Wenn Sie glauben, dass Ihr Computer gehackt wurde, sollten Sie nicht vorschnell Programme löschen, Sicherheitssoftware installieren, das System zurücksetzen oder Windows beziehungsweise macOS neu installieren. Solche Maßnahmen können zwar bei einer späteren Bereinigung sinnvoll sein, gleichzeitig aber digitale Spuren verändern oder vernichten, die für die Rekonstruktion eines möglichen Angriffs wichtig sein können.

Zunächst muss zwischen einem Verdacht und einem tatsächlich feststellbaren Sicherheitsvorfall unterschieden werden. Ein langsamer Computer, hohe Prozessorauslastung, ungewöhnliche Lüftergeräusche oder einzelne Fehlermeldungen beweisen keinen Hackerangriff. Unbekannte Benutzerkonten, fremde Anmeldungen, unerklärliche Fernwartungssoftware, veränderte Sicherheitseinstellungen oder ungewöhnliche Netzwerkaktivitäten können dagegen Anlass für eine genauere Untersuchung sein.

Besteht ein konkreter Verdacht, müssen zwei Ziele gegeneinander abgewogen werden: weiteren Schaden begrenzen und vorhandene digitale Spuren möglichst erhalten. Welche Maßnahme Vorrang hat, hängt davon ab, ob der Angriff möglicherweise noch läuft, sensible Daten betroffen sind, Zugangsdaten gestohlen wurden oder der Computer später forensisch untersucht werden soll.

Was sollte ich sofort tun, wenn mein Computer möglicherweise gehackt wurde?

Dokumentieren Sie zunächst möglichst genau, was Ihnen aufgefallen ist. Notieren Sie Datum und ungefähre Uhrzeit, ungewöhnliche Meldungen, verdächtige Programme, unbekannte Anmeldungen oder andere Veränderungen.

Wenn möglich, fotografieren oder dokumentieren Sie auffällige Bildschirmanzeigen. Löschen Sie verdächtige E-Mails, Dateien oder Programme nicht vorschnell, wenn der Vorfall später untersucht werden soll.

Bei einem geschäftlich genutzten Computer sollten Sie außerdem die zuständige IT- oder Sicherheitsabteilung informieren und nicht eigenmächtig umfangreiche Änderungen am System durchführen.

Sollte ich einen möglicherweise gehackten Computer sofort vom Internet trennen?

Bei einem vermuteten laufenden Angriff kann eine Trennung der Netzwerkverbindung helfen, weitere Kommunikation mit externen Systemen zu unterbrechen und zusätzlichen Datenabfluss zu begrenzen.

Für eine forensische Untersuchung kann eine laufende Netzwerkverbindung jedoch gleichzeitig wertvolle Informationen liefern. Aktive Verbindungen, Prozesse und Daten im Arbeitsspeicher können Hinweise auf einen laufenden Angriff enthalten.

Deshalb gibt es keine für jeden Fall richtige Standardmaßnahme. Bei einem privaten Computer mit akutem Sicherheitsrisiko kann die Netzwerkisolation sinnvoll sein. Bei einem schwerwiegenden Unternehmensvorfall sollte die Entscheidung möglichst durch IT-Sicherheits- oder Forensik-Fachleute getroffen werden.

Sollte ich den Computer sofort ausschalten?

Nicht automatisch.

Beim Ausschalten gehen flüchtige Informationen aus dem Arbeitsspeicher verloren. Dazu können laufende Prozesse, aktive Netzwerkverbindungen, entschlüsselte Inhalte und andere Informationen gehören, die bei einer forensischen Untersuchung relevant sein können.

Andererseits kann ein weiterhin laufendes kompromittiertes System zusätzliche Veränderungen verursachen.

Bei einem ernsthaften Vorfall mit Beweisinteresse sollte deshalb möglichst vor dem Ausschalten entschieden werden, ob flüchtige Daten gesichert werden müssen.

Warum kann der Arbeitsspeicher bei einem Hackerangriff wichtig sein?

Der Arbeitsspeicher eines laufenden Computers kann Informationen enthalten, die nach dem Ausschalten nicht mehr verfügbar sind.

Dazu können laufende Prozesse, Netzwerkverbindungen, geladene Module und andere flüchtige Systeminformationen gehören.

Bei bestimmten Angriffen kann eine RAM-Sicherung deshalb einen wichtigen Bestandteil der forensischen Beweissicherung darstellen.

Sollte ich den Computer neu starten?

Bei einem möglichen Beweisinteresse möglichst nicht ohne vorherige Abwägung.

Ein Neustart beendet Prozesse, löscht flüchtige Arbeitsspeicherinformationen und erzeugt gleichzeitig neue Systemereignisse.

Dadurch kann sich die ursprüngliche Situation verändern.

Sollte ich ein Antivirenprogramm starten?

Wenn ausschließlich eine möglichst schnelle Bereinigung des Systems gewünscht wird, kann Sicherheitssoftware sinnvoll sein.

Bei einer geplanten forensischen Untersuchung ist die Situation anders. Ein Virenscanner kann Dateien löschen, verändern oder in Quarantäne verschieben und dadurch die ursprüngliche Beweislage verändern.

Deshalb sollte vor einer automatischen Bereinigung entschieden werden, ob zunächst eine forensische Sicherung erforderlich ist.

