Bologna, Italy
(from 8 to 22)

Server Protokoll Zertifizierung

Server-Logs, Datenbanken, Firewalls und Anwendungen für forensische Untersuchungen, Datenschutzverletzungen, DSGVO- und NIS2-Konformität zertifizieren

Wenn Ihre IT-Infrastruktur kompromittiert wurde – Webserver verletzt, Datenbank illegal zugegriffen, DDoS-Angriff, unbefugte Zugriffe, Datenschutzverletzung – ist es grundlegend, Systemprotokolle forensisch zu zertifizieren, bevor sie von Providern überschrieben, rotiert oder gelöscht werden. Mit forensischer Zertifizierung von Server-Logs werden Webzugriffsprotokolle, Datenbanken, Firewalls, Anwendungen und Systeme nach überprüfbaren technischen Methoden erfasst, analysiert zur Identifikation von Angriffsmustern und in ein beweiskräftiges, integres und datiertes Beweispaket transformiert, geeignet für Strafanzeigen, Versicherungsansprüche, Compliance-Audits und konform mit rechtlichen Anforderungen des europäischen Rechtsrahmens.

Wir zertifizieren Logs jeder Infrastruktur: Webserver (Apache, Nginx, IIS, LiteSpeed), Datenbanken (MySQL, PostgreSQL, MongoDB), Firewalls, CDN/WAF (Cloudflare, Akamai, AWS), Betriebssysteme (Linux, Windows), Anwendungen. Der Service ist remote durchführbar via kontrolliertem Zugang zu Verwaltungspanels oder via Verarbeitung vom Kunden exportierter Log-Dateien, unter Bewahrung forensischer Integrität und Beweiswert.

Warum Server-Logs forensische Zertifizierung benötigen

  • Die Logs werden automatisch rotiert von Providern (alle 7-30 Tage typischerweise) und überschrieben – ohne rechtzeitige Zertifizierung verschwinden Angriffsbeweise definitiv;
  • Ohne forensisches Verfahren heruntergeladene Log-Dateien sind leicht anfechtbar (“könnten nach Download modifiziert worden sein”);
  • Die Provider-Dashboards zeigen nur Aggregate (Cloudflare, AWS CloudFront) – granulare Details (einzelne Anfragen, IP, User Agent) verschwinden schnell;
  • Ohne qualifizierten Zeitstempel und Beweiskette haben Logs keinen vollen Beweiswert in Gerichtsverfahren;
  • Die professionelle forensische Analyse identifiziert Angriffsmuster, Angreifer-IPs, zeitliche Sequenzen die ein einfacher Download nicht aufzeigt.

Zertifizierbare Log-Typen

🌐 Webserver-Logs

  • Apache HTTP Server: access.log, error.log, ssl_access.log, ssl_error.log
    • Format: Common Log Format (CLF), Combined Log Format, custom format
    • Enthält: Client-IP, Zeitstempel, HTTP-Methode, angefragte URL, Statuscode, User-Agent, Referer
  • Nginx: access.log, error.log, nginx_error.log
    • Upstream logs (wenn reverse proxy)
    • SSL/TLS handshake logs
  • Microsoft IIS: W3C Extended Log Format, NCSA Common Log Format, IIS Log Format
    • FTP logs wenn konfiguriert
    • Failed Request Tracing logs
  • LiteSpeed: access.log, error.log (Apache-kompatibles Format)

Forensischer Nutzen: Angreifer-IPs identifizieren, SQL-Injection-Versuche, Path Traversal, Brute Force auf Login, Web-Shell-Upload, Bot-Scraping.

🗄️ Datenbank-Logs

  • MySQL/MariaDB:
    • General Query Log (alle ausgeführten Queries)
    • Slow Query Log (verdächtige langsame Queries)
    • Error Log (Verbindungsfehler, Syntax Errors von Injection)
    • Binary Log (Replikationslog – nützlich für Audit)
    • Audit Plugin logs (MariaDB Audit Plugin)
  • PostgreSQL:
    • postgresql.log (Query-Log wenn log_statement konfiguriert)
    • pg_log (Verbindungslogs, Fehler, Queries)
    • CSV-Log-Format für strukturierte Analyse
  • MongoDB:
    • mongod.log (Datenbankoperationen)
    • Audit logs (MongoDB Enterprise)
    • Profiler data (langsame Operationen)
  • Microsoft SQL Server:
    • SQL Server Error Log
    • SQL Server Audit logs
    • Transaction Log (für Recovery-Forensics)

Forensischer Nutzen: Unbefugte Zugriffe auf sensible Daten verfolgen, erfolgreiche SQL-Injections, Datenexfiltration, Privilege-Escalation-Versuche.

🔥 Firewall- und Sicherheitssystem-Logs

  • iptables/netfilter (Linux): Logs blockierter/akzeptierter Verbindungen, Port-Scan-Erkennung
  • pfSense/OPNsense: Firewall-Logs, IDS/IPS-Alarme (Suricata/Snort), VPN-Logs
  • Cisco ASA/Firepower: Verbindungslogs, Bedrohungserkennung, Access-List-Treffer
  • Fortinet FortiGate: Traffic-Logs, Threat-Logs, Web-Filter-Logs
  • Palo Alto Networks: Traffic-Logs, Threat-Logs, URL-Filterung, Wildfire-Analyse
  • Windows Firewall: Windows Firewall with Advanced Security Logs
  • UFW (Ubuntu): ufw.log mit gematchten Regeln

Forensischer Nutzen: DDoS-Angriffe dokumentieren, Port-Scanning, Intrusion-Versuche, blockierter Traffic von/zu verdächtigen IPs.

