Ressourcenverbrauch fachlich zuordnen
Vergleichen Sie den Lastanstieg mit legitimen Importen, Berichten und geplanten Hintergrundarbeiten. Besonders aufschlussreich ist, ob der Verbrauch ausserhalb üblicher Arbeitszeiten neu auftritt oder nach dem Beenden eines unbekannten Prozesses zurückkehrt. Halten Sie Beobachtungszeit und betroffene Instanz fest, bevor die Ausgangslage verändert wird.
In Cloudumgebungen ist zusätzlich zu prüfen, ob neue Instanzen, Container oder andere Ressourcen eingerichtet wurden. Ein Angreifer muss nicht auf dem ursprünglich auffälligen Server bleiben. Auch Verwaltungs- und Abrechnungskonten können Hinweise liefern, sofern die erforderlichen Protokolle vorhanden sind.
Mining stoppen und den ursprünglichen Zugang schliessen
Das Beenden des sichtbaren Prozesses kann Ressourcen freigeben, löst aber nicht zwingend die Ursache. Der Untersuchungsumfang umfasst je nach Plattform Startmechanismen, Konten, Deployments und öffentlich erreichbare Dienste. Dabei wird geprüft, mit welchen Rechten die unerwünschte Ausführung möglich war.
Ein Miner ist kein Beweis dafür, dass ausschliesslich Rechenleistung missbraucht wurde. Wenn derselbe Zugang weitere Daten erreichen konnte, muss diese Reichweite bewertet werden. Umgekehrt sollten zusätzliche Schäden nicht ohne Anhaltspunkte behauptet werden. Der Befund trennt den nachgewiesenen Ressourcenmissbrauch von weiteren offenen Fragen.
Nach der Bereinigung Ressourcen und Funktionen kontrollieren
Zur Nachprüfung gehören Lastverlauf, Wiederkehr verdächtiger Prozesse und notwendige Anwendungsfunktionen. Bei geänderten Dienstkonten werden ausserdem Automationen geprüft. Kostenalarme und begrenzte Berechtigungen können künftig früher auf Auffälligkeiten hinweisen, ersetzen aber keine technische Absicherung der Zugangspunkte.
Für eine Anfrage sind Plattform, Lastverlauf, Zeitpunkt und gegebenenfalls auffällige Kostenmeldungen hilfreich. Unbekannte Programme werden nicht zur Demonstration erneut gestartet. Die Bearbeitung sollte einen dokumentierten Plan für Eindämmung, Ursachenbehebung und die Kontrolle weiterer erreichbarer Ressourcen ergeben.
Ihre Checkliste für den nächsten Schritt
- Lastanstieg mit legitimen Jobs und Änderungen abgleichen.
- Auch neu eingerichtete Cloudressourcen berücksichtigen.
- Nach Prozessentfernung Startmechanismen und Zugänge prüfen.
Häufige Fragen
Kann ich einfach mehr Serverleistung buchen?
Das kann Symptome vorübergehend verdecken und zusätzliche Kosten verursachen. Der unbekannte Verbrauch sollte zuerst eingeordnet werden.
Sind Daten bei einem Miner grundsätzlich unberührt?
Das lässt sich nicht pauschal sagen. Entscheidend sind der verwendete Zugang, seine Rechte und verfügbare Spuren weiterer Aktivitäten.
Quellen & weiterführende Informationen
NCSC: Vorfälle systematisch bearbeiten ↗Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.