Spuren sichern nach einem Angriff

Was IT-Forensik leistet

Das BSI beschreibt IT-Forensik in seinem Leitfaden IT-Forensik als streng methodisch vorgenommene Datenanalyse zur Aufklärung von Vorfällen. Ziel ist, Ablauf, Umfang und Ursache eines Angriffs nachvollziehbar zu rekonstruieren. Ergebnisse dienen der Bereinigung, der Bewertung von Meldepflichten, der Regulierung durch die Versicherung und gegebenenfalls einem Strafverfahren.

Im IT-Grundschutz-Kompendium sind die vorbereitenden Maßnahmen im Baustein DER.2.2 Vorsorge für die IT-Forensik beschrieben. Der Baustein DER.2.1 Behandlung von Sicherheitsvorfällen verweist für forensische Untersuchungen ausdrücklich darauf.

Zielkonflikt: schnell wieder arbeiten oder Spuren sichern

Jeder Betrieb will nach einem Angriff schnell wieder arbeiten. Eine vorschnelle Neuinstallation vernichtet aber Spuren und lässt das Einfallstor oft unentdeckt. Die Entscheidung, wie viel Forensik nötig ist, trifft die Leitung, beraten von Fachleuten. Kriterien sind unter anderem: Sind personenbezogene Daten möglicherweise abgeflossen? Ist eine Strafanzeige geplant? Verlangt die Versicherung eine Untersuchung? Ist das Einfallstor bekannt?

Erste Schritte zur Beweissicherung

Die technische Checkliste des BSI für Unternehmen enthält dazu klare Hinweise:

Nicht herunterfahren

Wenn eine technische Analyse geplant ist, das Gerät nicht herunterfahren. Im Arbeitsspeicher liegen flüchtige Spuren wie laufende Prozesse, Netzwerkverbindungen und teils Schlüsselmaterial, die beim Ausschalten verloren gehen. Stattdessen vom Netz trennen.

Forensische Sicherung vor Bereinigung

Bei beabsichtigter Strafverfolgung eine forensische Sicherung einschließlich eines Speicherabbilds erstellen. Virenschutzprogramme erst danach einsetzen, da sie Spuren verändern können.

Protokolle sichern

Protokolle von Firewall, Servern, Verzeichnisdienst, VPN, E-Mail- und Cloud-Diensten exportieren und an einem sicheren Ort ablegen. Viele Cloud-Dienste bewahren Protokolle nur begrenzte Zeit auf. Angreifer können ungeschützte Protokolle manipulieren oder löschen.

Monitoring nach dem Vorfall

Das BSI empfiehlt, Netzwerk-Monitoring und Protokollierung einzurichten, falls noch nicht vorhanden, um andauernde Angriffe oder Datenabflüsse zu erkennen, nach Abstimmung mit dem Datenschutzbeauftragten und gegebenenfalls dem Betriebsrat.

Dokumentation und Beweiskette

Damit Ergebnisse belastbar sind, muss nachvollziehbar sein, wer wann welche Daten gesichert, übergeben und untersucht hat. Praktisch heißt das:

• Ein fortlaufendes Protokoll mit Uhrzeit, Handlung, Person und Ergebnis.
• Sicherungen werden unverändert aufbewahrt, untersucht wird an Kopien.
• Prüfsummen (Hashwerte) dokumentieren, dass Kopien dem Original entsprechen.
• Übergaben von Datenträgern werden schriftlich festgehalten.
• Zeitangaben mit Zeitzone, und es wird notiert, ob Systemuhren abweichen.

Was Laien vermeiden sollten

• Eigene Untersuchungen auf dem betroffenen System, etwa Dateien öffnen, Programme installieren oder Ordner durchsuchen. Jede Aktion verändert Zeitstempel und Spuren.
• Anmeldung mit Administratorkonten auf befallenen Systemen, da Zugangsdaten abgegriffen werden können.
• Kontakt mit den Angreifern ohne fachliche Begleitung.
• Löschen von verdächtigen E-Mails oder Dateien, bevor sie gesichert sind.

Vorsorge für die IT-Forensik

Was vor dem Vorfall nicht vorhanden ist, kann danach nicht ausgewertet werden. Für kleine Betriebe sinnvoll:

• Protokollierung aktivieren an Firewall, Servern, Verzeichnisdienst und Cloud-Diensten, mit ausreichender Aufbewahrung und Speicherung außerhalb der betroffenen Systeme.
• Einheitliche Zeit auf allen Systemen über einen Zeitserver, damit sich Ereignisse zuordnen lassen.
• Netzplan und IT-Inventar aktuell halten. Forensiker brauchen sie als Erstes.
• Kontakt zu einem Forensik-Dienstleister vorab klären, gegebenenfalls über die Cyber-Versicherung. Das BSI veröffentlicht für größere Organisationen Listen qualifizierter Dienstleister für die Reaktion auf APT-Angriffe.
• Datenschutz und Mitbestimmung vorab regeln, damit im Ernstfall Protokolle ausgewertet werden dürfen.

Was ein Forensik-Dienstleister von Ihnen braucht

Je besser Sie vorbereitet sind, desto schneller und günstiger wird die Untersuchung. Halten Sie bereit:

• eine kurze Zeitleiste: erste Auffälligkeit, Meldung, bisherige Maßnahmen,
• einen Netzplan und das IT-Inventar mit Servern, Arbeitsplätzen, Cloud-Diensten und Fernzugängen,
• Zugangsdaten zu Firewall, Verwaltungsoberflächen und Protokollen, auf einem sicheren Weg übergeben,
• Ansprechpersonen beim IT-Dienstleister und bei Software-Anbietern,
• Informationen zur Datensicherung: wo, wie oft, seit wann.

Umfang angemessen wählen

Nicht jeder Vorfall braucht eine vollständige forensische Untersuchung. Ein einzelner Phishing-Klick ohne Auffälligkeiten lässt sich oft mit der Auswertung von Protokollen und einer Prüfung des Geräts klären. Bei Ransomware, Verdacht auf Datenabfluss, kompromittierten Administratorkonten oder einer geplanten Strafanzeige ist eine professionelle Untersuchung dagegen meist unverzichtbar. Legen Sie gemeinsam mit dem Dienstleister fest, welche Fragen beantwortet werden sollen, etwa Einfallstor, betroffene Systeme und abgeflossene Daten. Das begrenzt Aufwand und Kosten.

Polizei und Strafanzeige

Für Strafanzeigen sind die Zentralen Ansprechstellen Cybercrime der Polizeien zuständig. Sie beraten auch dazu, welche Spuren für die Ermittlungen wichtig sind. Eine Anzeige schließt eine eigene forensische Untersuchung durch einen Dienstleister nicht aus. Stimmen Sie das Vorgehen ab, damit Sicherungen nicht doppelt angefertigt oder Spuren durch parallele Arbeiten verändert werden. Bewahren Sie die gesicherten Daten und das Protokoll auf, bis Ermittlungen, Versicherungsregulierung und gegebenenfalls Auseinandersetzungen mit Dritten abgeschlossen sind. Klären Sie mit der Datenschutzbeauftragten, wie lange und wo diese Daten gespeichert werden dürfen.