Sollte ich verdächtige Programme deinstallieren?

Nicht, wenn der Vorfall untersucht werden soll.

Eine verdächtige Anwendung kann selbst ein wichtiges Untersuchungsobjekt darstellen. Durch eine Deinstallation können Programmdateien, Konfigurationen, Logs und weitere Artefakte verändert oder entfernt werden.

Sollte ich verdächtige Dateien löschen?

Bei bestehendem Beweisinteresse ebenfalls nicht.

Eine verdächtige Datei kann Informationen über Herkunft, Dateityp, Hashwert oder andere technische Eigenschaften enthalten.

Sie sollte kontrolliert untersucht und nicht einfach geöffnet oder gelöscht werden.

Sollte ich Windows oder macOS neu installieren?

Nicht vor einer geplanten forensischen Untersuchung.

Eine Neuinstallation verändert große Bereiche des Datenträgers und kann vorhandene Spuren überschreiben.

Wenn zunächst geklärt werden soll, ob und wie der Computer kompromittiert wurde, sollte die Beweissicherung vor einer Neuinstallation erfolgen.

Sollte ich den Computer auf Werkseinstellungen zurücksetzen?

Auch ein Zurücksetzen kann erhebliche Datenmengen verändern oder entfernen.

Für die reine Wiederherstellung eines sicheren Systems kann dies später eine Option sein. Für die Rekonstruktion eines möglichen Angriffs ist ein Reset vor der Beweissicherung jedoch problematisch.

Sollte ich meine Passwörter ändern?

Wenn Zugangsdaten kompromittiert worden sein könnten, sollten wichtige Passwörter geändert werden.

Verwenden Sie dafür nach Möglichkeit ein anderes vertrauenswürdiges Gerät. Wenn der verdächtige Computer tatsächlich kompromittiert ist, sollten neue Zugangsdaten nicht unnötig über genau dieses System eingegeben werden.

Welche Passwörter sollte ich zuerst ändern?

Priorität besitzt häufig das zentrale E-Mail-Konto, weil darüber Passwörter anderer Dienste zurückgesetzt werden können.

Danach sollten je nach Situation Microsoft-, Google- oder Apple-Konten, geschäftliche Benutzerkonten, Cloud-Dienste, Banking und Zahlungsdienste geprüft werden.

Wenn dasselbe Passwort bei mehreren Diensten verwendet wurde, müssen auch diese Konten berücksichtigt werden.

Sollte ich Zwei-Faktor-Authentifizierung aktivieren?

Ja, soweit der jeweilige Dienst eine geeignete Zwei-Faktor-Authentifizierung unterstützt.

Sie erschwert den Zugriff mit einem gestohlenen Passwort erheblich. Sie ersetzt jedoch nicht die Prüfung, ob bereits fremde Sitzungen oder andere Zugriffsmöglichkeiten bestehen.

Wie erkenne ich, ob mein Computer gehackt wurde?

Es gibt kein einzelnes Merkmal, das einen Hackerangriff zuverlässig beweist.

Verdächtig können beispielsweise unbekannte Benutzerkonten, unerklärliche Administratorrechte, fremde Fernwartungsprogramme, ungewöhnliche Autostart-Einträge, deaktivierte Sicherheitsfunktionen, unbekannte Browser-Erweiterungen oder nicht erklärbare Anmeldungen sein.

Jeder dieser Befunde muss jedoch technisch eingeordnet werden.

Ist ein langsamer Computer ein Zeichen für einen Hackerangriff?

Allein nicht.

Ein Computer kann durch Softwareupdates, zu wenig freien Speicher, Hintergrundprozesse, Hardwareprobleme oder zahlreiche andere Ursachen langsam werden.

Eine geringe Leistung ist deshalb kein belastbarer Nachweis einer Kompromittierung.

Ist hohe CPU-Auslastung verdächtig?

Sie kann Anlass für eine Prüfung sein, besitzt aber zahlreiche harmlose Ursachen.

Browser, Updates, Synchronisationsdienste, Videobearbeitung und andere Programme können hohe Prozessorlast erzeugen.

Entscheidend ist, welcher Prozess die Auslastung verursacht und ob weitere Auffälligkeiten bestehen.

Ist hoher Netzwerkverkehr ein Hinweis auf einen Hackerangriff?

Ungewöhnlicher Datenverkehr kann sicherheitsrelevant sein, muss aber nicht auf einen Angriff zurückgehen.

Cloud-Synchronisation, Backups, Updates und Streaming können große Datenmengen übertragen.

Für eine belastbare Bewertung müssen Zielsysteme, Prozesse, Zeitpunkt und weitere Netzwerkdaten berücksichtigt werden.

Was bedeuten unbekannte Benutzerkonten?

Ein tatsächlich unbekanntes Benutzerkonto mit erweiterten Rechten kann relevant sein.

Allerdings können Betriebssysteme und installierte Software auch technische Dienstkonten anlegen.

Deshalb sollte zunächst festgestellt werden, wann und wodurch das betreffende Konto erstellt wurde.

Was bedeutet ein unbekannter Administrator?

Ein unerklärliches Konto mit Administratorrechten verdient besondere Aufmerksamkeit.

