Erstellung einer Checkliste zur Reaktion auf Zwischenfälle für MSP-Techniker

Die Reaktion auf Sicherheitsvorfälle in IT-Umgebungen sollte schnell, konsistent und skalierbar sein. Um dies zu erreichen, ist eine standardisierte Checkliste für die Reaktion auf Vorfälle erforderlich, insbesondere für MSPs (Managed Service Providers), die mehrere Mieter unterstützen. Dadurch wird sichergestellt, dass jeder Techniker denselben Prozess befolgt, egal ob es sich um Malware-Infektionen, die Kompromittierung von Zugangsdaten oder Datenlecks handelt.

Dieser Leitfaden führt Sie durch den gesamten Incident Response (IR)-Zyklus, der auf dem NIST (National Institute of Standards and Technology) Framework basiert. Es gibt fünf Schritte: Vorbereitung, Erkennung und Analyse, Eindämmung, Beseitigung und Wiederherstellung sowie Aktivitäten nach einem Vorfall.

Jeder Abschnitt enthält umsetzbare Schritte unter Verwendung von Tools wie PowerShell, Eingabeaufforderung, Gruppenrichtlinien und der Windows-Registrierung. Diese Checkliste gilt für alle MSPs und IT-Umgebungen jeder Größe.

Schritte zur Erstellung einer Checkliste zur Reaktion auf Vorfälle für MSP-Techniker

Vor der Implementierung einer Checkliste für die Reaktion auf Cybervorfälle müssen die Techniker über die entsprechenden Berechtigungen, Tools und Telemetrie verfügen.

📌 Voraussetzungen:

• Die Techniker müssen über Administratorzugriff auf alle betroffenen Endpunkte, Server oder Domänencontroller verfügen, die von dem Vorfall betroffen sind.
• Sie benötigen Zugriff auf Tools wie PowerShell 5.1 oder höher, die Ereignisanzeige, den Registrierungseditor und die Windows-Sicherheitsprotokolle.
• Sie müssen in der Lage sein, Protokolle zu erstellen und zu prüfen. Dazu gehören Microsoft 365 Audit-Protokolle, Windows Security, Firewall und lokale Ereignisprotokolle.
• Sie benötigen Zugriff auf das Microsoft 365 Security & Compliance Center für die Überprüfung von Warnungen, Audits und ggf. Postfachuntersuchungen.
• Ein zentralisiertes Warn- oder Überwachungssystem wie NinjaOne, Microsoft Defender oder Azure Sentinel wäre am besten für eine verstärkte Überwachung von Anomalien und bessere Arbeitsabläufe bei Vorfällen geeignet.

📌 Liste der Schritte zur Erstellung einer Checkliste für die Reaktion auf Zwischenfälle:

Schritt 1: Vorbereitungsphase – Bereitschaft und Konfiguration

In dieser Phase wird Ihre Umgebung auf einen Sicherheitsvorfall abgestimmt und vorbereitet. Damit dieser Schritt erfolgreich ist, müssen Sie ein detailliertes Auditing aktivieren, die Zeitsynchronisation überprüfen und bestätigen, was die Tools und Protokolle liefern können.

📌 Use Cases:

• Auf diese Weise können Sie und Ihr Team eine grundlegende Sicherheitslage für alle Client-Umgebungen schaffen.
• Stellen Sie sicher, dass alle Endgeräte und Domänencontroller Protokolle erstellen und prüfen können, bevor ein Vorfall eintritt.
• Erfüllen Sie die Compliance-Anforderungen und verbessern Sie die forensische Transparenz nach einem Vorfall.

📌 Voraussetzungen:

• Sie müssen Zugriff auf die Gruppenrichtlinien-Verwaltungskonsole oder den lokalen Gruppenrichtlinien-Editor haben.
• Sie müssen über erweiterte Rechte verfügen, um PowerShell oder die Eingabeaufforderung als Administrator auszuführen.
• Alle Geräte müssen mit der Domäne verbunden sein, um gruppenbasierte Einstellungen anzuwenden.

