Unsere Leistungen
Incident Response und Forensik
Ein Cyberangriff ist mittlerweile keine Frage mehr nach dem „ob“, sondern nach dem „wann“. Passend zu Ihren Bedürfnissen bieten wir Ihnen verschiedene Dienstleistungen an.
Sie benötigen sofortige Hilfe?
Wenn es aktuell „brennt“ und Sie schnelle Unterstützung benötigen, finden Sie alle relevanten Informationen und Kontakte auf unserer Seite für Soforthilfe bei Cyberangriffen.
Sie suchen langfristige Begleitung?
Um im Ernstfall nicht erst nach Hilfe suchen zu müssen, bieten wir Ihnen ein SLA mit garantierter Erreichbarkeit und Reaktionszeiten an. Details zu unserem 24/7 Incident Response Service finden Sie weiter unten.
Sie möchten auf den nächsten Vorfall vorbereitet sein?
Überprüfen Sie in einer Tabletop-Übung zur richtigen Reaktion, wie gut Sie auf einen Vorfall vorbereitet sind, oder holen Sie sich in einem Compromise-Assessment unsere Einschätzung ein.
Gerne helfen wir Ihnen auch bei der Erstellung von Konzepten oder Playbooks, beim Aufbau von Incident Response-Teams und beraten Sie individuell rund um Incident Response und Forensik.
Natürlich können Sie sich auch bei unseren Trainings individuell fortbilden.
24/7-Service für Incident-Response und Forensik
Wir bieten unseren Kunden deutschlandweit und darüber hinaus eine 24/7-Erreichbarkeit unserer Experten für Incident Response und Forensik mit garantierten Reaktionszeiten sowie einen umfassenden Leistungskatalog zur Bewältigung von Angriffen und anderen IT-Sicherheitsvorfällen.
Aufgrund unserer Expertise sind wir als BSI-qualifizierter APT-Response-Dienstleister gelistet.
Bei einem Hackerangriff oder einer Infektion mit Ransomware beraten und unterstützen Sie unsere Experten bei:
- der Auswahl geeigneter Sofortmaßnahmen
- der Übernahme der Ermittlungsleitung
- der Bereitstellung von Kommunikationswegen
- der Auf- und Nachbereitung
- der Wiederherstellung
Dadurch kann zeitnah richtig reagiert, der Vorfall möglichst schnell eingegrenzt und anschließend bearbeitet werden, damit der Schaden so gering wie möglich ausfällt.
Forensische Untersuchungen
Im Rahmen der forensischen Untersuchung analysieren unsere Spezialisten betroffene Systeme und Netzwerke sowie vorgefundene Malware mit professionellen Werkzeugen vor Ort und in unserem Forensik- bzw. Malwarelabor.
So können Tathergang und Angriffsweg rekonstruiert und die für den jeweiligen Angriff typischen Spuren aufgenommen werden. Zudem werden Hinweise auf weitere betroffene Systeme, Benutzerkonten und Daten ermittelt sowie ein eventueller Datenabfluss untersucht.
Typische Vorgehensweisen können beispielsweise sein:
- Rekonstruktion des Tathergangs oder des Infektionswegs über die Analyse von Protokollen, Festplatten- und Hauptspeicherabbildern
- Gezielte Suche nach Dateien und Inhalten auf Endgeräten und Datenträgern bei Verdacht auf unautorisierten Datenabfluss
- Ermittlung der ursächlichen Schwachstellen für den erfolgreichen Angriff
- Live-Analyse von Systemen, um weitere Spuren zu sammeln oder den Umfang eines Vorfalls zu ermitteln
- Malwareanalyse von Dateien und Programmen
- Ermittlung bei Betrugsfällen durch Mitarbeiter, beispielsweise Untersuchung des E-Mail-Verkehrs hinsichtlich Absprachen mit Konkurrenten oder Abfluss von vertraulichen Unternehmensdaten
Bei der Aufbereitung und Analyse der Artefakte arbeiten wir mit marktüblichen Werkzeugen. Die Ergebnisse der Analyse fassen wir in einem ausführlichen Bericht zusammen und erstellen darüber hinaus bei Bedarf auch forensische Gutachten.
