Nachricht und Behauptung getrennt betrachten
Sichern Sie die Originalnachricht mit Empfangszeit und technischen Kopfzeilen über den vorgesehenen internen Weg. Notieren Sie, welche Systeme, Daten oder Personen ausdrücklich genannt werden. Eine konkrete, überprüfbare Behauptung lässt sich gezielter bewerten als ein allgemeiner Satz über angeblichen Vollzugriff.
Ein bekanntes altes Passwort kann aus einer früheren Datenveröffentlichung stammen und beweist keinen aktuellen Zugriff auf Ihr Unternehmen. Umgekehrt darf ein authentisches aktuelles Datenmuster nicht ignoriert werden. Die Herkunft und zeitliche Einordnung solcher Informationen werden gesondert untersucht.
Keine zusätzlichen Risiken bei der Prüfung erzeugen
Links, Archive und angebliche Beweisprogramme aus der Nachricht werden nicht unkontrolliert geöffnet. Sie können selbst einen weiteren Angriffsweg darstellen. Auch das Hochladen vertraulicher Muster in öffentliche Dienste kann unnötige Datenweitergabe verursachen. Eine geeignete Analyseumgebung und ein abgestimmter Übergabeweg verhindern solche Folgeprobleme.
Kontakt mit dem Absender und finanzielle Entscheidungen gehören in eine zentrale Abstimmung. Einzelne Mitarbeiter sollten nicht parallel antworten oder vermeintliche Nachweise bestellen. Bei ernsthaften Hinweisen werden technische, rechtliche und betriebliche Verantwortliche eingebunden; die konkrete Zuständigkeit richtet sich nach dem Fall.
Prüfergebnis so formulieren, dass es Entscheidungen trägt
Der Befund sollte festhalten, welche Aussagen widerlegt, bestätigt oder nicht überprüfbar sind. Ein fehlender Logeintrag ist bei unzureichender Aufbewahrung keine sichere Entwarnung. Ebenso ist ein frei verfügbares Firmendokument kein Beleg für einen erfolgreichen Einbruch in interne Systeme.
Für eine erste Anfrage reichen eine Zusammenfassung der Drohung, Empfangszeit und die betroffenen Systemarten. Vollständige Originale und Beweismuster werden nur nach Bedarf geschützt übernommen. Ziel ist ein klarer nächster Schritt: weitere Untersuchung, konkrete Schutzmaßnahme oder dokumentierte Einordnung einer unbelegten Drohung.
Ihre Checkliste für den nächsten Schritt
- Originalnachricht und Empfangszeit geschützt erhalten.
- Konkrete Behauptungen von allgemeinen Drohungen unterscheiden.
- Anhänge und Links nicht auf Produktivgeräten untersuchen.
Häufige Fragen
Beweist ein genanntes Passwort einen aktuellen Hack?
Nein. Herkunft, Alter und heutige Verwendung müssen geprüft werden. Ein weiterhin verwendetes Passwort kann dennoch Handlungsbedarf auslösen.
Soll ich dem Absender zur Prüfung antworten?
Nicht unkoordiniert. Kommunikation und weitere Schritte sollten durch die zuständigen Verantwortlichen abgestimmt werden.
Quellen & weiterführende Informationen
BSI: Organisatorische Checkliste bei Sicherheitsvorfällen ↗Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.