IT-Sicherheit · Dokumentation
Eine gute Vorfalldokumentation hält nicht einfach möglichst viele Bildschirmfotos fest. Sie beantwortet nachvollziehbar, was beobachtet wurde, wann es geschah, welches System betroffen war, wer welche Maßnahme aus welchem Grund ausführte und welches Ergebnis tatsächlich bestätigt ist. Damit wird sie zur Arbeitsgrundlage für Eindämmung, Analyse, Wiederherstellung, Meldungen und spätere Verbesserungen.
Kleine Unternehmen müssen dafür kein forensisches Labor betreiben. Sie benötigen jedoch ein einheitliches Vorfallskennzeichen, eine konsistente Zeitlinie, unveränderte Originaldaten, ein kontrolliertes Beweisregister und klare Zuständigkeiten. Beobachtungen, technische Schlussfolgerungen und Geschäftsentscheidungen werden sprachlich getrennt, damit aus einer frühen Vermutung keine vermeintliche Tatsache wird.
Dieser Leitfaden enthält konkrete Vorlagen und Abläufe für die ersten Notizen, technische Protokolle, Dateien und Datenträger, die Übergabe an Spezialisten sowie datenschutz-, versicherungs- und strafverfolgungsbezogene Informationen. Die einzelnen Schritte werden der Lage angepasst; bei schwerwiegenden Vorfällen übernimmt qualifizierte Incident-Response oder Forensik die eigentliche Beweissicherung.
Direkt zu: Erste Dokumentation · Zeitlinie · Beweisregister · Technische Daten · Meldungen · Übergabe · Abschlussbericht
1. Dokumentation erfüllt während des Vorfalls mehrere verschiedene Aufgaben
Ein einziges unstrukturiertes Textdokument kann operative Steuerung, technische Analyse und formale Nachweise nicht zuverlässig zugleich leisten.
| Dokument | Zweck | Typischer Inhalt | Verantwortung |
|---|---|---|---|
| Vorfallstammdaten | Eindeutige Zuordnung | Vorfallsnummer, Beginn, Meldung, Einstufung, Koordination | Einsatzkoordination |
| Ereigniszeitlinie | Chronologischer Ablauf | Beobachtungen, Entscheidungen, Maßnahmen und Ergebnisse | Dokumentation |
| System- und Kontenliste | Reichweite und Status | Betroffen, verdächtig, geprüft unauffällig oder ungeprüft | Technische Leitung |
| Beweisregister | Herkunft und Integrität | Objekt, Quelle, Erfassung, Hash, Ablage und Zugriffe | Beweisverantwortung |
| Entscheidungsprotokoll | Nachvollziehbare Abwägung | Optionen, Risiken, Entscheidung, Freigabe und Folgetermin | Geschäftsleitung und Fachrollen |
| Meldeunterlage | Pflicht- oder freiwillige Kommunikation | Fakten, Folgen, Maßnahmen, Kontaktstelle und offene Angaben | Jeweils zuständige Stelle |
| Abschlussbericht | Ursache, Wirkung und Verbesserungen | Gesicherte Erkenntnisse, Kosten, Wiederanlauf und Maßnahmenplan | Koordination und Geschäftsleitung |
Das Arbeitsticket ist nicht automatisch ein geeigneter Beweisspeicher
Ticketsysteme können Zeitlinie, Aufgaben und Entscheidungen aufnehmen. Rohprotokolle, Datenträgerabbilder, Speicherabbilder oder sensible Exporte benötigen dagegen einen geschützten Ablageort mit begrenztem Zugriff, Integritätsprüfung und Aufbewahrungsregel. Im Ticket steht der Verweis auf das Beweisobjekt, nicht zwingend dessen vollständiger Inhalt.
2. Die erste Meldung wird unverändert erfasst und anschließend präzisiert
Die erste Person beschreibt, was sie selbst gesehen oder getan hat. Ursache und Angreifer werden zu diesem Zeitpunkt noch nicht behauptet.
Schritt für Schritt: Einen Vorfallsdatensatz eröffnen
- Eindeutige Vorfallsnummer nach einem festgelegten Schema vergeben.
- Zeitpunkt der ersten Wahrnehmung mit Datum, Uhrzeit und Zeitzone notieren.
- Zeitpunkt erfassen, zu dem das Unternehmen erstmals von dem möglichen Vorfall erfuhr.
- Name und erreichbaren Kontakt der meldenden Person aufnehmen.
- Wörtliche Erstbeschreibung als Zitat oder klar gekennzeichnete Wiedergabe sichern.
- Betroffenes Gerät, Konto, Anwendung, Standort oder Geschäftsverfahren eindeutig benennen.
