident-Response- oder Forensikdienst entscheiden, ob zunächst eine Arbeitsspeichersicherung erfolgt oder die Schadensbegrenzung Vorrang hat.
Keine unbekannten Forensikprogramme auf dem Originalsystem installieren
Nach einem Vorfall werden häufig kostenlose Analyseprogramme heruntergeladen und direkt auf dem betroffenen Computer installiert. Dadurch entstehen neue Dateien, Registrierungseinträge, Protokolle und Zugriffszeiten. Teile gelöschter Daten können überschrieben werden. Zusätzlich ist nicht jedes frei angebotene Werkzeug vertrauenswürdig. NIST beschreibt die digitale Forensik als strukturierten Prozess, der geeignete Verfahren für unterschiedliche Datenquellen benötigt und nicht als improvisierte Suche auf dem Originalsystem verstanden werden sollte.
Ein Virenscan verändert ebenfalls das System
Ein Schutzprogramm liest große Teile des Datenträgers, aktualisiert seine Signaturen, schreibt Protokolle und verschiebt oder löscht verdächtige Dateien. Für die Bereinigung kann das sinnvoll sein, für eine spätere Beweissicherung jedoch problematisch. Wird ein Scan durchgeführt, sollte zumindest dokumentiert werden, welches Produkt in welcher Version verwendet wurde, wann der Scan begann und welche Dateien behandelt wurden. Bei einem geschäftlich, rechtlich oder finanziell bedeutsamen Vorfall sollte die forensische Sicherung möglichst vor der Bereinigung erfolgen.
Verdächtige Dateien nicht vorschnell löschen
Eine unbekannte ausführbare Datei kann den eigentlichen Schadcode enthalten, aber auch Informationen über Herkunft, Funktionsweise und verwendete Server liefern. Wird sie gelöscht, fehlt möglicherweise ein wichtiger Untersuchungsgegenstand. Das bloße Umbenennen oder Verschieben verändert ebenfalls Metadaten. Professionelle Untersucher fertigen daher kontrollierte Kopien an und dokumentieren deren Prüfsummen. Microsoft warnt außerdem davor, verdächtige Dateien unüberlegt auf öffentliche Onlinescanner hochzuladen, weil Angreifer solche Plattformen beobachten und dadurch erfahren können, dass ihre Schadsoftware entdeckt wurde.
Online-Virenscanner können vertrauliche Daten offenlegen
Eine verdächtige Datei kann neben Schadcode auch Kundendaten, interne Dokumente oder persönliche Informationen enthalten. Wird sie auf einen öffentlichen Analysedienst hochgeladen, verlässt sie den eigenen Kontrollbereich. Manche Plattformen stellen eingereichte Dateien Sicherheitsforschern oder Vertragspartnern zur Verfügung. Vor einer solchen Übertragung muss daher geklärt werden, welche Daten enthalten sind und ob eine Weitergabe zulässig ist. Für sensible Vorfälle sind lokale oder vertraglich abgesicherte Analysewege geeigneter.
Das Abbild eines Datenträgers ist mehr als eine Dateikopie
Bei einer normalen Sicherung werden meist nur sichtbare Dateien kopiert. Ein forensisches Abbild erfasst dagegen den Datenträger möglichst vollständig und kann auch nicht zugeordnete Bereiche, gelöschte Datenreste und Dateisystemstrukturen enthalten. Die Untersuchung erfolgt anschließend an einer Arbeitskopie, während das ursprüngliche Abbild unverändert aufbewahrt wird. Dadurch lassen sich Analyseschritte wiederholen, ohne das Original fortlaufend zu verändern. NIST führt Dateien und Betriebssysteminformationen als wesentliche forensische Datenquellen auf und beschreibt die Untersuchung als einen nachvollziehbaren Prozess.
Schreibschutz verhindert unbeabsichtigte Änderungen
Beim Auslesen eines Datenträgers kann bereits das angeschlossene Betriebssystem neue Informationen darauf schreiben. Professionelle Untersuchungen verwenden deshalb Hardware- oder Softwareschreibschutz, der Lesezugriffe erlaubt, Veränderungen aber verhindert. Eine externe Festplatte einfach an einen anderen Windows-PC anzuschließen, ist nicht gleichbedeutend mit einer forensisch sauberen Sicherung. Betriebssysteme können automatisch Metadaten, Papierkorbinformationen oder Indexdaten anlegen.
