Rafael Pfister

Consulting

Incident Response: wenn die E-Mail-Umgebung kompromittiert ist

Ein Postfach versendet plötzlich Phishing, Kunden erhalten gefälschte Zahlungsaufforderungen, auf dem Exchange-Server liegt eine unbekannte Datei, oder der Hersteller des Mailgateways meldet eine ausgenutzte Schwachstelle. In solchen Situationen unterstütze ich bei Eindämmung, Analyse und Bereinigung, mit Fokus auf die Mail- und Identitätsebene.

  • Incident Response
  • Business Email Compromise
  • Microsoft 365
  • Exchange Server
  • Mailgateways
  • Meldepflichten

Typische Fälle

  • Kompromittiertes Postfach (BEC)Unbekannte Anmeldungen, versteckte Posteingangsregeln, externe Weiterleitungen, gestohlene Sitzungstoken und Zahlungsbetrug über echte Konten.
  • Angegriffener Exchange-ServerAusgenutzte Schwachstellen auf OnPrem-Exchange: Webshells, manipulierte Konfiguration, neue Konten oder Berechtigungen, Abfluss von Postfachinhalten.
  • Schwachstelle im MailgatewayZero-Days in Gateways wie FortiMail oder Kiteworks: Workaround umsetzen, auf Kompromittierung prüfen, Wiederinbetriebnahme planen.
  • Missbrauch der eigenen DomäneGefälschte Mails im Namen Ihres Unternehmens, Reputationsverlust und Blocklisten: Herkunft klären, Authentifizierung schliessen, Delisting beantragen.

Vorgehen im Ernstfall

  1. EindämmenSitzungen und Token widerrufen, Passwörter und MFA zurücksetzen, schädliche Regeln und Weiterleitungen entfernen, betroffene Systeme isolieren, ohne Spuren zu vernichten.
  2. Spuren sichernUnified Audit Log, Anmeldeprotokolle, Message Trace, Server- und Gateway-Logs sichern, bevor Aufbewahrungsfristen sie löschen.
  3. AnalysierenEinstiegspunkt, Zeitraum, betroffene Konten sowie gelesene, versendete oder abgeflossene Nachrichten rekonstruieren.
  4. Bereinigen und härtenUrsache schliessen, Konfiguration bereinigen, Monitoring ergänzen; Abschlussbericht für Geschäftsleitung, Versicherung und Behörden.

Meldepflichten in der Schweiz

Betrifft ein Vorfall Personendaten und führt er voraussichtlich zu einem hohen Risiko für die Betroffenen, verlangt das Datenschutzgesetz eine Meldung an den EDÖB so rasch als möglich (Art. 24 DSG). Betreiber kritischer Infrastrukturen müssen Cyberangriffe seit dem 1. April 2025 innert 24 Stunden dem Bundesamt für Cybersicherheit (BACS) melden. Ich liefere die technischen Grundlagen für diese Meldungen; die rechtliche Beurteilung bleibt bei Ihnen oder Ihrer Rechtsberatung.

Beispiele aus der Praxis