- Sichtbare Meldungen, Dateinamen, Absender, Rufnummern oder URLs exakt erfassen.
- Festhalten, welche Handlung unmittelbar vor der Beobachtung erfolgte.
- Bereits ausgeführte Reaktionen mit Zeitpunkt aufnehmen.
- Dokumentieren, ob ein System getrennt, ausgeschaltet, neu gestartet oder verändert wurde.
- Weitere mögliche Zeugen oder betroffene Personen benennen.
- Erste Geschäftsauswirkung ohne Spekulation beschreiben.
- Koordinierende Person und technische Verantwortung festlegen.
- Vorläufige Einstufung mit Begründung und nächstem Prüftermin versehen.
- Sicheren Kommunikations- und Ablageweg für den Vorgang bestimmen.
- Nächsten Statuszeitpunkt und offene Sofortaufgaben festlegen.
Vorlage für die Vorfallstammdaten
Vorfallsnummer:
Erste Beobachtung: [Datum, Uhrzeit, Zeitzone]
Kenntnisnahme des Unternehmens: [Datum, Uhrzeit, Zeitzone]
Gemeldet von / Kontakt:
Wörtliche Beobachtung:
Betroffenes System / Konto / Verfahren:
Bereits ausgeführte Handlungen:
Aktuelle Geschäftsauswirkung:
Koordination:
Technische Verantwortung:
Vorläufige Einstufung und Begründung:
Sicherer Kommunikationsweg:
Nächster Statuszeitpunkt:
Offene Sofortaufgaben:Die Formulierung „Benutzer meldet um 09:14 Uhr drei umbenannte Dateien mit Endung .locked auf Laufwerk S:“ ist belastbar. „Ransomware begann um 09:14 Uhr“ ist ohne weitere Analyse bereits eine Schlussfolgerung. Diese sprachliche Trennung verhindert, dass spätere Auswertung, Versicherung oder Behörde eine Annahme für eine festgestellte Tatsache hält.
3. Die Zeitlinie verbindet Beobachtung, Entscheidung, Handlung und Ergebnis
Jeder Eintrag erhält eine eindeutige Zeitbasis und Quelle. Später korrigierte Angaben bleiben als Korrektur nachvollziehbar, statt still überschrieben zu werden.
| Feld | Beispiel | Warum erforderlich |
|---|---|---|
| Zeitpunkt | 2026-09-11 09:14:32 Europe/Berlin | Ermöglicht Abgleich über Systeme hinweg. |
| Erfassungszeit | 09:22 Uhr | Trennt Ereignis von späterer Dokumentation. |
| Quelle | Benutzerangabe, Ereignis-ID, Export oder Sensor | Macht Aussagekraft prüfbar. |
| Typ | Beobachtung, Maßnahme, Entscheidung oder Ergebnis | Verhindert Vermischung. |
| System | Hostname, Konto, IP oder Dienst | Ordnet das Ereignis eindeutig zu. |
| Inhalt | Konkrete Meldung oder ausgeführter Befehl | Erlaubt spätere Rekonstruktion. |
| Bearbeiter | Name oder eindeutiges Kürzel | Ermöglicht Rückfragen und Verantwortung. |
| Beleg | Beweis-ID EV-004 | Verknüpft Eintrag mit Originaldaten. |
Schritt für Schritt: Eine konsistente Zeitlinie führen
- Für alle Einträge ein einheitliches Datumsformat festlegen.
- Zeitzone ausdrücklich dokumentieren; bei Cloudprotokollen UTC und lokale Zeit unterscheiden.
- Prüfen, ob Systemuhren synchronisiert waren und bekannte Abweichungen festhalten.
- Ereigniszeit und Zeitpunkt der späteren Erfassung separat führen.
- Benutzeraussagen als solche kennzeichnen.
- Automatische Protokolle mit System, Exportzeit und Filter benennen.
- Beobachtungen ohne Ursachenbehauptung formulieren.
- Technische Hypothesen mit Status „vorläufig“ und Begründung markieren.
- Jede administrative Änderung samt ausführendem Konto dokumentieren.
- Bei Kennwort-, Firewall- oder Richtlinienänderungen alten und neuen Zustand erfassen.
- Entscheidungen mit verantwortlicher Person und verworfenen Alternativen notieren.
- Ergebnis einer Maßnahme separat bestätigen; „Befehl gesendet“ ist noch kein Erfolg.
- Korrekturen als neuen Eintrag mit Verweis auf die frühere Angabe ergänzen.
- Keine Einträge nachträglich ohne Änderungsspur löschen.
- Zeitlinie regelmäßig gegen technische Protokolle und Aufgabenstatus abgleichen.
