Schlüsselverwendung vollständig zuordnen

Welche Benutzerkonten, Server und Automationen verwenden den betroffenen Schlüssel? Neben interaktiven Anmeldungen können Sicherungen, Deployments oder Dateitransfers davon abhängen. Ein persönlicher Schlüssel darf nicht allein deshalb als unkritisch gelten, weil sein Dateiname keinen Bezug zu administrativen Aufgaben erkennen lässt.

Bei einer verdächtigen Anmeldung werden Zeitpunkt, Benutzer, Herkunft und anschliessende Aktivitäten zusammen geprüft. Eine erfolgreiche SSH-Verbindung belegt noch nicht, welche Dateien gelesen oder geändert wurden. Umgekehrt können lückenhafte Protokolle die spätere Rekonstruktion einschränken; diese Grenze gehört in die Bewertung.

Zugriff kontrolliert entziehen und ersetzen

Vor einer Rotation muss ein vertrauenswürdiger administrativer Ersatzweg vorhanden sein. So lässt sich vermeiden, dass die Bearbeitung durch eine vollständige Aussperrung unterbrochen wird. Bei wichtigen Automationen wird die Reihenfolge abgestimmt, damit notwendige Jobs nach dem Entzug alter Berechtigungen weiter funktionieren.

Die betroffenen Zugriffsrechte werden auf allen erfassten Zielen überprüft. Auch neu hinzugefügte Schlüssel und ungewöhnliche Kontoänderungen können relevant sein. Ein neuer Schlüssel behebt keine bereits erfolgte Systemmanipulation; bei nachgewiesenem Missbrauch ist zusätzlich die Integrität des jeweiligen Servers zu untersuchen.

Die Ursache ausserhalb des Servers mitdenken

Ein Schlüssel kann beispielsweise auf einem unsicheren Verwaltungsgerät oder in einer versehentlich veröffentlichten Datei offengelegt worden sein. Die Ersatzschlüssel dürfen nicht in dieselbe ungeklärte Umgebung zurückkehren. Deshalb gehört die Herkunft des Verlusts zum Arbeitsauftrag, soweit sie technisch nachvollziehbar ist.

Für die Anfrage reichen betroffene Systemgruppen, Schlüsselzweck und beobachteter Anlass. Private Schlüssel werden nicht über WhatsApp oder gewöhnliche Erstkontaktformulare übertragen. Das gewünschte Ergebnis ist eine dokumentierte Zuordnung: welche alten Berechtigungen entzogen, welche neuen getestet und welche Systeme weiter untersucht wurden.

Ihre Checkliste für den nächsten Schritt

  • Alle bekannten Verwendungen und Automationen erfassen.
  • Vertrauenswürdigen Ersatzweg vor dem Entzug prüfen.
  • Neue Schlüssel erst in einer geklärten Verwaltungsumgebung verwenden.

Häufige Fragen

Reicht das Löschen der privaten Schlüsseldatei?

Nein. Eine bereits erstellte Kopie bleibt nutzbar, solange die zugehörige Berechtigung auf dem Zielsystem besteht.

Muss jeder Server neu aufgebaut werden?

Nicht automatisch. Entscheidungsgrundlage sind nachgewiesene Nutzung, erreichte Rechte und die verbleibende Vertrauenswürdigkeit jedes Systems.

Quellen & weiterführende Informationen

BSI: Technische Behandlung von IT-Sicherheitsvorfällen ↗

Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.