Fachbereich · Cybercrime
Jemand hatte Zugriff auf Ihre Systeme – bemerkt haben Sie es an den Folgen.
Ein Angriff auf IT-Systeme ist selten nur ein technisches Ereignis. Er berührt zugleich die Beweislage, mögliche Melde- und Informationspflichten, die Haftung gegenüber Kunden und Vertragspartnern sowie die Frage, ob gegen Beteiligte oder Dienstleister eigene Ansprüche bestehen. In welcher Reihenfolge diese Punkte bearbeitet werden, entscheidet häufig darüber, was sich später überhaupt noch nachweisen lässt.
Erstkontakt
innerhalb von 24 Stunden
Beweislage
Protokolldaten überschreiben sich schnell
Meldewege
Fristen können sehr kurz sein
Zusammenarbeit
mit Forensik und örtlich zugelassenen Berufsträgern
Soforthilfe
Was in den ersten Stunden zählt
Die folgenden Schritte sind technischer und organisatorischer Natur, nicht rechtlicher. Sie ersetzen keine Prüfung des Einzelfalls, verbessern aber regelmäßig die Ausgangslage – vor allem, weil sie Beweise erhalten, die sonst innerhalb weniger Tage verschwinden.
Betroffene Systeme trennen, nicht abschalten
Nehmen Sie kompromittierte Rechner und Server vom Netz, lassen Sie sie aber eingeschaltet und setzen Sie nichts neu auf. Ein Herunterfahren löscht die flüchtigen Daten im Arbeitsspeicher, die für die spätere Rekonstruktion des Angriffswegs häufig am aussagekräftigsten sind.
Zugangsdaten aus einer sauberen Umgebung zurücksetzen
Setzen Sie Kennwörter und offene Sitzungen zentral zurück, insbesondere für administrative Konten, Fernzugänge und das E-Mail-System – und tun Sie das von einem Gerät aus, das nachweislich nicht betroffen ist. Ein Wechsel innerhalb der kompromittierten Umgebung wird mitgelesen.
Protokolldaten sichern, bevor aufgeräumt wird
Exportieren und sichern Sie die Protokolle von Firewall, Verzeichnisdienst, E-Mail-System und Fernzugängen, dazu Screenshots mit Datum und Uhrzeit sowie den vollständigen Kopfbereich verdächtiger Nachrichten. Viele Systeme überschreiben ihre Protokolle nach wenigen Tagen; danach ist der Ablauf nicht mehr belegbar.
Offene Zahlungsläufe anhalten
Prüfen Sie freigegebene und terminierte Überweisungen sowie Änderungen an hinterlegten Bankverbindungen. Ein kompromittiertes Postfach wird häufig zuerst dafür genutzt, Zahlungen umzuleiten – der finanzielle Schaden entsteht dann getrennt vom technischen und wird später bemerkt.
Auf eine Lösegeldforderung nicht ungeprüft reagieren
Eine Zahlung an unbekannte Empfänger kann eigene rechtliche Risiken auslösen, etwa im sanktions- und geldwäscherechtlichen Zusammenhang, und sie sichert weder die Entschlüsselung noch die Löschung kopierter Daten. Sichern Sie das Erpresserschreiben, antworten Sie nicht spontan und lassen Sie den Vorgang prüfen.
Melde- und Informationswege sofort klären
Ob eine Meldung an eine Aufsichtsbehörde, eine Benachrichtigung betroffener Personen, eine Strafanzeige und eine Schadenmeldung beim Versicherer erforderlich sind, hängt vom Sachverhalt ab. Die hierfür geltenden Fristen können sehr kurz sein und sollten deshalb sofort geklärt werden, nicht erst nach Abschluss der technischen Aufarbeitung.
Assistance WhatsApp 24/7 – nous sommes toujours à votre écoute
SCHWEIZ
+41 41 555 0123
UNITED KINGDOM
+44 7462 164044
NIEDERLANDE
+31 970 102 51606
DEUTSCHLAND
+49 69 94321274
FRANKREICH
+33 3 72 88 20 00
ESTLAND
+372 6 288 2000
Überblick
Was bei einem Angriff auf Unternehmenssysteme geschieht
Unter Cybercrime fallen im hier gemeinten Sinn sehr unterschiedliche Vorgänge: der unbefugte Zugriff auf Konten und Netzwerke, das Ausleiten von Kunden-, Personal- oder Konstruktionsdaten, die Verschlüsselung ganzer Systeme verbunden mit einer Lösegeldforderung und die stille Manipulation von Zahlungsläufen. Der Zugang wird dabei nur selten technisch erzwungen. Häufiger stammt er aus zuvor abgegriffenen Zugangsdaten, aus einem nicht aktualisierten System, das aus dem Internet erreichbar war, oder aus dem Netz eines Dienstleisters, der seinerseits kompromittiert wurde.