- Offene Lücken als Fragen mit verantwortlicher Person und Frist führen.
| Zeit | Typ | Eintrag | Beleg |
|---|---|---|---|
| 09:14 | Beobachtung | Mitarbeiterin sieht Sicherheitswarnung auf NB-023 und ruft interne Nummer an. | Gesprächsnotiz EV-001 |
| 09:18 | Maßnahme | Ethernet an NB-023 getrennt; WLANanzeige bleibt nach Benutzerangabe aktiv. | Foto EV-002 |
| 09:21 | Entscheidung | Technische Leitung ordnet vollständige Netzwerkisolation an. | Entscheidungsprotokoll D-003 |
| 09:24 | Maßnahme | WLAN am Access Point für Geräte-MAC gesperrt. | Konfigurationsexport EV-004 |
| 09:26 | Ergebnis | Keine weitere Verbindung von NB-023 im WLANprotokoll bis 09:36 sichtbar. | Protokollexport EV-005 |
4. Präzise Sprache schützt vor falschen Schlussfolgerungen
Dokumentation gewinnt ihren Wert durch überprüfbare Aussagen. Absolute Begriffe wie „sauber“, „komplett gelöscht“ oder „niemand hatte Zugriff“ benötigen jeweils einen konkreten technischen Nachweis.
| Unpräzise | Belastbar |
|---|---|
| „Das Konto wurde gehackt.“ | „Anmeldung aus unbekanntem Land um 08:42 Uhr erfolgreich; Benutzer bestreitet diese Anmeldung.“ |
| „Der PC ist sauber.“ | „Vollständiger EDR-Scan um 14:10 Uhr ohne Fund; Persistenzprüfung und Datenträgeranalyse stehen noch aus.“ |
| „Alle Sitzungen sind beendet.“ | „Refresh-Token um 10:03 Uhr widerrufen; zwei Drittanwendungen besitzen eigene, noch zu prüfende Sitzungen.“ |
| „Das Backup funktioniert.“ | „Sicherung vom 10. September wurde isoliert geöffnet; zehn Stichprobendateien und Datenbankstart erfolgreich geprüft.“ |
| „Es sind keine Daten abgeflossen.“ | „In den verfügbaren Proxy- und Cloudprotokollen wurden für den geprüften Zeitraum keine ungewöhnlichen Exporte festgestellt; Endpoint-Telemetrie fehlt zwischen 02:10 und 03:05 Uhr.“ |
| „Die Gefahr ist beseitigt.“ | „Betroffener Zugang geschlossen, Schlüssel rotiert und Systeme neu bereitgestellt; erhöhte Überwachung läuft bis zum festgelegten Termin.“ |
Auch negative Ergebnisse werden mit Methode, Zeitraum und Grenze beschrieben. „Kein Hinweis gefunden“ bedeutet, dass die geprüften Daten keine Auffälligkeit zeigten. Es bedeutet nicht automatisch, dass ein Ereignis ausgeschlossen ist. Diese Genauigkeit hilft der Geschäftsleitung, verbleibende Unsicherheit in ihre Entscheidung einzubeziehen.
5. Jedes Beweisobjekt erhält Herkunft, Integritätswert und kontrollierten Ablageort
Ein kryptografischer Hashwert zeigt, ob eine erfasste Datei seit seiner Berechnung verändert wurde. Er beweist allein weder die Wahrheit ihres Inhalts noch eine lückenlose Herkunft.
| Feld | Zu dokumentierender Inhalt |
|---|---|
| Beweis-ID | Eindeutige fortlaufende Kennung, etwa EV-001 |
| Beschreibung | Was das Objekt ist und welchen Zeitraum es umfasst |
| Quelle | Gerät, Konto, Dienst, Person oder Sensor |
| Erfassungsart | Export, forensisches Abbild, Foto, Download oder Originaldatenträger |
| Erfasst von | Person und verwendetes Administrationskonto |
| Zeit | Beginn und Ende der Erfassung mit Zeitzone |
| Werkzeug | Produkt, Version und relevante Optionen |
| Integritätswert | Algorithmus und Hashwert der gesicherten Datei |
| Ablage | Geschützter Speicherort und Dateiname |
| Zugriffe | Übergaben, Kopien, Öffnungen und Bearbeitungen |
| Originalzustand | Unverändert, bereits verändert oder unbekannt |
| Bezug | Verknüpfte Zeitlinien-, System- und Entscheidungsnummer |
Schritt für Schritt: Eine exportierte Protokolldatei aufnehmen
- Beweis-ID vergeben, bevor die Datei weiterverarbeitet wird.
- Quellsystem, Mandant, Protokollart und abgefragten Zeitraum notieren.
