01
Nicht ausschalten
Kompromittierte Systeme nicht herunterfahren: Der flüchtige Speicher (RAM) enthält wichtige Beweise (Verschlüsselungs-Keys, aktive Prozesse). Wenn möglich vom Netzwerk isolieren (Kabel ziehen oder Quarantäne).
Incident Response · Operative Hotline 24/7/365
Sind Sie unter Angriff?
Jetzt anrufen. Operative Response innerhalb von 30 Minuten, initiale Eindämmung innerhalb von 4 Stunden. Die ersten 60 Minuten entscheiden über den Unterschied zwischen einem eingedämmten Vorfall und einer Krise.
Vor dem Anruf · während wir kommen
Was Sie in den ersten 60 Minuten tun, ändert das Ergebnis.
60 Sekunden, um die für den Anruf nützlichen Informationen vorzubereiten, dann acht Aktionen, die Beweise erhalten und Schaden begrenzen, während das Fortgale-IR-Team bereits aktiviert wird. Auch eine korrekt ausgeführte Aktion verändert den Ausgang des Vorfalls.
Vor dem Anruf · 60 Sekunden Diese Informationen vorbereiten
- Wann Sie die Anomalie bemerkt haben (ungefähre Uhrzeit)
- Was Sie gesehen haben (Popup, EDR-Alert, verdächtige E-Mail, nicht erreichbare Systeme)
- Wie viele Benutzer / Endpoints betroffen sind
- Ob Sie NIS2-wesentlich, -wichtig oder außerhalb des Geltungsbereichs sind
- Ob eine aktive Cyber-Versicherungspolice besteht
- Wer der erreichbare Entscheidungs-Ansprechpartner ist
Haben Sie nicht alles? Trotzdem anrufen. Das Bild rekonstruieren wir gemeinsam.
Während wir kommen · 60 Minuten Acht sofort durchzuführende Aktionen
02
Sofort anrufen
Telefon in der Hand: Live mit einem Analysten zu sprechen, beschleunigt die Triage um Stunden. Jede verlorene Minute erweitert die kompromittierte Oberfläche.
03
Dokumentieren
Erkennungszeit notieren, beobachtete Indikatoren (Ransom-Note-Popup, verdächtige Mail, EDR-Alert), Personen, die die Anomalie bemerkt haben. Auch ein Blatt Papier reicht.
04
Nicht kommunizieren
Keine Ankündigungen über kompromittierte Unternehmenskanäle (Teams, E-Mail): Der Angreifer kann mitlesen. Out-of-Band-Kanal nutzen (Telefon, CISO-WhatsApp, SMS).
05
Logs erhalten
Wenn möglich automatische Log-Löschung deaktivieren. EDR, Firewall, AD, Mail Gateway: alles zählt. Keine Passwörter zurücksetzen, ohne sie vorher zu sichern.
06
Legal alarmieren
Rechtsabteilung und DSB sofort einbinden. Bei NIS2-wesentlich oder -wichtig hat die Early-Warning-Frist an das nationale CSIRT (24 Stunden) bereits begonnen.
07
Versicherung melden
Falls eine Cyber-Police aktiv ist, sofort aktivieren: Manche Policen verlangen Meldung innerhalb enger Fristen, um IR-Kosten zu decken.
08
Geschlossener Kreis
Wer weiß was? Informationen auf CISO, IT-Lead, Geschäftsführung, Legal beschränken. Keine externe Kommunikation, bis das Bild klar ist.
Was wir tun · Timeline
Vom Anruf zum Containment in Stunden, vollständige Recovery in 30 Tagen.
Das operative Modell von Fortgale folgt dem Standard NIST SP 800-61r2, integriert mit den NIS2-Meldepflichten und unserer proprietären Cyber Threat Intelligence zu Akteuren, die europäische Organisationen ins Visier nehmen.
0–4 Stunden
Eindämmung
Isolation kompromittierter Systeme, Sperrung verdächtiger Zugangsdaten, C2-Abschneidung, Unterbrechung der Angreifer-Kill-Chain. Ziel: die Blutung stoppen.
4–24 Stunden
Forensische Triage
Rekonstruktion des Initialvektors, Mapping der Lateral Movements, Identifikation exfiltrierter Daten. Vorbereitung der CSIRT-Early-Warning (NIS2 · 24h).
