IT4OWL
Evidence Pack

Evidence Pack: was bei einem Angriff belegt werden kann

Das Evidence Pack ist ein Paket, das einen Angriff auf Ihre Website nachvollziehbar festhält: Zeitverlauf in UTC, Gruppen von Anfragen, Auswirkung auf Ihren Server, ergriffene Maßnahmen und eine Übersicht der Rohdaten. Es ist für Hoster, Polizei und Versicherung gedacht und kostet 249 € einmalig.

Wer braucht es?

Ihr Hoster, wenn er wegen Auslastung nachfragt oder Sie Missbrauch melden wollen.
Die Polizei, wenn Sie Anzeige erstatten. Bund und Länder betreiben dafür Zentrale Ansprechstellen Cybercrime (ZAC) für Unternehmen.¹
Ihre Versicherung, wenn eine Cyberversicherung den Ausfall abdecken könnte. Welche Unterlagen sie verlangt, steht in Ihrer Police.
Sie selbst, um später noch zu wissen, was an welchem Tag geschah.

Was enthält es?

Zeitverlauf und Gruppen. Eine Timeline in UTC und Ortszeit. Jeder Eintrag ist als dokumentiert, vom Kunden berichtet oder Vermutung gekennzeichnet. Dazu Gruppen von Anfragen (Kohorten) und der Verlauf pro Stunde und Minute.

Auswirkung auf den Server. Fehlerraten, Antwortzeiten, Neustarts, ausgefallene Zeiträume. Ausfälle bleiben als Ausfälle sichtbar und gelten nicht als ruhige Phase.

Maßnahmen und Rohdaten. Was wir wann geändert haben, mit Vorher und Nachher. Dazu ein Verzeichnis der Rohdaten mit Prüfsummen. Eine Prüfsumme zeigt, ob eine Datei nach der Übergabe verändert wurde.

Die Struktur folgt dem Paket, das wir für den dokumentierten Fall erstellt haben. Es hatte 1.203 Dateien, jede mit SHA-256-Prüfsumme.

Wie ist es aufgebaut?

README, Startseite
report/
  Zusammenfassung (eine Seite)
  Timeline (UTC und Ortszeit)
  Beobachtungen und Grenzen
  Auswertung je 5 Minuten
cloudflare/
  Exportumfang und Lücken
  Rohdaten und Aggregate
  Regeln zum Abrufzeitpunkt
origin/
  Server-Protokolle (geschwärzt)
  Konfiguration der Abwehr
Dateiverzeichnis mit SHA-256

Originale und Auswertungen bleiben getrennt. Fehlgeschlagene Abrufe und verweigerte Zugriffe bleiben als Beleg dafür erhalten, dass Daten fehlen. Mehrere Quellen, die sich überschneiden, werden nie addiert.

Was kann es nicht?

Nein
Es benennt keine Täter. Es hält Beobachtungen und Infrastruktur fest: Anfragen, Zeiten, Netzwerkadressen als Zahlen. Eine Adresse ist keine Person.
Nein
Es ist keine zertifizierte forensische Sicherung. Wir folgen den Grundsätzen aus NIST SP 800-86, zum Beispiel Trennung von Quelle und Auswertung und Prüfsummen, ohne dafür ein Zertifikat zu beanspruchen. Eine Prüfsumme, die wir selbst berechnen, zeigt Veränderungen nach der Übergabe, nicht davor.
Nein
Es enthält nur Daten, die noch vorhanden sind. Bei Cloudflare sind abrufbare Zeiträume begrenzt, und Stichproben bleiben Stichproben.
Nein
Es ersetzt keine Rechtsberatung und keine Anzeige.

Wie bekommen Sie es?

Guard Pro enthält ein ausführliches Evidence Pack. Sonst bestellen Sie es einzeln, auch nach einem Notfall. Je früher wir starten, desto vollständiger sind die Daten.

Quellen

LKA Baden-Württemberg: Zentrale Ansprechstelle Cybercrime. https://lka.polizei-bw.de/zentrale-ansprechstelle-cybercrime/, geprüft am 11.11.2026