Umfang besser einschätzen
Wir prüfen, welche Konten, Geräte, Systeme oder Daten nachweisbar betroffen sind und wo aufgrund fehlender Spuren Unsicherheit verbleibt.
LOCKVEILIT-FORENSIK FÜR UNTERNEHMEN
IT-Forensik: Klären, was geschehen ist – auf Basis gesicherter digitaler Spuren.
Spuren erhalten. Abläufe rekonstruieren. Entscheidungen auf belastbare Erkenntnisse stützen.
LOCKVEIL untersucht digitale Systeme und Datenquellen nach einem vermuteten oder bestätigten Sicherheitsvorfall. Ziel ist eine nachvollziehbare technische Einordnung von Ursache, Ablauf und möglichem Umfang – damit Ihr Unternehmen fundiert über Bereinigung, Kommunikation und weitere Maßnahmen entscheiden kann.
Laufender Angriff? Zum 24/7 IT-NotdienstGESCHÄFTSNUTZEN
Aus Unsicherheit wird eine belastbare Entscheidungsgrundlage.
Nach einem Sicherheitsereignis sind technische Fakten oft über viele Systeme verteilt. Forensik führt verfügbare Spuren methodisch zusammen, macht Grenzen der Aussage sichtbar und trennt gesicherte Erkenntnisse von Annahmen.
Bereinigung gezielt planen
Erkannte Einstiegspunkte, Persistenzmechanismen und betroffene Komponenten liefern eine Grundlage für abgestimmte Eindämmungs- und Wiederherstellungsmaßnahmen.
Entscheidungen dokumentieren
Feststellungen, Zeitbezüge, Untersuchungsmethoden und Einschränkungen werden nachvollziehbar aufbereitet – für technische Verantwortliche, Management und eingebundene Fachberater.
GEEIGNETE AUSGANGSLAGEN
Geeignet, wenn technische Fragen nicht mit Vermutungen beantwortet werden sollten.
Eine forensische Untersuchung ist sinnvoll, wenn ein konkreter Verdacht besteht und digitale Spuren gesichert sowie ausgewertet werden müssen. Untersuchungsziel und Verhältnismäßigkeit werden vorab eingegrenzt.
01
Ein Konto könnte übernommen worden sein.
Unbekannte Anmeldungen, auffällige Weiterleitungsregeln, verdächtige Zugriffe oder ungewöhnliche Aktionen sollen zeitlich und technisch eingeordnet werden.
- Unbekannte Sitzungen oder Anmeldeorte
- Ungeklärte Änderungen an Postfach oder Identität
02
Ein System zeigt Hinweise auf Schadsoftware.
Endpoint-Meldungen, verdächtige Prozesse, Persistenz oder unerklärliche Netzwerkverbindungen erfordern eine tiefergehende Untersuchung des betroffenen Systems.
- Wiederkehrende Erkennungen
- Unbekannte Programme, Dienste oder geplante Aufgaben
03
Ein möglicher Datenabfluss muss eingegrenzt werden.
Protokolle, Zugriffswege und vorhandene Artefakte sollen zeigen, ob Daten erreichbar waren, aufgerufen oder möglicherweise übertragen wurden.
- Ungewöhnliche Downloads oder Archivierung
- Auffällige Cloud- oder Netzwerkaktivität
04
Ein Vorfall benötigt belastbare Aufarbeitung.
Nach der Eindämmung sollen Ablauf, Ursache und verbleibende Risiken rekonstruiert werden, um Bereinigung und künftige Schutzmaßnahmen fundiert zu steuern.
- Unvollständige Chronologie
- Offene Fragen zu Erstzugriff und Reichweite
LEISTUNGSUMFANG & ERGEBNISSE
Untersuchungsziel, Spurenlage und Aussagegrenzen klar dokumentiert.
IT-Forensik folgt konkreten Fragestellungen. Wir legen fest, welche Systeme und Zeiträume betrachtet werden, welche Sicherungsmethode angemessen ist und wie mit Originaldaten, Arbeitskopien sowie Ergebnissen umgegangen wird.
01BAUSTEIN
Fragestellung und Untersuchungsplan
Vorhandene Hinweise werden aufgenommen, Hypothesen formuliert und Datenquellen sowie Prioritäten für die Untersuchung festgelegt.
ERGEBNISAbgegrenzter Untersuchungsauftrag
02BAUSTEIN
Forensische Datensicherung
Relevante Datenträger, Systeme oder exportierbare Protokolle werden abhängig von Lage und Verfügbarkeit möglichst veränderungsarm gesichert.
ERGEBNISDokumentierte Untersuchungsbasis
03BAUSTEIN
Artefakt- und Protokollanalyse
System-, Identitäts-, Anwendungs-, Cloud- und Netzwerkspuren werden zielgerichtet nach den vereinbarten Fragestellungen ausgewertet.