- Verwendete Filter, Suchabfrage und Zeitzone dokumentieren.
- Export über ein vertrauenswürdiges Administrationsgerät durchführen.
- Produkt und Exportformat festhalten.
- Datei mit Beweis-ID, Quelle und Zeitraum eindeutig benennen.
- Unmittelbar nach Erfassung einen geeigneten kryptografischen Hashwert berechnen.
- Hashalgorithmus und Wert getrennt im Beweisregister speichern.
- Originalexport schreibgeschützt oder mit streng begrenzten Rechten ablegen.
- Für Analyse eine Arbeitskopie erzeugen und als solche kennzeichnen.
- Hash der Arbeitskopie vor Beginn mit dem Original vergleichen.
- Jeden Transfer an Dienstleister mit Zeitpunkt, Empfänger und Übertragungsweg dokumentieren.
- Sensible Inhalte nur über den vereinbarten geschützten Kanal übertragen.
- Aufbewahrungsfrist und spätere Löschverantwortung festlegen.
- Nach Übergabe Empfang und Integritätsprüfung bestätigen lassen.
Originalsysteme werden nicht für neugierige Tests weiterbenutzt
Jede Anmeldung, Suche, Virenprüfung oder Dateivorschau kann Zeitstempel, Caches, Protokolle und Arbeitsspeicher verändern. Bei möglicher Strafverfolgung, erheblichem Datenabfluss oder komplexem Angriff entscheidet eine qualifizierte Fachperson über Speichererfassung, Datenträgerabbild und Ausschalten. Ein ungeschulter Eigenversuch kann mehr Beweiswert vernichten als gewinnen.
6. Technische Daten werden nach Flüchtigkeit, Relevanz und Verfügbarkeit priorisiert
Arbeitsspeicher und aktive Verbindungen verschwinden beim Ausschalten. Cloud- und Netzwerkprotokolle können dagegen durch kurze Aufbewahrungsfristen oder nachlaufende Rotation verloren gehen.
| Quelle | Mögliche Aussage | Dringlichkeit | Besonderheit |
|---|---|---|---|
| Arbeitsspeicher | Prozesse, Verbindungen, Schlüssel und Schadcode | Sehr hoch | Erfordert Fachkenntnis und verändert sich laufend. |
| Aktive Netzwerkverbindungen | Gegenstellen, Ports und laufende Kommunikation | Sehr hoch | Kann bei Isolation verschwinden. |
| Endpoint- und EDR-Telemetrie | Prozessketten, Alarme, Dateien und Eindämmung | Hoch | Cloudaufbewahrung und Sensorstatus prüfen. |
| Identitätsprotokolle | Anmeldungen, Token, MFA, Geräte und Risiko | Hoch | Lizenzabhängige Aufbewahrung beachten. |
| E-Mail und Cloud-Audit | Regeln, Freigaben, Downloads und Änderungen | Hoch | Abfrage und Zeitraum vollständig dokumentieren. |
| Firewall, VPN und DNS | Eintritt, Fernzugriff und externe Ziele | Hoch | Zeitsynchronisation und NAT-Zuordnung beachten. |
| Datenträgerabbild | Dateisystem, Persistenz und gelöschte Daten | Nach Lage | Forensische Erfassung und ausreichend Speicher erforderlich. |
| Konfigurationsstände | Konten, Regeln, Rechte und Schutzmaßnahmen | Hoch | Vor und nach Änderungen getrennt sichern. |
| Backup- und Wiederherstellungsprotokolle | Manipulation, letzte Sicherung und Rücksicherung | Hoch | Verwaltung getrennt schützen. |
| Benutzerbeobachtung | Auslöser, sichtbare Meldung und Arbeitsablauf | Sofort | Erinnerung zeitnah und ohne Suggestivfragen erfassen. |
Schritt für Schritt: System- und Kontenstatus führen
- Aktuelles Inventar als Ausgangspunkt sichern.
- Jedes System mit eindeutiger Kennung aufnehmen.
- Status nur als bestätigt betroffen, verdächtig, geprüft unauffällig oder ungeprüft vergeben.
- Grundlage und Zeitpunkt jeder Einstufung angeben.
- Isolationszustand und genaue technische Maßnahme dokumentieren.
- Angemeldete Benutzer und verwendete Administrationskonten erfassen.
- Erreichbare Freigaben, Cloudbibliotheken und Geschäftsprozesse zuordnen.
- Letzten sicheren und ersten auffälligen Zeitpunkt getrennt führen.
- Alarme, Protokolle und Beweis-IDs verknüpfen.
- Ausstehende Prüfungen mit Bearbeiter und Frist versehen.
- Statusänderungen als neue Version dokumentieren.
