Capstone: vom verschlüsselten Rechenzentrum zum abgenommenen Dienst

Freitag, 04:50: elf ausbleibende Sicherungsläufe, verschlüsselte Maschinen, eine tote Verwaltungsoberfläche und zwei Verwaltungskonten, die niemand angelegt hat. Das Sicherungsziel meldet hunderte abgelehnte Löschanfragen — die beste Nachricht des Tages. Dieses Capstone bringt die Entscheidungen des ganzen Tracks in eine Lage, in der jede richtige Entscheidung eine andere richtige Entscheidung teurer macht: Die Aufklärung kostet Stillstand, der saubere Stand kostet sieben Wochen Daten, und das Tor vor der Wiederverbindung steht gegen den Druck von neun Tagen Ausfall.

Lehrtext · 12 Abschnitte · zuletzt geprüft: 2026-09-04

Die Lage

Freitag, 04:50. Die Überwachung meldet ausbleibende Sicherungsläufe auf elf Servern. Um 05:20 stellt die Rufbereitschaft fest, dass auf mehreren Dateiservern Dateien mit fremder Endung liegen. Um 06:10 ist klar: Ein erheblicher Teil der virtuellen Maschinen ist verschlüsselt, die Verwaltungsoberfläche der Virtualisierungsplattform antwortet nicht mehr, und im Verzeichnisdienst existieren zwei Konten mit Verwaltungsrechten, die niemand angelegt hat.

Das Sicherungsziel ist erreichbar. Es läuft mit einer Aufbewahrungssperre, die nur Anlegen erlaubt; im Protokoll stehen aus der Nacht hunderte abgelehnte Löschanfragen. Die Aufbewahrung umfasst 30 Tagesstände und zwölf Monatsstände. Der Verzeichnisdienst, die Fachanwendungen und der Zahlungsverkehr stehen still; die Produktion läuft noch, weil ihre Steuerung nicht am Netz hängt.

Was dieses Modul istKein neuer Lehrstoff, sondern die Zusammenführung. Die Missionen dieses Moduls verlangen Entscheidungen, die einzeln in den vorigen Modulen begründet wurden und hier miteinander in Konflikt geraten. Genau darin besteht der Unterschied zwischen dem Beherrschen der Einzelteile und dem Führen einer Lage: Jede richtige Entscheidung macht eine andere richtige Entscheidung teurer.

Unbekannt ist zu diesem Zeitpunkt fast alles, was für die Entscheidungen zählt: seit wann der Angreifer im Netz war, ob er noch aktiv ist, wie er hereinkam, welche Systeme neben den offensichtlich verschlüsselten betroffen sind und ob Daten abgeflossen sind. Diese Unkenntnis ist kein Versäumnis, sondern der Normalzustand der ersten Stunden — und die Kunst besteht darin, unter ihr zu handeln, ohne sie zu ignorieren.

Welche Annahmen jetzt nicht mehr gelten

Der überwiegende Teil dieses Tracks setzt eine vertrauenswürdige Umgebung voraus. In dieser Lage fällt diese Annahme, und mit ihr eine Reihe von Selbstverständlichkeiten.

Die Anmeldung: Jede Anmeldung, die in den letzten Wochen in dieser Umgebung benutzt wurde, gilt als kompromittiert — auch der Notfallzugang, wenn er hier je eingegeben wurde.
Der jüngste Stand: Er enthält den Angreifer. Der letzte bekannte gute Zustand kommt aus der Untersuchung, nicht aus dem Katalog.
Die Systemabbilder: Sie bringen Konten, Dienste und Startkonfiguration mit — und damit möglicherweise den Zugang des Angreifers.
Die zugesagten Zeiten: Sie wurden für den Ausfallfall gerechnet. Für diesen Fall gelten sie nicht, und das gehört gesagt, bevor jemand sie einfordert.
Die Werkzeuge: Verwaltungsoberfläche, Automatisierung, Geheimnisspeicher und Meldewege können Teil des Schadens sein.

Was dagegen weiterhin gilt: die Aufbewahrungssperre auf dem Sicherungsziel, die Monatsstände in der Tiefe, das Inventar mit den Schutzklassen und der Recovery-Vertrag. Das ist der Vorrat, aus dem die Lage geführt wird — und die Liste zeigt zugleich, welche Vorbereitungen sich hier auszahlen und welche nicht.