Zwischen dem Eindringen und dem Zeitpunkt, an dem es jemandem auffällt, liegen in der Praxis oft Wochen. Diese Zeit wird genutzt, um die Umgebung auszukundschaften, weitere Berechtigungen zu erlangen und Sicherungen unbrauchbar zu machen, bevor der sichtbare Teil des Angriffs beginnt. Für Betroffene folgt daraus zweierlei: Der Vorfall ist zum Zeitpunkt der Entdeckung meist älter als angenommen, und die Spuren, die ihn belegen könnten, liegen in Protokolldateien, die sich nach kurzer Zeit selbst überschreiben.
Rechtlich läuft ein solcher Vorfall in mehrere Richtungen zugleich. Er kann strafrechtlich relevant sein; er kann Melde- und Benachrichtigungspflichten gegenüber Aufsichtsbehörden und betroffenen Personen auslösen; er kann eine Haftung gegenüber Kunden begründen und zugleich eigene Ansprüche gegen einen Dienstleister eröffnen, dessen vertragliche Pflichten verletzt wurden. Diese Ebenen haben unterschiedliche Fristen und unterschiedliche Adressaten. Welche davon im Einzelfall tragen, lässt sich erst nach Sichtung der Verträge und des technischen Befunds beurteilen.
Erkennen
Woran sich ein Angriff zeigt
Die folgenden Beobachtungen begegnen uns regelmäßig, bevor der eigentliche Schaden sichtbar wird. Einzeln lässt sich jede davon harmlos erklären; mehrere zusammen sind ein Anlass, den Vorgang technisch prüfen zu lassen.
- Anmeldungen an Firmenkonten aus Ländern oder zu Uhrzeiten, in denen niemand im Unternehmen arbeitet.
- Neu angelegte Postfachregeln, die eingehende Nachrichten automatisch weiterleiten oder in selten geöffnete Ordner verschieben.
- Administrative Konten, für die kein Auftrag vorliegt, oder bestehende Konten mit plötzlich erweiterten Rechten.
- Sicherungsaufträge, die ohne Fehlermeldung nicht mehr durchlaufen, oder Sicherungen, die sich nicht mehr zurückspielen lassen.
- Schutzsoftware, die auf einzelnen Servern deaktiviert wurde, ohne dass dazu eine Änderung dokumentiert ist.
- Ungewöhnlich großer ausgehender Datenverkehr nachts oder an Wochenenden.
- Geschäftspartner, die auf Nachrichten antworten, die aus Ihrem Haus nie versendet wurden.
Mögliche Maßnahmen
Mögliche Maßnahmen
Welche dieser Maßnahmen im Einzelfall trägt, ergibt sich aus dem technischen Befund und aus Ihren Verträgen. Jeden Schritt stimmen wir vorher mit Ihnen ab; Kosten entstehen erst nach Ihrer ausdrücklichen Freigabe.
Sachverhaltsaufnahme und Priorisierung
Wir ordnen den Vorfall entlang der Fristen: was sofort zu sichern ist, was gemeldet werden muss und was warten kann. Diese Reihenfolge ist in den ersten Tagen wichtiger als die Vollständigkeit des ersten Berichts.
Abstimmung mit der IT-Forensik
Die technische Untersuchung führen spezialisierte Dienstleister durch. Wir formulieren die Fragestellung so, dass ihr Ergebnis später auch als Beweismittel tragen kann, und begleiten Beauftragung und Berichterstattung.
Prüfung der Melde- und Benachrichtigungspflichten
Je nach betroffenen Daten kann eine Meldung an die Aufsichtsbehörde und eine Information der betroffenen Personen erforderlich sein. Wir prüfen, ob eine Pflicht besteht, und entwerfen die erforderlichen Mitteilungen.
