Ein Postfach verschickt Mails, die niemand geschrieben hat
Kunden fragen nach seltsamen Rechnungen oder Links. Oft steckt eine übernommene Anmeldung dahinter.
Verdacht auf Cyberangriff
Verdacht auf einen Angriff? Wir helfen, auch ohne bestehenden Vertrag.
Für Geschäftsführung und IT in Unternehmen ohne eigene Security-Abteilung, die einen Angriff vermuten, etwa weil ein Postfach fremde Mails verschickt oder Dateien verschlüsselt sind. Wir dämmen den Vorfall in Ihrer Microsoft-Umgebung ein und halten jeden Schritt mit Uhrzeit fest. Am Ende haben Sie eine Zeitleiste für Meldung und Versicherer und eine Liste der offenen Maßnahmen.
Oder schreiben Sie an [email protected].
Typische Anlässe
Woran merken Sie, dass etwas nicht stimmt?
Defender meldet etwas, und niemand weiß, ob es ernst ist
Ein Alarm zu einer ungewöhnlichen Anmeldung oder einem Gerät, aber keine Zeit und keine Erfahrung für die Bewertung.
Dateien lassen sich nicht mehr öffnen
Verschlüsselte Daten oder eine Lösegeldforderung. Jetzt zählen Entscheidungen, die vorher niemand getroffen hat.
Was ist in der ersten Stunde zu tun?
Die Reihenfolge für eine vermutete Kontoübernahme in Microsoft 365. Ausführlich mit allen Prüfpunkten im Beitrag Incident Response im Microsoft-365-Tenant.
-
Geschäftsführung
Führung festlegen
Eine Person entscheidet über Sperren, Abschalten und Kommunikation, mit Stellvertretung.
-
Ab sofort
Alles mit Uhrzeit festhalten
Jeden Schritt und jede Entscheidung. Die Zeitleiste brauchen Sie für Meldung und Versicherer.
-
IT
Zugang des Angreifers sperren
Konto sperren, Passwort nicht per E-Mail senden, alle Sitzungen widerrufen.
-
IT
Spuren prüfen
MFA-Methoden, App-Zustimmungen, Postfachregeln, Rollen und Anmeldeprotokolle.
-
Fristen prüfen
Melden
Versicherer nach Police, Behörden nach NIS2 und Datenschutz, betroffene Kunden.
Sie brauchen jetzt Unterstützung?
Rufen Sie uns an unter 030 8632 2038-0. Wir helfen auch, wenn Sie noch kein Kunde sind.
Unterstützung durch WCS
Wie helfen wir im Ernstfall?
Unser Schwerpunkt ist die Microsoft-Umgebung: Entra ID, Microsoft 365, Defender und Active Directory. Ihr IT-Dienstleister bleibt eingebunden.
Eindämmen im Tenant
Wir sperren den Zugang des Angreifers in Entra ID und Microsoft 365 und prüfen, was er verändert hat: Anmeldemethoden, App-Zustimmungen, Postfachregeln und Rollen.
Zeitleiste für Meldung und Versicherer
Jeder Schritt steht mit Uhrzeit in der Zeitleiste. Sie ist die Grundlage für die Meldung, für Ihren Versicherer und für die Nachbereitung.
Zusammenfassung und nächste Schritte
Was passiert ist, was wir getan haben, was offen bleibt. Danach zeigt das Security Assessment, welche Lücken den Angriff möglich gemacht haben.
Nach dem Vorfall
Damit der nächste Alarm nicht unbemerkt bleibt
Das Security Assessment zeigt zum Festpreis, welche Lücken den Angriff möglich gemacht haben. Mit Managed Security überwachen wir Ihr Microsoft 365 dauerhaft und dämmen Vorfälle in vertraglich vereinbarter Zeit ein.
Häufig gestellte Fragen
Wer hilft uns nach einem Hackerangriff, wenn wir keine eigene Security-Abteilung haben?
Wenske Cyber Solutions (WCS) hilft im Ernstfall auch Unternehmen, die noch keine Kunden sind. Schwerpunkt ist die Microsoft-Umgebung: Wir sperren den Zugang des Angreifers in Entra ID und Microsoft 365, prüfen, was er verändert hat, und halten jeden Schritt mit Uhrzeit fest. Sie erreichen uns unter 030 8632 2038-0 und [email protected].
Wir vermuten einen Cyberangriff. Was sollten wir als Erstes tun?
Legen Sie fest, wer den Vorfall führt und über Sperren und Kommunikation entscheidet. Halten Sie ab jetzt jeden Schritt mit Uhrzeit fest und prüfen Sie die Meldepflichten in Ihrer Cyberversicherung. Bei einer vermuteten Kontoübernahme reicht ein neues Passwort nicht: Sitzungen, MFA-Methoden, App-Zustimmungen und Postfachregeln bleiben sonst bestehen.
Aus einem Postfach gehen Mails an Kunden, die der Mitarbeiter nicht geschrieben hat. Was tun wir jetzt?
Das deutet auf eine übernommene Anmeldung hin. Sperren Sie das Konto oder setzen Sie das Passwort zurück, ohne das neue per E-Mail zu senden, und widerrufen Sie im Entra Admin Center alle Sitzungen. Prüfen Sie danach Authentifizierungsmethoden, App-Zustimmungen, Postfachregeln, Weiterleitungen und die Anmeldeprotokolle. Informieren Sie die Kunden, die falsche Mails erhalten haben.
Was sind die ersten Schritte nach einem Ransomware-Angriff?
Entscheidungen bündeln, alles mit Uhrzeit dokumentieren und früh Versicherer und Unterstützung einbeziehen. Eine Lösegeldzahlung garantiert weder die Entschlüsselung noch, dass gestohlene Daten nicht veröffentlicht werden; stimmen Sie das Vorgehen mit Versicherer und Rechtsberatung ab. Die Wiederherstellung gelingt nur aus Sicherungen, die der Angreifer nicht erreicht hat.
Müssen wir einen Cyberangriff melden?
Das hängt vom Unternehmen und vom Vorfall ab. Fallen Sie unter NIS2, gilt für erhebliche Vorfälle eine Erstmeldung binnen 24 Stunden und eine Meldung binnen 72 Stunden. Sind personenbezogene Daten betroffen, gilt die 72-Stunden-Frist der DSGVO gegenüber der Datenschutzaufsicht, und Ihre Cyberversicherung hat eigene Meldepflichten in der Police. Eine Rechtsberatung ist das nicht.
Wie verhindern wir, dass es wieder passiert?
Das Security Assessment zeigt nach der Eindämmung, welche Lücken den Angriff möglich gemacht haben und was zuerst zu schließen ist. Mit Managed Security überwachen wir Ihr Microsoft 365 danach dauerhaft und dämmen Vorfälle in vertraglich vereinbarter Zeit ein. Einen Notfallplan mit Rollen und Meldewegen üben wir auf Wunsch mit Geschäftsführung und IT in einer Tabletop-Übung.
Kein akuter Vorfall, aber offene Fragen?
Im Erstgespräch klären wir in 30 Minuten, wo Ihr Unternehmen steht und was zuerst zu tun ist.