Français
Nederlands
EnglishIncident Response bei Cybervorfällen
Ransomware, Einbruch, gehacktes Postfach oder Datenleck: Wir helfen Ihnen, den Angriff einzudämmen, ohne Spuren zu vernichten, den Ablauf festzustellen und Ihre Meldefristen einzuhalten. Als Gerichtssachverständiger für Informatik und nach ISO/IEC 27001 zertifiziertes Unternehmen untersuchen wir mit einer Methode, die gegenüber dem Versicherer ebenso standhält wie vor Gericht.
Wann Sie uns anrufen sollten
- Ransomware: verschlüsselte Dateien, stillstehende Server, eine Lösegeldforderung oder die Drohung, Ihre Daten zu veröffentlichen.
- Gehacktes Postfach: unbekannte Weiterleitungsregeln, ohne Ihr Wissen versendete E-Mails, eine Rechnung mit falscher IBAN bei einem Kunden.
- Ein Einbruch, gemeldet von Ihrem Virenschutz, Ihrem IT-Dienstleister, einem Partner oder einer Behörde.
- Abfluss oder Diebstahl von Daten, Erpressung mit Veröffentlichung.
- Auffällige Aktivitäten: ohne Erklärung angelegte Konten oder geänderte Rechte, Anmeldungen aus dem Ausland.
Was wir übernehmen
Sofortmaßnahmen und Eindämmung
Wir leiten Sie an, die betroffenen Systeme zu isolieren und dem Angreifer den Zugang zu entziehen, ohne Spuren zu vernichten, die für die Untersuchung und den Versicherer benötigt werden.
Forensische Untersuchung
Einfallstor, verwendete Konten, zeitlicher Ablauf, betroffene Systeme und Daten: Der Sachverhalt wird anhand von Protokollen, Arbeitsplätzen und Servern festgestellt.
Meldungen
Belastbare Fakten für die Frühwarnung an das CCB, wenn Sie unter NIS2 fallen, für die Meldung an die Datenschutzbehörde bei betroffenen personenbezogenen Daten, für die Strafanzeige und die Schadensmeldung.
Krisenkoordination
Ein Ansprechpartner für Geschäftsleitung, IT-Dienstleister, Versicherer und Anwalt, mit regelmäßigen Lagebesprechungen und dokumentierten Entscheidungen.
Sichere Wiederinbetriebnahme
Vor dem erneuten Verbinden prüfen wir mit Ihren Teams, ob der Zugang des Angreifers geschlossen ist: Konten, Passwörter, Persistenz und Patches.
Bericht und Lehren
Ein Bericht, der für die Vorlage beim Versicherer oder vor Gericht erstellt wird, und priorisierte Maßnahmen, damit sich der Vorfall nicht wiederholt.
Wie ein Einsatz abläuft
Die ersten Stunden zählen: Was in diesem Moment getan oder gelöscht wird, bestimmt den weiteren Verlauf der Untersuchung und der Wiederherstellung.
Erster Anruf
Sie schildern die Lage. Wir sagen Ihnen sofort, was zu tun und was zu unterlassen ist, und danach, in welchem Rahmen der Einsatz erfolgt.
Eindämmung und Sicherung
Isolierung der betroffenen Systeme, Sicherung der Protokolle und Kopie der relevanten Spuren, mit Prüfsummen (Hash) und Nachvollziehbarkeit.
Untersuchung
Analyse der Spuren, um Einfallstor, Ausmaß des Angriffs und betroffene Daten festzustellen, parallel zur Wiederherstellung.
Abschluss
Bericht, Unterstützung bei den Abschlussberichten an die Behörden und ein von der Geschäftsleitung genehmigter Maßnahmenplan.
Häufige Fragen
Was ist in der ersten Stunde zu tun?
Trennen Sie die betroffenen Geräte vom Netzwerk (Kabel ziehen, WLAN ausschalten) und schalten Sie sie nach Möglichkeit nicht aus, bevor Sie sich haben beraten lassen. Löschen Sie nichts, installieren Sie nichts neu und antworten Sie dem Angreifer nicht. Bringen Sie Ihre Datensicherungen in Sicherheit, ändern Sie die Passwörter der betroffenen Konten von einem sauberen Gerät aus, notieren Sie Uhrzeit und Beobachtungen und rufen Sie uns an.
Sollte man das Lösegeld zahlen?
Die Polizei rät davon ab: Eine Zahlung garantiert weder die Wiederherstellung der Daten noch, dass sie nicht veröffentlicht werden, und sie finanziert kriminelle Aktivitäten. Die Entscheidung liegt bei Ihrer Geschäftsleitung, gemeinsam mit Versicherer und Anwalt; wir liefern die relevanten Fakten, etwa zum Zustand Ihrer Datensicherungen und zum Umfang der abgeflossenen Daten.
Wer muss informiert werden, und in welcher Frist?
Bei einem erheblichen Sicherheitsvorfall muss eine NIS2-Einrichtung dem CCB innerhalb von 24 Stunden eine Frühwarnung, innerhalb von 72 Stunden eine Meldung und innerhalb eines Monats einen Abschlussbericht übermitteln. Sind personenbezogene Daten betroffen, ist die Datenschutzbehörde grundsätzlich innerhalb von 72 Stunden zu benachrichtigen. Finanzunternehmen folgen den Fristen von DORA. Informieren Sie auch Ihren Versicherer und erstatten Sie Anzeige bei der Polizei.
Arbeiten Sie mit unserem IT-Dienstleister und unserem Versicherer zusammen?
Ja. Ihr Dienstleister kennt Ihre Systeme und übernimmt oft die Wiederherstellung; wir führen die Untersuchung und stimmen uns mit ihm ab. Wenn Sie eine Cyberversicherung haben, informieren Sie diese von Anfang an: Manche Policen schreiben eigene Dienstleister oder eine vorherige Zustimmung vor.
Was kostet ein Einsatz?
Rahmen und Budget werden zu Beginn des Einsatzes schriftlich bestätigt. Mit einem Retainer sind diese Bedingungen im Voraus festgelegt.