Mit einer einfachen Chronologie beginnen

Notieren Sie Zeitpunkt und Zeitzone, meldende Person, betroffenes System und sichtbare Auswirkung. Ergänzen Sie bereits vorgenommene Schritte, auch wenn sie zunächst unwichtig erscheinen. Ein Neustart, eine Passwortänderung oder eine wiederhergestellte Datei kann für die spätere Untersuchung relevant sein.

Ein hypothetisches Beispiel: Die Website war um 08:15 Uhr nicht erreichbar; um 08:25 Uhr wurde ein Dienst neu gestartet. Daraus folgt noch nicht, dass der Neustart die Ursache behoben hat. Die Dokumentation beschreibt zunächst die Reihenfolge und ergänzt eine Ursachenbewertung erst nach entsprechender Prüfung.

Nachweise mit Herkunft und Zugriff behandeln

Screenshots, Protokolle und exportierte Einstellungen benötigen eine klare Zuordnung zu Quelle und Erfassungszeit. Originale sollten nicht unkontrolliert bearbeitet oder über gewöhnliche Chatkanäle verteilt werden. Welche Sicherungsmethode erforderlich ist, hängt vom Untersuchungsziel ab und sollte bei besonderen Beweisanforderungen fachlich abgestimmt werden.

Eine Arbeitskopie und ein Original haben unterschiedliche Zwecke. Kennzeichnen Sie, worauf sich eine Auswertung bezieht, und dokumentieren Sie relevante Übertragungen. Eine bloße Bildschirmaufnahme ersetzt keine vollständige technische Sicherung, kann aber eine erste Beobachtung verständlich festhalten und den Untersuchungsauftrag unterstützen.

Maßnahmen und Abschluss nachvollziehbar machen

Jede wesentliche Änderung erhält Verantwortlichen, Freigabe, erwartete Wirkung und Rückprüfung. Halten Sie auch fehlgeschlagene Schritte fest. Eine klare Dokumentation verhindert, dass verschiedene Teams dieselbe Maßnahme unbemerkt wiederholen oder eine bereits verworfene Annahme erneut als Ausgangspunkt verwenden.

Der Abschluss nennt untersuchte und ungeprüfte Bereiche getrennt. Offene Aufgaben erhalten eine Zuständigkeit. Die BSI-Checklisten bieten allgemeine Orientierung für die Vorfallbearbeitung; die hier beschriebene Chronik ist eine praktische Arbeitsform und keine Zusage gerichtlicher Verwertbarkeit oder vollständiger forensischer Beweissicherung.

Ihre Checkliste für den nächsten Schritt

  • Zeitpunkt, Quelle und Beobachtung getrennt erfassen.
  • Originalnachweise geschützt und nachvollziehbar behandeln.
  • Änderungen mit Freigabe und Rückprüfung dokumentieren.

Häufige Fragen

Sollten wir verdächtige Dateien sofort löschen?

Nicht ohne abgestimmte Bewertung. Eine vorschnelle Veränderung kann die Untersuchung erschweren. Schutzmaßnahmen und Sicherung müssen im konkreten Fall koordiniert werden.

Ist eine Tabellenliste ausreichend?

Für die Chronologie kann sie hilfreich sein. Umfang und Form technischer Beweissicherung hängen jedoch vom Vorfall und den späteren Anforderungen ab.

Quellen & weiterführende Informationen

BSI: Technische Checkliste für Sicherheitsvorfälle ↗

Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.