# Flüchtige Spuren vor dem Reboot
Typ: Checkliste
Herkunft: windows-server-administration / observability-incident / windows-server-observe-evidence-seq
Version: windows-server-observe-evidence-seq-2026-08-30
Geprüft: 2026-08-30

ACHTUNG: Dieses Dokument ist ein Lernartefakt aus einer Schulungssequenz. Es ist kein produktives Runbook. Vor jeder Anwendung in einer realen Umgebung müssen die Schritte gegen lokale Dokumentation, Runbooks und Freigabestatus geprüft werden.

## Szenario
Verdächtiger Prozess auf einem noch laufenden Host. Es gibt ein Incident und einen Service-Owner. volatile Daten (Speicher, Netzwerkverbindungen) gehen bei einem Neustart verloren.

## Schritte
1. Incident-Owner und Service-Owner aktivieren — die Verfügbarkeitsentscheidung gehört nicht dem Diagnostizierenden.
2. Flüchtige Daten sichern: Speicherabbild, netstat-Verbindungen, Prozessliste, bevor der Zustand verloren geht.
3. Relevante Event-Logs exportieren (Security, System, Application) für die Zeitlinie.
4. Containment nach Runbook durchführen: Scope begrenzen, nicht den Host abrupt isolieren.
5. Nur neu starten, wenn das Runbook es nach der Beweissicherung explizit verlangt.

## Begründung
Warum: Flüchtige Daten gehen bei einem Neustart unwiederbringlich verloren. Die Reihenfolge schützt zunächst Owner-Alarmierung und Beweislage, bevor bereinigt oder wiederhergestellt wird.
Folgen: **+** Evidenz bleibt erhalten, Containment erfolgt kontrolliert. **−** Ein früher Neustart löscht flüchtige Beweise und macht eine forensische Analyse unmöglich.

## Quellen
1. wevtutil — https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/wevtutil
2. Use WEF — https://learn.microsoft.com/en-us/windows/security/operating-system-security/device-management/use-windows-event-forwarding-to-assist-in-intrusion-detection