Prüfsummen machen Veränderungen erkennbar
Eine kryptografische Prüfsumme fasst den Inhalt einer Datei oder eines Datenträgerabbildes in einem charakteristischen Wert zusammen. Bereits kleine Änderungen erzeugen normalerweise einen anderen Wert. Wird die Prüfsumme direkt nach der Sicherung berechnet und später erneut kontrolliert, lässt sich nachweisen, dass die untersuchte Kopie unverändert geblieben ist. Sie beweist nicht automatisch, dass der ursprüngliche Datenträger korrekt behandelt wurde, ist aber ein wichtiger Bestandteil einer nachvollziehbaren Beweiskette.
Die Originalfestplatte sollte nicht zum Experimentierfeld werden
Nach dem Erstellen eines geeigneten Abbildes sollte die weitere Analyse an einer Kopie stattfinden. Muss eine Datei geöffnet, ein Schadprogramm untersucht oder ein Wiederherstellungsversuch durchgeführt werden, kann die Arbeitskopie dabei verändert werden. Eine neue Kopie lässt sich jederzeit aus dem unveränderten Abbild erstellen. Wird dagegen ausschließlich am Original gearbeitet, können Fehler nicht rückgängig gemacht und Ergebnisse später nur schwer überprüft werden.
Windows-Ereignisprotokolle erzählen nur einen Teil der Geschichte
Windows zeichnet zahlreiche Vorgänge in Ereignisprotokollen auf. Dazu gehören Anmeldungen, Dienststarts, Systemfehler und – abhängig von der aktivierten Überwachung – sicherheitsrelevante Aktionen. Microsoft weist darauf hin, dass geeignete Ereignisüberwachung Kompromittierungen früher sichtbar machen kann. Allerdings werden nicht alle nützlichen Ereignisse standardmäßig protokolliert, und ältere Einträge können überschrieben oder durch Angreifer gelöscht werden.
Gelöschte Protokolle sind selbst eine Spur
Wenn ein Angreifer Ereignisprotokolle löscht, fehlen möglicherweise direkte Hinweise auf seine Handlungen. Das Löschen kann jedoch eigene Ereignisse oder zeitliche Auffälligkeiten hinterlassen. Auch plötzlich beginnende Protokollreihen oder ungewöhnlich kleine Dateien können verdächtig sein. Microsoft berichtete 2026 bei einem untersuchten Angriff von Versuchen, Windows-Ereignisprotokolle, Befehlsverläufe und temporäre Ausführungsspuren zu entfernen, um die spätere Analyse zu erschweren.
Browserdaten zeigen mögliche Einstiegswege
Verlauf, Downloads, gespeicherte Sitzungen und zwischengespeicherte Inhalte können erklären, ob der Vorfall nach dem Besuch einer bestimmten Webseite oder dem Herunterladen einer Datei begann. Auch Browsererweiterungen und gespeicherte Berechtigungen sind relevant. Die bloße Anwesenheit einer Webseite im Verlauf beweist jedoch nicht, dass sie den Angriff verursacht hat. Zeitliche Nähe, heruntergeladene Dateien und weitere Spuren müssen gemeinsam betrachtet werden.
E-Mails dürfen nicht nur als Screenshot gesichert werden
Bei Phishing-Verdacht ist die Originalnachricht wichtiger als ein Bild des sichtbaren Textes. E-Mail-Header enthalten technische Informationen über Übertragungswege, Absender und beteiligte Server. Anhänge und eingebettete Links können zusätzliche Hinweise liefern. Microsoft empfiehlt bei der Reaktion auf Angriffe, eine Kopie der ursprünglichen verdächtigen Nachricht für spätere Untersuchungen zu bewahren, einschließlich Headern, Inhalt, Skripten und Anhängen.
