Forensik beginnt vor dem Vorfall

Montag, kurz nach sieben. Auf einem Dateiserver tauchen verschlüsselte Dateien auf. Die Rufbereitschaft handelt schnell und vernünftig, wie es scheint: Netzwerkkabel ziehen, Server neu starten, Sicherung zurückspielen. Am Mittag läuft der Betrieb wieder.

Drei Tage später fragt die Geschäftsführung, wie die Angreifer hineingekommen sind, ob sie noch im Netz sind und welche Daten abgeflossen sein könnten. Der Arbeitsspeicher ist seit dem Neustart leer, die Protokolle sind überschrieben, das System ist neu aufgesetzt. Die Frage lässt sich nicht mehr beantworten, nur noch schätzen.

Ein Baustein für die Zeit davor

Der IT-Grundschutz behandelt genau diese Lücke im Baustein DER.2.2 Vorsorge für die IT-Forensik. Er gilt einmal für den gesamten Informationsverbund und regelt nicht die Analyse selbst, sondern ihre Voraussetzungen. Die strategische Vorbereitung beschreibt er als eigene Phase, mit einem Satz, der vor allem kleinere Häuser betrifft:

„Sie ist auch dann notwendig, wenn die Institution über keine eigene Forensik-Expertise verfügt.“

Drei der fünfzehn Anforderungen sind Basis-Anforderungen. Sie sind mit MUSS formuliert, für sie ist also keine Risikoübernahme möglich.

• DER.2.2.A1, rechtliche Rahmenbedingungen: Werden Daten für eine Untersuchung erfasst und ausgewertet, müssen die rechtlichen und regulatorischen Rahmenbedingungen identifiziert und eingehalten werden, und der Betriebs- oder Personalrat sowie die oder der Datenschutzbeauftragte müssen einbezogen werden. Wer das erst im Vorfall klärt, verliert die Stunden, in denen die Spuren noch frisch sind.
• DER.2.2.A2, Leitfaden für Erstmaßnahmen: Er beschreibt für die eingesetzten Systeme, was im Vorfall zu tun ist, „um möglichst wenig Spuren zu zerstören“. Und er muss auch beschreiben, „durch welche Handlungen potenzielle Spuren vernichtet werden könnten und wie sich das vermeiden lässt“.
• DER.2.2.A3, Vorauswahl von Forensik-Dienstleistenden: Ohne eigenes Forensik-Team „MÜSSEN bereits in der Vorbereitungsphase mögliche geeignete Forensik-Dienstleistende identifiziert werden“, und die Auswahl muss dokumentiert sein.

Erst das Flüchtige, dann der Rest

Warum der Neustart der teuerste erste Handgriff ist, steht in der Standard-Anforderung DER.2.2.A8:

„Die Reihenfolge SOLLTE sich danach richten, wie flüchtig (volatil) die zu sichernden Daten sind.“

Zuerst also Arbeitsspeicher, laufende Prozesse und Netzverbindungen, danach die Festplatten, zuletzt die Sicherungen. Ein Neustart kehrt diese Reihenfolge um: Er vernichtet das Flüchtigste zuerst. Das Netzwerkkabel zu ziehen kann dagegen richtig sein, wenn der Leitfaden es so vorsieht. Genau dafür gibt es ihn.

Ein Beweis braucht eine Kette

Gesichert ist eine Spur erst, wenn sich später zeigen lässt, dass sie unverändert ist. Der Baustein verlangt deshalb kryptografische Prüfsummen, die getrennt und in mehreren Kopien aufbewahrt werden, und für die gerichtliche Verwertbarkeit einen Zeugen, der das Vorgehen bestätigt. Die Dokumentation soll

„lückenlos nachweisen, wie mit den gesicherten Originalbeweismitteln umgegangen wurde.“

Originaldatenträger gehören an einen Ort, an den nur namentlich bekannte Ermittelnde kommen, mit einer festgelegten Aufbewahrungsfrist. Wer das im Vorfall zum ersten Mal organisiert, macht es unter Zeitdruck, und genau dann reißen Ketten.

Drei Fragen für heute

• Gibt es einen Leitfaden für Erstmaßnahmen, und kennt ihn die Person, die nachts das Telefon hat?
• Steht im Notfallhandbuch der Name eines Forensik-Dienstleisters, mit erreichbarer Nummer und geklärtem Auftrag?
• Sind Betriebs- oder Personalrat und Datenschutz vorab eingebunden, oder beginnt diese Abstimmung erst im Vorfall?

Wer eine Cyberversicherung hat, sollte die Antworten neben die Obliegenheiten des Vertrags legen. Was Versicherer dort verlangen und warum der Nachweis zählt, steht in Versichert, solange Sie es beweisen.

Wie isidaten das abbildet

Das Modul Forensik & Beweissicherung führt die Steuerebene, nicht das Werkzeug: Es erzeugt keine Abbilder und wertet nichts aus. Eine Bereitschaftsprüfung bewertet alle fünfzehn Anforderungen aus DER.2.2 gegen den Ist-Stand und zeigt je Anforderung erfüllt, teilweise, offen oder nicht anwendbar mit Begründung, für A3 etwa, ob mindestens eine Organisation als Forensik-Dienstleister gekennzeichnet ist. In der Verfügungskette hängt jedes Glied am Hash seines Vorgängers, sodass eine nachträgliche Änderung alle folgenden Glieder bricht. Eine Übergabe braucht zwei verschiedene Personen und den Hashwert davor und danach.

Die Prüffrage

Wen ruft Ihre Rufbereitschaft an, bevor sie einen verschlüsselten Server neu startet?

Wenn die Antwort „niemanden“ lautet, ist die Forensik in Ihrem Haus eine Frage für danach. Dann ist es meist zu spät.

Quellen

BSI IT-Grundschutz-Kompendium, Edition 2023, Baustein DER.2.2 Vorsorge für die IT-Forensik, Abschnitte 1.1 und 1.3 sowie Anforderungen A1 bis A3, A8 und A10 bis A12.