Die bloße Bezeichnung als Administrator beweist jedoch noch keinen Angriff. Entscheidend sind Entstehungszeitpunkt, Nutzung und weitere Systemspuren.

Was bedeutet unbekannte Fernwartungssoftware?

Programme für Remote-Desktop und Fernwartung ermöglichen grundsätzlich die Bedienung eines Computers aus der Ferne.

Solche Software wird sowohl legitim als auch missbräuchlich eingesetzt.

Wenn eine Fernwartungsanwendung ohne nachvollziehbaren Grund vorhanden ist, sollte untersucht werden, wann sie installiert wurde, welche Konfiguration besteht und ob sich Nutzungsspuren feststellen lassen.

Kann jemand meinen Computer aus der Ferne steuern?

Ja, wenn entsprechende technische Voraussetzungen bestehen.

Dazu können legitime Fernwartungssoftware, kompromittierte Benutzerkonten, Schadsoftware oder ausgenutzte Sicherheitslücken gehören.

Welche Möglichkeit im konkreten Fall vorliegt, lässt sich nur anhand der vorhandenen Spuren beurteilen.

Kann jemand meine Webcam heimlich einschalten?

Software mit entsprechenden Berechtigungen kann grundsätzlich auf eine Webcam zugreifen.

Ob ein solcher Zugriff tatsächlich erfolgt ist, kann nicht allein aus einer Vermutung abgeleitet werden.

Je nach System können Prozesse, Anwendungen und andere Artefakte untersucht werden.

Kann jemand mein Mikrofon heimlich benutzen?

Auch Mikrofonzugriff ist technisch möglich, wenn eine Anwendung entsprechende Rechte besitzt oder Sicherheitsmechanismen überwunden wurden.

Ein konkreter Nachweis erfordert jedoch technische Spuren.

Kann ein Hacker meine Dateien sehen?

Wenn ein Angreifer ausreichende Zugriffsrechte auf das System erlangt hat, können grundsätzlich auch Dateien betroffen sein.

Der tatsächliche Umfang hängt vom erreichten Benutzer- beziehungsweise Systemzugriff und von vorhandenen Verschlüsselungsmechanismen ab.

Kann festgestellt werden, ob Dateien geöffnet wurden?

Unter bestimmten Voraussetzungen können Betriebssystem-, Dateisystem- und Anwendungsartefakte Hinweise auf die Verwendung bestimmter Dateien liefern.

Ein lückenloser Nachweis ist jedoch nicht bei jeder Datei und jedem System möglich.

Kann festgestellt werden, ob Dateien kopiert wurden?

Teilweise können Dateisystemspuren, USB-Artefakte, Cloud-Aktivitäten, Anwendungsdaten oder andere Informationen Hinweise auf einen möglichen Kopiervorgang liefern.

Ein einzelner Befund sollte dabei nicht überinterpretiert werden.

Kann festgestellt werden, ob Daten auf einen USB-Stick kopiert wurden?

Ein Betriebssystem kann Informationen über angeschlossene USB-Geräte speichern.

Der Nachweis, dass ein bestimmter USB-Stick angeschlossen war, beweist allein jedoch noch keinen Dateitransfer.

Zusätzliche Datei-, Zeit- und Datenträgerinformationen können erforderlich sein, um einen möglichen Kopiervorgang technisch zu stützen.

Kann festgestellt werden, ob Daten in eine Cloud hochgeladen wurden?

Je nach Cloud-Dienst und vorhandenen Daten können lokale Synchronisationsartefakte, Browserdaten, Logs oder Cloud-Aktivitätsinformationen relevant sein.

Bei komplexen Fällen kann deshalb neben dem Computer auch die betreffende Cloud-Umgebung untersucht werden.

Kann festgestellt werden, ob jemand meine E-Mails gelesen hat?

Bei einem kompromittierten E-Mail-Konto können Anmelde- und Sitzungsinformationen wichtige Hinweise liefern.

Auch Weiterleitungsregeln oder veränderte Kontoeinstellungen können relevant sein.

Die Untersuchung sollte deshalb nicht ausschließlich auf den Computer beschränkt werden, wenn ein Account-Missbrauch möglich ist.

Kann ein Hackerangriff eigentlich nur mein Benutzerkonto betreffen?

Ja.

Nicht jeder vermeintlich gehackte Computer ist tatsächlich auf Betriebssystemebene kompromittiert.

Manchmal wurden lediglich Zugangsdaten zu E-Mail, Microsoft 365, Google, Cloud-Diensten oder anderen Online-Konten gestohlen.

Gerätekompromittierung und Account-Kompromittierung müssen deshalb getrennt untersucht werden.

Wie erkenne ich fremde Anmeldungen?

Viele Online-Dienste stellen Informationen über aktive Sitzungen, angemeldete Geräte oder aktuelle Sicherheitsereignisse bereit.

Unbekannte Einträge sollten dokumentiert werden.

Ein ungewöhnlicher Standort oder eine unbekannte IP-Adresse beweist allerdings nicht automatisch einen Angriff, da beispielsweise VPN, Mobilfunk oder dynamische IP-Adressen die Anzeige beeinflussen können.

Kann eine IP-Adresse den Hacker identifizieren?

Nicht automatisch.

Eine IP-Adresse kann zunächst nur eine technische Verbindung zu einem bestimmten Zeitpunkt beschreiben.

