cybercrime-forensik.de

Notfall · Rufbereitschaft 24/7

Cybervorfall? Spuren sichern, bevor sie verschwinden.

Bei Erpressungssoftware, Einbruch in Server oder Datenabfluss entscheiden die ersten Stunden darüber, ob sich ein Angriff später aufklären und beweisen lässt. Erstzugriff, forensische Beweissicherung und Lagebewertung – rund um die Uhr.

Anrufen: +49 177 3702583 WhatsApp E-Mail

Vertrauliche Einzelheiten zum Vorfall bitte telefonisch, nicht per WhatsApp.

Sofortmaßnahmen

Die ersten Stunden

Was jetzt hilft und was Spuren zerstört. Im Zweifel gilt: lieber einmal anrufen als einmal zu viel klicken.

Das ist jetzt richtig

  • Betroffene Systeme vom Netz trennen (Netzwerkkabel ziehen, WLAN abschalten), aber eingeschaltet lassen: Der Arbeitsspeicher enthält flüchtige Spuren.
  • Uhrzeit, Beobachtungen und Bildschirmmeldungen festhalten und fotografieren, etwa eine Lösegeldforderung.
  • Protokolle von Firewall, VPN, Mailserver und Verzeichnisdienst sichern lassen, bevor sie überschrieben werden.
  • Zugangsdaten von einem sauberen Gerät aus ändern, administrative Konten zuerst.
  • Geschäftsleitung, Datenschutz, IT-Dienstleister und Versicherer informieren.

Das zerstört Spuren

  • Kein Neustart, kein Herunterfahren, keine Neuinstallation vor der Sicherung. Läuft eine Verschlüsselung sichtbar noch, telefonisch abstimmen, ob das System sofort stromlos gemacht wird.
  • Keine Bereinigung mit Virenschutzprogrammen auf den betroffenen Systemen – sie verändert Spuren.
  • Keine Dateien öffnen, verschieben oder löschen; Sicherungen nicht mit befallenen Systemen verbinden.
  • Nicht über ein möglicherweise kompromittiertes Postfach kommunizieren; nicht ohne Beratung mit Angreifenden verhandeln oder zahlen.

Vorgehen

So läuft der Erstzugriff ab

Vom ersten Anruf bis zum belastbaren Befund – jeder Schritt wird so dokumentiert, dass er vor Gericht, gegenüber Behörden und Versicherern trägt.

  1. Anruf und LagebildWas ist geschehen, welche Systeme sind betroffen, welche Fristen laufen? Erste Anweisungen erfolgen bereits am Telefon.
  2. BeweissicherungArbeitsspeicher, Datenträger und Protokolle werden vor Ort oder aus der Ferne gesichert – mit Hashwerten und lückenloser Beweiskette nach ISO/IEC 27037.
  3. Analyse und EindämmungAngriffsweg, betroffene Konten und Daten, Hintertüren der Angreifenden; Empfehlungen zur Eindämmung und zum sicheren Wiederanlauf.
  4. Bericht und GutachtenBefundbericht für Versicherung, Behörden und Strafanzeige; bei Bedarf ein Gutachten über das Sachverständigenbüro 1-sec.de.

Fristen

Meldepflichten und Anzeige

Mehrere Fristen beginnen mit der Kenntnis des Vorfalls. Die Übersicht dient der Orientierung und ersetzt keine Rechtsberatung.

  • Datenschutz: 72 StundenEine Verletzung des Schutzes personenbezogener Daten ist der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu melden (Art. 33 DSGVO); bei hohem Risiko sind auch die Betroffenen zu benachrichtigen (Art. 34 DSGVO).
  • NIS-2: 24 Stunden, 72 Stunden, ein MonatWichtige und besonders wichtige Einrichtungen geben binnen 24 Stunden eine frühe Erstmeldung ab, binnen 72 Stunden eine Meldung mit erster Bewertung und nach einem Monat einen Abschlussbericht (Art. 23 NIS-2-Richtlinie); in Deutschland an das BSI.
  • StrafanzeigeFür Unternehmen und Behörden sind die Zentralen Ansprechstellen Cybercrime (ZAC) der Polizei zuständig, in Bayern beim Bayerischen Landeskriminalamt. Gesicherte Spuren erleichtern die Ermittlungen erheblich.
  • VersicherungCyberversicherungen verlangen in der Regel eine unverzügliche Meldung und nachvollziehbare Belege zum Schadenshergang.