Beratung und Erarbeitung von Incident-Handling-Konzepten
Egal ob Sie sich bei Vorfällen auf cirosec als Incident-Response-Dienstleister verlassen wollen oder ein eigenes Incident-Response-Team, CERT, CSIRT oder sogar SOC aufbauen, in jedem Fall müssen Verantwortlichkeiten und Prozesse definiert und Reaktionspläne erstellt werden.
Wir beraten und unterstützen Sie dabei umfassend, damit Sie optimal vorbereitet sind und im Ernstfall Ruhe bewahren und zielgerichtet reagieren können.
Unsere erfahrenen Berater erarbeiten in enger Abstimmung mit Ihnen Konzepte und vorbereitende Maßnahmen.
Wir unterstützen Sie bei der Gestaltung von Prozessen, bei der Auswahl von Werkzeugen sowie bei der Festlegung von Verantwortlichkeiten und Handlungsanweisungen.
Dabei orientieren wir uns an den anerkannten Standards.
IR-Readiness-Workshop
Der IR-Readiness-Workshop liefert anhand des Beispiels „Ransomware“ Einblicke in typische Aspekte der Incident Response. Ziel des Workshops ist es, anhand des Beispiels sinnvolle Vorbereitungen herzuleiten, sodass Ihr Unternehmen sich bestmöglich auf den Ernstfall vorbereiten kann. Umfassende Vorbereitungen leisten am Ende einen entscheidenden Beitrag zur Reaktion auf IT-Sicherheitsvorfälle.
Erstellung IR-Playbooks
Im Fall eines Einbruchs in Ihre IT-Systeme ist es sinnvoll, einen Leitfaden an der Hand zu haben, um im Ernstfall die richtigen Entscheidungen zu treffen.
Die von uns erstellten Playbooks orientieren sich an der Struktur des NIST Incident Response Cycle, der sich aus den folgenden vier Phasen zusammensetzt:
- Vorbereitung
- Erkennung und Analyse
- Eindämmung, Bereinigung, und Wiederherstellung
- „Lessons Learned“
Readiness Assessment
Ziel eines Readiness Assessments ist es, Schwächen in den bestehenden Incident-Response-Prozessen und den eingesetzten Werkzeugen zur Erkennung von Angriffen zu identifizieren. Dadurch bildet es eine fundierte Grundlage, um die bestehende Incident-Response-Strategie zielgerichtet weiterzuentwickeln und sich wirksam auf Sicherheitsvorfälle vorzubereiten.
In einem Workshop führen wir mithilfe eines Fragekatalogs anhand bewährter Frameworks (z. B. ISO/IEC 27035) eine strukturierte Analyse Ihrer bestehenden Prozesse durch. Unter anderem werden folgende Themenbereiche betrachtet:
Analyse bestehender Prozesse
Überprüfung der aktuellen Incident-Response-Pläne, Notfallhandbücher, Eskalationspfade und Kommunikationsstrategien.
Fähigkeiten des IR-Teams
Prüfung, ob die Mitglieder des IR-Teams über die notwendigen Fähigkeiten verfügen, um Sicherheitsvorfälle effektiv zu bearbeiten. Dabei geht es um technische Fähigkeiten und um notwendiges Wissen bei den beteiligten Mitarbeitern.
Technische Infrastruktur
Bewertung, ob die eingesetzten Tools (z. B. Malwareschutz, Logging-Systeme, Firewalls, etc.) ausreichende Erkennungsfähigkeit und Unterstützung bieten, um Vorfälle schnell erkennen und darauf reagieren zu können.
Verantwortlichkeiten und Rollen
Prüfung, ob Rollen und Verantwortlichkeiten klar definiert und abgegrenzt sind.
Compromise-Assessment
Bei einem Compromise-Assessment handelt es sich um eine tiefergehende Untersuchung einzelner IT-Systeme und Netzwerke oder eines großen Teils der IT-Infrastruktur und Accounts.
Das Hauptziel dabei ist es, festzustellen, ob Angreifer möglicherweise unbemerkt Teile der Infrastruktur kompromittiert haben. Im Fall einer bestätigten Kompromittierung wird außerdem analysiert, welche Persistenzmethoden die Angreifer gewählt haben.