Cloudkonten besitzen eigene Protokolle
Ein Angriff auf den PC kann mit dem Missbrauch eines E-Mail-, Speicher- oder Benutzerkontos verbunden sein. Deshalb reicht es nicht, nur die lokale Festplatte zu untersuchen. Viele Dienste zeigen Anmeldeorte, verwendete Geräte, erteilte App-Berechtigungen und Änderungen an Sicherheitsoptionen an. Diese Daten können jedoch nur begrenzte Zeit verfügbar sein. Relevante Protokolle sollten daher zeitnah exportiert oder gesichert werden, bevor Aufbewahrungsfristen ablaufen.
Der Router kann Netzwerkspuren enthalten
Router, Firewalls und DNS-Dienste können zeigen, zu welchen Zielen ein Computer Verbindungen aufgebaut hat. Kleine Heimrouter speichern häufig nur wenige Informationen und verlieren sie bei einem Neustart. In Unternehmen befinden sich ausführlichere Protokolle möglicherweise auf zentralen Systemen. CISA betont, dass Protokollierung und Überwachung helfen, unbefugte Zugriffe und verdächtige Aktivitäten schneller zu erkennen. Zentral gespeicherte Logs sind außerdem schwieriger vollständig zu beseitigen, wenn ein einzelner PC kompromittiert wurde.
Externe Datenträger gehören ebenfalls zur Untersuchung
USB-Sticks, Sicherungsplatten und Speicherkarten können den Angriff ausgelöst haben, Schadsoftware enthalten oder vom betroffenen Computer verändert worden sein. Sie sollten nicht unüberlegt an weitere Systeme angeschlossen werden. Wichtig ist auch, ihre Position und Verbindung zum Zeitpunkt der Entdeckung zu dokumentieren. Eine Sicherungsplatte, die während einer Ransomware-Attacke angeschlossen war, kann ebenfalls verschlüsselte oder manipulierte Dateien enthalten.
Dateiendungen allein identifizieren keine Schadsoftware
Eine Datei mit der Endung PDF kann ausführbaren Inhalt enthalten, während eine unbekannte Endung lediglich von einem Spezialprogramm stammen kann. Windows blendet bekannte Dateiendungen je nach Einstellung aus, wodurch beispielsweise eine Datei mit einem Namen wie „Rechnung.pdf.exe“ täuschend harmlos erscheinen kann. Für eine Bewertung sind Dateityp, Inhalt, Herkunft, digitale Signatur und zeitlicher Zusammenhang wichtiger als das sichtbare Symbol.
Zeitstempel müssen gemeinsam ausgewertet werden
Dateien besitzen mehrere Zeitangaben, etwa für Erstellung, Änderung und Zugriff. Ein Angreifer kann Zeitstempel manipulieren, und Kopier- oder Sicherungsvorgänge verändern sie möglicherweise. Ein einzelner Wert beweist daher wenig. Aussagekräftiger wird eine Zeitleiste, wenn Dateisystemdaten, Ereignisprotokolle, Browseraktivitäten, E-Mails und Netzwerkaufzeichnungen miteinander verglichen werden. NIST beschreibt die Auswertung mehrerer Arten von Datenquellen als wesentlichen Bestandteil der forensischen Untersuchung.
Prüfsummen verdächtiger Dateien dienen auch dem Vergleich
Der Hashwert einer verdächtigen Datei kann mit bekannten Sicherheitsinformationen verglichen werden, ohne die gesamte Datei weiterzugeben. Er kann außerdem zeigen, ob dieselbe Datei auf mehreren Systemen vorhanden ist. Ein Hashwert allein sagt allerdings nicht zuverlässig aus, was das Programm getan hat. Unbekannte Schadsoftware besitzt möglicherweise noch keinen öffentlich bekannten Wert, während harmlose Dateien durch Manipulation verdächtig erscheinen können. Die Prüfsumme ist ein Identifikationsmerkmal, keine vollständige Diagnose.
Ungewöhnliche IP-Adressen sind Hinweise und keine Täteranschriften
Protokolle können Verbindungen zu fremden IP-Adressen zeigen. Daraus lässt sich nicht ohne Weiteres ableiten, wo sich der Angreifer befand. Server, VPN-Dienste, gehackte Router, Cloudplattformen und fremde kompromittierte Rechner können als Zwischenstation dienen. Eine IP-Adresse kann trotzdem wichtig sein, um weitere betroffene Systeme zu finden und den zeitlichen Ablauf zu rekonstruieren. Microsoft nennt bösartige IP-Adressen, Datei-Hashes und E-Mail-Merkmale als mögliche Indicators of Compromise, die nach einem Vorfall dokumentiert werden sollten.