- „Keine Auffälligkeit gefunden“ nicht mit „nachweislich sauber“ gleichsetzen.
- Wiederanlauf nur nach technischer und fachlicher Freigabe kennzeichnen.
- Endgültige Außerbetriebnahme und Datenlöschung nachweisen.
7. Entscheidungen erhalten Begründung, Freigabe und überprüfbares Ergebnis
Besonders bei Abschaltung, Fernlöschung, Kennwortrotation, Kundeninformation und Wiederanlauf muss später erkennbar sein, welche Tatsachen zum Entscheidungszeitpunkt vorlagen.
| Feld | Inhalt |
|---|---|
| Entscheidungsnummer | Eindeutige Kennung mit Bezug zum Vorfall |
| Fragestellung | Konkrete Entscheidung, beispielsweise Abschalten oder isoliert weiterbetreiben |
| Bekannte Tatsachen | Bestätigte Beobachtungen und Beweisverweise |
| Unsicherheiten | Fehlende Informationen und offene Hypothesen |
| Optionen | Realistische Handlungswege einschließlich Nichtstun |
| Auswirkungen | Sicherheit, Geschäft, Datenschutz, Beweise und Kosten |
| Entscheidung | Gewählte Handlung und genaue Grenze |
| Freigabe | Name, Rolle und Zeitpunkt |
| Ausführung | Bearbeiter, Zeitpunkt und technische Umsetzung |
| Ergebnis | Bestätigte Wirkung und Folgeentscheidung |
Die Dokumentation muss die Reaktion unterstützen und darf sie nicht lähmen. Bei akutem Schaden wird zuerst die notwendige Eindämmung ausgeführt und unmittelbar danach nachvollziehbar festgehalten. Für wiederkehrende Maßnahmen helfen vorbereitete Notfallkarten, Entscheidungsbefugnisse und Vorlagen, damit Schnelligkeit und Nachweis nicht gegeneinander arbeiten.
8. Meldungen werden aus demselben Faktenkern für unterschiedliche Empfänger erstellt
Datenschutzaufsicht, Versicherung, Polizei, Kunden und interne Beschäftigte benötigen unterschiedliche Ausschnitte. Der zugrunde liegende Sachstand und seine Zeitlinie bleiben jedoch konsistent.
| Empfänger | Benötigt | Nicht ungeprüft behaupten |
|---|---|---|
| Datenschutzaufsicht | Art, Umfang, Folgen, Kontaktstelle, Maßnahmen und Risikobewertung | Vollständige Ursachenklärung, wenn sie noch aussteht |
| Betroffene Personen | Klare Bedeutung, mögliche Folgen, Schutzmaßnahmen und eigene Schritte | Technische Details ohne Handlungswert |
| Versicherung | Zeitlinie, Schutzmaßnahmen, Schaden, Kosten, Dienstleister und Freigaben | Deckungszusage oder Ursache |
| Polizei | Hergang, Systeme, Indikatoren, Beweise, Kontakt und mögliche Täterkommunikation | Attribution ohne belastbare Grundlage |
| Kunden und Partner | Bestätigte Auswirkung auf Dienst, Daten oder gemeinsame Zugänge | Spekulationen zur Reichweite |
| Geschäftsleitung | Betriebsrisiko, Entscheidungen, Kosten, Pflichten und nächste Fristen | Technische Entwarnung ohne Prüfung |
| Beschäftigte | Konkretes Verhalten, erlaubte Systeme und nächster Informationszeitpunkt | Personenbezogene Schuldzuweisung |
Schritt für Schritt: Datenschutzrelevante Angaben zusammenstellen
- Zeitpunkt der Kenntnisnahme durch den Verantwortlichen festhalten.
- Art der möglichen Verletzung personenbezogener Daten beschreiben.
- Kategorien und ungefähre Zahl betroffener Personen bestimmen.
- Kategorien und ungefähre Zahl betroffener Datensätze bestimmen.
- Besondere Sensibilität, Schutzbedürftigkeit und mögliche Folgen bewerten.
- Technische und organisatorische Schutzmaßnahmen konkret belegen.
- Bereits eingetretene und wahrscheinliche Folgen trennen.
- Ergriffene und geplante Gegenmaßnahmen mit Zeitpunkt aufnehmen.
- Kontaktstelle für Rückfragen festlegen.
- Risiko für Rechte und Freiheiten begründet bewerten.
- Entscheidung über Behördenmeldung dokumentieren.
- Bei erforderlicher Meldung die Frist von möglichst 72 Stunden ab Kenntnisnahme steuern.
- Fehlende Informationen kennzeichnen und ohne unangemessene Verzögerung nachreichen.
