Incident Response

Wenn es passiert ist. Incident Response ist ein methodischer Prozess zur Bewältigung von Sicherheitsvorfällen: von der Erkennung über die Eindämmung bis zur Wiederherstellung und Analyse. Wir helfen Ihnen, den Vorfall zu kontrollieren, den Schaden zu begrenzen und die Kontrolle über Ihre Umgebung zurückzugewinnen.

Akuter Vorfall? +49 162 867 57 72 help@mint-secure.de

Incident
Response

Emergency Team

Einsatzform

Remote oder vor Ort

Phasen

Ziel

Kontrolle zurückgewinnen

Im Blick

Meldefristen & Beweissicherung

Was Sie jetzt tun sollten

Falls Sie mitten in einem Vorfall auf dieser Seite gelandet sind: Diese Punkte helfen, bevor jemand von uns dazukommt. Sie kosten nichts und verhindern die Fehler, die später am meisten wehtun.

Betroffene Systeme vom Netz nehmen, aber nicht ausschalten. Netzwerkkabel ziehen oder WLAN deaktivieren. Ein Herunterfahren löscht Spuren im Arbeitsspeicher, die für die Analyse entscheidend sind. Ausnahme: Läuft eine Verschlüsselung sichtbar gerade ab, hat das Stoppen Vorrang.
Nichts bereinigen, nichts neu aufsetzen. Der Reflex, das System schnell platt zu machen, ist verständlich und zerstört genau die Information, die zeigt, wie der Angreifer hereinkam und ob er noch drin ist.
Protokolle sichern. Logrotation und kurze Aufbewahrungsfristen löschen Beweise oft schneller, als die Analyse beginnt. Aufbewahrung verlängern und Kopien wegsichern.
Backups prüfen und trennen. Stellen Sie fest, welche Datenstände unversehrt sind, und nehmen Sie sie vom Netz, bevor sie erreicht werden.
Kommunikation über einen sauberen Kanal. Wenn die Mailumgebung betroffen sein könnte, koordinieren Sie nicht darüber. Telefon oder ein separater Messenger sind sicherer.
Zeiten und Beobachtungen notieren. Wer hat wann was gesehen, wer hat wann was verändert. Diese Notizen sind später für Analyse, Versicherung und Meldung wertvoll.
Zugangsdaten koordiniert zurücksetzen. Ein unkoordiniertes Zurücksetzen einzelner Konten warnt den Angreifer, ohne ihn auszusperren.
Nicht eigenständig auf Erpressungsforderungen reagieren. Jede Antwort ist eine Information über Sie. Erst Lage klären, dann entscheiden.

Wann Sie uns rufen sollten

Dateien lassen sich nicht mehr öffnen, es erscheint eine Lösegeldforderung.
Eine Erpressungsmail behauptet einen Datenabfluss und legt eine Stichprobe bei.
Es existieren administrative Konten, die niemand angelegt hat.
In Postfächern liegen Weiterleitungs- oder Verschieberegeln, die niemand eingerichtet hat.
Ein Provider, ein Kunde, eine Behörde oder ein Sicherheitsforscher meldet Ihnen auffälliges Verhalten Ihrer Systeme.
Anmeldungen erfolgen aus Ländern oder zu Zeiten, die nicht zum Betrieb passen.
Ein Konto war kompromittiert und Sie wissen nicht, was in der Zwischenzeit passiert ist.
Der Virenschutz meldet etwas, das kurz danach nicht mehr auffindbar ist.

Im Zweifel gilt: Ein Anruf, der sich als Fehlalarm herausstellt, ist deutlich günstiger als drei Tage Ungewissheit.

Wie ein Einsatz läuft

Erstgespräch und Lagebild

Wir klären, was beobachtet wurde, welche Systeme betroffen sein könnten und was bereits unternohmen wurde. Daraus ergeben sich Sofortmassnahmen und die Frage, ob remote gearbeitet werden kann oder ein Einsatz vor Ort nötig ist.

Eindämmung

Sofortmassnahmen, um die Ausbreitung zu stoppen und Zugänge des Angreifers zu schließen. Ziel ist, Handlungsfähigkeit zurückzugewinnen, ohne dabei die Spuren zu vernichten, die für die Analyse gebraucht werden.