Ein Fund beweist noch nicht den gesamten Umfang
Wird eine schädliche Datei gefunden, bedeutet das nicht, dass alle Folgen des Angriffs bekannt sind. Angreifer verwenden häufig mehrere Methoden, um ihren Zugang zu erhalten. Dazu können neue Benutzerkonten, geplante Aufgaben, Dienste, Browsererweiterungen oder gestohlene Anmeldedaten gehören. Microsoft empfiehlt deshalb, den Umfang eines Angriffs zu bestimmen und nicht davon auszugehen, dass ein einzelner entfernter Fund das Problem vollständig löst.
Kennwörter besser von einem sauberen Gerät ändern
Wurden Zugangsdaten möglicherweise ausgespäht, sollten betroffene Kennwörter geändert und aktive Sitzungen beendet werden. Dies darf nicht auf dem mutmaßlich kompromittierten Computer geschehen, weil ein Angreifer die neuen Angaben erneut erfassen könnte. Ein vertrauenswürdiges, aktualisiertes Zweitgerät ist dafür besser geeignet. Zuerst sollten besonders wichtige Konten wie E-Mail, Passwortmanager, Cloudspeicher und Administrationszugänge abgesichert werden.
Nicht wahllos alle Kennwörter gleichzeitig zurücksetzen
In größeren Umgebungen kann ein unkoordinierter Komplettreset Dienste unterbrechen und die Untersuchung erschweren. Microsoft empfiehlt, zunächst nachweislich kompromittierte sowie besonders privilegierte Konten zu priorisieren und weitere Änderungen kontrolliert vorzunehmen. Zusätzlich müssen Sitzungstoken, angemeldete Geräte und hinterlegte Authentifizierungsmethoden überprüft werden, weil ein neues Passwort allein bestehende Zugänge nicht immer beendet.
Backups vor dem Zurückspielen untersuchen
Eine vorhandene Sicherung ist nur dann hilfreich, wenn sie aus der Zeit vor dem Angriff stammt und nicht ebenfalls manipuliert wurde. Wird ein bereits kompromittiertes Backup zurückgespielt, kann die Schadsoftware sofort wieder vorhanden sein. Deshalb müssen Erstellungsdatum, Speicherort und Verbindung zum betroffenen System berücksichtigt werden. Besonders wertvoll sind offline oder unveränderbar gespeicherte Sicherungen, die während des Angriffs nicht beschreibbar waren.
Neuinstallation beendet nicht automatisch den gesamten Vorfall
Das vollständige Löschen und Neuaufsetzen eines Computers kann Schadsoftware auf diesem Gerät entfernen. Gestohlene Zugangsdaten, manipulierte Cloudkonten oder weitere infizierte Rechner bleiben dadurch jedoch bestehen. Vor der Neuinstallation sollte deshalb soweit möglich geklärt werden, wann und wie der Angriff begann und welche Konten beziehungsweise Systeme betroffen sein könnten. Microsoft beschreibt Incident Response als Untersuchung und Behebung einer laufenden Angriffskampagne, nicht nur als Reparatur eines einzelnen Computers.
Beweiskette bedeutet nachvollziehbare Zuständigkeit
Soll eine Untersuchung gegenüber einem Versicherer, Geschäftspartner oder Gericht belastbar sein, muss nachvollziehbar bleiben, wer einen Datenträger wann übernommen, kopiert, untersucht und weitergegeben hat. Diese Dokumentation wird häufig als Chain of Custody bezeichnet. CISA betont, dass eine solche Beweiskette nicht nur für Strafverfolgungsbehörden, sondern auch für den Schutz und die Untersuchung wichtiger Systeme relevant ist.