1–7 Tage
Eradikation
Backdoor-Entfernung, Rebuild kompromittierter Systeme aus sauberen Quellen, Perimeter-Hardening. Vollständige Meldung an das nationale CSIRT innerhalb von 72 Stunden.
7–30 Tage
Recovery & Lessons Learned
Schrittweise Wiederherstellung des Betriebs, verstärktes Monitoring, Abschlussbericht für Vorstand und Regulator, dauerhafte Hardening-Empfehlungen.
Notfall-Formular · Telefon-Alternative
Kein Anruf möglich? Hier ausfüllen.
Das Telefon ist immer der schnellste Kanal. Aber falls Sie gerade nicht anrufen können (Krisenmeeting, kompromittierte Infrastruktur, Zeitzone), füllen Sie das Formular aus: Ein Analyst meldet sich innerhalb von 15 Minuten bei den von Ihnen angegebenen Kontaktdaten.
!
Keine Passwörter, Log-Dumps oder sensiblen Daten im Formular: Wir nutzen einen verschlüsselten Kanal nach dem ersten Kontakt.
i
Das Formular ist mit einem 24/7-SOC-Alarm verbunden: Es erreicht die Telefone des Bereitschaftsteams, es liegt nicht in einer Warteschleife.
NIS2 · Umsetzung
Meldepflichten · 24h Early Warning · 72h vollständige Meldung
Wenn Sie eine NIS2-wesentliche oder -wichtige Einrichtung sind, haben Sie strenge Meldepflichten gegenüber dem nationalen CSIRT. Fortgale bereitet das technische Meldungspaket vor (Timeline, IoCs, Impact-Analyse) und unterstützt den NIS2-Ansprechpartner des Unternehmens in der Interaktion mit der nationalen Behörde.
FAQ · Incident Response
Häufige Fragen zur Incident Response.
Wie schnell greifen Sie ein?
Operative Reaktion innerhalb von 30 Minuten nach dem Anruf, 24/7. Die initiale Eindämmung erfolgt typischerweise in den ersten 1-4 Stunden, abhängig vom Perimeter und vom Zugriffsniveau, das dem Team gewährt wird. Für Fortgale-MDR-Kunden ist die Eindämmung bereits Teil des aktiven Service.
Muss ich Kunde sein, um anzurufen?
Nein. Die Notfall-Linie steht allen offen, die einen laufenden Vorfall haben, auch Unternehmen, die nicht Fortgale-Kunden sind. Wir arbeiten auf Basis von NDA und Notfall-Beauftragung, mit einem transparenten Retainer-Satz, der vor dem Einsatz mitgeteilt wird.
Unterstützen Sie bei der NIS2-Meldung an das CSIRT?
Ja. Wir unterstützen den Kunden bei der Vorbereitung der Frühwarnung an das nationale CSIRT innerhalb von 24 Stunden und der vollständigen Meldung innerhalb von 72 Stunden, wie von NIS2 gefordert. Wir erstellen die technische Timeline, die IoCs und die Impact-Analyse.
Was tun Sie in den ersten 60 Minuten?
Live-Triage: Scoping des Vorfalls, Identifikation kompromittierter Systeme, Netzwerkisolation, wo möglich, Sicherung flüchtiger Evidenzen, Definition des Eindämmungsplans. Alle Maßnahmen werden für die anschließende Forensik und die regulatorischen Meldungen dokumentiert.
Bearbeiten Sie auch Ransomware mit Lösegeldforderung?
Ja. Wir übernehmen die technische Eindämmung und Verhandlung (Analyse der Variante, Bewertung der Entschlüsselung, Wiederherstellung aus Backups). Die Zahlung übernehmen wir nicht: Sie bleibt eine Entscheidung des Kunden mit seinem Rechtsteam und gegebenenfalls der Cyber-Versicherung. Unsere Standardempfehlung ist, nicht zu zahlen, außer in spezifischen Fällen.
Was in den ersten Minuten zu tun ist → · Ransomware-Schutz → · Ransomware-Gruppen im Überblick →
Auch außerhalb des Notfalls · aktive Außenstelle
Bauen Sie die Cyber-Defense-Außenstelle vor dem Vorfall auf.
Eine mediane Eindämmung unter 30 Minuten ist kein Glück: Es ist das Ergebnis eines bereits aktiven intel-driven MDR. Sprechen Sie mit unseren Analysten über ein Threat Briefing zu Ihrem Sektor.