Sie haben gerade einen Vorfall? Rufen Sie an: +49 2058 175 566 0
Sofortmaßnahmen ansehenIncident Response: Wenn es passiert ist, zählt jede Stunde.
Wir übernehmen die ersten Maßnahmen und sichern Beweise so, dass sie vor Gericht halten. Wir bringen Ihren Betrieb geordnet zurück. Und wir bereiten Ihre Meldungen nach NIS2, DORA und DSGVO vor. Am besten klären Sie das, bevor Sie es brauchen.
Die ersten Stunden entscheiden
Die vier Fehler, die wir am häufigsten sehen — und die sich alle vorher vermeiden lassen.
Voreiliges Abschalten vernichtet Beweise
Der erste Reflex ist, alles vom Netz zu nehmen. Damit ist der Arbeitsspeicher weg — und mit ihm oft der einzige Hinweis darauf, wie die Angreifer hereingekommen sind und was sie mitgenommen haben.
Die Meldefristen laufen ab dem Zeitpunkt der Kenntnis
NIS2 und DSGVO knüpfen an den Moment an, in dem Ihnen der Vorfall bekannt wird — nicht an den Moment, in dem Sie ihn verstanden haben. Wer erst nach zwei Tagen mit der Dokumentation beginnt, hat die Hälfte der Frist verloren.
Im Vorfall fehlt die Kontaktkette
Wer entscheidet über die Abschaltung der Produktion? Wer spricht mit Kunden, wer mit der Versicherung? Ohne vorher benannte Rollen entstehen die teuersten Verzögerungen nicht in der Technik, sondern in der Abstimmung.
Der Wiederanlauf führt zurück in dieselbe Lücke
Systeme werden aus dem Backup zurückgeholt, bevor die Ursache verstanden ist. Die Angreifer sind dann häufig noch drin — oder kommen über denselben Weg wieder herein.
Was wir im Ernstfall übernehmen
Von der ersten Meldung bis zum Abschlussbericht. Wir kümmern uns um Technik, Organisation und Vorschriften.
Notfall-Hotline
Eine Nummer, unter der eine erfahrene Fachkraft abnimmt. Sie stimmt die ersten Schritte direkt mit Ihnen ab. Kein Ticket, das in einer Warteschlange landet.
Forensik
Wir sichern Spuren auf PCs, Servern und in der Cloud. Wir stellen nach, wann was passiert ist und wie die Angreifer vorgegangen sind. Jeder Beweis bleibt lückenlos nachvollziehbar.
Eindämmung
Wir sperren betroffene Konten, beenden Sitzungen und entziehen Zugänge. Auch versteckte Hintertüren der Angreifer schließen wir. Alles passend zu Ihrem Betrieb, damit die Abwehr nicht mehr Schaden anrichtet als der Angriff.
Meldewesen nach NIS2 und DORA
Wir bereiten Erst-, Zwischen- und Abschlussmeldung inhaltlich vor, liefern die technischen Belege und halten die Zeitachse nachvollziehbar fest.
Wiederanlauf
Ein klarer Plan für den Neustart, der zuerst die Ursache behebt. Statt schnell in genau die Umgebung zurückzukehren, die angegriffen wurde.
Aus dem Vorfall lernen
Nach dem Vorfall halten wir einen Workshop ab. Die Ergebnisse fassen wir so zusammen, dass die Geschäftsleitung sie versteht. Daraus entstehen konkrete Maßnahmen.
Die Phasen eines Vorfalls
Sechs Schritte, die in dieser Reihenfolge aufeinander aufbauen — Abkürzungen rächen sich später.
Vorbereitung
Rollen, Meldewege und Zugriffe klären, bevor etwas passiert.
Erkennung
Vorfall bestätigen, Umfang eingrenzen, flüchtige Spuren sichern.
Eindämmung
Ausbreitung stoppen, ohne Beweise zu vernichten.
Beseitigung
Zugänge, Hintertüren und Werkzeuge der Angreifer vollständig entfernen.
