// Monitoring und Incident Response · Düsseldorf & Rhein-Ruhr
Security Monitoring und Incident Response
Angriffe kündigen sich an — meist in Protokollen, die niemand liest. Wir lesen sie, melden, was nicht ins Bild passt, und haben für den Ernstfall einen Ablauf, der nicht erst erfunden werden muss.
// Datenquellen
Woraus sich ein Bild ergibt
-
Anmeldungen
Wer meldet sich von wo an, wie oft schlägt es fehl, tauchen zwei Anmeldungen desselben Kontos an weit entfernten Orten auf.
-
Endgeräte
Meldungen der verwalteten Rechner: gestartete Prozesse, abgeschaltete Schutzfunktionen, ein Gerät, das seit Tagen gar nichts mehr sagt.
-
Netzübergang
Verbindungen nach außen, ungewöhnliche Ziele und Datenmengen, die zu Uhrzeiten fließen, an denen im Haus niemand arbeitet.
-
Sicherungsläufe
Ob die Sicherung durchgelaufen ist und ob jemand versucht hat, sie zu verändern. Angriffe suchen den Rückweg zuerst.
-
Der Normalzustand
Ohne ein bekanntes übliches Bild ist jede Meldung nur Rauschen. Deshalb steht am Anfang eine Phase, in der wir vor allem zuhören.
// Im Ernstfall
Vier Schritte, in dieser Reihenfolge
Unter Druck wird selten gut improvisiert. Der Ablauf steht deshalb vorher fest — inklusive der Frage, wer welche Entscheidung treffen darf.
Auffälligkeit wird zur Meldung
Aus dem laufenden Bild fällt etwas heraus. Die Meldung geht nicht in eine Warteschlange, sondern an eine Person, die sie ansieht — auch nachts.
Fehlalarm oder Vorfall?
Zuerst der Abgleich mit dem Bekannten: geplante Wartung, Dienstreise, neuer Dienstleister. Bleibt es unerklärt, wird eskaliert — nach einem Weg, der vorher vereinbart ist.
Ausbreitung stoppen
Betroffene Geräte und Konten werden getrennt, Protokolle gesichert, bevor sie überschrieben werden. Aufräumen kommt später — erst wird die Blutung gestillt.
Geordnet zurück
Systeme kommen in einer festgelegten Reihenfolge wieder hoch, aus geprüften Ständen und erst, wenn der Weg hinein geschlossen ist. Sonst beginnt es von vorn.
// Danach
Ein Vorfall ist vorbei, wenn klar ist, wie er angefangen hat.
Der Vorfall ist erst vorbei, wenn beantwortet ist, wie jemand hereingekommen ist. Solange das offen bleibt, war der Wiederanlauf nur eine Pause — und dieselbe Tür steht weiter offen.
Backup und WiederherstellungOhne diese Antwort lässt sich weder die Lücke schließen noch belastbar melden, was betroffen war.
Was im Ernstfall gehakt hat — eine falsche Nummer, ein fehlender Zugang — wird sofort nachgezogen.
Hergang, Umfang und Maßnahmen in einer Form, die auch Geschäftsführung und Aufsicht verstehen.
Ein Durchgang am Tisch findet Lücken billiger als der Ernstfall.
// Fragen zu Monitoring und Reaktion
Was vor dem Ernstfall geklärt sein sollte
01 Bieten Sie Monitoring rund um die Uhr an?
Ja. Überwachung und Rufbereitschaft laufen durchgehend, auch nachts und an Feiertagen. Welche Meldung Sie sofort erreicht und welche bis zum nächsten Werktag wartet, legen wir vorher gemeinsam fest — sonst klingelt das Telefon wegen eines vollen Datenträgers um drei Uhr morgens.
02 Welche Reaktionszeiten sagen Sie zu?
Reaktionszeiten halten wir verbindlich im Vertrag fest, gestaffelt nach Dringlichkeit. Die Einstufung richtet sich nicht an der Technik aus, sondern daran, was bei Ihnen stillsteht — ein einzelner Arbeitsplatz wiegt anders als die Auftragsannahme.
03 Was ist der Unterschied zu normalem IT-Monitoring?
Betriebsüberwachung fragt, ob etwas läuft: Datenträger voll, Dienst gestoppt, Sicherung fehlgeschlagen. Sicherheitsüberwachung fragt, ob etwas ungewöhnlich ist: eine Anmeldung aus einem Land ohne Standort, ein Konto, das nachts Daten abzieht, ein Rechner, der plötzlich Serverdienste sucht.
04 Was passiert in den ersten Minuten eines Vorfalls?
Zuerst Eindämmung, nicht Aufräumen. Betroffene Geräte und Konten werden vom Netz genommen, damit sich nichts weiter ausbreitet. Parallel sichern wir Protokolle, bevor sie überschrieben werden — wer sofort putzt, vernichtet die Spur und weiß hinterher nicht, was abgeflossen ist.
05 Brauchen wir dafür ein eigenes Team im Haus?
Nein, aber Sie brauchen benannte Personen. Technisch übernehmen wir; Entscheidungen wie das Abschalten eines Produktionssystems oder eine Meldung an die Aufsicht sind Geschäftsentscheidungen. Wer sie trifft und wie diese Person nachts erreichbar ist, steht besser vorher fest.
06 Lässt sich der Ernstfall proben?
Ja, und wir empfehlen es. Ein Durchgang am Tisch zeigt in kurzer Zeit, ob die Kontaktliste stimmt, ob jemand die Zugangsdaten außerhalb der betroffenen Systeme hat und in welcher Reihenfolge Systeme wieder anlaufen sollen. Genau daran scheitert es sonst im Ernstfall.
Passt dazu
Übersicht Cybersicherheit
Wen ruft Ihr Team um zwei Uhr nachts an?
Wenn darauf niemand spontan antworten kann, fehlt der Ablauf — nicht die Technik. Wir gehen ihn mit Ihnen durch und übernehmen die Überwachung, die dahintersteht.