Was die Protokolle schon verraten

Bevor die Untersuchung Ergebnisse liefert, lässt sich aus vorhandenen Protokollen bereits einiges ablesen — und zwar ohne in die betroffene Umgebung einzugreifen. Drei Beobachtungen aus dieser Lage sind für die weiteren Entscheidungen unmittelbar bedeutsam.

Hunderte 403 Forbidden am Sicherungsziel: Antworten auf versionsbezogene Löschanfragen. Sie belegen, dass die Aufbewahrungssperre gewirkt hat — jemand hat versucht, die Sicherungen zu entfernen, und ist gescheitert. Das ist die beste Nachricht des Tages.
Auffällige Nutzung von Bordmitteln: Der CISA-Leitfaden nennt für die Untersuchung ausdrücklich vssadmin.exe, wbadmin.exe, bcdedit.exe, fsutil.exe mit deletejournal und wmic.exe mit shadowcopy — ihr Missbrauch sei eine verbreitete Technik, um die Wiederherstellung zu verhindern. Lokale Schattenkopien sind also vermutlich weg.
Zwei unbekannte Verwaltungskonten: Sie datieren den frühesten belegten Zugriff und sind zugleich der Beleg dafür, dass jede vorhandene Anmeldung als kompromittiert gelten muss.

Was diese drei Zeilen zusammen bedeutenDer Angreifer hat gezielt versucht, die Wiederherstellung unmöglich zu machen — und ist an genau der Maßnahme gescheitert, die im Schutzdesign entschieden wurde: einer Kopie, die die kompromittierte Anmeldung nicht löschen konnte. Ohne sie wäre die Lage an dieser Stelle beendet. Es lohnt sich, das im Nachbericht ausdrücklich festzuhalten, weil es die einzige belastbare Begründung für den Aufwand dieser Maßnahme ist, die je entstehen wird.

Die erste Stunde

Der Impuls, sofort zurückzuspielen, ist in dieser Lage der teuerste. Er alarmiert den Angreifer, überschreibt Spuren und beginnt eine Wiederherstellung auf einen Stand, dessen Sauberkeit niemand kennt. Trotzdem ist Untätigkeit falsch — es gibt genug zu tun, das nichts kaputtmacht.

Sichern, was da ist. Eine zusätzliche Kopie der vorhandenen Sicherungsbestände außer Reichweite bringen, bevor irgendetwas anderes passiert.
Beobachten und aufnehmen. Abbilder betroffener Systeme für die Untersuchung, Umfang aus vorhandenen Protokollen, Zeitpunkte festhalten.
Ausrufen. Die benannte Person aktiviert den Plan; die Kriterien sind eindeutig erfüllt.
Meldewege außerhalb der Umgebung öffnen. Mail und Chat liegen auf der betroffenen Plattform und sind für die Lageführung nicht zu benutzen.

Die Trennlinie der ersten StundeWas beobachtet und zusätzlich sichert, darf sofort geschehen. Was in die laufende Umgebung eingreift — Systeme zurückspielen, Konten zurücksetzen, Verbindungen kappen — wartet auf eine Entscheidung mit Kenntnis der Lage. Diese Trennung ist der ganze Unterschied zwischen einer geordneten und einer improvisierten ersten Stunde, und sie hält nur, wenn sie vorher aufgeschrieben wurde.

Vertrauen vor Datenpfad

Bevor der erste Bestand zurückgeholt wird, muss Handlungsfähigkeit bestehen — und in dieser Lage ist sie zweifelhaft. Die Reihenfolge ist deshalb nicht verhandelbar.

Handlungsfähigkeit herstellen: ein Zugang, der außerhalb der kompromittierten Umgebung ausgestellt wurde→Zugriff auf Schlüssel und Geheimnisse aus getrennter Verwahrung→Prüfen, ob die Schlüssel benutzbar und nicht zur Löschung vorgemerkt sind→Feststellen, welche Zertifikate und Dienstkontokennwörter erneuert werden müssen→Erst dann die Wiederherstellung beginnen

Ein Notfallzugang, den der Angreifer kennt, ist kein Notfallzugang

Der zweite Schritt ist in dieser Lage der kritische. Liegt der Bestandsschlüssel ausschließlich im zentralen Geheimnisspeicher und hängt dessen Anmeldung am ausgefallenen Verzeichnisdienst, ist die Sicherung vorhanden und unlesbar. Die Vorsorge dagegen kostet eine Stunde und musste vor Monaten getroffen worden sein.

