Zuerst Geschäftsfolgen und technische Hinweise verbinden

Welcher Dienst läuft auf dem betroffenen System: ein Shop, die Warenwirtschaft oder eine zentrale Anmeldung? Diese Zuordnung bestimmt, welche Unterbrechung vertretbar ist und welche Ersatzabläufe gebraucht werden. Ein stillgelegter Webserver kann sinnvoll sein; eine unkoordinierte Abschaltung weiterer Systeme kann den Schaden vergrößern.

Für eine erste Einordnung helfen der Zeitpunkt der Beobachtung, konkrete Fehlermeldungen, die Serverrolle und kürzlich vorgenommene Änderungen. Halten Sie fest, was tatsächlich gesehen wurde. Vermutungen wie ‚alle Daten gestohlen‘ gehören getrennt davon in die Untersuchung, nicht als bereits gesicherte Tatsache in die Kommunikation.

Eindämmung mit einem überprüfbaren Plan

Die technische Arbeit umfasst nach vereinbartem Umfang die Prüfung von Konten, laufenden Diensten, Netzwerkverbindungen und erreichbaren Nachbarsystemen. Dabei muss auch die Verwaltungsebene betrachtet werden: Ein kompromittiertes Hostingkonto kann mehrere Server betreffen. Ein einzelner Dateifund grenzt den Vorfall deshalb nicht zuverlässig ein.

Vor einer Bereinigung wird festgelegt, welche Belege erhalten bleiben und welche Schutzmaßnahmen unmittelbar nötig sind. Nachgewiesen manipulierte Systeme können einen Neuaufbau aus vertrauenswürdigen Quellen erfordern. Ein zurückgespieltes Backup ist erst dann hilfreich, wenn dessen Herkunft, Zeitpunkt und Sicherheitszustand geprüft wurden.

Was am Ende nachvollziehbar sein sollte

Ein sinnvoller Abschluss benennt die untersuchten Systeme, die gefundenen Zugangswege, vorgenommene Änderungen und offene Fragen. Hinzu kommen Funktionstests der geschäftskritischen Abläufe. ‚Der Server läuft wieder‘ und ‚der Sicherheitsvorfall ist ausreichend untersucht‘ sind zwei unterschiedliche Ergebnisse.

Für eine Anfrage reichen zunächst Systemart, Auswirkungen und ein erreichbarer Ansprechpartner. Zugangsdaten oder vertrauliche Protokolle gehören erst in einen vereinbarten geschützten Übergabeweg. Der konkrete Arbeitsumfang und die Verfügbarkeit werden vor einem Eingriff abgestimmt.

Ihre Checkliste für den nächsten Schritt

  • Serverrolle und betroffene Geschäftsprozesse notieren.
  • Beobachtungen, Uhrzeiten und bisherige Maßnahmen festhalten.
  • IT-Verantwortlichen und Hostingkontakt zusammenbringen.

Häufige Fragen

Soll ich den Server sofort ausschalten?

Nicht pauschal. Eindämmung, Betriebsfolgen und flüchtige Beweise müssen gemeinsam bewertet werden; eine gezielte Netzisolation kann geeigneter sein.

Reicht ein Virenscan?

Ein Scan ist eine Informationsquelle. Er ersetzt keine Prüfung von Konten, Persistenz, Eintrittsweg und benachbarten Systemen.

Quellen & weiterführende Informationen

BSI: Technische Checkliste bei IT-Sicherheitsvorfällen ↗

Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.