Die ersten 30 Minuten
Eine kleine Webagentur betreibt einen vServer für die Websites ihrer Kunden. Am Freitagabend schreibt der Anbieter: Von diesem Server gehen tausende Spam-Mails aus, außerdem läuft die Prozessorlast seit Tagen am Anschlag. Offenbar schürft jemand auf dem Server Kryptowährung.
Du hast Admin-Wissen und willst sofort eingreifen. Genau das ist jetzt die Gefahr: Wer auf einem kompromittierten Server „schnell aufräumt“, verwischt Spuren und übersieht, was der Angreifer noch hinterlassen hat.
Jetzt sofort
- Den Server vom Netz isolieren, etwa über die Firewall deines Anbieters, aber nicht ausschalten.
- Beim Anbieter einen Snapshot oder ein Abbild des Servers anlegen lassen, bevor sich etwas ändert.
- Protokolle und Konfiguration außerhalb des Servers sichern lassen.
- Alle Zugangsdaten zum Kundenportal des Anbieters von einem sauberen Gerät ändern.
- Deinen Anbieter informieren, besonders wenn er dich wegen Missbrauch angeschrieben hat.
- Protokoll beginnen und klären, ob personenbezogene Daten auf dem Server lagen.
„Isolieren heißt: Der Server spricht mit niemandem mehr, aber er läuft weiter. So bleibt der Tatort, wie er ist.“
Im Arbeitsspeicher eines laufenden Servers stecken Spuren, die beim Ausschalten verschwinden. Ein „gesäuberter“ Server ist nie vertrauenswürdig, du weißt nicht, was du übersehen hast.
Für deinen eigenen Server oder vServer gibt es ein Notfallblatt mit zwei Seiten: eine Checkliste zum Abhaken mit Uhrzeit, Fristenfeld und Gesprächsleitfaden für den ersten Anruf, und einen Vorfallbogen. Den füllst du aus und gibst ihn an IT-Dienstleister, Polizei, Versicherung oder Datenschutzbeauftragte weiter, dann musst du nicht alles fünfmal erzählen. Notfallblatt herunterladen
Kommentieren ist für diesen Kurs nicht aktiviert.