ERGEBNISTechnische Einzelbefunde
04BAUSTEIN
Zeitliche Rekonstruktion
Relevante Ereignisse werden normalisiert und zu einer nachvollziehbaren Chronologie verbunden, soweit Zeitquellen und Datenlage dies erlauben.
ERGEBNISBegründete Ereignisfolge
05BAUSTEIN
Bewertung von Ursache und Umfang
Befunde werden korreliert, alternative Erklärungen geprüft und verbleibende Unsicherheiten ausdrücklich benannt.
ERGEBNISBelastbare technische Einordnung
06BAUSTEIN
Ergebnisbericht und Maßnahmenhinweise
Methodik, Feststellungen, Aussagegrenzen und technische Empfehlungen werden adressatengerecht dokumentiert und erläutert.
ERGEBNISNachvollziehbare Entscheidungsgrundlage
FACHLICHE EINORDNUNG
IT-Forensik fachlich eingeordnet.
Gute Forensik ist hypothesengeleitet, reproduzierbar und zurückhaltend in ihren Schlussfolgerungen. Nicht die Menge eingesammelter Daten entscheidet, sondern ihre Relevanz, Integrität und Einordnung im Gesamtzusammenhang.
01
Was sollte bei einem Verdacht zuerst geschehen?
Unkoordinierte Bereinigung, Neustarts oder breit eingesetzte Analysewerkzeuge können Spuren verändern. Gleichzeitig kann ein verbundenes System weiteren Schaden verursachen. Deshalb sollte die Lage früh mit Incident-Response- und Forensik-Fachleuten abgestimmt und jede Maßnahme nach Betriebsrisiko sowie Spurenerhalt abgewogen werden.
- Zeitpunkt und Beobachtungen notieren
- Veränderungen möglichst dokumentieren
- Vertrauliche Details über abgestimmte Kanäle teilen
02
Worin unterscheiden sich Incident Response und IT-Forensik?
Incident Response steuert die aktuelle Lage: Schaden begrenzen, Betrieb stabilisieren und Wiederanlauf vorbereiten. IT-Forensik sichert und analysiert digitale Spuren. In realen Vorfällen laufen beide Disziplinen koordiniert, weil schnelle Maßnahmen die spätere Spurenlage beeinflussen können.
- Response priorisiert Handlungsfähigkeit
- Forensik priorisiert Erkenntnis und Nachvollziehbarkeit
- Gemeinsame Entscheidungen vermeiden Zielkonflikte
03
Wie wird die Integrität gesicherter Daten nachvollziehbar gemacht?
Sicherungsschritte, Übergaben, verwendete Werkzeuge und relevante Prüfsummen werden dokumentiert. Originaldaten und Arbeitskopien werden soweit praktisch und technisch möglich getrennt behandelt. Das konkrete Verfahren richtet sich nach Systemart und Untersuchungsziel.
- Dokumentierte Herkunft
- Nachvollziehbare Bearbeitungskette
- Explizite Abweichungen und Einschränkungen
ABLAUF DER ZUSAMMENARBEIT
Vom ersten Verdacht zum nachvollziehbaren Befund.
Jede Untersuchung beginnt mit einer klaren Frage. Der Ablauf wird an Dringlichkeit, Datenflüchtigkeit, Betriebsrisiko und rechtliche Rahmenbedingungen des Auftraggebers angepasst.
- 01
Lage und Fragestellung eingrenzen
Wir erfassen Beobachtungen, betroffene Systeme, bereits erfolgte Änderungen, verfügbare Datenquellen und die benötigten Entscheidungen.
ERGEBNISPriorisierter Untersuchungsplan - 02
Spuren sichern und dokumentieren
Flüchtige und persistente Daten werden nach Dringlichkeit gesichert; Herkunft, Zeitpunkt und Bearbeitung werden nachvollziehbar festgehalten.
ERGEBNISKontrollierte Datenbasis - 03
Analysieren und Hypothesen prüfen
Artefakte werden ausgewertet, Zeitlinien korreliert und Befunde gegen alternative Erklärungen sowie bekannte Normalaktivität geprüft.
ERGEBNISBegründete Feststellungen - 04
Ergebnisse übergeben
Wir erläutern Erkenntnisse, Unsicherheiten und technische Folgemaßnahmen. Bei Bedarf unterstützen wir die Übergabe an Incident Response oder weitere Fachberater.
ERGEBNISVerständliche Entscheidungsgrundlage
ENTSCHEIDUNGSHILFE FÜR IHR UNTERNEHMEN
IT-Forensik beauftragen: Fragestellung und Aufwand früh eingrenzen.
Eine gute Beauftragung beginnt mit der Entscheidung, die Sie nach der Untersuchung treffen müssen. Nicht jedes verfügbare System muss gleich tief analysiert werden. Umfang, Zwischenstände und neue Arbeitsschritte sollten nachvollziehbar freigegeben werden.
