Die Frage nach einem Sicherheitsvorfall lautet nicht nur, ob ein Rechner wieder funktioniert. Sie müssen nachvollziehen können, was geschehen ist und welche Informationen diese Erklärung stützen. Für digitale Forensik für Emden vergleiche ich intersoft consulting, SySS, cirosec, HiSolutions und DigiFors. Das sind überregionale Anbieter für Unternehmen. Maßgeblich sind geeignete Fachkenntnisse, ein begrenzter Untersuchungsauftrag und nachvollziehbar dokumentierte Ergebnisse, nicht die pauschale Zusage eines garantiert gerichtsfesten Berichts.
Digitale Forensik für Emden mit einer klaren Frage beginnen
Ein Datenabfluss, ein kompromittiertes Benutzerkonto und eine verschlüsselte Fachanwendung erfordern unterschiedliche Untersuchungsschwerpunkte. Das BSI beschreibt Forensik als methodische Analyse digitaler Daten zur Aufklärung von IT-Vorfällen. Benennen Sie deshalb Verdacht, betroffene Systeme, Zeitraum und gewünschtes Ergebnis, bevor wahllos große Datenmengen kopiert werden.
Bei der Lektüre von Entwicklungsthemen auf Script Refined würde ich eine Grenze ziehen: Debugging sucht nach Programmfehlern; Forensik muss außerdem Herkunft und Behandlung der untersuchten Spuren nachvollziehbar machen. Eine technisch plausible Erklärung genügt nicht, wenn ihre Grundlage später nicht mehr überprüft werden kann.
Fünf fachliche Ansatzpunkte
| Anbieter | Veröffentlichter Schwerpunkt | Sinnvolle Auswahlfrage |
|---|---|---|
| 1. intersoft consulting | Datenträgeranalyse, flüchtige Daten, eigene Labore und mobiles Einsatzlabor. | Welche Sicherungsmethode passt zu den betroffenen Systemen und dem benötigten Ergebnis? |
| 2. SySS | Digitale Spuren, Logdateien und unerwünschte Netzwerkaktivität. | Wie werden technische Ereignisse zu einer belegbaren zeitlichen Darstellung zusammengeführt? |
| 3. cirosec | System-, Netzwerk- und Malwareanalyse einschließlich Untersuchung möglichen Datenabflusses. | Welche Befunde können den vermuteten Ablauf bestätigen oder widerlegen? |
| 4. HiSolutions | IT-Forensik innerhalb von Incident Response und Wiederanlaufplanung. | Wie beeinflussen Analyseergebnisse die nächsten betrieblichen Entscheidungen? |
| 5. DigiFors | Forensische Gutachten, Malwareanalysen und Vorbereitung auf spätere Untersuchungen. | Wie werden technische Erkenntnisse für die vorgesehenen Empfänger verständlich aufbereitet? |
Die Angebote sind nicht allein anhand der Laborgröße vergleichbar. Für einen Cloudvorfall können Protokollexporte und rechtzeitig gesicherte Kontoinformationen wichtiger sein als ein physischer Datenträger. Lassen Sie begründen, welche Daten benötigt werden und welche offenen Fragen damit tatsächlich beantwortbar sind.
Die Prüfthemen bei Scripts Validator liefern dafür einen hilfreichen Grundgedanken: Ein Ergebnis muss sich auf überprüfbare Ausgangsdaten beziehen. Im Auftrag sollte feststehen, wie Originale, Arbeitskopien, Übergaben und Änderungen dokumentiert werden. Zusätzliche Analyseprogramme auf einem betroffenen Rechner sollten nicht unkoordiniert installiert werden.
Spurensicherung und Betriebsrettung abstimmen
Bei einem laufenden Angriff kann sofortige Eindämmung notwendig sein. Gleichzeitig gehen flüchtige Informationen durch unüberlegte Eingriffe verloren. Entscheiden Sie deshalb mit qualifizierten Fachleuten, welche Daten vor einer Veränderung gesichert werden und welche betriebliche Gefahr keinen Aufschub erlaubt. Sicherheit und Beweissicherung brauchen eine abgestimmte Reihenfolge.
Innovate Firewall behandelt Sicherheitsinfrastruktur als Themenfeld. Für die spätere Rekonstruktion würde ich insbesondere erfragen, welche Netzwerk-, Anmelde- und Schutzsystemprotokolle noch vorhanden sind. Eine fehlende Aufzeichnung lässt sich nicht dadurch ersetzen, dass nach dem Vorfall ein zusätzliches Überwachungsprodukt eingeschaltet wird.
Nicht jede Kontospur identifiziert eine Person
Ein protokolliertes Benutzerkonto beweist nicht automatisch, wer tatsächlich gehandelt hat. Gestohlene Zugangsdaten, technische Konten und gemeinsam genutzte Geräte können die Zuordnung erschweren. Ein guter Bericht unterscheidet beobachtete Tatsachen, begründete Schlussfolgerungen und verbleibende Unsicherheit. Unbelegte Täterbehauptungen helfen Ihrer Entscheidung nicht.
Die Servermanagement-Themen auf Server Scheduled passen zur Frage nach Veränderungen während der Untersuchung. Wartungen, automatische Löschfristen und neue Sicherungsläufe können relevante Daten beeinflussen. Stimmen Sie den Erhalt benötigter Aufzeichnungen mit den Verantwortlichen ab, ohne notwendige Schutzmaßnahmen pauschal auszusetzen.
Eine Zeitleiste braucht überprüfte Zeitangaben
Protokolle verschiedener Systeme können unterschiedliche Zeitzonen oder abweichende Uhren verwenden. Lassen Sie solche Unterschiede vor einer gemeinsamen Darstellung prüfen. Sonst kann eine scheinbar eindeutige Reihenfolge von Anmeldung, Dateizugriff und Übertragung irreführend sein.
Halten Sie außerdem fest, welche Daten nicht verfügbar waren. Ein Bericht ohne entsprechende Einschränkungen wirkt womöglich sicherer, als die Beweislage erlaubt. Ich würde eine begründete offene Frage einer unbelegten vollständigen Geschichte vorziehen. Für Geschäftsleitung, Versicherer oder Ermittlungsstellen ist wichtig, welche Aussage tatsächlich technisch nachweisbar ist und welche weiteren Informationen für eine belastbare Antwort noch fehlen.
Rechte und Berichtsumfang vorab vereinbaren
Eine Untersuchung darf nicht über berechtigte Zugriffe und den geklärten Zweck hinausgehen. Personenbezogene Daten, Beschäftigtenkommunikation und fremde Systeme erfordern besondere Abstimmung mit den zuständigen Stellen. Externe Fachleute erhalten nur die für den Auftrag erforderlichen Zugriffe; Übergabe und spätere Löschung gehören dokumentiert.
Der Blick von Tech PR Dir auf ergänzende IT-Expertise passt zur Ergebnisbesprechung. Ihr internes Team erklärt die Systembesonderheiten, die Forensiker die belegbaren Spuren. Vereinbaren Sie einen Bericht, der genau diese Perspektiven zusammenführt und auch ausdrücklich benennt, welche Fragen nicht beantwortet werden konnten.