VPN-Dienste, Proxyserver, kompromittierte Systeme, Unternehmensnetzwerke und andere technische Faktoren können die Zuordnung erheblich erschweren.

Was ist Malware?

Malware ist ein Sammelbegriff für schädliche Software.

Dazu gehören beispielsweise Trojaner, Spyware, Ransomware und andere Programme, die unerwünschte oder schädliche Funktionen ausführen können.

Was ist ein Trojaner?

Als Trojaner wird Schadsoftware bezeichnet, die sich häufig als legitime Datei oder Anwendung tarnt oder zusammen mit scheinbar legitimen Inhalten ausgeführt wird.

Die konkreten Funktionen können stark variieren.

Was ist Spyware auf einem Computer?

Spyware versucht, Informationen über das System oder den Benutzer zu erfassen.

Abhängig von der Schadsoftware können beispielsweise Dateien, Browserinformationen, Eingaben oder andere Daten betroffen sein.

Was ist ein Keylogger?

Ein Keylogger zeichnet Tastatureingaben auf.

Er kann als Software oder in bestimmten Fällen auch als Hardware umgesetzt werden.

Software-Keylogger können beispielsweise für den Diebstahl von Zugangsdaten eingesetzt werden.

Was ist Ransomware?

Ransomware ist Schadsoftware, die Daten oder Systeme sperrt beziehungsweise verschlüsselt und häufig mit einer Lösegeldforderung verbunden ist.

Bei einem Ransomware-Vorfall sollte nicht unkoordiniert auf den betroffenen Systemen weitergearbeitet werden, da neben der Wiederherstellung auch die Ursachenanalyse und mögliche Datenabflüsse relevant sein können.

Was ist ein Infostealer?

Infostealer sind Schadprogramme, die gezielt Informationen von einem System sammeln können.

Dazu können je nach Schadsoftware beispielsweise Browserdaten, gespeicherte Zugangsdaten, Cookies oder andere Informationen gehören.

Warum sind gestohlene Browser-Sitzungen problematisch?

Ein Angreifer benötigt nicht in jedem Szenario das eigentliche Passwort.

Bestimmte Sitzungsinformationen können unter Umständen missbraucht werden, um bereits authentifizierte Zugänge zu übernehmen.

Deshalb reicht eine Passwortänderung bei bestimmten Angriffen möglicherweise nicht als einzige Maßnahme aus.

Was ist eine Backdoor?

Eine Backdoor bezeichnet einen versteckten oder nicht vorgesehenen Zugangsweg zu einem System.

Angreifer können versuchen, solche Zugriffsmöglichkeiten einzurichten, um auch später erneut auf ein kompromittiertes System zugreifen zu können.

Was bedeutet Persistenz?

Persistenz beschreibt Mechanismen, mit denen Schadsoftware oder ein Angreifer versucht, den Zugriff auch nach einem Neustart oder einer Abmeldung aufrechtzuerhalten.

Dafür können beispielsweise Autostart-Mechanismen, Dienste, geplante Aufgaben oder andere Systemfunktionen missbraucht werden.

Was untersucht eine Malware-Forensik?

Eine Malware-Forensik untersucht verdächtige Dateien, Programme und Systemartefakte auf Hinweise auf Schadsoftware und deren mögliche Aktivitäten.

Dabei geht es nicht nur darum, eine verdächtige Datei zu finden, sondern ihren technischen Zusammenhang mit dem betroffenen System zu verstehen.

Was untersucht eine IT-Forensik bei Hackerverdacht?

Je nach Fragestellung können Datenträger, Dateisysteme, Benutzerkonten, Systemlogs, Browserdaten, Programme, Autostart-Mechanismen, USB-Artefakte, Netzwerkspuren und weitere digitale Informationen untersucht werden.

Die IT-Forensik dient dabei nicht dazu, einen bestehenden Verdacht um jeden Preis zu bestätigen. Sie soll anhand der vorhandenen technischen Daten feststellen, welche Vorgänge tatsächlich nachvollziehbar sind.

Wie läuft eine forensische Untersuchung eines Computers ab?

Zunächst wird der Zustand des Systems dokumentiert und die konkrete Untersuchungsfrage festgelegt.

Abhängig vom Vorfall kann eine Sicherung flüchtiger Daten erforderlich sein. Anschließend wird der relevante Datenträger beziehungsweise Datenbestand möglichst kontrolliert gesichert.

Die eigentliche Analyse erfolgt danach auf dem gesicherten Datenbestand und nicht durch beliebiges Durchsuchen des Originalsystems.

Warum wird eine forensische Kopie erstellt?

Eine forensische Sicherung ermöglicht die Analyse eines definierten Datenbestands, ohne das ursprüngliche Beweismittel durch die spätere Untersuchung unnötig zu verändern.

Je nach Datenträger und Verfahren können dabei deutlich mehr Informationen erfasst werden als bei einer normalen Dateikopie.

Welche Bedeutung haben Hashwerte?

Kryptografische Hashwerte können verwendet werden, um die Integrität eines gesicherten Datenbestands zu überprüfen.

Damit kann später kontrolliert werden, ob sich die untersuchte Sicherung gegenüber dem dokumentierten Referenzzustand verändert hat.

Was ist die Chain of Custody?