Führen Sie die folgenden Schritte aus, um die Audit-Protokollierung und die Systembereitschaft zu konfigurieren:

Sicherheitsfragen

1. Aktivieren Sie zunächst die Überprüfungsrichtlinien mithilfe der Gruppenrichtlinie. Öffnen Sie es und navigieren Sie zu: Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Konfiguration der Audit-Richtlinie.
2. Legen Sie anschließend die folgenden Prüfungskategorien entsprechend den von Ihrem Unternehmen bevorzugten Sicherheitsstandards fest:
   • Ereignisse bei der Anmeldung
   • Kontoanmeldung
   • Zugang zum Objekt
   • Kontoführung
3. Überprüfen Sie die Überwachungseinstellungen über PowerShell mit diesem Befehl:

AuditPol /get /Kategorie:*

4. Verwenden Sie diesen Befehl, um die Zeitsynchronisierung aller Endpunkte zu überprüfen:

w32tm /abfrage /status

Nicht sicherheitsrelevante Fragen

Vorbereitung bedeutet auch, dass man sich auf nicht sicherheitsrelevante Probleme einstellen muss, z. B. auf Hardwarefehler und Serviceausfälle.

Vergewissern Sie sich der folgenden Punkte:

• Überwachung und Alarmierung sind für die Betriebszeit des Dienstes konfiguriert.
• Fertigstellung der Dokumentations-Eskalationspfade für Ausfälle.
• Vergewissern Sie sich, dass Backups oder Ersatzhardware verfügbar sind, falls Systeme ausfallen.

Schritt 2: Aufdeckung und Analyse

In dieser Phase werden Indikatoren für eine Systemgefährdung ermittelt. Darüber hinaus werden Sie auch System- und Sicherheitsprotokolle überprüfen und verdächtige Aktivitäten auf Endpunkten oder Konten aufspüren.

📌 Use Cases:

• Dieser Schritt hilft Ihnen, unbefugten Zugriff, Richtlinienverletzungen und die Ausführung von Malware in verwalteten Umgebungen zu erkennen.
• Hier untersuchen Sie Anomalien, die von Sicherheitstools, SIEM-Plattformen oder Helpdesk-Tickets gemeldet werden.
• Außerdem überprüfen Sie die Einhaltung von Vorschriften, indem Sie Prüfpfade und Sicherheitsereignisse untersuchen.

📌 Voraussetzungen:

• Sie benötigen Zugriff auf Tools wie die Ereignisanzeige, Windows-Sicherheitsprotokolle oder eine SIEM-Plattform, um Bedrohungen effektiv zu erkennen.
• Sie benötigen Administratorzugriff auf Endpunkte oder zentralisierte Tools zur Protokollerfassung.

Befolgen Sie diese Schritte, um eine effektive Strategie zur Erkennung und Analyse von Bedrohungen zu implementieren:

Sicherheitsrelevante Ereignisse

1. Überprüfen Sie zunächst die Sicherheitsprotokolle auf wichtige Ereignis-IDs:
   • 4624: Erfolgreiche Anmeldung
   • 4625: Anmeldung fehlgeschlagen
   • 4688: Erstellung neuer Prozesse
   • 1102: Audit-Log gelöscht
   • 4720: Neuer Benutzer erstellt
   • 4728-4732: Änderungen der Gruppenmitgliedschaft
     

2. Verwenden Sie diesen PowerShell-Befehl für die Ereignisprotokollsammlung:

Get-WinEvent -LogName Security | Where-Object {$_.Id -eq 4625}

3. Um nach Persistenzmechanismen zu suchen, navigieren Sie zu diesem Registrierungsschlüssel:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

4. Verwenden Sie diesen PowerShell-Befehl, um nach verdächtigen geplanten Aufgaben zu suchen:

Get-ScheduledTask | Where-Object {$_.TaskPath -like ‚*mal*‘}

Nicht sicherheitsrelevante Ereignisse

Die Erkennung gilt auch für nicht sicherheitsrelevante Ereignisse. Anstelle von verdächtigen Prozessen oder Anomalien können Techniker Anzeichen wie Leistungseinbrüche, Serverabschaltungen oder fehlgeschlagene Sicherungsaufträge erkennen. In solchen Fällen ist das Ziel dasselbe: Beweise aus Überwachungstools, Warnmeldungen und Protokollen sammeln, um das Ereignis zu bestätigen und seinen Umfang zu verstehen.

