Mehr Cybersicherheit mit Digital Forensics & Incident Response

19. August 2026 / Roman Ferdigg, Certitude Consulting

Wenn es um Wachstumsraten geht, ist eine „Branche“ leider ganz vorne mit dabei: die Cyberkriminalität. Ihre „Wertschöpfung“ besteht aus Zerstörung und Disruption, sei es zum monetären Nutzen der dahinterstehenden kriminellen Netzwerke, sei es aus geopolitischem Kalkül. Künstliche Intelligenz sorgt zusätzlich für eine drastische Beschleunigung der Dynamik und verringert die Zeit, die böswillige Akteure vom Aufspüren einer Schwachstelle bis zu deren Ausnutzung haben, von Tagen auf nur wenige Stunden.

Ein umfassendes Sicherheitsregime, das eine schnelle Reaktion ermöglicht, ist deshalb unerlässlich, um als Organisation gegen dieses Bedrohungsszenario gut gewappnet zu sein. Dazu zählt auch, zwei wichtige Sofortmaßnahmen in einem Service zu kombinieren: Digital Forensics & Incident Response (DFIR) verhindert einerseits, dass durch die schnelle Entfernung einer Bedrohung aus dem Netzwerk versehentlich Beweise verändert oder zerstört werden, andererseits sorgt die enge Abstimmung dafür, dass forensische Ermittlungen die Arbeit des Response-Teams nicht behindern. Außerdem ist wichtig, den Hackern den Zugriff auf Systeme vollständig und gleichzeitig zu entziehen. Denn wenn Angreifer feststellen, dass sie ertappt sind, versuchen sie häufig noch Schritte zu setzen, um Schaden anzurichten oder sich versteckte Hintertüren zu schaffen.

DFIR Retainer – allzeit bereit im Dienst der Cybersicherheit

Wenn es zum Ernstfall kommt, muss es schnell gehen und koordiniert vorgegangen werden. Deshalb braucht das Cyber-Response Team wesentliche aktuelle Informationen über die bestehende IT-Infrastruktur und es müssen die technischen Voraussetzungen für eine rasche Reaktion gegeben sein. Verantwortlichkeiten und Ansprechpartner:innen müssen klar definiert sein und die Organisation der internen Kommunikation muss gewährleisten, dass es im Fall des Falles nicht zu gefährlichen Verzögerungen im Ablauf kommt. Eine Zusammenarbeit mit diversen Security-Dienstleistern, seien es SOC (Security Operations Center), CDC (Cyber Defense Center) und MDR (Managed Detection and Response), ist ebenfalls wesentlich. Und last but not least sollten alle relevanten Regularien in Bezug auf Cyber-Vorfälle sowie etwaige vertragliche und versicherungsbezogene Verpflichtungen nicht in den Tiefen der Datenbank oder in den Köpfen einzelner Mitarbeiter versteckt, sondern schnell verfügbar sein.

Solch eine vernetzte Vorgangsweise erfordert fachliche Expert:innen, umfassende Erfahrung, regelmäßiges Training und notwendige Werkzeuge, die häufig nicht im erforderlichen Ausmaß verfügbar sind oder nicht wirtschaftlich sinnvoll vorgehalten werden können. Mit dem „DFIR Retainer“ bietet Certitude ein qualifiziertes DFIR-Team als Service an, das die Organisationen in derartigen Krisensituationen umfassend unterstützt, und garantiert dessen rasche Verfügbarkeit.

Gesamtpaket Cyber Response

Sich gegen Cyberangriffe zu schützen, bedeutet eigentlich, Antworten auf Fragen zu finden, die noch nicht gestellt wurden. Denn nur die Angreifer:innen wissen, wo sie attackieren werden, und ihnen reicht ein Treffer aus tausenden Versuchen, während die Organisationen ihr ganzes System permanent lückenlos verteidigen müssten – was jedoch in der Praxis unmöglich ist. Aus diesem Grund müssen sowohl vorbeugende als auch reaktive technische und forensische Maßnahmen getroffen sowie deren Nachbereitung organisiert werden, um einen Schaden möglichst gering zu halten.

• Preparation & Readiness: Die oben bereits angesprochene Vorbereitung ermöglicht im Ernstfall die Umsetzung einer schnellen, koordinierten Antwort.
• Detection & Analysis: Wenn „es“ passiert ist, treten Erkennung und Analyse auf den Plan: Die Forensik-Tools werden ausgerollt, Informationen gesammelt, IoCs (Indicators of Compromise) und Angriffsvektoren identifiziert sowie Umfang und Tiefe der Kompromittierung wie auch der Zeitrahmen des Angriffs analysiert.
• Containment & Eradication: Danach muss der Angriff durch die Isolation der betroffenen Netzwerke, Systeme und Benutzerkonten eingedämmt werden. Dazu zählt auch, den Zugriff der Angreifer:innen zu beenden und die Backups zu schützen sowie die Einfallstore zu beseitigen und betroffene Konten zurückzusetzen.
• Recovery: Zunächst sind die wichtigsten Services zu definieren, die zuallererst wiederhergestellt werden sollen, um das Risiko für die Ressourcen und den Betrieb der Organisation möglichst gering zu halten. Danach muss Malware von infizierten Systemen entfernt und kompromittierte Benutzerkonten deaktiviert werden. Auch wiederhergestellte Backups müssen gesäubert werden.
• Post-incident: Mit dem Incident-Bericht ist der Fall jedoch noch nicht abgeschlossen. Er sollte nicht nur eine Zusammenfassung des Vorfalls sein, sondern auch die Ursachen aufzeigen, Verbesserungsmaßnahmen anbieten und auf etwaige Berichtspflichten hinweisen, damit sich nicht auch noch ein rechtliches Problem ergibt.

Übung macht den Meister

Panik wäre die beste Helferin der Angreifer:innen – deshalb braucht es auch für Cyber Response ein eingespieltes Team, um in einer durch extremen Zeitdruck und Stress gekennzeichneten Krisensituation koordiniert und effizient vorzugehen.

Mit einem in einer Notfallübung simulierten Angriff lernen Entscheidungsträger:innen der Organisation, richtig auf den Vorfall zu reagieren. Neben technischen Aspekten sind auch juristische und wirtschaftliche Fragestellungen sowie eine adäquate Kommunikation und effiziente Prozesse relevant. Certitude bietet dafür ein Übungsszenario an, in dem DFIR-Expert:innen mit Erfahrung in der Reaktion auf IT-Sicherheitsvorfälle die Teilnehmenden bei der Verbesserung der Cyber-Response-Strategien, Prozesse und Ressourcen fachlich begleiten.

Über Certitude Consulting

Certitude Consulting unterstützt Organisationen dabei, digitale Risiken frühzeitig zu erkennen, systematisch zu bewerten und wirksam zu steuern. Das Unternehmen kombiniert tiefgehende technische Expertise mit methodischer Stärke in Governance, Risk & Compliance sowie Erfahrung in sicherheitskritischen Transformationsprojekten. Durch die enge Verzahnung von Forschung, Regulierung und Praxis entwickelt Certitude Lösungen, die normkonform, umsetzbar und alltagstauglich sind. https://certitude.consulting/