Nach dem Angriff: Beweise sichern und Anzeige erstatten

Nach einem Angriff auf Ihre Website sichern Sie zuerst, was sich von selbst überschreibt: die Logs Ihres Servers, die Exporte Ihres Edge-Dienstes und Screenshots von Fehlerseiten und Monitoring, jeweils mit Uhrzeit. Dazu schreiben Sie eine Zeitleiste in UTC und bilden Prüfsummen über alles, was Sie kopiert haben. Anzeigen können Sie über die Onlinewache der Polizei erstatten, die Anhänge wie Screenshots und PDF-Exporte annimmt; bei komplexen Sachverhalten bittet die Onlinewache darum, sich direkt an die nächste Polizeidienststelle zu wenden.¹ Für Unternehmen gibt es außerdem die Zentralen Ansprechstellen Cybercrime der Länder.² Computersabotage (§ 303b StGB) wird grundsätzlich nur auf Strafantrag verfolgt, es sei denn, die Strafverfolgungsbehörde hält wegen des besonderen öffentlichen Interesses ein Einschreiten von Amts wegen für geboten; die Antragsfrist von drei Monaten beginnt erst, wenn der Antragsberechtigte von der Tat und von der Person, die sie begangen hat, Kenntnis erlangt (Einzelheiten unten). Dieser Text ist keine Rechtsberatung.

Logs sind nur dann belastbar, wenn sie an einem Ort liegen, den ein Vorfall nicht verändern kann. Das BSI empfiehlt in seinem Papier zur Ersten Hilfe bei IT-Sicherheitsvorfällen, Netzwerkmitschnitte und die Syslogs wichtiger Systeme „auf dedizierten Protokollservern zusammengeführt und archiviert“ zu halten, und weist darauf hin, dass ein Angreifer Logdateien manipulieren kann, die lokal auf einem kompromittierten System liegen.³ Das Papier behandelt Ransomware und ist allgemeine Vorfall-Anleitung, keine DDoS-Checkliste. Bei einem reinen Lastangriff muss Ihr Server nicht kompromittiert sein; die Kopie auf ein getrenntes Medium kostet trotzdem wenig und macht Ihre Daten glaubwürdiger.

In einem von uns dokumentierten Fall auf einer von uns selbst betriebenen Vergleichsplattform standen die Edge-Daten nur als Stichprobe aus der Analyse-Schnittstelle des CDN zur Verfügung; ungefilterte Roh-Logs gab es auf diesem Konto nicht. Für die ersten Tage des Fensters lag nur etwa jede zehnte Anfrage als Einzeldatensatz vor. Außerdem reichten die Edge-Daten nur bis zum 27. September zurück, während am Origin schon am 23. und 24. September Zeitüberschreitungen und am 26. September ein rund 26 Stunden langer Ausfall aufgezeichnet waren. Für diese Tage ließ sich am Edge nichts mehr belegen. Prüfen Sie deshalb vor dem Ernstfall, welche Daten Ihr Tarif überhaupt liefert und wie lange.

Für den dokumentierten Fall erstellten wir am Ende ein Beweispaket mit 1.203 Dateien, jede mit SHA-256-Prüfsumme. Ein am 6. Oktober gesondert gesicherter Stand wurde später erneut geprüft; alle 39 ursprünglichen Prüfsummen stimmten. Zwei Regeln haben sich bewährt: Quellen, die sich überschneiden, werden nie addiert, und die Originaldaten bleiben getrennt von allem, was daraus abgeleitet wurde.

Eine Zeitleiste belegt, was geschah, nicht, wer dahintersteckt. Adressen in Ihren Logs sind Netzwerk-Ausgänge, keine Personen: In unserem Fall kamen am 6. Oktober rund 470.000 filterförmige Datensätze (Stichprobe) von rund 367.000 verschiedenen Quelladressen, im Schnitt 1,28 Anfragen pro Adresse. Eine Liste solcher Adressen ist deshalb kein Beleg dafür, wer dahintersteht, und Sie sollten sie nicht als „die Angreifer“ bezeichnen. Wer dahintersteht, ließ sich aus den Daten nicht ableiten. Schreiben Sie in die Anzeige, was Sie beobachtet haben, und lassen Sie die Ermittlung der Behörde.

Server-Logs können personenbezogene Daten enthalten: Eine dynamische IP-Adresse ist für den Betreiber einer Website personenbezogen, wenn er rechtliche Mittel hat, die Person über Zusatzinformationen des Zugangsanbieters bestimmen zu lassen.⁴ Übergeben Sie Logs an einen Dienstleister, der sie in Ihrem Auftrag verarbeitet, verlangt Art. 28 DSGVO einen schriftlichen Vertrag, der auch in einem elektronischen Format geschlossen werden kann.⁵ Fragen Sie im Zweifel Ihre Datenschutzberatung.