- Prüfen, ob ein hohes Risiko eine Information der betroffenen Personen erfordert.
- Auch eine Entscheidung gegen eine Meldung mit Tatsachen und Begründung dokumentieren.
Artikel 33 DSGVO verlangt ausdrücklich die Dokumentation von Fakten, Auswirkungen und ergriffenen Abhilfemaßnahmen bei Verletzungen des Schutzes personenbezogener Daten. Diese Unterlage muss der Aufsichtsbehörde eine Prüfung ermöglichen. Die 72-Stunden-Vorgabe betrifft die Meldung, wenn eine solche erforderlich ist; sie ist keine Frist, innerhalb derer die technische Untersuchung vollständig abgeschlossen sein muss.
9. Ein strukturiertes Übergabepaket verkürzt die Analyse und vermeidet Doppelarbeit
Externe Incident-Response benötigt einen konsistenten Sachstand, erreichbare Entscheider und geschützten Zugriff auf relevante Daten. Ein ungeordneter Sammelordner verlagert die Sichtung in die teuerste Phase.
| Bereich | Enthaltene Informationen |
|---|---|
| Stammdaten | Vorfallsnummer, Ansprechpartner, sichere Kommunikation, Beginn und Einstufung |
| Zeitlinie | Beobachtungen, Maßnahmen, Entscheidungen, Ergebnisse und offene Lücken |
| Systeme | Inventar, Netzplan, Status, Isolation, Abhängigkeiten und Geschäftspriorität |
| Identitäten | Betroffene Benutzer, Admins, Dienstkonten, MFA, Token und bereits ausgeführte Sperren |
| Beweise | Register, Originaldaten, Hashwerte, Erfassungsmethode und Zugriffshistorie |
| Schutzsysteme | EDR, Firewall, Identität, Backup, Protokollierung und Aufbewahrungsgrenzen |
| Geschäft | Ausgefallene Prozesse, tolerierbare Unterbrechung und manuelle Ersatzwege |
| Pflichten | Datenschutz, Vertrag, Versicherung, Behörden und bereits erfolgte Kommunikation |
| Auftrag | Konkrete Fragestellung, Befugnisse, Grenzen, Freigaben und Berichtsempfänger |
Qualitätskontrolle vor der Übergabe
- Jedes Gerät, Konto und Beweisobjekt besitzt eine eindeutige Kennung.
- Alle Zeitangaben enthalten eine bekannte Zeitzone.
- Beobachtung, Hypothese und bestätigte Erkenntnis sind sprachlich getrennt.
- Originaldateien und Arbeitskopien sind unterscheidbar.
- Hashwerte nennen Algorithmus und zugehörige Datei.
- Bereits ausgeführte Änderungen sind vollständig dokumentiert.
- Offene Fragen besitzen Bearbeiter und Frist.
- Übertragungsweg und Empfang sensibler Daten sind bestätigt.
- Geschäftsleitung und technischer Entscheider sind erreichbar.
- Auftrag, Befugnisse und Erwartungen an den Bericht sind geklärt.
10. Der Abschlussbericht trennt gesicherte Ursache, Auswirkungen und Verbesserungen
Ein Vorfall endet nicht mit der ersten wieder funktionierenden Anmeldung. Abschluss und Nachbereitung prüfen, ob der Angriffsweg geschlossen, der Betrieb sicher und die vereinbarten Maßnahmen tatsächlich umgesetzt sind.
| Kapitel | Konkreter Inhalt |
|---|---|
| Managementübersicht | Auslöser, Geschäftsauswirkung, Zeitraum, aktueller Zustand und wesentliche Entscheidung |
| Geltungsbereich | Untersuchte und nicht untersuchte Systeme, Konten, Standorte und Zeiträume |
| Zeitlinie | Bestätigte Schlüsselereignisse mit Quellen |
| Technische Erkenntnisse | Eintritt, Ausführung, Persistenz, Rechte, Bewegung, Datenzugriff und Eindämmung |
| Auswirkungen | Verfügbarkeit, Integrität, Vertraulichkeit, Geschäft, Personen und Dritte |
| Wiederherstellung | Neuaufbau, Schlüsselwechsel, Datenstand, Prüfungen und Freigaben |
| Meldungen | Empfänger, Zeitpunkt, Inhalt, Nachträge und Entscheidungsbegründung |
| Ursachen und Mitursachen | Technische Lücke, Prozess, Erkennung, Zuständigkeit und begrenzende Faktoren |
| Maßnahmenplan | Konkrete Änderung, Verantwortlicher, Termin, Priorität und Wirksamkeitsnachweis |
| Restunsicherheit | Nicht beantwortete Fragen und daraus verbleibendes Risiko |
Schritt für Schritt: Aus Erkenntnissen prüfbare Maßnahmen machen
- Jede festgestellte Ursache und begünstigende Bedingung einzeln benennen.
