Nicht nur den auffälligen Prozess betrachten

Zur ersten Einordnung gehören Distribution, Paketquellen, Systemrolle und Verwaltungskanal. Welche Dienste sind öffentlich erreichbar und welche Automationen dürfen Änderungen vornehmen? Diese Angaben helfen, legitime Deploymentprozesse von unbekannten Veränderungen zu unterscheiden. Auch ein bekannter Prozessname ist allein kein ausreichender Vertrauensnachweis.

Verdächtige Aktivitäten werden mit verfügbaren Anmelde-, Dienst- und Netzwerkereignissen zeitlich abgeglichen. Dabei sollte die Untersuchung auf geschützte Kopien und geeignete Werkzeuge zurückgreifen. Wenn Systemdateien manipuliert sein könnten, sind Ergebnisse ausschliesslich aus Werkzeugen des betroffenen Hosts mit besonderer Vorsicht zu bewerten.

Berechtigungen und weitere Zugänge eingrenzen

Wichtig sind verwendete Benutzerkonten, hinterlegte Schlüssel, privilegierte Rechte und technische Zugangsdaten in Anwendungen. Ein kompromittierter Webdienst kann unter Umständen Datenbankgeheimnisse lesen, ohne selbst Root-Rechte zu besitzen. Die Reichweite ergibt sich aus den tatsächlichen Berechtigungen und nicht nur aus dem sichtbaren Symptom.

Nach einem schweren Vertrauensverlust kann ein Neuaufbau aus überprüften Paketen und dokumentierter Konfiguration sinnvoller sein als eine unübersichtliche manuelle Reparatur. Dabei wird festgelegt, welche Daten übernommen werden dürfen und welche Geheimnisse erneuert werden müssen. Relevante Untersuchungskopien bleiben gesondert erhalten.

Den Betrieb kontrolliert zurückgeben

Eine Abnahme prüft erreichbare Anwendungen, erforderliche Hintergrundjobs, Zugriffsrechte und Sicherungen. Auch Paketupdates und Protokollweiterleitung sollen im regulären Betrieb funktionieren. Ein Server, der momentan erreichbar ist, kann weiterhin unvollständig administriert oder unzureichend beobachtet sein.

Für die erste Anfrage nennen Sie Distribution, Serverzweck, Hostingart und konkrete Warnzeichen. Bitte senden Sie keine privaten SSH-Schlüssel. Ein vereinbarter Arbeitszugang muss begrenzt, nachvollziehbar und nach Abschluss überprüfbar widerrufbar sein; die technischen Details werden vor der Bearbeitung festgelegt.

Ihre Checkliste für den nächsten Schritt

  • Distribution, Systemrolle und Verwaltungskanal benennen.
  • Schlüssel, privilegierte Konten und erreichbare Geheimnisse berücksichtigen.
  • Neuaufbau und selektive Datenübernahme nach Befund bewerten.

Häufige Fragen

Bedeutet ein Miner automatisch Root-Zugriff?

Nein. Die Rechte müssen geprüft werden. Auch Prozesse unter einem eingeschränkten Konto können relevante Daten erreichen.

Kann ich nur den verdächtigen Benutzer löschen?

Das kann andere Zugänge und vorhandene Manipulationen übersehen. Vor der Änderung sollten Belege und Abhängigkeiten gesichert sein.

Quellen & weiterführende Informationen

BSI: Technische Checkliste im Vorfall ↗

Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.