Ansprüche gegen Dienstleister und Zulieferer
War ein externer Dienstleister das Einfallstor oder hat er vertraglich zugesagte Schutzmaßnahmen nicht erbracht, können vertragliche Ansprüche in Betracht kommen. Das setzt eine Auswertung der Leistungsbeschreibungen und des forensischen Befunds voraus.
Strafanzeige und Abstimmung mit den Behörden
Eine Anzeige kann Ermittlungsbefugnisse eröffnen, über die Sie selbst nicht verfügen – etwa gegenüber Hosting-, Domain- und Zahlungsdienstleistern. Ob sie im konkreten Fall sinnvoll ist und wo sie zu stellen wäre, prüfen wir gemeinsam mit Ihnen.
Kommunikation gegenüber Kunden und Versicherern
Was Sie wem zu welchem Zeitpunkt mitteilen, hat unmittelbare Haftungsfolgen. Wir stimmen Wortlaut und Zeitpunkt mit den laufenden Melde- und Ermittlungsvorgängen ab, damit sich die Ebenen nicht gegenseitig beschädigen.
Aussichten
Was sich realistisch erreichen lässt
Ob ein Angriff aufgeklärt und ein Schaden ausgeglichen werden kann, hängt vor allem davon ab, wohin abgeflossene Mittel und Daten gelangt sind und wer sie noch hält. Wurden Zahlungen umgeleitet, entscheidet der Zahlungsweg über die Möglichkeiten; wurden Daten kopiert, lässt sich ihre Verbreitung praktisch nicht mehr zurücknehmen. Ein bestimmtes Ergebnis können wir daher nicht zusagen, und wir tun es auch auf Nachfrage nicht.
Manche Wege schließen sich schnell. Protokolldaten werden überschrieben, Konten bei Zahlungsdienstleistern werden geleert, Infrastruktur wird abgeschaltet, und Melde- wie Anspruchsfristen laufen unabhängig davon, ob die technische Untersuchung schon abgeschlossen ist. Andere Wege bleiben länger offen – insbesondere vertragliche Ansprüche gegen Dienstleister und Deckungsansprüche gegenüber einem Versicherer, weil es dort einen greifbaren Adressaten gibt.
Realistisch ist deshalb meist nicht die Wiederherstellung des Zustands vor dem Angriff, sondern eine geordnete Aufarbeitung: gesicherte Beweise, erfüllte Pflichten, begrenzte Haftung und eine belastbare Aussage darüber, welche Ansprüche sich lohnen und welche nicht. Die gemeinsamen Grundlagen – Beweissicherung, Zahlungsverfolgung und das Verhältnis von zivil- und strafrechtlichem Vorgehen – sind im Fachbereich Betrug & Scam ausführlich dargestellt.
Häufige Fragen
Häufige Fragen zu Cybercrime-Fällen
Die Antworten beschreiben den allgemeinen Rahmen. Was in Ihrem Fall gilt, hängt vom technischen Befund, von den betroffenen Daten und von Ihren Verträgen ab.
Verwandte Fachbereiche
Häufig zusammen auftretende Muster
Betrugsfälle folgen selten genau einem Muster. Wenn Ihr Fall nur teilweise passt, hilft häufig ein Blick auf die benachbarten Fachbereiche.
Phishing
Gefälschte Bank- und Behördennachrichten, die Zugangsdaten abgreifen – und was nach einer Freigabe zu tun ist.
Mehr erfahrenIdentitätsdiebstahl
Missbrauch personenbezogener Daten für Verträge und Konten – Abwehr von Forderungen, Auskünfte und Bereinigung der Einträge.
Mehr erfahrenFake Invoice
Manipulierte Rechnungen und geänderte Bankverbindungen im Zahlungslauf – Rückholung, Haftungsfragen und Prozesssicherung.
Mehr erfahren
Weiterlesen
Passende Seiten
Mandat anfragen
Schildern Sie uns, was passiert ist.
Sie erhalten eine Einordnung, mögliche Maßnahmen und eine offene Einschätzung der Aussichten und Risiken – bevor Kosten entstehen. Je früher ein Sachverhalt geprüft wird, desto mehr Wege stehen in der Regel noch offen.
- Antwort in der Regel innerhalb von 24 Stunden
- Keine Kosten ohne Ihre ausdrückliche Freigabe
- Vertraulich und anwaltlich verschwiegen