- Unbestätigte Annahmen aus der Maßnahmenbegründung entfernen oder kennzeichnen.
- Für jede Lücke eine konkrete technische oder organisatorische Änderung formulieren.
- Erwartete Risikowirkung beschreiben.
- Verantwortliche Person statt nur eine Abteilung zuweisen.
- Realisierbaren Termin und Priorität festlegen.
- Abhängigkeiten, Kosten und benötigte Entscheidung aufnehmen.
- Abnahmekriterium definieren, das sich praktisch prüfen lässt.
- Zwischen Umsetzung und Wirksamkeitskontrolle unterscheiden.
- Restliche Risiken nach Umsetzung erneut bewerten.
- Notfallplan, Kontaktliste, Inventar und Schulung aktualisieren.
- Maßnahmenstatus bis zur bestätigten Abnahme verfolgen.
„MFA verbessern“ ist keine abnehmbare Maßnahme. „Bis 30. September sind alle administrativen Konten mit zwei persönlichen phishingresistenten Faktoren registriert; Export der Authentisierungsmethoden weist keine reine SMS- oder Push-Absicherung mehr aus“ beschreibt dagegen Ergebnis, Termin und Nachweis. Diese Genauigkeit macht Nachbereitung steuerbar.
11. Zugriff, Aufbewahrung und Löschung werden bereits bei der Erfassung festgelegt
Vorfalldaten können selbst besonders sensible Informationen enthalten: personenbezogene Protokolle, E-Mail-Inhalte, Zugangsdaten, Geschäftsgeheimnisse oder Schadsoftware. Ein großer offener Sammelordner erzeugt deshalb ein zusätzliches Sicherheits- und Datenschutzrisiko.
| Unterlage | Zugriff | Geeignete Ablage | Abschlussbehandlung |
|---|---|---|---|
| Operative Zeitlinie | Koordination und unmittelbar beteiligte Fachrollen | Geschützter Vorfallsbereich mit Versionierung | In bereinigter Fassung in Abschlussakte übernehmen |
| Rohprotokolle | Technische Analyse und ausdrücklich berechtigte Stellen | Unveränderbarer oder streng geschützter Beweisspeicher | Frist und Löschung nach Zweck festlegen |
| Datenträger- und Speicherabbilder | Nur qualifizierte Forensik | Verschlüsselte, kapazitätsgeeignete Beweisablage | Nach rechtlicher und fachlicher Freigabe löschen |
| Zugangsdaten und Geheimnisse | Nur zuständige Administration | Passwort- oder Geheimnisverwaltung, nicht im Bericht | Rotieren und alte Werte sicher vernichten |
| Datenschutzbewertung | Geschäftsleitung, Datenschutz und Recht | Vertrauliche Fallakte | Nachweis entsprechend rechtlicher Vorgaben erhalten |
| Versicherungsunterlagen | Benannte interne Stelle, Beratung und Versicherer | Getrennte Schadenakte | Vertragliche und gesetzliche Fristen beachten |
| Managementbericht | Festgelegter Leitungskreis | Freigegebene Berichtsfassung | Dauerhafte Unternehmensdokumentation nach Bedarf |
| Lernmaterial | Definierter Beschäftigtenkreis | Anonymisierte oder minimierte Fassung | Keine unnötigen Personen- oder Beweisdaten übernehmen |
Schritt für Schritt: Vorfallsablage kontrolliert einrichten und schließen
- Einen vom möglicherweise kompromittierten Arbeitsbereich getrennten Ablageort auswählen.
- Zugriff auf namentlich benannte Personen und benötigte Rollen begrenzen.
- Mehrfaktor-Authentisierung und Protokollierung für die Ablage sicherstellen.
- Ordner für Stammdaten, Zeitlinie, Entscheidungen, Beweise, Meldungen und Abschluss trennen.
- Dateinamensschema aus Vorfallsnummer, Beweis-ID, Quelle, Zeitraum und Version festlegen.
- Originaldateien von Analyse- und redigierten Kopien organisatorisch trennen.
- Schreibrechte auf Originalbeweise auf die Erfassungsrolle begrenzen.
- Übertragungen und Exporte aus der Ablage protokollieren.
- Berichte für Dritte auf erforderliche Informationen und personenbezogene Daten prüfen.
- Passwörter, private Schlüssel und aktive Token nicht in Zeitlinie oder Bericht einfügen.
- Für jede Unterlagenklasse Zweck und vorläufige Aufbewahrungsfrist bestimmen.
