Die Ausgangslage
Bei einem Immobiliendienstleister fiel jemand im Team auf eine Phishing-Mail herein. Der Angreifer meldete sich mit dem Konto an und verschickte darüber 2.500 Mails. Insgesamt erreichte der Angriff sieben Konten. Einen Manage-Vertrag hatte das Unternehmen damals nicht: Es beauftragte uns nach Aufwand.
Was wir getan haben
Zwei Techniker, parallel. Auf Wunsch des Unternehmens arbeiteten ab dem ersten Tag zwei unserer Techniker gleichzeitig daran.
Zuerst die Spuren gesichert. Wir haben die Daten zu Mailfluss und Nachrichtenverfolgung gesichert und ausgewertet: die Anmeldungen, die Aktivität des Kontos, die Phishing-Mail und den Ablauf des Angriffs.
Entfernt, was der Angreifer hinterlassen hatte. Wir haben die Posteingangsregeln, Weiterleitungen und Sitzungen des Angreifers entfernt und das Unternehmen beraten, wie es seine Konten härtet.
Alles drumherum geprüft. Einen Server vor Ort und die Systeme um ihn herum, dazu ein Tiefenscan des Netzwerks.
Eingegrenzt, wer die Mail bekam. Wir haben die betroffenen Nutzer im Unternehmen erfasst und die Empfänger außerhalb eingegrenzt.
Dem Datenschutzbeauftragten die Fakten geliefert. Für seine Entscheidung, ob gemeldet werden muss: die Angaben für die Meldung und für die Folgenabschätzung. Die rechtliche Bewertung blieb beim Unternehmen.
Aufgeschrieben. Ein kurzer technischer Bericht, eine Fassung für das Unternehmen und eine Zusammenfassung für die Geschäftsführung.
Was es gebraucht hat
Sieben Tage vom ersten Anruf bis zur letzten Prüfung. Am sechsten Tag waren alle Sitzungen im Tenant des Unternehmens widerrufen. Am siebten waren die übrigen Wege hinein ausgeschlossen und die Antwort an den Datenschutzbeauftragten fertig.
Wie es weiterging
Unser Vorgehen in diesem Fall wurde unser Standard für jeden Kunden: was passiert, wenn jemand klickt.