Die Chain of Custody beschreibt die nachvollziehbare Beweismittelkette.

Sie dokumentiert beispielsweise, wann ein Computer oder Datenträger übernommen, gesichert und untersucht wurde und wer damit umgegangen ist.

Bei beweisrelevanten Untersuchungen ist diese Nachvollziehbarkeit besonders wichtig.

Welche digitalen Spuren können einen Hackerangriff zeigen?

Je nach Angriff können unter anderem ungewöhnliche Anmeldeereignisse, verdächtige Prozesse, neue Benutzerkonten, Autostart-Einträge, unbekannte Programme, veränderte Systemkonfigurationen, Netzwerkverbindungen oder verdächtige Dateien relevant sein.

Ein belastbarer Befund ergibt sich häufig erst aus der Kombination mehrerer unabhängiger Spuren.

Warum reicht ein einzelner verdächtiger Fund häufig nicht aus?

Viele technische Artefakte können sowohl legitime als auch missbräuchliche Ursachen haben.

Eine Fernwartungssoftware kann beispielsweise vom Benutzer selbst installiert, vom IT-Dienstleister eingerichtet oder von einem Angreifer missbraucht worden sein.

Erst Installation, Konfiguration, Nutzungszeiten und weitere Systemspuren ermöglichen eine belastbarere Einordnung.

Was bedeutet Korrelation bei einem Hackerangriff?

Korrelation bedeutet, unterschiedliche digitale Spuren zeitlich und technisch miteinander zu vergleichen.

Eine verdächtige Anmeldung kann beispielsweise mit dem Download einer Datei, der Ausführung eines Programms und einer anschließenden Netzwerkverbindung zusammenfallen.

Mehrere zusammenpassende Artefakte können einen möglichen Ablauf wesentlich besser stützen als ein einzelner Fund.

Kann festgestellt werden, wann der Computer gehackt wurde?

Unter günstigen Voraussetzungen kann der mögliche Zeitraum einer Kompromittierung eingegrenzt werden.

Dafür können beispielsweise Datei-, Log-, Benutzer-, Programm- und Netzwerkereignisse miteinander verglichen werden.

Ein exakter Zeitpunkt lässt sich jedoch nicht in jedem Fall feststellen.

Kann festgestellt werden, wie der Angreifer auf den Computer gelangt ist?

Teilweise.

Mögliche Eintrittswege können Phishing, kompromittierte Zugangsdaten, Schadsoftware, Fernwartungsprogramme oder ausgenutzte Sicherheitslücken sein.

Ob der ursprüngliche Angriffsweg noch rekonstruierbar ist, hängt von den erhaltenen Daten ab.

Kann festgestellt werden, was der Hacker gemacht hat?

Unter bestimmten Voraussetzungen können Benutzer-, Datei-, Programm- und Netzwerkaktivitäten rekonstruiert werden.

Eine vollständige lückenlose Aufzeichnung aller Handlungen existiert jedoch normalerweise nicht.

Die Untersuchung kann deshalb nur Aussagen treffen, die von den vorhandenen Daten gestützt werden.

Kann festgestellt werden, welche Daten gestohlen wurden?

Das ist eine der anspruchsvollsten Fragen bei einem Sicherheitsvorfall.

Hinweise können sich beispielsweise aus Dateiaktivitäten, Archiven, Cloud-Diensten, USB-Nutzung oder Netzwerkdaten ergeben.

Ein vollständiger Nachweis jedes übertragenen Bytes ist jedoch nicht bei jedem System möglich.

Kann festgestellt werden, ob ein USB-Stick verwendet wurde?

Unter bestimmten Voraussetzungen speichern Betriebssysteme Informationen über angeschlossene USB-Geräte.

Diese können Hersteller-, Produkt- oder Serieninformationen und zeitliche Hinweise enthalten.

Der Anschluss eines Datenträgers beweist jedoch allein keinen Datenabfluss.

Kann festgestellt werden, ob der Angreifer Dateien gelöscht hat?

Je nach Dateisystem und vorhandenen Artefakten können Hinweise auf gelöschte Dateien oder frühere Dateiexistenzen vorhanden sein.

Die Zuordnung einer Löschung zu einer bestimmten Person oder Handlung erfordert jedoch zusätzliche Informationen.

Können gelöschte Dateien wiederhergestellt werden?

Unter bestimmten Voraussetzungen ja.

Ob eine Wiederherstellung möglich ist, hängt unter anderem von Speichermedium, Dateisystem, Verschlüsselung, TRIM-Funktionen und zwischenzeitlicher Nutzung ab.

Eine Wiederherstellung kann deshalb nicht pauschal garantiert werden.

Warum ist eine SSD bei gelöschten Daten besonders problematisch?

Moderne SSDs verwenden Funktionen wie TRIM und interne Speicherverwaltung.

Dadurch können gelöschte Speicherbereiche technisch anders behandelt werden als bei klassischen magnetischen Festplatten.

Die klassische Vorstellung, dass jede gelöschte Datei problemlos aus freien Speicherbereichen rekonstruiert werden kann, ist deshalb nicht mehr zeitgemäß.

Kann ein Hacker seine Spuren löschen?

Angreifer können versuchen, Dateien, Logs oder andere Spuren zu entfernen.