Sie können zum Beispiel diesen PowerShell-Code verwenden, um festzustellen, ob der Serverstatus aktiv ist oder nicht:

Test-Verbindung server01 -Count 1 -Quiet
Get-Service -ComputerName server01 | Where-Object Status -ne ‚Running‘
Test-NetConnection server01 -Port 3389

Schritt 3: Einschließungsverfahren

Sobald Sie und Ihr Team eine Bedrohung bestätigt haben, besteht der nächste Schritt in dieser Checkliste zur Reaktion auf Sicherheitsvorfälle darin, die betroffenen Systeme zu isolieren und weiteren Schaden zu verhindern. Die Aufgaben umfassen das Deaktivieren von Konten, das Isolieren von Endpunkten und das Stoppen bösartiger Prozesse.

📌 Use Cases:

• Diese Schritte helfen Ihnen, die Verbreitung von Malware, Ransomware und nicht autorisierten Aktivitäten im Netzwerk zu verhindern.
• Isolieren Sie gefährdete Systeme von kritischen Infrastrukturen und verhindern Sie so die Ausbreitung einer möglichen Infektion.
• Auf diese Weise können Sie den Benutzerzugriff während der Untersuchung einer Kontokompromittierung sperren.

📌 Voraussetzungen:

• Sie benötigen Zugriff auf die betroffenen Geräte über ein RMM-Tool, PowerShell Remoting oder eine direkte Anmeldung.
• Administrative Berechtigungen sind auf Endpunkten oder über Active Directory erforderlich.
• Es sollten Richtlinien für die Eskalation von Vorfällen und den Umfang ihrer Eindämmung vorhanden sein.

Befolgen Sie diese Schritte, um Bedrohungen zu isolieren oder einzudämmen:

Schritte zur Sicherheitseindämmung

1. Trennen Sie das Gerät vom Netz. Sie können diesen PowerShell-Befehl verwenden, wenn Sie nicht mit NinjaOne oder einer anderen RMM-Software arbeiten:

Disable-NetAdapter -Name „Ethernet“ -Bestätigung:$false

2. Verwenden Sie diesen PowerShell-Befehl, um Benutzeranmeldungen oder kompromittierte Konten (für Microsoft 365-Benutzer) zu sperren:

Set-MsolUser -UserPrincipalName [email protected] -BlockCredential $true

3. Kompromittierte Endpunkte in Quarantäne stellen oder markieren.
   • Sie können Ihr RMM-Tool (z. B. NinjaOne) verwenden, um die betroffenen Systeme in eine Eingrenzungsgruppe zu verschieben, um sie zu isolieren.
   • Eine andere Möglichkeit besteht darin, das Gerät in eine eingeschränkte Active Directory-Organisationseinheit zu verschieben, die die Netzwerkisolierung über GPO anwendet.
4. Anschließend können Sie bösartige Prozesse mit diesem PowerShell-Befehl beenden:

Stop-Process -Name „suspiciousprocess“ -Force

Ersetzen Sie „suspiciousprocess“ durch den Namen des bösartigen Prozesses, den Sie in Schritt 2 entdeckt haben (Ereignis-ID 4688). Sie können bösartige Prozesse identifizieren, indem Sie ihre Verzeichnisse überprüfen. Wenn sie beispielsweise unter Temp (z. B. C:\Users\Public\Temp\svchost.exe gespeichert ist, ist sie verdächtig und sollte beendet werden.

5. Danach können Sie die bösartigen Bedrohungen in der Registry identifizieren. Sie können dies mit diesem PowerShell-Befehl erreichen:

Get-ItemProperty -Path „HKLM:\Software\
Microsoft\Windows\CurrentVersion\Run“

Überprüfen Sie die PowerShell-Ausgabe. Achten Sie auf skizzenhafte, falsch geschriebene, unpassende Namen und Dateien an nicht standardisierten Orten. Wenn zum Beispiel. exe Dateien mit unbekannten Namen vorhanden sind, die es nicht geben sollte, ist das ein Grund zum Verdacht.