Wiederanlauf
Kontrollierte Rückkehr in den Regelbetrieb — mit geschlossener Ursache.
Nachbereitung
Abschlussbericht, Meldungen, Lehren aus dem Vorfall, Maßnahmenplan.
Meldepflichten im Überblick
Die Fristen laufen ab dem Zeitpunkt der Kenntnis — nicht ab dem Zeitpunkt, an dem alles verstanden ist.
| Rechtsgrundlage | Fristen |
|---|---|
| NIS2, Artikel 23 | Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats |
| DSGVO, Artikel 33 | Meldung an die Aufsichtsbehörde binnen 72 Stunden ab Kenntnis |
| DSGVO, Artikel 34 | Benachrichtigung der Betroffenen unverzüglich, wenn ein hohes Risiko besteht |
| DORA | Gestufte Meldung schwerwiegender IKT-Vorfälle an die zuständige Aufsichtsbehörde |
Welche Pflichten für Sie gelten, hängt von Branche, Größe und Art des Vorfalls ab. Wir ordnen das im Einsatz mit Ihnen ein — die rechtliche Bewertung bleibt Sache Ihrer Rechtsberatung.
Mit Retainer oder ohne
Wir helfen in beiden Fällen. Der Unterschied liegt darin, womit der Einsatz beginnt.
| Mit Retainer | Ohne Retainer | |
|---|---|---|
| Reaktionszeit | Vertraglich zugesichert | Nach laufender Kapazität |
| Verträge und Geheimhaltung | Vorab geklärt | Werden im Vorfall verhandelt |
| Kenntnis Ihrer Umgebung | Vorab erfasst, Abläufe für den Notfall abgestimmt | Ersterfassung im laufenden Vorfall |
| Tagessätze im Einsatz | Ermäßigt | Regulär |
| Übungen | Planspiele für den Ernstfall sind enthalten | Separat zu beauftragen |
Typische Vorfälle
Drei Beispiele aus der Praxis — ausführlicher auf der Notfallseite.
Ransomware
Verschlüsselte Dateiserver, stillstehende Produktion, ein Erpresserschreiben. Wir isolieren die Systeme und sichern Spuren. Wir bewerten mit Ihnen, ob gezahlt werden soll. Dann stellen wir das Wichtigste zuerst wieder her.
Kompromittierte Postfächer
Heimlich gesetzte Weiterleitungen, gefälschte Zahlungsaufforderungen, Zugriff über gestohlene Anmeldungen. Wir prüfen, wohin Ihre Mails fließen, sichern die Anmeldung ab und schützen Ihre Zahlungswege.
Datenabfluss
Daten fließen ab, über Cloud-Speicher, USB-Sticks oder Schnittstellen. Wir klären, welche Daten wie sensibel sind und wie viele betroffen sind. Und wir bereiten die Meldung an die Aufsichtsbehörde vor.
Was Sie erhalten
- Abschlussbericht, der gegenüber Behörden und Versicherern standhält
- Rekonstruierte Zeitachse des Angriffs
- Liste der Spuren, an denen Sie den Angriff selbst wiedererkennen
- Entwürfe für Behörden-, Kunden- und Mitarbeitendenkommunikation
- Priorisierter Maßnahmenplan mit Aufwandseinschätzung
- Workshop mit den Beteiligten: Was lernen wir daraus?
Häufig gestellte Fragen
- Wir haben gerade einen Vorfall — was tun?
- Rufen Sie an: +49 2058 175 566 0. Trennen Sie betroffene Systeme nicht voreilig vom Netz, sonst gehen flüchtige Spuren im Arbeitsspeicher verloren. Notieren Sie stattdessen, was Sie sehen, und wer wann was gemacht hat. Alles Weitere stimmen wir am Telefon mit Ihnen ab.
- Was bringt ein Retainer, wenn wir noch keinen Vorfall hatten?