Das bedeutet jedoch nicht zwangsläufig, dass sämtliche Hinweise verschwinden. Andere Datenquellen können weiterhin Informationen über bestimmte Vorgänge enthalten.

Was bedeutet ein negativer forensischer Befund?

Ein negativer Befund bedeutet, dass innerhalb des untersuchten Datenbestands keine belastbaren Hinweise auf den gesuchten Sachverhalt festgestellt wurden.

Er beweist nicht automatisch, dass zu keinem früheren Zeitpunkt ein Angriff stattgefunden hat.

Warum kann ein Hackerangriff später schwerer nachweisbar sein?

Computer verändern ihren Datenbestand während des normalen Betriebs kontinuierlich.

Logs werden überschrieben, temporäre Dateien entfernt, Software aktualisiert und freie Speicherbereiche neu verwendet.

Je länger ein Vorfall zurückliegt und je intensiver das System weiter genutzt wird, desto stärker kann sich die Spurenlage verändern.

Welche Informationen sollte ich für eine Untersuchung aufbewahren?

Bewahren Sie verdächtige E-Mails, Nachrichten, Dateien und vorhandene Sicherheitswarnungen auf.

Notieren Sie Auffälligkeiten mit Datum und Uhrzeit und dokumentieren Sie unbekannte Anmeldungen oder Geräte.

Bei einem Unternehmensvorfall können zusätzlich Firewall-, VPN-, Server-, Cloud- und andere zentrale Logs relevant sein.

Warum können Cloud-Logs wichtig sein?

Viele Aktivitäten finden heute nicht ausschließlich auf dem lokalen Computer statt.

Microsoft 365, Google Workspace, Cloud-Speicher und andere Dienste können eigene Anmelde- und Aktivitätsinformationen besitzen.

Diese Daten können eine lokale Untersuchung ergänzen.

Warum können Firewall- und VPN-Logs wichtig sein?

Sie können zusätzliche Informationen über Netzwerkverbindungen und Remote-Zugriffe enthalten.

Gerade bei Unternehmensvorfällen kann die Kombination aus Endgerät und zentralen Netzwerkdaten entscheidend sein.

Wie schnell sollte ein gehackter Computer untersucht werden?

Bei einem konkreten Beweisinteresse möglichst zeitnah.

Das bedeutet nicht, dass jede Minute automatisch Daten vernichtet. Allerdings verändert die weitere Nutzung den Datenbestand fortlaufend.

Bei einem laufenden Angriff kann zusätzlich die schnelle Schadensbegrenzung erforderlich sein.

Was ist bei einem Firmencomputer besonders wichtig?

Ein kompromittierter Arbeitsplatzrechner kann Teil eines größeren Sicherheitsvorfalls sein.

Es sollte deshalb geprüft werden, ob weitere Systeme, Benutzerkonten, Server, Cloud-Dienste oder Netzwerkkomponenten betroffen sein könnten.

Eine isolierte Betrachtung nur des sichtbaren Arbeitsplatzrechners kann bei einem komplexen Angriff zu kurz greifen.

Was ist bei Administrator-Konten besonders kritisch?

Administrator-Konten besitzen weitreichende Rechte.

Wenn entsprechende Zugangsdaten kompromittiert wurden, kann ein Angreifer möglicherweise auf weitere Systeme oder Daten zugreifen.

Solche Vorfälle sollten deshalb besonders sorgfältig eingegrenzt werden.

Was ist bei einem möglichen Datenabfluss zu beachten?

Zunächst sollte geklärt werden, welche Daten technisch zugänglich waren und welche konkreten Spuren auf eine Übertragung hindeuten.

Die Tatsache, dass ein Angreifer theoretisch Zugriff auf eine Datei hatte, beweist nicht automatisch, dass diese tatsächlich übertragen wurde.

Diese Unterscheidung ist bei der Bewertung eines möglichen Datenabflusses wesentlich.

Wann sollte ein Sachverständiger eingeschaltet werden?

Bei komplexen oder streitigen technischen Sachverhalten kann eine sachverständige Untersuchung sinnvoll sein, insbesondere wenn die Ergebnisse später gegenüber Unternehmen, Versicherungen, Rechtsanwälten oder Gerichten nachvollziehbar dargestellt werden müssen.

Für entsprechende technische Fragestellungen kann ein Sachverständigenbüro für IT- und Mobile-Forensik hinzugezogen werden.

Kann IT-Forensik den Täter identifizieren?

Nicht automatisch.

IT-Forensik kann technische Zusammenhänge, Benutzerkonten, Geräte, Verbindungen und andere digitale Spuren untersuchen.

Die eindeutige Zuordnung einer technischen Handlung zu einer bestimmten natürlichen Person kann zusätzliche Ermittlungen erfordern.

Kann IT-Forensik beweisen, dass mein Computer gehackt wurde?

Wenn geeignete technische Spuren vorhanden sind, kann eine Untersuchung eine Kompromittierung belastbar belegen oder einen entsprechenden Verdacht erheblich stützen.

In anderen Fällen kann das Ergebnis lediglich eine Eingrenzung oder ein negativer Befund sein.

Eine seriöse Untersuchung verspricht deshalb kein vorher feststehendes Ergebnis.

Kann IT-Forensik auch feststellen, dass kein Hackerangriff vorliegt?

Eine Untersuchung muss ergebnisoffen durchgeführt werden.