01VOR DER BEAUFTRAGUNG
Welche Frage soll beantwortet werden?
Beschreiben Sie Anlass, betroffene Systeme, bekannte Zeitpunkte und die benötigte Entscheidung. Bereits durchgeführte Änderungen und erkennbare Lücken gehören ebenfalls in die erste Lagebeschreibung.
IM ANGEBOT KLÄRENPriorisierte Untersuchungsfragen und abgegrenzte Datenquellen
02VOR DER BEAUFTRAGUNG
Wer darf Daten und Ergebnisse erhalten?
Klären Sie befugte Ansprechpartner, zulässigen Untersuchungsumfang und einen geeigneten Übertragungsweg. Sensible Vorfallsdaten gehören nicht unaufgefordert in ein allgemeines Kontaktformular.
IM ANGEBOT KLÄRENAbgestimmte Berechtigungen, Empfänger und Kommunikationswege
03VOR DER BEAUFTRAGUNG
Wie wird der Aufwand gesteuert?
Vereinbaren Sie erste Untersuchungsschritte, Zwischenberichte und Freigaben für Erweiterungen. Klären Sie, welche technische Dokumentation, Management-Zusammenfassung und Ergebnisbesprechung enthalten sind.
IM ANGEBOT KLÄRENFreigegebene Arbeitspakete und definierte Berichtsleistung
HÄUFIGE FRAGEN
Häufige Fragen zur IT-Forensik.
Die Antworten geben eine erste Orientierung. Verbindlich ist immer der konkret vereinbarte Leistungsumfang für Ihre Umgebung.
01Wann sollte IT-Forensik beauftragt werden?+
Wenn ein konkreter Verdacht technisch aufgeklärt werden soll, Ursache oder Umfang eines Vorfalls unklar sind oder digitale Spuren für weitere Entscheidungen erhalten werden müssen. Bei einem laufenden Angriff sollte gleichzeitig die Incident Response koordiniert werden.
02Darf ein verdächtiger Rechner weiter benutzt werden?+
Eine pauschale Empfehlung wäre riskant. Weitere Nutzung kann Spuren überschreiben oder Schaden vergrößern; hartes Ausschalten kann flüchtige Daten verlieren. Die Maßnahme sollte anhand der konkreten Lage unverzüglich fachlich abgestimmt werden.
03Kann eine Untersuchung beweisen, dass keine Daten abgeflossen sind?+
Meist lässt sich ein Datenabfluss nicht mit absoluter Sicherheit ausschließen. Die Untersuchung kann verfügbare Hinweise, Zugriffswege und Protokolle bewerten und transparent darstellen, welche Aussagen die Datenlage trägt und welche nicht.
04Wie lange dauert eine forensische Untersuchung?+
Das hängt von Fragestellung, Datenmenge, Systemarten, Verschlüsselung, Verfügbarkeit von Protokollen und neuen Erkenntnissen ab. Nach einer ersten Sichtung grenzen wir Untersuchungsschritte und Prioritäten transparent ein.
05Was kostet eine IT-forensische Untersuchung?+
Maßgeblich sind Fragestellung, Zahl und Art der Systeme, verfügbare Spuren, Dringlichkeit und die gewünschte Berichtstiefe. Ein begrenzter Untersuchungsauftrag kann einen anderen Aufwand haben als die Rekonstruktion eines unternehmensweiten Vorfalls. Nach der ersten Einordnung werden Umfang, Abrechnung und Freigaben für zusätzliche Schritte festgelegt.
06Erhalten wir einen Bericht?+
Ja, Art und Detailtiefe werden im Auftrag festgelegt. Typisch sind eine verständliche Management-Zusammenfassung, technische Feststellungen, Methodik, Einschränkungen und empfohlene Folgemaßnahmen.
07Ist der Bericht automatisch gerichtsfest?+
Nein. Wir arbeiten nachvollziehbar und dokumentieren Sicherung sowie Analyse. Ob und unter welchen Voraussetzungen Ergebnisse in einem konkreten Verfahren verwertbar sind, muss mit entsprechend qualifizierter Rechtsberatung geklärt werden.
KOSTENLOSES ERSTGESPRÄCH
Welche Frage soll die Untersuchung belastbar beantworten?
Im ersten Gespräch klären wir Anlass, Dringlichkeit, betroffene Systeme und vorhandene Spuren. Daraus leiten wir einen angemessenen Untersuchungsumfang ab. Bei einem laufenden Angriff nutzen Sie bitte direkt den IT-Notdienst.
- 01Fragestellung eingrenzen
- 02Spurenlage und Dringlichkeit bewerten
- 03Untersuchungsumfang nachvollziehbar planen