6. Beenden Sie den Prozess, indem Sie die bösartigen Starteinträge aus der Windows-Registrierung entfernen. Verwenden Sie diesen Befehl:

Remove-ItemProperty -Path „HKLM:\Software\Microsoft\
Windows\CurrentVersion\Run“ -Name „BadApp“

Ersetzen Sie „Badapp“ durch den Namen des gefundenen bösartigen Starteintrags.

7. Starten Sie den Explorer neu, damit die Änderungen wirksam werden. Verwenden Sie diesen PowerShell-Code:

Stop-Process -Name explorer -Force
Start-Prozessexplorer

⚠️ Warnung: Löschen Sie bösartige Einträge nur, wenn Sie sich vergewissert haben, dass sie bösartig oder schädlich sind.

Nicht sicherheitsrelevante Fragen: Schritte zur Eindämmung

Bei nicht sicherheitsrelevanten Vorfällen besteht die Eindämmung darin, fehlerhafte Hardware vom Netz zu nehmen, auf ein früheres Update zurückzugreifen oder von fehlgeschlagenen Backups wiederherzustellen. Sie können Ihr RMM-Überwachungstool verwenden, um diese Anomalien zu markieren und mit der Behebung dieser Unterbrechungen zu beginnen.

Schritt 4: Ausrottung und Wiederherstellung

Nachdem Sie die Bedrohung eingedämmt haben, besteht der nächste Schritt darin, die Bedrohung aus der Umgebung zu entfernen und die betroffenen Systeme wiederherzustellen.

📌 Use Cases:

• Dieser Schritt und die folgenden Methoden helfen Ihnen und Ihrem Team, Malware, Backdoor-Zugang und nicht autorisierte Tools von kompromittierten Systemen zu entfernen.
• Setzen Sie die Benutzeranmeldedaten zurück und wenden Sie die Sicherheitsrichtlinien nach dem Verstoß erneut an.
• Diese Methode hilft Ihnen, die betroffenen Computer zu reparieren und wieder betriebsbereit zu machen.
• So können Sie die Systemintegrität überprüfen, bevor Sie die Geräte wieder in die Produktion integrieren.

📌 Voraussetzungen:

• Sie benötigen Zugang zu Antivirus- oder Endpunktschutz-Tools wie Microsoft Defender.
• Sie benötigen mehr Systemberechtigungen, um Scans durchzuführen, bösartige Software zu entfernen und Richtlinien zurückzusetzen.
• Sie benötigen Zugriff auf Active Directory oder Identitätsmanagement-Tools, um Ihre Anmeldedaten zurückzusetzen.

Um diese zu beseitigen und Ihr System wiederherzustellen, müssen Sie Folgendes tun:

Sicherheitsfragen

1. Öffnen Sie PowerShell und führen Sie mit diesem Befehl vollständige Malware-/Antiviren-Scans durch:

Start-MpScan -ScanType FullScan

2. Führen Sie dies in PowerShell aus, um die Anmeldeinformationen zurückzusetzen:

Set-ADAccountPassword -Identity „compromisedUser“ -Reset
-NewPassword (ConvertTo-SecureString -AsPlainText „NewP@ssw0rd123“ -Force)

Ersetzen Sie „compromisedUser“ durch den Benutzernamen und „NewP@ssw0rd123“ durch das gewünschte sichere Passwort.

3. Führen Sie diesen Befehl aus, um die Registrierung auf geänderte oder verdächtige Geräte zu überprüfen:

Get-ItemProperty -Pfad
„HKLM:\SYSTEM\CurrentControlSet\Services“

Hier müssen Sie nach abnormalen Namen, geänderten Pfaden und Einträgen suchen, die unbekannte EXE-Dateien anzeigen.