Technische Auffälligkeiten können sich auch durch legitime Software, Fehlkonfigurationen, Benutzerhandlungen oder Hardwareprobleme erklären lassen.

Ein Verdacht sollte deshalb weder automatisch bestätigt noch ohne Untersuchung verworfen werden.

Praxisbeispiel: Unbekannte Fernwartungssoftware

Ein Benutzer entdeckt auf seinem Computer eine Fernwartungsanwendung, die ihm nicht bekannt ist.

Der bloße Fund beweist zunächst keinen Hackerangriff.

Bei der Untersuchung wird deshalb geprüft, wann die Software installiert wurde, welche Konfiguration vorhanden ist und ob weitere Systemartefakte Hinweise auf eine tatsächliche Nutzung liefern.

Erst diese zusätzlichen Informationen ermöglichen eine belastbarere Bewertung.

Praxisbeispiel: Verdächtiger E-Mail-Anhang

Ein Mitarbeiter öffnet einen unbekannten Anhang und bemerkt kurze Zeit später ungewöhnliche Aktivitäten auf seinem Computer.

Für eine Untersuchung können die ursprüngliche E-Mail, der Anhang, Systemereignisse, Prozesse, Dateien und Netzwerkspuren relevant sein.

Wird das System unmittelbar neu installiert, können Teile dieser Beweislage verloren gehen.

Praxisbeispiel: Unbekannte Anmeldung im Microsoft-Konto

Ein Benutzer entdeckt eine fremde Anmeldung und vermutet deshalb einen gehackten Computer.

Die Untersuchung zeigt möglicherweise, dass nicht der Computer selbst, sondern ausschließlich das Online-Konto kompromittiert wurde.

Dieses Beispiel zeigt, warum Geräte- und Account-Kompromittierung voneinander unterschieden werden müssen.

Praxisbeispiel: Verdacht auf Datendiebstahl

Ein Unternehmen vermutet, dass vertrauliche Dateien von einem Arbeitsplatzrechner abgeflossen sind.

Eine forensische Untersuchung kann beispielsweise Dateizugriffe, angeschlossene USB-Geräte, Cloud-Anwendungen und weitere relevante Artefakte miteinander vergleichen.

Erst die Korrelation mehrerer Datenquellen kann eine belastbarere technische Rekonstruktion ermöglichen.

FAQ: Computer gehackt – was tun?

Was soll ich als Erstes tun, wenn ich glaube, dass mein Computer gehackt wurde?

Dokumentieren Sie konkrete Auffälligkeiten und vermeiden Sie unnötige Veränderungen. Bei einem akuten Angriff müssen gleichzeitig Maßnahmen zur Schadensbegrenzung geprüft werden.

Soll ich den gehackten Computer sofort ausschalten?

Nicht automatisch. Beim Ausschalten gehen flüchtige Informationen aus dem Arbeitsspeicher verloren, die für eine Untersuchung relevant sein können.

Soll ich den Computer vom Internet trennen?

Bei einem laufenden Angriff kann eine Netzwerkisolation sinnvoll sein. Bei komplexen oder beweisrelevanten Vorfällen sollte die Maßnahme möglichst kontrolliert erfolgen.

Soll ich den Computer neu starten?

Bei bestehendem Beweisinteresse möglichst nicht ohne vorherige Abwägung, weil dadurch flüchtige Daten verloren gehen.

Soll ich sofort einen Virenscan durchführen?

Nicht unbedingt vor einer geplanten forensischen Sicherung. Ein Virenscanner kann Dateien verändern, löschen oder in Quarantäne verschieben.

Soll ich verdächtige Programme löschen?

Nicht, wenn der Vorfall später untersucht werden soll. Das Programm und seine Daten können wichtige Spuren enthalten.

Soll ich Windows neu installieren?

Nicht vor einer geplanten Beweissicherung. Eine Neuinstallation kann relevante Daten überschreiben.

Soll ich meine Passwörter ändern?

Bei Verdacht auf kompromittierte Zugangsdaten ja, möglichst über ein anderes vertrauenswürdiges Gerät.

Welches Passwort sollte ich zuerst ändern?

Häufig sollte das zentrale E-Mail-Konto priorisiert werden, weil es für Passwort-Zurücksetzungen anderer Dienste verwendet werden kann.

Ist ein langsamer Computer ein Beweis für einen Hackerangriff?

Nein. Ein langsamer Computer kann zahlreiche andere Ursachen haben.

Ist hohe CPU-Auslastung ein Zeichen für Malware?

Nicht zwangsläufig. Entscheidend ist, welcher Prozess die Auslastung verursacht und welche weiteren Auffälligkeiten bestehen.

Kann jemand meinen Computer aus der Ferne steuern?

Ja, wenn entsprechende Fernzugriffssoftware, kompromittierte Konten, Schadsoftware oder andere technische Zugriffsmöglichkeiten bestehen.

Kann jemand meine Webcam einschalten?

Software mit ausreichenden Berechtigungen kann grundsätzlich auf eine Webcam zugreifen. Ob dies tatsächlich passiert ist, muss im konkreten Fall untersucht werden.

Kann jemand mein Mikrofon abhören?

Ein entsprechender Softwarezugriff ist technisch möglich. Eine konkrete Überwachung lässt sich daraus jedoch nicht ohne weitere Spuren ableiten.