Der saubere Punkt und sein Preis

Die Untersuchung grenzt den frühesten belegten Zugriff auf einen Zeitpunkt vor 38 Tagen ein. Damit scheidet die gesamte Reihe der 30 Tagesstände aus — sie liegen alle innerhalb der Verweildauer. Verwertbar sind nur die Monatsstände, und der jüngste geeignete ist rund sieben Wochen alt.

Was das bedeutet: Sieben Wochen Datenverlust für alle betroffenen Dienste — eine geschäftliche Entscheidung, keine technische.
Wer sie trifft: Die Dienst-Eigentümer, nicht die Lageführung und nicht der Betrieb. Sie haben die Verlustgrenze bestätigt und tragen die Folge.
Was die Entscheidung stützt: Für Nutzdaten ist ein alter Stand oft tragbar, weil sich Vorgänge nacherfassen lassen. Für Systeme ist der Neuaufbau aus geprüften Vorlagen die belastbarere Wahl — dort ist das Alter des Stands weniger entscheidend als seine Herkunft.
Was sie nicht ist: Ein Anlass, den jüngeren Stand „mit Prüfung“ zu nehmen. Ein Prüfprogramm erkennt, was es kennt; ein Nicht-Fund in einem Stand nach dem Eindringen ist kein Beleg.

Der Rückverweis, der hier wehtutDie Aufbewahrungstiefe wurde im Schutzdesign aus der Frage abgeleitet, wie lange ein Fehler unbemerkt bleiben kann. Genau diese Zahl entscheidet jetzt darüber, ob überhaupt ein sauberer Stand existiert. Ein Betrieb mit 30 Tagen Tiefe und einem Angreifer mit 38 Tagen Verweildauer hat an dieser Stelle nichts — und keine Anstrengung im Ernstfall kann das noch ändern.

Eine Feinheit entscheidet über die Größe des Verlusts: Die Wahl des Stands muss nicht für alle Dienste dieselbe sein. Ein Dienst, dessen Daten der Angreifer nachweislich nicht berührt hat, kann auf einen jüngeren Stand — sofern die Untersuchung das belegt. Ein Dienst mit gekoppelten Partnern muss dagegen denselben Zeitpunkt bekommen wie sie, sonst entstehen die Widersprüche aus dem Konsistenzmodul. Die Entscheidung fällt damit je Gruppe gekoppelter Dienste, nicht je Server und nicht pauschal für alle.

Wellen unter Knappheit

Vierzig Systeme, ein sauberer Raum, der noch aufgebaut wird, vier Personen und eine Leitung. Alles gleichzeitig zu beginnen ist die teuerste Wahl: Zwanzig parallele Wiederherstellungen konkurrieren um dieselben Mittel und werden alle langsam.

Die Prioritätenliste aus dem Inventar liefert die Ausgangsreihenfolge — Schutzklasse und bestätigte Ausfallgrenze je Dienst.
Die Abhängigkeitsketten korrigieren sie: Was andere tragen, kommt zuerst, auch wenn es selbst in einer niedrigeren Klasse steht.
Die Kapazität schneidet die erste Welle zu — nicht die Dringlichkeit der lautesten Meldung.
Die zweite Welle bekommt einen genannten Zeitpunkt, damit die übrigen Fachbereiche planen können.

In dieser Lage kommt eine Besonderheit hinzu: Der Wiederaufbau ist kein Zurückspielen, sondern ein Neuaufbau aus Vorlagen mit anschließendem Datenrestore. Das dauert je System länger und macht die Wellen kleiner — die Reihenfolge wird dadurch wichtiger, nicht unwichtiger.

Die Reihenfolge, die immer vorne stehtVor jeder Fachanwendung stehen in dieser Lage drei Dinge: ein funktionierender Meldeweg, eine vertrauenswürdige Anmeldung und ein sauberer Raum, in den überhaupt etwas hineingestellt werden kann. Alle drei erzeugen für die Fachbereiche keinen sichtbaren Fortschritt, und alle drei sind Bedingung für jeden weiteren Schritt. Das gehört in der ersten Statusmeldung ausgesprochen — sonst entsteht der Eindruck, es passiere nichts.