Fachgebiete

Worauf sich die Untersuchung stützt

Schwerpunkte sind Netzwerke und Linux-Server – dort, wo Angriffe auf Unternehmen meist beginnen und ihre deutlichsten Spuren hinterlassen.

Netzwerkforensik

Auswertung von Netzmitschnitten sowie Fluss-, Firewall-, VPN- und DNS-Protokollen; Rekonstruktion von Angriffswegen und Datenabfluss.

Linux-Serverforensik

Untersuchung von Systemprotokollen, Prozessspuren, Arbeitsspeicherabbildern und Kernel-Modulen; Rekonstruktion administrativer Tätigkeiten.

Skript- und Schadcodeanalyse

Rückübersetzung und Analyse von Python- und Shell-Skripten; Indikatoren für die eigene Erkennung.

Beweiskette und Gutachten

Sicherung nach ISO/IEC 27037 mit Hashwerten und lückenloser Beweiskette; Gutachten für Gericht, Versicherung und Behörden über 1-sec.de.

Sachverständiger

Wer hilft

Ing. Florian Weijers, Sachverständigenbüro in Leinach bei Würzburg

  • Zertifizierter Sachverständiger für Informationstechnologie, Cybersicherheit und IT-Forensik (DGuSV, Nr. 9348, nach DIN EN ISO/IEC 17024)
  • Master of Engineering (M.Eng.) IT-Sicherheit und Forensik, Hochschule Wismar
  • Zertifizierter Datenschutzbeauftragter · BSI-Grundschutz-Praktiker · IT-Kriminalist
  • In der Aufklärung von Cyberkriminalität seit 2005, in der forensischen Informatik seit 2017
  • Mehr als 300 Gutachten und über 1 000 forensische Untersuchungen, überwiegend vertraulich
  • Mitglied im DGuSV, in der GAPE und im VDI; Teilnehmer der Allianz für Cybersicherheit

Fragen

Häufige Fragen im Notfall

Soll ich den betroffenen Rechner ausschalten?

In der Regel nicht. Trennen Sie das System vom Netz, lassen Sie es aber eingeschaltet, damit flüchtige Spuren im Arbeitsspeicher erhalten bleiben. Läuft eine Verschlüsselung sichtbar noch, stimmen Sie das Vorgehen telefonisch ab.

Muss ich den Vorfall melden?

Sind personenbezogene Daten betroffen, ist der Vorfall nach der DSGVO unverzüglich und möglichst binnen 72 Stunden zu melden. Einrichtungen im Anwendungsbereich von NIS-2 haben zusätzlich Meldepflichten gegenüber dem BSI. Die Fristen beginnen mit Kenntnis des Vorfalls.

Wie schnell ist Hilfe erreichbar?

Die Mobilnummer ist rund um die Uhr erreichbar; erste Anweisungen gibt es sofort am Telefon. Sicherungen aus der Ferne sind bundesweit möglich, Einsätze vor Ort nach Absprache, vorrangig in Bayern und Baden-Württemberg.

Wer trägt die Kosten?

Nach der telefonischen Erstberatung folgt ein Kostenvoranschlag. Viele Cyberversicherungen übernehmen die Kosten forensischer Untersuchungen; der Befundbericht ist auf ihre Anforderungen ausgerichtet.

Kontakt

Rund um die Uhr erreichbar

Im Notfall bitte anrufen. Planbare Aufträge – Gutachten, Schulungen, Beratung – nimmt das Sachverständigenbüro über 1-sec.de entgegen.

Mobil 24/7+49 177 3702583
WhatsApp+49 15679 618671
E-Mailweijers@1-sec.de
AnschriftElisabethenstraße 24, 97274 Leinach

Vertrauliche Sachverhalte, Angaben zu laufenden Verfahren und Beweisdaten bitte nicht per WhatsApp übermitteln (Hinweis).

Notfall 24/7 anrufen