Unser E-Mail-Konto wurde gehackt, jetzt heißt es Incident Investigation: Wer macht das und was wird da gesichert?

Mit dem Server-Neustart habt ihr wahrscheinlich schon alle aktiven Netzwerk-Sockets und flüchtigen Sitzungsdaten der Angreifer im RAM gekillt. Typische Panikreaktion von Admins, die genau das plattmacht, was Forensiker am dringendsten brauchen. Ab jetzt: nichts mehr installieren, nichts löschen, sofort ein 1:1-Disk-Image der Platten ziehen.

Schaut euch unbedingt die Postfachregeln an. Angreifer leiten Mails mit Stichwörtern wie Rechnung, Zahlung, Überweisung gern unbemerkt an externe Adressen weiter oder verschieben Antworten direkt in den Papierkorb. Und sichert sofort die Admin-Audit-Logs aus der E-Mail-Verwaltung.

Was ihr auf der Stelle machen solltet: Im Admin-Panel auf „Von allen Geräten abmelden“ drücken und ausnahmslos für alle Mitarbeiter 2FA zur Pflicht machen. Wenn nur das Passwort geändert wird, bleibt der Angreifer über aktive Session-Tokens trotzdem oft noch drin.

Bei uns in der Moskauer Logistik hatten wir letztes Jahr exakt denselben Rechnungs-Scam. Wir haben damals 450.000 RUB an ein IT-Sicherheitsunternehmen für die Forensik gezahlt. Am Ende kam raus: Der Angreifer saß nach einer Phishing-Mail auf dem Rechner der Buchhalterin 43 Tage lang still im Postfach und hat einfach nur mitgelesen.

krasses glück gehabt dass der lieferant stutzig geworden ist, 3.8 mio rubel sind kein pappenstiel. aber der berater hat recht, die waren vllt nicht nur im mailkonto sondern hängen schon tiefer im netzwerk. schiebt die untersuchung bloß nicht auf.

Nach russischem Recht unterliegen Sie klaren Pflichten bezüglich des Schutzes personenbezogener Daten und von Geschäftsgeheimnissen. Sollte der Vorfall externe Kreise ziehen oder eine Strafanzeige erstattet werden, ist ein Gutachten eines lizenzierten Forensikers, das die lückenlose Beweismittelkette belegt, vor Gericht Ihre einzige tragfähige Grundlage.

Solcher Rechnungsbetrug passiert nie zufällig. Die Angreifer kannten eure Buchhaltungsabläufe, den Tonfall mit dem Lieferanten und die Rechnungszyklen ganz genau. Das heißt, die waren tagelang, wenn nicht wochenlang drin und haben spioniert. Eure interne IT löscht da nur den sichtbaren Brand; für eine echte Ursachenanalyse braucht man externe Profis.

Ich bin ein kleines Unternehmen ich erzähle es aus meiner Sicht... übrigens wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Viel Erfolg.

Notiert, danke.

Ich erzähle mal, was mir passiert ist, vielleicht hilft es euch. Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Da ist mir noch ein Punkt unklar. Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss.

An deiner Stelle würde ich so vorgehen.

Hier muss man eine Unterscheidung treffen. Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.

Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.

Bei Incident Investigation ist es meiner Meinung nach schwierig, so eindeutig zu sprechen. Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.

Nur als Notiz, könnte nützlich sein.

Danke, genau die Antwort, die ich gesucht habe. Fehler auf der Incident Investigation-Seite sind meist rückgängig zu machen, aber teuer.

An deiner Stelle würde ich so vorgehen.

Kurzfassung für Neueinsteiger: Die Zeit die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Korrigiert mich, falls ich falsch liege.

Kannst du das etwas genauer erklären? Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten. Korrigiert mich, falls ich falsch liege.

Ich erzähle mal, was mir passiert ist, vielleicht hilft es euch. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Aus Erfahrung weiß ich das.

Im Großen und Ganzen richtig, aber ein Punkt fehlt. Wer bei Incident Investigation hetzt, stolpert alle an derselben Stelle.