Die Zentralen Ansprechstellen Cybercrime sind laut Landeskriminalamt Baden-Württemberg „polizeiliche Kontaktstellen des Bundes und der Länder, die für die Wirtschaft und andere öffentliche und nicht-öffentliche Stellen eingerichtet worden sind“.² Dieselbe Seite verlinkt eine „Übersicht Zentrale Ansprechstellen Cybercrime der Bundesländer“ auf polizei.de (https://www.polizei.de/Polizei/DE/Einrichtungen/ZAC/zac_node.html).² Wir konnten diese Übersicht nicht laden und drucken deshalb keine Kontaktdaten; suchen Sie die zuständige Stelle Ihres Landes dort selbst heraus.

Die Onlinewache nennt als Anhänge ausdrücklich Screenshots und PDF-Exporte von Internetseiten oder E-Mail-Verläufen.¹ Sie bittet außerdem, Delikte mit komplexen Sachverhalten direkt bei der nächstgelegenen Polizeidienststelle zu melden.¹ Ob Ihr Fall dazu zählt, entscheidet die Behörde, nicht diese Seite. Im Zweifel rufen Sie vorher an. Bringen Sie die Zeitleiste, die Manifest-Datei und eine Liste dessen mit, was Sie außerdem aufbewahrt haben.

Kommt eine Erpressung hinzu, rät Link11, nicht zu antworten und den Text bereitzuhalten.⁶ Bewahren Sie die Nachricht unverändert auf.

Bei Computersabotage wird die Tat nur auf Antrag verfolgt, es sei denn, die Strafverfolgungsbehörde hält wegen des besonderen öffentlichen Interesses ein Einschreiten von Amts wegen für geboten. So steht es in § 303c StGB, der ausdrücklich § 303b Abs. 1 bis 3 nennt.⁷ Nach § 303b Abs. 1 Nr. 2 StGB ist strafbar, wer eine Datenverarbeitung, die für einen anderen von wesentlicher Bedeutung ist, dadurch erheblich stört, dass er Daten „in der Absicht, einem anderen Nachteil zuzufügen, eingibt oder übermittelt“; die Strafe ist Freiheitsstrafe bis zu drei Jahren oder Geldstrafe.⁸ Ist die gestörte Datenverarbeitung „für einen fremden Betrieb, ein fremdes Unternehmen oder eine Behörde von wesentlicher Bedeutung“, erhöht § 303b Abs. 2 die Strafe auf Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe; der Versuch ist nach Abs. 3 strafbar.⁸ Für eine Überlastung durch massenhaft übermittelte Anfragen kommt Abs. 1 Nr. 2 in Betracht. Ob Ihr Vorfall darunter fällt und ob Abs. 2 greift, beurteilt die Staatsanwaltschaft, nicht dieser Text.

Praktisch heißt das: Eine bloße Meldung an die Polizei und ein Strafantrag sind zwei verschiedene Dinge. Schreiben Sie deshalb ausdrücklich in Ihre Anzeige, dass Sie Strafantrag stellen, und lassen Sie sich von der Dienststelle sagen, in welcher Form der Antrag gestellt werden muss und dass er eingegangen ist. Eine Tat, die nur auf Antrag verfolgbar ist, wird nicht verfolgt, wenn der Antragsberechtigte den Antrag nicht bis zum Ablauf von drei Monaten stellt. Die Frist beginnt mit Ablauf des Tages, an dem der Antragsberechtigte von der Tat und von der Person, die sie begangen hat, Kenntnis erlangt (§ 77b Abs. 2 StGB).⁹ Wann die Frist läuft, wenn unbekannt ist, wer die Tat begangen hat, entscheidet im Einzelfall eine Anwältin oder ein Anwalt; stellen Sie den Antrag deshalb früh und warten Sie nicht, bis die Ermittlung jemanden benennt. Das ist keine Rechtsberatung.

Welche Nachweise ein Versicherer nach einem Angriff verlangt, regelt Ihre Police, nicht eine allgemeine Liste. Prüfen Sie in Ihrer Police die Meldepflichten und Fristen, und melden Sie den Vorfall früh, auch wenn Sie den Schaden noch nicht beziffern können. Fragen Sie Ihren Hoster, welche Logs und Netzwerkdaten er selbst vorhält und wie lange; seine Daten sind eine zweite, unabhängige Quelle.

Diese Schritte sichern Beobachtungen, sie klären keine Rechtsfragen. Ist Ihr Server nicht nur überlastet, sondern verändert oder übernommen worden, sind Ihre lokalen Logs mit Vorsicht zu behandeln; dann gehört der Fall zu einer forensischen Fachstelle, bevor Sie etwas aufräumen. Streit mit dem Versicherer, Schadensersatz und die Frage, ob und wann Ihre Antragsfrist läuft, gehören zu einer Anwältin oder einem Anwalt. Und was bereits überschrieben ist, lässt sich nicht rekonstruieren: Für Zeiträume ohne Edge-Daten bleibt nur, das offen in der Zeitleiste zu vermerken.

Wenn Sie die Unterlagen nicht selbst zusammenstellen wollen: Das Evidence Pack (249 € einmalig) liefert UTC-Zeitleiste, Verkehrskohorten, Origin-Auswirkung, Maßnahmen und Rohdaten-Übersicht für Hoster, Polizei und Versicherung.