Wer merkt es, wenn es passiert – und wer handelt in der ersten Stunde?

Klarheit über den Leistungsumfang ist bei diesem Thema wichtiger als anderswo, weil im Ernstfall keine Zeit für Klärung bleibt. Wir betreiben für Sie eine technische Überwachung sicherheitsrelevanter Ereignisse, nehmen Alarme entgegen, bewerten sie, leiten die Erstreaktion ein und begleiten Eindämmung, Wiederherstellung und Nachbereitung.

Was wir nicht sind: ein rund um die Uhr besetztes Security Operations Center mit eigenem Schichtbetrieb aus spezialisierten Analysten. Solche Einheiten arbeiten mit mehreren Dutzend Personen, eigenen Threat-Intelligence-Quellen und einer Analysetiefe, die sich für ein Unternehmen mit 50 Arbeitsplätzen weder wirtschaftlich darstellen noch anteilig sinnvoll nachbilden lässt.

Was daraus in der Praxis folgt: Automatisierte Erkennung und Alarmierung laufen durchgehend. Die menschliche Bearbeitung erfolgt zu vereinbarten Zeiten, außerhalb davon über eine Rufbereitschaft, sofern vertraglich vereinbart. Diese Abgrenzung schreiben wir in den Vertrag, statt sie im Marketing verschwimmen zu lassen.

Erkennung beginnt mit Daten. Wir führen sicherheitsrelevante Protokolle zentral zusammen: Firewall-Ereignisse, Anmeldungen am Verzeichnisdienst und in Entra ID, Server-Systemprotokolle, Postfachzugriffe, VPN-Einwahlen und die Telemetrie der EDR-Lösung auf den Endgeräten.

Auf dieser Grundlage definieren wir Anwendungsfälle, also konkrete Muster, die einen Alarm auslösen sollen. Typisch sind Anmeldungen aus unplausiblen Regionen, eine Häufung fehlgeschlagener Anmeldungen, neu angelegte Konten mit erhöhten Rechten, Änderungen an Postfachregeln, Massenlöschungen oder Massenverschlüsselung von Dateien und die Deaktivierung von Schutzsoftware.

Der schwierigste Teil ist nicht das Sammeln, sondern das Reduzieren von Fehlalarmen. Ein System, das täglich vierzig Meldungen erzeugt, wird nach zwei Wochen ignoriert. Wir justieren die Regeln deshalb in den ersten Monaten laufend nach und dokumentieren jede Ausnahme mit Begründung.

Ein Alarm ohne definierten Empfänger ist wertlos. Deshalb legen wir vorab fest, welche Ereignisklassen es gibt, wer bei jeder Klasse informiert wird, in welcher Reihenfolge und über welchen Kanal – insbesondere für den Fall, dass E-Mail und Telefonie selbst betroffen sind.

Ebenso wichtig sind Entscheidungsbefugnisse. Darf ein Serversystem ohne Rückfrage vom Netz genommen werden, wenn es Anzeichen einer aktiven Verschlüsselung gibt? Wer entscheidet über das Abschalten des Internetzugangs? Wer informiert Kunden, Versicherung und gegebenenfalls Aufsichtsbehörden? Wir empfehlen ausdrücklich, diese Vollmachten im Voraus schriftlich zu erteilen, weil das Zögern in der ersten Stunde der teuerste Teil vieler Vorfälle ist.

Die vereinbarten Ketten testen wir mindestens jährlich in einer Übung am Tisch: ein realistisches Szenario, durchgesprochen mit den beteiligten Personen. Fast immer treten dabei praktische Lücken zutage, etwa fehlende private Rufnummern oder eine Notfallliste, die ausschließlich auf dem verschlüsselten Dateiserver liegt.

Wenn ein Vorfall bestätigt ist, folgen wir einem festen Ablauf. Zuerst Eindämmung: betroffene Systeme netzseitig isolieren statt vorschnell abzuschalten, kompromittierte Konten sperren, laufende Sitzungen beenden, Verbindungen nach außen unterbrechen.

Parallel sichern wir Spuren. Flüchtige Daten wie Arbeitsspeicherinhalte und aktive Netzwerkverbindungen gehen beim Ausschalten verloren, und Protokolle werden überschrieben. Wir sichern deshalb Systemabbilder und Protokolldaten in einem Umfang, der eine spätere Auswertung ermöglicht – auch dann, wenn diese Auswertung anschließend von spezialisierten Forensikern vorgenommen wird.