Drei Tore, die in dieser Lage gelten

Aus den vorigen Modulen stammen drei Halte, an denen ein Mensch entscheidet. In dieser Lage treten alle drei gleichzeitig auf, und sie werden von verschiedenen Personen bedient.

Überschreibende Wiederherstellung: Nicht rücknehmbar. Bei unbekanntem Schadensumfang wird zuerst daneben wiederhergestellt. Entscheidet der Dienst-Eigentümer über den Datenverlust.
Ausgehende Verbindungen: Ein wiederhergestellter Dienst nimmt die Arbeit dort auf, wo er aufhörte — er verschickt und bucht erneut. Freigabe erst nach Abgleich mit den betroffenen Dritten.
Wiederverbindung ins Netz: Zwei Bedingungen: Das System ist sauber, und der Eintrittsweg ist belegt geschlossen. Sauberkeit allein genügt nicht.

Warum das dritte Tor am häufigsten fälltWeil der Druck mit jeder Stunde Stillstand wächst und das Tor die einzige sichtbare Bremse ist. Der wirksamste Schutz dagegen ist kein Beharren, sondern ein Ersatzverfahren, das den Druck senkt: Ein Dienst, der eingeschränkt weiterarbeitet, verwandelt eine Entscheidung unter Erschöpfung in eine Entscheidung nach Kriterien.

Bemerkenswert an dieser Aufstellung ist, dass die drei Tore von drei verschiedenen Personen bedient werden: der Dienst-Eigentümer entscheidet über den Datenverlust, die Fachseite gemeinsam mit dem Partner über die ausgehenden Verbindungen, und die Lageführung gemeinsam mit der Untersuchung über die Wiederverbindung. Wer alle drei in einer Hand bündelt, hat kein Tor, sondern eine Person mit sehr vielen Aufgaben — und die entscheidet unter Druck alle drei gleich.

Die Konflikte, die sich nicht auflösen lassen

Ein Capstone ist nicht deshalb schwer, weil die Einzelentscheidungen unbekannt wären, sondern weil sie einander widersprechen. Vier Konflikte treten in dieser Lage sicher auf, und keiner hat eine Lösung, die beide Seiten befriedigt.

Untersuchung gegen Geschwindigkeit: Jede Stunde Aufklärung ist eine Stunde Stillstand — und ein zu früher Start kann die Wiederherstellung scheitern lassen. Auflösung: eine benannte Person entscheidet, keine Abstimmung.
Datenverlust gegen Sauberkeit: Der saubere Stand ist alt. Auflösung: Die Entscheidung gehört dem Eigentümer, und sie wird mit Datum und Begründung festgehalten.
Verfügbarkeit gegen Schreibhoheit: Zwei schreibende Seiten erzeugen den einzigen Schaden, den keine Sicherung heilt. Auflösung: im Zweifel stillstehen.
Spuren gegen Wiederherstellung: Was für die Untersuchung gebraucht wird, steht der Wiederherstellung im Weg. Auflösung: Abbilder anlegen, bevor überschrieben wird — das kostet Zeit und rettet beides.

Die vierte Zeile ist die einzige, die einen echten Ausweg hat; die anderen drei sind Abwägungen, die jemand treffen muss. Wer in der Lage nach einer Lösung sucht, die niemandem wehtut, verliert Zeit — die Aufgabe besteht darin, die Abwägung zu benennen, zu entscheiden und zu protokollieren.

Ein fünfter Konflikt ist weniger sichtbar und wirkt über Tage: Sorgfalt gegen Erschöpfung. Die Entscheidungen dieser Lage werden schlechter, je länger sie dauert, und die gefährlichste Phase ist nicht die erste Nacht, sondern der dritte Tag. Dagegen hilft keine Entschlossenheit, sondern Organisation — Schichten mit echter Übergabe, ein schriftliches Entscheidungsprotokoll und die ausdrückliche Regel, dass Tore auch am dritten Tag gelten. Wer das erst im Verlauf einführt, führt es zu spät ein.

Was am Ende belegt sein muss

Ein Dienst gilt in dieser Lage nicht als wiederhergestellt, weil er läuft. Die Kette der Belege ist länger als im gewöhnlichen Ausfall, und jedes Glied hat einen anderen Eigentümer.

