Ein klarer Auftrag.
Ein überprüfbares Ergebnis.
Für Unternehmen mit verdächtigen Logeinträgen, Sicherheitsmeldungen oder unklarem Vorfallszeitraum.
- Bestandsaufnahme verfügbarer Protokollquellen und Zeiträume
- Nachvollziehbare Zeitlinie relevanter Beobachtungen
- Befundbericht mit Grenzen und empfohlenen Folgemassnahmen
Konkrete Durchführung durch die im Auftrag benannten Beteiligten. Alle Arbeiten nur mit autorisiertem Zugriff.
Verfügbare Quellen rechtzeitig erfassen
Webserver, Anwendung, Hostingplattform und vorgelagerte Schutzdienste können unterschiedliche Teile eines Ereignisses protokollieren. Die Aufnahme klärt zunächst, welche Quellen verfügbar sind und wie weit sie zurückreichen. Werden Protokolle regelmässig überschrieben, muss deren Erhalt zeitnah mit dem Betreiber abgestimmt werden.
Für den Erstkontakt reicht eine Beschreibung der Beobachtung. Vollständige Logs können personenbezogene Daten, Sitzungshinweise oder vertrauliche Inhalte enthalten und gehören nicht in einen ungeschützten Nachrichtenkanal. Der konkrete Export- und Übertragungsweg wird erst für den autorisierten Untersuchungsumfang festgelegt.
Zeitliche Zusammenhänge sorgfältig prüfen
Eine brauchbare Zeitlinie berücksichtigt Zeitzonen, mögliche Abweichungen der Systemuhren und bereits erfolgte administrative Änderungen. Andernfalls können Ereignisse falsch geordnet oder harmlose Wartungsmassnahmen als Angriff interpretiert werden. Die Analyse dokumentiert deshalb auch die Qualität ihrer Datengrundlage.
Ein auffälliger Request allein beweist nicht, dass Code erfolgreich ausgeführt wurde. Umgekehrt belegt das Fehlen eines bestimmten Eintrags keinen sicheren Ausschluss eines Einbruchs. Protokollbefunde werden mit weiteren verfügbaren Informationen abgeglichen und hinsichtlich ihrer Aussagekraft beschrieben.
Aus Beobachtungen konkrete Massnahmen ableiten
Der Bericht zeigt, welche Ereignisse belegt sind und welche zusätzlichen Prüfungen sinnvoll erscheinen. Je nach Befund können das eine Kontenprüfung, die Bewertung von Dateien oder eine weitergehende forensische Untersuchung sein. Diese Schritte werden als Erweiterung des Auftrags transparent abgestimmt.
Wenn relevante Daten nicht mehr vorhanden sind, wird diese Lücke ausdrücklich genannt. Ein professionelles Ergebnis kann auch darin bestehen, die Grenze einer Rekonstruktion präzise festzuhalten und einen sicheren weiteren Betriebsweg vorzuschlagen. Nachträglich vollständige Gewissheit wird nicht versprochen.
Ihre Checkliste für den nächsten Schritt
- Ersten Beobachtungszeitpunkt und betroffene Systeme notieren.
- Logaufbewahrung mit dem Betreiber prüfen.
- Keine vollständigen Protokolle über den Erstkontakt senden.
Häufige Fragen
Können fehlende Logs rekonstruiert werden?
Das ist nicht pauschal möglich. Andere Quellen können ergänzen, ersetzen aber nicht automatisch alle verloren gegangenen Informationen.
Ist jeder verdächtige Request ein erfolgreicher Angriff?
Nein. Ein Versuch, ein technischer Fehler und ein erfolgreicher Zugriff müssen anhand weiterer Befunde unterschieden werden.
Quellen & weiterführende Informationen
PHP-Projekt: Sicherheitsveröffentlichungen Oktober 2026 ↗CERT-EU: Critical Vulnerabilities in PHP, 2026-018 ↗Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.