Erst danach beginnt die Wiederherstellung. Sie erfolgt kontrolliert aus geprüften Sicherungen, in einem bereinigten Netzsegment und mit erneuerten Zugangsdaten. Systeme, deren Kompromittierung nicht sicher ausgeschlossen werden kann, werden neu aufgesetzt statt bereinigt – eine unbequeme, aber notwendige Regel.

Rund um Vorfallbehandlung begegnet Ihnen der Begriff des qualifizierten APT-Response-Dienstleisters. Das Bundesamt für Sicherheit in der Informationstechnik führt ein Verfahren, in dem Dienstleister ihre Eignung für die Behandlung fortgeschrittener, zielgerichteter Angriffe – Advanced Persistent Threats – nachweisen. Geprüft werden unter anderem forensische Kompetenz, Verfahren, Personalqualifikation und Reaktionsfähigkeit. Wer das Verfahren durchlaufen hat, erscheint in einer öffentlich einsehbaren Liste des BSI.

Wir sagen dazu klar: DESATIV ist kein vom BSI zertifizierter oder gelisteter APT-Response-Dienstleister und tritt nicht als solcher auf. Unsere Leistung liegt in Monitoring, Erstreaktion, Eindämmung, Wiederherstellung und Nachbereitung im Rahmen der laufenden IT-Betreuung.

Einen zertifizierten Spezialisten brauchen Sie insbesondere dann, wenn Anzeichen für einen gezielten, länger andauernden Angriff bestehen, wenn Betreiber kritischer Infrastrukturen oder regulierte Unternehmen betroffen sind, wenn behördliche Meldepflichten oder Versicherungsauflagen eine qualifizierte forensische Untersuchung verlangen oder wenn gerichtsverwertbare Beweissicherung erforderlich ist. In solchen Fällen übergeben wir strukturiert an entsprechend qualifizierte Spezialisten und arbeiten ihnen zu: mit gesicherten Protokolldaten, Systemabbildern, einer vollständigen Umgebungsdokumentation und dem Einsatzprotokoll der ersten Stunden. Diese Zuarbeit verkürzt die Analyse erheblich und senkt deren Kosten spürbar.

Nach der Wiederherstellung folgt der Teil, der am häufigsten ausfällt: die Aufarbeitung. Wir dokumentieren den Ablauf, benennen den wahrscheinlichen Einstiegsweg, listen die getroffenen Maßnahmen und leiten daraus einen Plan mit Fristen ab.

Zur Vorbereitung gehören auch Meldewege. Je nach Sachlage können Meldepflichten gegenüber der Datenschutzaufsicht, gegenüber Kunden aufgrund vertraglicher Zusagen oder – bei Betroffenheit von NIS2 – gegenüber der zuständigen Stelle bestehen. Die rechtliche Bewertung, ob und wann gemeldet werden muss, gehört zu Ihrem Datenschutzbeauftragten oder Ihrer Rechtsberatung. Wir stellen die technische Grundlage bereit: Zeitachse, betroffene Systeme, Art der Daten, Erkenntnisstand.

Für Versicherungen und Auditoren nach ISO 27001 oder BSI-Grundschutz liefern wir die technischen Nachweise über die Reaktion und die anschließend umgesetzten Maßnahmen.

Der Unterschied zwischen einem Vorfall mit zwei Tagen Stillstand und einem mit drei Wochen liegt selten in der Erkennungstechnik. Er liegt darin, ob getrennte Sicherungen existieren, ob jemand die Wiederherstellung schon einmal geübt hat und ob im entscheidenden Moment klar ist, wer entscheidet.

Wir arbeiten deshalb vor jedem Monitoring-Aufbau die Grundlagen ab: unveränderliche Sicherungen mit Kopie außer Haus, getestete Wiederherstellung mit gemessener Dauer, Mehr-Faktor-Authentifizierung auf allen Zugängen, getrennte Administrationskonten und ein Netz, das segmentiert genug ist, um eine Ausbreitung zu bremsen.

Erst wenn diese Basis steht, bringt Sicherheitsmonitoring seinen vollen Nutzen. Ohne sie erzeugt es vor allem gute Dokumentation eines Schadens, den man nicht mehr begrenzen kann.