Vom ersten Verdacht zur belastbaren Ereigniszeitleiste
Bei einem IT-Sicherheitsvorfall entscheidet die richtige Reihenfolge über den späteren Erkenntniswert. Flüchtige Daten, aktive Sitzungen und kurzlebige Protokolle können verloren gehen; zugleich dürfen produktive Systeme nicht unkontrolliert verändert werden. QUINTEGO grenzt deshalb zuerst Beweisfrage, Zeitraum, betroffene Systeme und zulässigen Untersuchungsumfang ein.
Endpunkt-, Identitäts-, E-Mail-, EDR-/SIEM-, Netzwerk- und Cloud-Artefakte werden quellenbezogen gesichert und zeitlich normalisiert. Ziel ist eine überprüfbare Rekonstruktion von Erstzugriff, Persistenz, Rechteausweitung, lateraler Bewegung und möglichem Informationsabfluss – einschließlich Datenlücken und alternativer Erklärungen.
Forensische Sicherung und Incident Response sauber trennen
Eindämmung und Wiederherstellung können betrieblich dringend sein, verändern aber häufig den Untersuchungszustand. Deshalb werden notwendige Maßnahmen, Zeitpunkte und Auswirkungen dokumentiert. Geeignete Datenträger werden schreibgeschützt erfasst, Abbilder mit kryptografischen Prüfsummen verifiziert und Auswertungen an kontrollierten Arbeitskopien vorgenommen.
Typische Untersuchungsbausteine
- Incident-Triage, Sicherungspriorität und belastbare Beweisfrage
- Forensische Erfassung von Endgeräten, Servern und Datenträgern
- Auswertung von Identitäts-, E-Mail-, Cloud-, EDR- und Netzwerkprotokollen
- Rekonstruktion von Zugriffen, Persistenz, Berechtigungsnutzung und Datenbewegung
- Bericht mit Befundstärke, Datenlücken, Grenzen und Handlungsempfehlungen
Auswertung durch hochqualifizierte Experten
Die Auswertung erfolgt durch hochqualifizierte Experten mit fundierter forensischer Erfahrung. Feststellungen werden technisch verifiziert, verständlich eingeordnet und von Annahmen oder bloßen Indikatoren getrennt. Auf Wunsch und bei entsprechender Beauftragung erstellt der Sachverständige ein strukturiertes Gutachten zu Methodik, Befunden, Aussagekraft und Grenzen.
Wichtig: Der erreichbare Erkenntnisumfang hängt von Datenverfügbarkeit, Protokollierung, Verschlüsselung und bereits erfolgten Veränderungen ab. Ein fehlender Nachweis ist nicht automatisch ein Nachweis dafür, dass kein Vorfall stattgefunden hat.