Ein Compromise-Assessment kann auf verschiedenen Ebenen durchgeführt werden, um unterschiedliche Arten von Systemen und Daten in den Mittelpunkt zu stellen.
Typischerweise kann eine solche Analyse die folgenden Aspekte erfassen:
- Prüfung der vorhandenen Endgeräte (Clients und Server)
- Prüfung der aktuellen Netzwerkkommunikation
- Prüfung von Firewall-Logs (eingehende und ausgehende Verbindungen)
- Prüfung von Identitäten (typischerweise „Active Directory und Microsoft Entra ID“)
- Prüfung auf Basis von Informationen aus Threat-Intelligence- und Darknet-Quellen
Tabletop-Übungen zur richtigen Reaktion
Bei einem konkreten Sicherheitsvorfall müssen der externe Dienstleister oder das interne Incident-Response-Team im Unternehmen mit den entsprechenden internen Fachexperten für die jeweiligen IT-Systeme zusammenarbeiten.
Für diese Zusammenarbeit definiert man im Vorfeld die nötigen Rollen und Prozesse beziehungsweise Abläufe.
Um festzustellen, ob diese Pläne auch in der Praxis funktionieren, und um die notwendige Routine bei der Vorfallsbehandlung aufzubauen, sind regelmäßige Übungen unerlässlich.
Nur so wissen alle Beteiligten, wie sie im Ernstfall schnell und richtig zusammenarbeiten können.
Übungen können theoretisch simulierte Situationen sein, bei denen alle Beteiligten an einem Tisch sitzen, oder praktische Übungen, bei denen beispielsweise technische Alarme ausgelöst und gemeinsam bearbeitet werden.
Wir unterstützen Sie bei der Vorbereitung, beispielsweise der Erarbeitung des Drehbuchs, und auch bei der Durchführung der Übung. Dazu gehören die Moderation, die Simulation von Angreifern, die Beobachtung der Handlungen der an der Übung beteiligten Rollen und vieles mehr.
Auch die Nachbereitung von Übungen, gemeinsame Lessons-Learned-Workshops, Empfehlungen zur Verbesserung und Weiteres können wir Ihnen anbieten.
Ermittlung bei Betrugsfällen durch Mitarbeiter
Bei Verdacht, dass ein Mitarbeiter zum Nachteil des Unternehmens gehandelt hat, beispielsweise durch Weitergabe vertraulicher Informationen oder durch Absprachen mit Wettbewerbern, ist eine strukturierte forensische Analyse digitaler Spuren essenziell. Ziel ist es, belastbare, gerichtsverwertbare Beweise zu sichern, ohne dabei rechtliche Grenzen (Datenschutz, Persönlichkeitsrechte, Mitbestimmung) zu verletzen. Digitale Spuren, insbesondere in E-Mail-Kommunikation, Dateizugriffen und Netzwerkprotokollen, spielen dabei eine zentrale Rolle.
Typische Ansätze zur Analyse können beispielsweise sein:
- Schlagwort- und Mustersuche
- Auswertung von Metadaten
- Suche nach Anomalien
- Prüfung von E-Mails und deren Dateianhängen
- Prüfung von Zugriffsprotokollen
- Analyse von weiteren Übertragungswegen
Ergebnisse der Analyse fassen wir in einem ausführlichen Bericht zusammen und erstellen darüber hinaus bei Bedarf auch forensische Gutachten.
Unsere Veröffentlichungen zum Thema Incident Response und Forensik
Tools für Incident Response
iX 10/25
Prep for Response!
kes 4/25
Reaktion auf Ransomware
iX Spezial 06/2024
Warum kein Weg an Incident Response vorbeiführt
iX Spezial 06/2024
Incident-Response-Dienstleister
iX Spezial 06/2024
Reaktions-Training
kes 4/24
Ihr System wurde angegriffen?
Falls Sie Opfer eines Cyber-Angriffs wurden, kontaktieren Sie unsere Spezialisten. Mit einem entsprechenden Vertrag erreichen Sie uns bei Notfällen rund um die Uhr.