Herkunft: Aus welchem Stand stammen die Daten, und warum gilt er als sauber?
Aufbau: Wurde das System neu gebaut oder zurückgespielt — und wenn zurückgespielt, mit welcher Begründung?
Vertrauen: Sind Zugangsdaten, Schlüssel und Zertifikate erneuert, und wer hat das bestätigt?
Eintrittsweg: Ist er benannt und geschlossen, und wer stellt das fest?
Fachliche Abnahme: Hat jemand aus dem Fachbereich eine echte Aufgabe im wiederhergestellten Dienst erledigt?

Die Zeile, die alles zusammenhältDie letzte. Ohne fachliche Abnahme ist der Dienst technisch verfügbar und fachlich unbekannt — und in einer Lage, in der Daten sieben Wochen alt sind und Berechtigungen neu vergeben wurden, ist die Wahrscheinlichkeit eines fachlichen Fehlers ungewöhnlich hoch. Die Abnahmeliste, die im Modul über den Restore-Nachweis einmal geschrieben wurde, zahlt sich hier vollständig aus.

Der Übergang zurück in den Normalbetrieb

Wenn die Dienste laufen, ist die Lage nicht beendet. Sie endet durch eine ausdrückliche Handlung, und in dieser Lage hängt daran mehr als sonst: Der Ausnahmezustand hat Zugänge, Regeln und Verfahren erzeugt, die niemand dauerhaft haben will.

Ausnahmeberechtigungen aus der Lage laufen aus, und ihre Liste wird durchgegangen — nicht nur die dokumentierten.
Notfallzugänge werden geschlossen und ihre Zugangsdaten gewechselt, weil sie in einer kompromittierten Umgebung benutzt wurden.
Ersatzverfahren werden beendet und die darin erfassten Vorgänge abgeglichen.
Offene Punkte bekommen Eigentümer und Termine im Normalbetrieb — sonst verschwinden sie mit der Erschöpfung.
Der saubere Raum wird entweder zur neuen Produktivumgebung erklärt oder kontrolliert aufgelöst; ein Dauerzustand dazwischen ist der schlechteste Ausgang.

Erst danach beginnt die Nachbereitung, und sie hat in dieser Lage zwei Adressaten: das eigene Übungsprogramm, dessen Befundliste um alles wächst, was gefehlt hat — und die Frage, welche der Vorbereitungen aus diesem Track tatsächlich getragen haben. Die Antwort darauf ist die wertvollste Erkenntnis des ganzen Vorfalls.

Die Frage, die den ganzen Track abschließtWelche Vorbereitung hat tatsächlich getragen? In dieser Lage waren es die Aufbewahrungssperre, die Aufbewahrungstiefe über zwölf Monate, der Zugang außerhalb der Umgebung und die fachliche Abnahmeliste. Nicht getragen hätten: ein Notfallzugang, der nur in dieser Umgebung erprobt wurde, eine Aufbewahrung über 30 Tage, und ein Plan, der ausschließlich am Hauptstandort liegt. Diese Gegenüberstellung ist die einzige Gelegenheit, den Aufwand der Vorbereitung mit Belegen zu begründen — sie gehört in den Nachbericht und nicht in die Erinnerung.

Wie die Missionen zu lesen sind

Die folgenden Aufgaben spielen an verschiedenen Punkten dieser Lage. Sie haben jeweils genau eine verteidigbar richtige Antwort, aber die falschen Antworten sind hier nicht dumm — es sind Positionen, die in echten Lagen von erfahrenen Leuten vertreten werden, meist mit guten Gründen.

Woran die richtige Antwort zu erkennen istAn drei Fragen, die durch den ganzen Track laufen: Was ist unumkehrbar? — das bekommt einen Halt. Wer trägt die Folge? — der entscheidet. Was ist belegt und was angenommen? — Annahmen werden gekennzeichnet, nicht behauptet. Wo diese drei Fragen in Konflikt geraten, gewinnt in aller Regel die Unumkehrbarkeit.

Jetzt anwenden

Diesen Stoff gibt es als Modul mit bewerteten Entscheidungs-Checks — dieselbe Einführung, danach die Übungen.

Zum Modul →

Quellen & Aktualität6 Primärquellen · zuletzt geprüft: 2026-09-04