Originale müssen eindeutig beschriftet werden
Datenträger, Ausdrucke und exportierte Protokolle sollten eindeutige Kennzeichnungen erhalten. Dazu gehören Gerät, Seriennummer, Fundort, Datum, verantwortliche Person und zugehöriger Vorfall. Mehrere äußerlich identische USB-Sticks oder Festplatten lassen sich sonst leicht verwechseln. Die Kennzeichnung darf jedoch nicht so angebracht werden, dass sie den Datenträger beschädigt oder wichtige Anschlüsse verdeckt.
Sichere Aufbewahrung ist Teil der Beweissicherung
Ein korrekt erstelltes Datenträgerabbild verliert seinen Wert, wenn es anschließend ungeschützt auf einer frei zugänglichen Netzwerkfreigabe liegt. Untersuchungsdaten können hochsensible persönliche und geschäftliche Inhalte enthalten. Sie sollten verschlüsselt, zugriffsbeschränkt und getrennt von normalen Arbeitsdaten aufbewahrt werden. Zugriffe und Weitergaben müssen dokumentiert werden. Nach Abschluss des Vorfalls sind gesetzliche und vertragliche Aufbewahrungspflichten zu beachten.
Datenschutz und Meldepflichten frühzeitig prüfen
Ein PC-Angriff kann nicht nur technische, sondern auch rechtliche Folgen besitzen. Wurden personenbezogene Daten möglicherweise offengelegt, können Informations- und Meldepflichten bestehen. Unternehmen sollten deshalb Datenschutzbeauftragte, Rechtsberatung, Versicherung und gegebenenfalls zuständige Behörden frühzeitig einbeziehen. NIST weist darauf hin, dass forensische Empfehlungen an die jeweils geltenden Gesetze und Vorschriften angepasst und mit Management sowie Rechtsberatung abgestimmt werden müssen.
Nicht jeder Vorfall erfordert dieselbe Untersuchungstiefe
Ein einzelner blockierter Download auf einem privaten Testrechner ist anders zu behandeln als ein erfolgreicher Angriff auf einen Server mit Kundendaten. Der Aufwand sollte sich nach möglichem Schaden, betroffenen Daten, geschäftlicher Bedeutung und rechtlichen Anforderungen richten. Microsoft empfiehlt, die Untersuchung auf Systeme zu konzentrieren, die der Angreifer tatsächlich genutzt oder verändert haben könnte, statt ohne klare Priorität jede verfügbare Ressource vollständig zu analysieren.
Wann sofort Fachleute eingeschaltet werden sollten
Externe Unterstützung ist besonders sinnvoll, wenn sensible Daten betroffen sind, mehrere Rechner ungewöhnliches Verhalten zeigen oder der Angriff noch aktiv sein könnte. Das gilt ebenso bei Ransomware, möglichen Manipulationen von Finanzdaten, kompromittierten Administratorkonten und drohenden rechtlichen Auseinandersetzungen. Microsoft rät dazu, bei komplexen oder besonders schwerwiegenden Angriffen auf Spezialwissen zurückzugreifen, wenn das eigene Team den Umfang nicht sicher bestimmen kann.
Welche Informationen Fachleute zuerst benötigen
Für eine erste Einschätzung sind keine langen technischen Erklärungen erforderlich. Hilfreich sind Zeitpunkt der Entdeckung, sichtbare Symptome, betroffene Geräte und Konten sowie bereits vorgenommene Maßnahmen. Zusätzlich sollte angegeben werden, ob der Computer noch eingeschaltet ist, ob er vom Netzwerk getrennt wurde und ob wichtige Daten oder Dienste betroffen sind. Fotos und das bisherige Einsatzprotokoll können die Lage verständlicher machen.
Der betroffene Computer sollte nicht per Post improvisiert verschickt werden
Ein Datenträger oder komplettes Gerät kann während des Transports beschädigt, verwechselt oder unbefugt geöffnet werden. Vor der Übergabe müssen Transportweg, Verpackung, Kennzeichnung und verantwortliche Personen geklärt sein. Bei eingeschalteten Systemen ist ohnehin eine Vor-Ort- oder Fernentscheidung erforderlich, bevor flüchtige Informationen verloren gehen. Eine unangekündigte Einsendung erschwert eine geordnete Beweiskette.