- Rechtliche, versicherungsbezogene und vertragliche Vorgaben vor Löschung prüfen.
- Nach Abschluss Zugriffsrechte auf den verbleibenden Empfängerkreis reduzieren.
- Arbeitskopien, temporäre Exporte und lokale Downloads kontrolliert entfernen.
- Löschung mit Objekt, Umfang, Zeitpunkt und verantwortlicher Person dokumentieren.
- Abschlussakte auf Lesbarkeit, Integrität und späteren Zugang prüfen.
Ein verschlüsseltes Archiv ist nur dann brauchbar, wenn Schlüssel und Format erhalten bleiben
Langfristige Aufbewahrung scheitert häufig nicht an fehlenden Dateien, sondern an verlorenen Kennwörtern, personenbezogenen Einzelkonten oder proprietären Exportformaten. Für relevante Unterlagen werden Entschlüsselungsmöglichkeit, zuständige Rolle, Format und Wiederlesbarkeit dokumentiert. Eine Stichprobe bestätigt, dass Original, Register und Bericht nach dem Abschluss weiterhin geöffnet und einander zugeordnet werden können.
Die Zugriffsliste wird nicht aus Bequemlichkeit auf alle Beschäftigten oder sämtliche Administratoren erweitert. Gleichzeitig darf sie nicht von einer einzigen Person abhängen. Eine dokumentierte Stellvertretung verhindert, dass Krankheit, Urlaub oder Ausscheiden den Zugang zu einer laufenden Untersuchung oder gesetzlich benötigten Unterlage blockiert.
Häufige Fragen zur Dokumentation von IT-Sicherheitsvorfällen
Reichen Bildschirmfotos als Beweise?
Sie können eine sichtbare Meldung und den damaligen Zustand festhalten, ersetzen aber keine Protokollexporte oder forensische Sicherung. Das Foto erhält Zeit, Fotograf, abgebildetes System und Beweis-ID. Wenn möglich wird später die zugrunde liegende Originalquelle gesichert.
Beweist ein SHA-256-Hashwert, dass eine Datei echt ist?
Er zeigt, ob die konkrete Datei seit der Berechnung unverändert geblieben ist. Herkunft, Vollständigkeit und inhaltliche Richtigkeit ergeben sich zusätzlich aus Erfassungsmethode, Quelle, Zeit, Werkzeug und dokumentierter Übergabe. Ein Hashwert ohne diesen Kontext ist nur ein Integritätsmerkmal.
Soll ein verdächtiger Computer für die Analyse eingeschaltet bleiben?
Das hängt von Ausbreitungsrisiko, Isolation und benötigten flüchtigen Daten ab. Ausschalten kann Arbeitsspeicher und aktive Verbindungen vernichten; Weiterbetrieb kann Schaden vergrößern. Das Gerät wird zuerst sicher isoliert und die Entscheidung möglichst von qualifizierter Incident-Response getroffen.
Muss jede frühe Vermutung in der Zeitlinie stehen?
Nur wenn sie eine Entscheidung oder Untersuchung beeinflusst. Dann wird sie eindeutig als Hypothese, mit Grundlage und späterem Ergebnis dokumentiert. Ungeprüfte Vermutungen gehören nicht als Tatsachen in Meldungen oder Managementberichte.
Wie lange müssen Beweise aufbewahrt werden?
Es gibt keine einheitliche Frist für jeden Vorfall. Rechtsstreit, Strafverfahren, Datenschutz, Versicherung, Vertrag und betriebliche Notwendigkeit können unterschiedliche Vorgaben erzeugen. Die Organisation legt Zweck, Zugriff, Aufbewahrungsdauer und dokumentierte Löschung fallbezogen mit den zuständigen Stellen fest.
Darf die Zeitlinie nachträglich korrigiert werden?
Ja, Erkenntnisse entwickeln sich. Die ursprüngliche Angabe wird jedoch nicht spurlos überschrieben. Eine Korrektur nennt den früheren Eintrag, die neue Information, Quelle, Zeitpunkt und Bearbeiter. So bleibt erkennbar, welcher Sachstand einer damaligen Entscheidung zugrunde lag.
Weiterführende fachliche Grundlagen
Vorfalldokumentation vorbereiten, bevor Informationen verloren gehen
fra.digital unterstützt kleine Unternehmen in Frankfurt bei Vorfallvorlagen, Protokoll- und Aufbewahrungskonzepten, sicheren Administrationswegen, Geräte- und Konteninventar sowie der strukturierten technischen Übergabe. Im konkreten Ereignis werden Beobachtungen, Maßnahmen und Ergebnisse so erfasst, dass Entscheidungen und weitere Analyse belastbar bleiben.