- Er nimmt Ihnen im Ernstfall die Startzeit. Verträge, Geheimhaltungsvereinbarung und Zugriffsregelungen sind vorab geklärt, Ihre Umgebung ist uns bekannt und die Reaktionszeit ist vertraglich zugesichert. Ohne Retainer beginnt jeder Einsatz mit Vertragsklärung und Ersterfassung — Zeit, die im Vorfall besonders teuer ist.
- Was kostet ein Einsatz?
- Der Erstanruf mit einer ersten Lageeinschätzung ist kostenfrei. Danach arbeiten wir nach Tagessätzen mit abgestimmtem Zeitbudget. Für Retainer-Kunden sind die Sätze im Einsatzfall ermäßigt. Konditionen auf Anfrage.
- Wer gibt die Meldung nach NIS2 oder DSGVO ab?
- Sie — als betroffenes Unternehmen. Wir bereiten Inhalt, Form und Zeitachse vor, liefern die technischen Belege und formulieren mit Ihnen zusammen. Die Abgabe und die Verantwortung dafür bleiben bei Ihnen; das lässt sich nicht auslagern.
- Sollen wir bei Ransomware zahlen?
- Prüfen Sie zuerst alle anderen Wege: Backups, frei verfügbare Werkzeuge zum Entschlüsseln, Rechtsberatung und die Vorgaben Ihres Versicherers. Eine Zahlung garantiert weder, dass Sie Ihre Daten zurückbekommen, noch dass die Täter schweigen. Sie kann außerdem rechtlich heikel sein, etwa wegen Sanktionen oder Steuern. Wir bewerten die Lage Schritt für Schritt mit Ihnen. Die Entscheidung nehmen wir Ihnen nicht ab.
- Arbeiten Sie mit unserer Cyber-Versicherung zusammen?
- Ja. Viele Policen verlangen eine bestimmte Meldekette und dokumentierte Schritte, sonst wird der Schaden gekürzt. Wir richten die Dokumentation von Anfang an so aus, dass sie gegenüber Versicherern verwendbar ist, und stimmen uns bei Bedarf direkt mit dem Schadenregulierer ab.
- Wie sichern Sie Beweise, damit sie später verwendbar sind?
- Wir protokollieren jeden Schritt der Spurensicherung. Beweise sichern wir nach anerkannten Standards. Eine Prüfsumme (Hashwert) zeigt, dass niemand sie verändert hat. Wer wann Zugriff hatte, halten wir lückenlos fest. Der Abschlussbericht hält so vor Aufsichtsbehörden, Versicherungen und, wenn nötig, vor Gericht stand.
Im Notfall ist die richtige Nummer Gold wert.
Schließen Sie einen Retainer ab, bevor Sie ihn brauchen — und hoffen Sie, dass Sie ihn nie brauchen.
So arbeiten wir mit Ihnen zusammen
Wir wollen lange mit Ihnen arbeiten, nicht nur einmal liefern. Unser Weg hat vier Schritte. So wissen Sie stets, was als Nächstes kommt, wer was macht und was am Ende steht.
1. Erstes Gespräch, kostenlos
Wir lernen Ihre Lage und Ihre Ziele kennen. In 30 bis 45 Minuten prüfen wir, ob wir zu Ihnen passen. Wir zeigen Wege auf und klären Ihre Fragen.
2. Bestandsaufnahme
Wir prüfen, wo Sie heute stehen: bei Technik, Abläufen und Vorgaben. Sie bekommen eine Liste mit Stärken und Lücken, nach Dringlichkeit sortiert. Darauf baut unser Angebot auf.
3. Umsetzung mit festem Kontakt
Eine erfahrene Leitung führt Sie durch das Projekt. Es gibt klare Ziele, einen offenen Plan für Zeit und Kosten und jede Woche einen Stand. Alle Ergebnisse sind dokumentiert und gehören Ihnen.
4. Betrieb und Prüfung
Nach dem Projekt bleiben wir an Ihrer Seite. Wir betreiben Systeme für Sie, prüfen sie in festen Abständen und behalten offene Punkte im Blick. Bei neuen Gefahren oder neuen Regeln melden wir uns von selbst.