Der Vorfall endet nicht mit der letzten Schadsoftwaredatei
Nach der technischen Bereinigung müssen Ursachen und Folgen ausgewertet werden. Dazu gehören fehlende Updates, schwache Kennwörter, unzureichende Protokollierung, falsche Berechtigungen und nicht getestete Backups. Microsoft empfiehlt, gewonnene Erkenntnisse in bessere Sicherheitskontrollen, Protokollierung und künftige Reaktionsabläufe zu überführen. Indicators of Compromise und erkannte Schwachstellen sollten dokumentiert werden, damit ähnliche Angriffe schneller entdeckt werden.
Gute Protokollierung beginnt vor dem Angriff
Viele wichtige Spuren existieren nur, wenn die entsprechenden Protokolle bereits aktiviert und ausreichend lange gespeichert wurden. Nachträglich lässt sich nicht rekonstruieren, was nie aufgezeichnet wurde. Unternehmen sollten deshalb festlegen, welche Ereignisse auf PCs, Servern, Benutzerkonten, Firewalls und Cloudsystemen protokolliert werden. Eine zentrale Speicherung verhindert, dass ein Angreifer durch das Löschen lokaler Logs sämtliche Hinweise beseitigt. CISA hebt die Bedeutung von Protokollen für die Erkennung unbefugter Zugriffe und die Reaktion auf Sicherheitsvorfälle hervor.
Ein vorbereiteter Notfallplan verhindert hektische Fehlentscheidungen
Bereits vor einem Vorfall sollte bekannt sein, wer die technische Leitung übernimmt, welche Systeme besonders kritisch sind und welche externen Ansprechpartner erreichbar sind. Der Plan legt außerdem fest, wie Geräte isoliert, Protokolle gesichert und Entscheidungen dokumentiert werden. Microsoft bezeichnet einen abgestimmten Incident-Response-Plan als ersten grundlegenden Schritt für eine wirksame Reaktion. Er sollte nicht nur geschrieben, sondern regelmäßig an realistischen Szenarien getestet werden.
Für Privatnutzer genügt eine einfache Grundregel
Wer privat einen möglichen Angriff bemerkt, sollte zunächst Ruhe bewahren, den sichtbaren Zustand dokumentieren und bei aktiver Gefahr die Netzwerkverbindung unterbrechen. Anschließend wird auf einem sauberen Gerät Unterstützung gesucht und der Zugang zu besonders wichtigen Konten abgesichert. Auf dem betroffenen Computer sollten keine Cleaner, Optimierer oder unbekannten Analyseprogramme installiert werden. Sind finanzielle Daten, persönliche Dokumente oder fremde Informationen betroffen, ist eine fachkundige Untersuchung sinnvoller als ein sofortiges Zurücksetzen.
Jede eigene Handlung hinterlässt neue Spuren
Ein Computer bleibt nach der Entdeckung eines Angriffs nicht in einem unveränderten Zustand. Bereits das Öffnen eines Ordners, der Start eines Programms oder ein Neustart verändert Daten. Vollständige Spurenneutralität ist in der Praxis kaum möglich. Entscheidend ist deshalb, Änderungen auf das notwendige Maß zu begrenzen und nachvollziehbar zu dokumentieren. Eine gute Beweissicherung behauptet nicht, dass nichts verändert wurde. Sie zeigt transparent, was wann und durch wen verändert wurde.
Digitale Spuren ergeben erst gemeinsam ein belastbares Bild
Keine einzelne Datei und kein einzelner Protokolleintrag erklärt einen komplexen Angriff vollständig. Aussagekräftig wird die Untersuchung, wenn Ereignisprotokolle, Dateisystem, Arbeitsspeicher, E-Mails, Browserdaten, Kontoinformationen und Netzwerkaufzeichnungen zeitlich zusammengeführt werden. Dadurch lässt sich aus vielen unscheinbaren Einzelspuren eine nachvollziehbare Abfolge entwickeln. Genau deshalb sollte nach einem Angriff nicht möglichst schnell alles Verdächtige verschwinden. Die wichtigste Grundlage für eine spätere Aufklärung ist ein kontrollierter Umgang mit dem Zustand, den der Angreifer hinterlassen hat.