Kann festgestellt werden, wann mein Computer gehackt wurde?

Unter günstigen Voraussetzungen kann der Zeitraum anhand verschiedener digitaler Artefakte eingegrenzt werden.

Kann festgestellt werden, wie der Hacker hineingekommen ist?

Teilweise können Phishing, Schadsoftware, Fernzugriffe oder kompromittierte Zugangsdaten als möglicher Eintrittsweg rekonstruiert werden.

Kann festgestellt werden, welche Dateien der Hacker angesehen hat?

Unter bestimmten Voraussetzungen können Dateisystem- und Anwendungsartefakte Hinweise auf verwendete Dateien liefern.

Kann festgestellt werden, welche Daten gestohlen wurden?

Manchmal lassen sich Datenabflüsse technisch stützen oder eingrenzen. Ein vollständiger Nachweis sämtlicher übertragenen Daten ist jedoch nicht immer möglich.

Kann festgestellt werden, ob ein USB-Stick verwendet wurde?

Unter bestimmten Voraussetzungen ja. Der Anschluss eines USB-Sticks beweist jedoch allein keinen Dateitransfer.

Kann ein Hacker seine Spuren löschen?

Angreifer können Spuren entfernen. Andere Datenquellen können dennoch Hinweise auf den Vorfall enthalten.

Kann IT-Forensik einen Hacker identifizieren?

Nicht automatisch. Technische Spuren können untersucht werden, die eindeutige Zuordnung zu einer natürlichen Person kann jedoch weitere Ermittlungen erfordern.

Wie schnell sollte der Computer untersucht werden?

Bei einem konkreten Beweisinteresse möglichst zeitnah, da normale weitere Nutzung vorhandene digitale Spuren verändern kann.

Kann ich den Computer bis zur Untersuchung weiter benutzen?

Bei einem ernsthaften Beweisinteresse sollte unnötige weitere Nutzung möglichst vermieden werden.

Was ist wichtiger: den Angriff stoppen oder Beweise sichern?

Das hängt vom konkreten Risiko ab. Bei einem laufenden erheblichen Schaden hat die Schadensbegrenzung Vorrang. Wenn der Angriff bereits beendet ist und eine spätere Rekonstruktion erforderlich ist, kann die Erhaltung der Spuren stärker gewichtet werden.

Kann ein Computer gehackt sein, obwohl kein Virus gefunden wird?

Ja. Ein Vorfall kann beispielsweise kompromittierte Benutzerkonten, legitime Fernwartungssoftware oder andere Angriffsmethoden betreffen, die nicht zwingend als klassischer Virus erkannt werden.

Kann mein Konto gehackt sein, obwohl mein Computer sauber ist?

Ja. Account-Kompromittierung und Gerätekompromittierung sind zwei unterschiedliche Sachverhalte.

Was bedeutet es, wenn die Forensik nichts findet?

Es bedeutet zunächst, dass innerhalb des untersuchten Datenbestands keine belastbaren Hinweise auf den gesuchten Sachverhalt festgestellt wurden. Ein früherer Angriff kann dadurch nicht in jedem Fall vollständig ausgeschlossen werden.

Wann ist eine professionelle IT-forensische Untersuchung sinnvoll?

Insbesondere bei konkreten technischen Auffälligkeiten, möglichem Datenabfluss, finanziellen Schäden, kompromittierten Unternehmenssystemen oder einem späteren Beweisinteresse kann eine professionelle Untersuchung sinnvoll sein.

Bei Hackerverdacht nicht zuerst löschen, sondern den Vorfall verstehen

Die wichtigste Frage lautet nicht nur: „Ist mein Computer gehackt?“, sondern zunächst: „Welche konkreten Hinweise gibt es und was ist tatsächlich passiert?“

Ein langsamer Rechner, hohe Prozessorauslastung oder ein ungewöhnliches Programm reichen für einen belastbaren Nachweis nicht aus. Ebenso wäre es falsch, einen Angriff allein deshalb auszuschließen, weil ein Virenscanner keine Schadsoftware findet.

Ein Sicherheitsvorfall kann den Computer selbst, ein Benutzerkonto, einen Cloud-Dienst oder mehrere Systeme gleichzeitig betreffen. Deshalb muss zunächst geklärt werden, welche Ebene betroffen sein könnte.

Bei einem akuten Angriff steht die Begrenzung des weiteren Schadens im Vordergrund. Besteht dagegen ein erhebliches Beweisinteresse, sollte berücksichtigt werden, dass Ausschalten, Neustarten, Löschen, Virenscans und Neuinstallationen den ursprünglichen Zustand verändern können.

Eine forensische Untersuchung versucht deshalb nicht lediglich, Schadsoftware zu finden. Sie rekonstruiert anhand vorhandener Daten, welche Aktivitäten technisch nachweisbar sind, wann sie stattgefunden haben könnten und welche Schlussfolgerungen die vorhandenen Spuren tatsächlich zulassen.

Gerade bei möglichen Datenabflüssen, kompromittierten Geschäftssystemen oder rechtlich relevanten Vorfällen ist diese Trennung zwischen Verdacht, technischem Befund und fachlicher Bewertung entscheidend.

Zurück zur Wissensübersicht