4. Verwenden Sie diesen Befehl, um eingehende Firewalls zu überprüfen und sicherzustellen, dass sie mit Ihren Richtlinien übereinstimmen:

Get-NetFirewallRule | Where-Object
{$_.Direction -eq „Inbound“ -und $_.Action -eq „Allow“}

5. Verwenden Sie diesen PowerShell-Befehl, um GPO-Baselines zu erstellen und lokale Richtlinien zu aktualisieren:

gpupdate /force

6. Optional Mit diesem Befehl können Sie das System auf einen Wiederherstellungspunkt zurücksetzen:

Computer wiederherstellen -Wiederherstellungspunkt 1

Nicht sicherheitsrelevante/operative Fragen

In diesen Fällen umfasst die Wiederherstellung die Wiederherstellung von Systemen aus Backups, die Rücknahme problematischer Patches oder den Austausch ausgefallener Geräte.

Schritt 5: Aktivitäten nach einem Vorfall

Nachdem die Bedrohung eingedämmt und das System wiederhergestellt wurde, geht es in einem letzten Schritt um Dokumentation, Analyse und Verbesserungen. Die Durchführung dieser Schritte verhindert eine Wiederholung und trägt dazu bei, den Beteiligten und Kunden gegenüber Sorgfalt zu demonstrieren.

📌 Use Cases:

• Dieser Schritt ermöglicht es Ihnen und Ihrem Team, den zeitlichen Ablauf der Ereignisse zu dokumentieren, die ergriffenen Maßnahmen zu rekapitulieren und die Ergebnisse der Abhilfemaßnahmen zu dokumentieren, was für künftige Bedrohungen von Nutzen sein wird.
  Auf diese Weise können die IT-Teams die Ursache des Vorfalls und seine Ausbreitung ermitteln und solche Vorfälle in Zukunft verhindern.
• Sie und Ihr Team können Richtlinien- oder Konfigurationslücken identifizieren und Checklisten und Verfahren zur Reaktion auf Cybervorfälle aktualisieren.
• Auf der Grundlage Ihrer Erkenntnisse können Sie die Zugriffskontrollen, Kennwortrichtlinien oder Audit-Einstellungen verbessern.

📌 Voraussetzungen:

• Sie benötigen Zugang zu Sicherheitsberichten, Ereignisprotokollen und RMM-Daten aus den früheren Phasen der Vorfallsmeldung.
• Dies erfordert die Möglichkeit, Protokolle aus den betroffenen Systemen zu exportieren.

Führen Sie die folgenden Schritte aus, um den Vorfall abzuschließen und Ressourcen für die zukünftige Verwendung zu schaffen:

1. Dokumentieren Sie den zeitlichen Ablauf der Ereignisse und die Maßnahmen, die Ihr Team ergriffen hat. Geben Sie unbedingt den Zeitpunkt der Entdeckung, die Eindämmungsmaßnahmen, die betroffenen Systeme sowie den Zeitpunkt und die Art der Behebung des Vorfalls an.
2. Sammeln und Sichern von Beweisen, z. B. Sicherheitsprotokollen. Sie können sie mit dieser Zeile in der Eingabeaufforderung exportieren:

wevtutil epl Sicherheit „C:\IR\SecurityLog.evtx“

3. Jede Checkliste für Sicherheitsmaßnahmen erfordert eine Ursachenanalyse (RCA). Überprüfen Sie, wie der Vorfall begann, wie er entdeckt wurde und wie er sich ausbreiten konnte. Dies wird Ihnen und Ihrem Team helfen, potenzielle Lücken zu schließen und die Verbreitung potenzieller Bedrohungen in Zukunft zu verringern.

4. Sie können lokale Berechtigungen prüfen. Suchen Sie nach unerwarteten Benutzerkonten oder Dienstkonten mit erweiterten Rechten:

Get-LocalGroupMember -Group „Administratoren“

5. Außerdem müssen die Passwortrichtlinien für alle Benutzer verschärft und die Zugangskontrollen verstärkt werden. Sie können diese Aufgabe angehen, indem Sie eine Multi-Faktor-Authentifizierung (MFA) verlangen. Manchmal reicht ein Passwort nicht aus, dann helfen eine Authentifizierungs-App und andere zusätzliche IT-Sicherheitsmaßnahmen  .
6. Aktualisieren Sie schließlich Ihre Checkliste für die Reaktion auf Vorfälle und Ihre Standardarbeitsanweisungen. Notieren Sie, was funktioniert hat, was misslungen ist und welche Faktoren verbessert werden müssen. Achten Sie darauf, Probleme zu notieren, die durch verpasste Warnungen oder fehlgeschlagene Aktionen verursacht wurden.

