VServer und Root Server - Server kompromittiert - erste Maßnahmen
Wenn Sie eine Kompromittierung vermuten, behandeln Sie den Server zunächst als nicht vertrauenswürdig. Ziel ist, weiteren Schaden zu begrenzen, Beweise zu erhalten und Dienste kontrolliert aus einer sauberen Basis wiederherzustellen.
Inhaltsverzeichnis
Mögliche Anzeichen
- unbekannte Administrator- oder SSH-Schlüssel
- unerklärliche Prozesse, Netzwerkverbindungen oder Cronjobs
- veränderte Systemdateien oder deaktivierte Sicherheitsdienste
- ungewöhnlicher Mailversand, hohe Last oder Beschwerden Dritter
- Logins aus unbekannten Netzen
Ein einzelnes Anzeichen beweist noch keinen Einbruch, rechtfertigt aber eine strukturierte Untersuchung.
Sofortmaßnahmen
- Informieren Sie die verantwortliche Person oder den Bereitschaftsdienst.
- Isolieren Sie den Server möglichst über die Anbieter-Firewall vom öffentlichen Netz, ohne Beweise unnötig zu verändern.
- Schalten Sie ihn nicht reflexartig aus. Ein Ausschalten zerstört flüchtige Informationen; akuter Schaden kann eine sofortige Trennung trotzdem erforderlich machen.
- Erstellen Sie, sofern vorgesehen, einen schreibgeschützten Snapshot oder ein forensisches Abbild.
- Dokumentieren Sie Zeiten, Beobachtungen und jede durchgeführte Maßnahme.
Zugangsdaten schützen
Ändern Sie Kennwörter, API-Schlüssel und SSH-Schlüssel von einem nachweislich sauberen System aus. Gehen Sie davon aus, dass auf dem betroffenen Server gespeicherte Geheimnisse kopiert wurden. Sperren Sie missbrauchte Sitzungen und Tokens bei den jeweiligen Diensten.
Wiederherstellung
Eine bloße Entfernung sichtbarer Schadsoftware beweist keine Bereinigung. Bei bestätigter oder nicht sicher ausschließbarer Root-Kompromittierung ist die Neuinstallation aus einem vertrauenswürdigen Image in der Regel die verlässlichste Lösung.
- Installieren Sie Betriebssystem und Pakete aus vertrauenswürdigen Quellen neu.
- Übernehmen Sie nur geprüfte Nutzdaten und Konfigurationen.
- Spielen Sie keine unbekannten Binärdateien oder kompromittierten Zugangsdaten zurück.
- Schließen Sie die ursprüngliche Eintrittsursache vor Freigabe.
- Überwachen Sie das neue System verstärkt.
Meldepflichten und Kommunikation
Prüfen Sie vertragliche, datenschutzrechtliche und branchenspezifische Meldepflichten. Informieren Sie Betroffene nicht spekulativ, aber auch nicht verspätet. Bei Unsicherheit sollte professionelle Incident-Response- und Rechtsberatung hinzugezogen werden.
