STOP.LI · Berichte · Ereignisse
Forensik
kurz gefasst.
Die Zusammenfassung einer forensischen Untersuchung für Entscheidungsträger: Fragestellungen, Ergebnisse mit Sicherheitsgrad, Datenabfluss, Grenzen der Analyse und nachvollziehbare Beweissicherung.
Auf einen
Blick.
AdressatKrisenstab, Geschäftsleitung, RechtsdienstBei Bedarf auch Versicherer, Behörden und Strafverfolgung, jeweils in einer abgestimmten Fassung.
ZeitpunktZwischenstand und AbschlussEin Zwischenstand für Meldungen und Entscheide; die Abschlussfassung nach Ende der Analyse.
ZweckFakten von Hypothesen trennenEntscheidungsträger müssen wissen, was gesichert ist, was wahrscheinlich und was offen.
Aufbau
des Berichts.
| Abschnitt | Inhalt | Leitfrage |
|---|---|---|
| Auftrag und Fragen | Auftraggeber, rechtlicher Rahmen, konkrete Fragestellungen (z. B. Erstzugang, Umfang, Datenabfluss, Persistenz). | Was soll die Untersuchung beantworten? |
| Umfang und Quellen | Untersuchte Systeme, Protokolle, Speicherabbilder, Zeiträume; fehlende Quellen. | Worauf stützt sich das Ergebnis? |
| Beweissicherung | Sicherungsmethode, Hashwerte, Beweiskette, Reihenfolge nach Flüchtigkeit. | Ist das Ergebnis beweissicher nachvollziehbar? |
| Zeitleiste | Erster Zugriff, Ausbreitung, Rechteausweitung, Datenzugriff, Exfiltration, Entdeckung; in UTC. | Was geschah wann? |
| Ergebnisse | Antwort je Fragestellung mit Sicherheitsgrad. | Was wissen wir mit welcher Sicherheit? |
| Datenabfluss | Art, Umfang und Empfänger abgeflossener Daten, soweit bestimmbar. | Löst das Meldepflichten oder Kundeninformation aus? |
| Indikatoren | Kompromittierungsindikatoren und Angriffstechniken. | Was müssen wir und andere suchen? |
| Grenzen und Empfehlungen | Lücken der Analyse; Empfehlungen zu Bereinigung und Härtung. | Was bleibt offen und was ist zu tun? |
Sicherheits
grade.
Jede Aussage der Zusammenfassung trägt einen Sicherheitsgrad. So können Entscheidungsträger einschätzen, worauf sie sich stützen.
| Grad | Bedeutung | Typische Grundlage |
|---|---|---|
| Gesichert | Durch mehrere unabhängige Spuren belegt. | Übereinstimmende Protokolle, Artefakte und Netzwerkdaten. |
| Wahrscheinlich | Durch Spuren gestützt, aber nicht vollständig belegt. | Einzelne Artefakte, Lücken in Protokollen. |
| Möglich | Plausibel, aber ohne direkten Beleg. | Bekanntes Vorgehen der Angreifergruppe, fehlende Daten. |
| Ausgeschlossen | Durch vorhandene Spuren widerlegt. | Vollständige Protokolle für den betreffenden Zeitraum. |
Deutschland
und Schweiz.
Gemeinsamer Aufbau für beide Rechtsräume. Die Tabelle zeigt, welche Vorgaben den Bericht wo prägen; wo keine Vorgabe besteht, steht das ausdrücklich.
| Rechtsraum | Grundlage | Bedeutung für den Bericht | Fundstelle |
|---|---|---|---|
| Norm | Verfahren zur Identifikation, Sammlung, Erfassung und Sicherung von Beweismaterial werden festgelegt und angewendet. | Beweissicherung im Bericht nachvollziehbar beschreiben. | ISO/IEC 27001:2022, Anhang A 5.28; ISO/IEC 27037 ↗ |
| Methode | Leitfaden zur Integration forensischer Techniken in die Vorfallbehandlung; Reihenfolge der Sicherung nach Flüchtigkeit der Daten. | Methode und Werkzeuge angeben. | NIST SP 800-86; RFC 3227 ↗ |
| FinanzD | Nachträgliche Prüfungen bewerten unter anderem Qualität und Schnelligkeit forensischer Analysen, sofern zweckmässig. | Zeitpunkte der Forensik festhalten; sie werden später bewertet. | Art. 13 Abs. 2 Bst. b DORA ↗ |
| Deutschland und EU | Die Meldung nach 72 Stunden enthält gegebenenfalls Kompromittierungsindikatoren; bei Personendaten sind Kategorien und ungefähre Zahl der Betroffenen zu melden. | Zwischenstand der Forensik rechtzeitig für diese Meldungen liefern. | § 32 Abs. 1 Nr. 2 BSIG; Art. 33 DSGVO ↗ |
| Schweiz | Die Meldung an das BACS enthält Art und Ausführung des Angriffs; bei Verletzung der Datensicherheit sind betroffene Daten und Personen soweit möglich anzugeben. | Ergebnisse zu Angriffsweg und Datenabfluss für beide Meldungen aufbereiten. | Art. 74e ISG; Art. 15 DSV ↗ |
Häufige
Fehler.
FehlerHypothese als FaktEine plausible Vermutung ohne Spur wird ausdrücklich als solche gekennzeichnet.
FehlerLücken verschwiegenFehlende Protokolle begrenzen jede Aussage. Sie gehören in die Zusammenfassung.
FehlerGemischte ZeitzonenZeitangaben aus Systemen verschiedener Zeitzonen führen zu falschen Zeitleisten. Zeitleiste in UTC; Meldefristen zusätzlich in Lokalzeit.
FehlerBeweiskette unterbrochenOhne dokumentierte Übergaben und Hashwerte ist ein Beweisstück später wenig wert.
Passende
Werkzeuge.
Diese Werkzeugklassen liefern Daten oder Nachweise für den Bericht. Einordnung und Produktvergleich stehen auf den verlinkten Seiten.
WerkzeugDigital ForensicsSichert und analysiert Spuren mit nachvollziehbarer Beweiskette.WerkzeugMalware AnalysisKlärt Funktion und Indikatoren der eingesetzten Schadsoftware.WerkzeugIncident ResponseVerbindet forensische Befunde mit Eindämmung und Wiederherstellung.WerkzeugThreat IntelligenceOrdnet Indikatoren und Vorgehen bekannten Akteuren zu.
Einordnung. Die Seite beschreibt Aufbau und Mindestinhalte des Berichts. Sie ersetzt keine Rechtsberatung; ob und in welcher Rolle ein Regelwerk gilt, hängt vom Geltungsbereich ab. Weiter: Werkzeuge Digital Forensics →, Incident Report →, Post-Incident-Review →.