⚠️  Worauf Sie achten sollten

Vorlage für eine Checkliste zur Reaktion auf Vorfälle für IT-Techniker

Ändern Sie diese Vorlage je nach den Bedürfnissen Ihres Kunden oder Ihrer Organisation.

Wie NinjaOne die schnelle und automatisierte Reaktion auf IT-Vorfälle unterstützt

NinjaOne bietet MSPs die Werkzeuge, die sie benötigen, um die Reaktion auf IT-Vorfälle in verwalteten Umgebungen zu automatisieren, zu beschleunigen und zu vereinheitlichen. Dies geschieht durch die Integration von Überwachung, Skripting und Dokumentation in einer einzigen Plattform. Damit können die Techniker schnell und konsequent auf Sicherheitsereignisse reagieren.

Einige der Funktionen, die bei der Erfüllung der in der Checkliste für die Reaktion auf Vorfälle aufgeführten Schritte helfen können, sind die folgenden:

• NinjaOne verfügt über integrierte Fernüberwachungs-Tools, die Ihnen helfen, Anomalien in Echtzeit zu erkennen und darauf aufmerksam gemacht zu werden.
• Sie können Netzwerkadapter deaktivieren und infizierte Geräte für die Isolierung mittels Remote Containment markieren.
• Automatisierung kritischer Aufgaben wie das Zurücksetzen von Anmeldedaten, Scannen von Malware und Beenden bösartiger Prozesse mithilfe benutzerdefinierter Skripte und vorgefertigter Aktionen.
• NinjaOne verfügt über eine robuste Skriptbibliotheksfunktion, mit der Sie PowerShell-Skripte zur Behebung kompromittierter Registrierungseinträge bereitstellen können.
• Sie können eine Audit-Dokumentation erstellen, einschließlich Ereignisprotokollen und Technikeraktionen für die Nachbereitung von Ereignissen.
• NinjaOne bietet eine zentralisierte Dokumentation und Standardarbeitsanweisungen, die es ermöglichen, Checklisten für Vorfallsberichte und Aufgabenabläufe mit den Technikerteams zu teilen.

NinjaOne kann MSPs dabei helfen, Reaktionszeiten zu verkürzen und Vorfälle einheitlich zu behandeln, während gleichzeitig die volle Transparenz und Kontrolle über die Kundenumgebungen erhalten bleibt.

Erstellen Sie eine Checkliste für die Reaktion auf Vorfälle, um die Sicherheit Ihrer IT-Umgebung zu verbessern

Eine Checkliste für die Reaktion auf Vorfälle stellt sicher, dass jeder Techniker in Ihrem Team effektiv und konsequent auf Bedrohungen durch Cybervorfälle reagieren kann. Sie können Erkennungstools, die Durchsetzung von Richtlinien, Automatisierung und die Dokumentation nach einem Vorfall kombinieren, um Kunden zu schützen und gleichzeitig das Vertrauen und die betriebliche Qualität zu erhalten.

Bereiten Sie sich vor, erkennen Sie die Bedrohungen, dämmen Sie sie ein und beseitigen Sie sie, stellen Sie Ihr System wieder her und erstellen Sie die entsprechende Dokumentation, um Ihre SOPs zu verbessern.

Verwandte Themen:

• IT-Sicherheitscheckliste zum Schutz Ihres Unternehmens
• MSP Cybersecurity Checkliste 2025: Schutz vor Ransomware & Bedrohungen
• Checkliste zur Endpunkt-Härtung
• Vollständiger Leitfaden zur Systemhärtung [Checkliste]
• Checkliste zur Einhaltung des Digital Operational Resilience Act (DORA)
• MSPs: 6 Schlüssel zum Überleben eines Ransomware-Ausbruchs in Ihrem Kundenstamm