Forensik & Incident Response

Die Systeme nicht ausschalten und nicht neu aufsetzen: Arbeitsspeicher und Protokolle enthalten oft das Wesentliche zum Verständnis des Vorfalls. Vom Netzwerk trennen statt herunterfahren, Protokolle sichern, bevor sie überschrieben werden, Zeitpunkt und Art jeder Handlung festhalten und die interne Kommunikation auf einen Kanal verlagern, von dem bekannt ist, dass er nicht kompromittiert ist. Dann anrufen. Die Entscheide der ersten Stunde prägen alles Weitere.

Ja. Die Notfallnummer auf dieser Seite steht offen, und eine erste Einschätzung erfolgt telefonisch, um die Lage und die unmittelbaren Massnahmen zu klären. Der Vertrag folgt, er geht nicht voraus. Eine im Voraus vereinbarte Bereitschaft — bekannter Perimeter, benannte Kontakte, vorbereitete Zugänge — spart allerdings genau die Stunden, die am meisten zählen.

Dafür ist die Beweiskette da: Jeder Datenträger wird erhoben, mit einer Prüfsumme versehen, versiegelt und nachverfolgt, sodass sich belegen lässt, dass er zwischen Erhebung und Analyse nicht verändert wurde. Wir arbeiten standardmässig so, auch wenn keine Anzeige vorgesehen ist — der Entscheid, die Sache weiterzuverfolgen, fällt oft später. Über die Verwertbarkeit befinden danach die angerufene Behörde und Ihre Rechtsvertretung; unser Teil ist es, sie nicht zu gefährden.