Erkennung und Analyse

Auswertung von Protokollen, Systemen und Artefakten: Wie kam der Angreifer herein, wie lange war er da, was hat er berührt, ist er noch da. Erst diese Antworten machen eine belastbare Bereinigung möglich.

Behebung und Wiederherstellung

Entfernen der Schadsoftware, Schließen der genutzten Schwachstelle, kontrollierte Wiederherstellung aus geprüften Datenständen und Einspielen fehlender Updates. Die Reihenfolge ist entscheidend: Eine Wiederherstellung vor dem Schließen des Einstiegswegs führt zum zweiten Vorfall.

Nachbereitung

Dokumentation des Vorfalls, Bewertung der Ursachen und ein Massnahmenplan, damit derselbe Weg nicht erneut funktioniert. Auf Wunsch begleiten wir die Umsetzung.

Fristen, die mitlaufen

Parallel zur technischen Arbeit läuft die Uhr für mögliche Meldungen. Wir liefern die technischen Feststellungen, die Sie dafür brauchen, und behalten die Fristen im Blick.

Datenschutz: Sind personenbezogene Daten betroffen und besteht ein Risiko für die betroffenen Personen, ist eine Meldung an die Aufsichtsbehörde in der Regel innerhalb von 72 Stunden nach Kenntnisnahme vorgesehen.
NIS2: Für betroffene Einrichtungen greift ein mehrstufiges Verfahren mit einer Frühwarnung, einer ausführlicheren Meldung und einem Abschlussbericht.
Vertragliche Pflichten: Kunden- und Dienstleisterverträge enthalten häufig eigene, teils kürzere Informationspflichten.

Diese Einordnung ist fachlich, nicht rechtlich. Ob und in welcher Form Sie melden müssen, bewerten Ihr Datenschutzbeauftragter und Ihre Rechtsberatung. Wir stellen die Grundlage bereit: was passiert ist, wann, in welchem Umfang und mit welcher Datenbetroffenheit. Unklar ist zu Beginn oft die Frage, ob Daten tatsächlich abgeflossen sind. Genau daran arbeiten wir zuerst, weil davon die Meldung abhängt.

„In der Incident Response zählt jede Sekunde: Wer vorbereitet ist, rettet Werte, Vertrauen und Kontrolle.“

Was Sie daraus mitnehmen

Vorfallsbericht: Ablauf, Ursache, Umfang und Auswirkungen, nachvollziehbar dokumentiert.

Zeitachse: Wann der Zugang bestand, wann er genutzt wurde, wann er geschlossen war.

Kompromittierungsmerkmale: Konkrete Indikatoren, mit denen Sie und Ihre Dienstleister weitere Systeme prüfen können.

Bewertung der Datenbetroffenheit: Grundlage für Meldung und Kommunikation.

Maßnahmen in zwei Stufen: Was sofort nötig ist und was mittelfristig folgen sollte.

Unterlagen für Dritte: Aufbereitete Nachweise für Versicherung, Aufsichtsbehörde oder Auftraggeber.

Vorbereitet in den Ernstfall

Der größte Teil der Zeit im Vorfall geht nicht für Technik verloren, sondern für Organisation: Wer entscheidet, wer darf abschalten, wer informiert die Geschäftsführung, wo liegen die Zugangsdaten für das Backup. Diese Fragen sollten vorher beantwortet sein.

Incident-Response-Plan – Rollen, Entscheidungswege, Eskalationsstufen und Erreichbarkeiten, dokumentiert und auch offline verfügbar.
Schulung – damit Auffälligkeiten früh gemeldet werden und nicht erst, wenn die Verschlüsselung läuft.
Übung am Tisch – ein durchgesprochenes Szenario zeigt Lücken im Plan schneller als jedes Dokument.
Erprobung unter realistischen Bedingungen – wie Ihre Erkennung und Reaktion auf einen echten Verschlüsselungsangriff wirken, prüft die Ransomware Emulation, ohne Schaden anzurichten.