☁️ CDN-, WAF- und Cloud-Provider-Logs

  • Cloudflare:
    • HTTP Request Logs (Logpush/Logpull)
    • Firewall Events (ausgelöste WAF-Regeln, blockierte Anfragen)
    • Rate Limiting Events
    • DDoS-Angriffslogs
    • Bot Management Logs
  • AWS CloudFront + WAF:
    • CloudFront Access Logs (S3 Bucket)
    • AWS WAF Logs (gematchte Web ACL Regeln)
    • CloudWatch Logs Insights Queries
  • Akamai:
    • Access Logs (DataStream)
    • Sicherheitsereignisse (Kona Site Defender)
    • Bot Manager Logs
  • Google Cloud CDN + Armor:
    • Cloud CDN Logs (Cloud Logging)
    • Cloud Armor Sicherheitsrichtlinien-Logs
  • Azure Front Door + WAF:
    • Access Logs (Azure Monitor)
    • WAF Logs (gematchte Richtlinienregeln)

Forensischer Nutzen: Layer-7-Angriffe analysieren (HTTP Flood), durch WAF blockierte SQL-Injection, geografische Angriffsmuster, Bot-Traffic.

🖥️ Betriebssystem-Logs

  • Linux:
    • /var/log/auth.log (Debian/Ubuntu): SSH/sudo-Login-Versuche
    • /var/log/secure (RHEL/CentOS): Systemauthentifizierung
    • /var/log/syslog: Allgemeine Systemnachrichten
    • /var/log/kern.log: Kernel-Nachrichten
    • /var/log/messages: Systemweite Nachrichten
    • journalctl (systemd): Einheitliche Protokollierung
  • Windows:
    • Security Event Log: Login/Logout, Zugriffskontrolle, Privilegiennutzung
    • System Event Log: Dienste, Treiber, Systemfehler
    • Application Event Log: Anwendungsereignisse
    • PowerShell Logs: Skriptausführung, Befehlsverlauf

Forensischer Nutzen: Unbefugte SSH-Zugriffe verfolgen, Privilege Escalation, Malware-Ausführung, Lateral Movement.

🔐 Zugriffs- und Authentifizierungs-Logs

  • SSH: /var/log/auth.log, sshd Logs (Brute-Force-Versuche, erfolgreiche Logins, Quell-IP)
  • FTP/SFTP: vsftpd.log, proftpd.log (Datei-Upload/-Download, Änderungen)
  • Hosting-Control-Panels:
    • cPanel Access Logs, Error Logs
    • Plesk panel.log, access_log
    • DirectAdmin Logs
  • VPN: OpenVPN Logs, WireGuard Logs, IPsec Logs (Verbindungen, Trennungen, Client-IP)
  • RDP (Remote Desktop): Windows Security Log Event ID 4624/4625 (Login Success/Failure)

Forensischer Nutzen: Unbefugte administrative Zugriffe identifizieren, Credential-Stuffing-Angriffe, SSH-Brute-Force.

📱 Webanwendungs-Logs

  • PHP error_log: Anwendungsfehler, Warnungen, Fatal Errors
  • WordPress:
    • debug.log (wenn WP_DEBUG aktiv)
    • Sicherheits-Plugin-Logs (Wordfence, iThemes Security, All In One WP Security)
    • Aktivitäts-Logs-Plugins (WP Activity Log, Simple History)
  • Node.js/Express: Anwendungslogs (console.log, winston, bunyan)
  • Python/Django: django.log, gunicorn Access/Error Logs
  • Java/Tomcat: catalina.out, localhost_access_log, Anwendungslogs
  • Ruby on Rails: production.log, development.log

Forensischer Nutzen: Von Angreifern ausgenutzte Anwendungsfehler verfolgen, Injection-Versuche, bösartige Datei-Uploads.

📊 SIEM und Log-Aggregatoren

  • ELK Stack (Elasticsearch, Logstash, Kibana): Export Query-Ergebnisse, gespeicherte Suchen, Dashboards
  • Splunk: Suchergebnis-Export, Notable Events, Dashboards
  • Graylog: Streams-Export, Suchergebnisse
  • Wazuh: Alarme, Sicherheitsereignisse, Dateiintegritätsüberwachung
  • OSSEC: HIDS-Alarme, Rootcheck, Syscheck-Logs

Forensischer Nutzen: Multi-Source-Ereigniskorrelation, vollständige Angriffs-Timeline, IOC-Identifikation (Indicators of Compromise).

Angebot anfordern

Wir liefern sofort die technische Machbarkeitsbewertung (Log-Typ, Volumen, Format), die Erfassungsmodalität (kontrollierter Panel-Zugang oder Verarbeitung exportierter Dateien), die Ausführungszeiten und das detaillierte Kostenangebot.


Angebot anfordern

Auf Logs durchführbare forensische Analysen

🎯 Identifikation Unbefugter Zugriffe

Quell-IP-Analyse, zeitliche Muster, anomale User-Agents:

  • IP Geolocation Analysis: Zugriffe aus nicht autorisierten Ländern (z.B. EU-Server zugegriffen aus Asien/Osteuropa)
  • Anomale Uhrzeiten: Administrative Zugriffe um 3 Uhr morgens wenn Mitarbeiter normalerweise offline
  • User-Agent Spoofing: Scripts/Bots maskiert als legitime Browser
  • Unmögliche Reise: Gleiches Konto greift von München 10:00 und Lagos 10:05 zu
  • Login-Erfolg nach Brute Force: Hunderte gescheiterte Versuche dann Erfolg mit gestohlenen Credentials

Output: Liste Angreifer-IPs mit Geolokalisierung, Zugriffs-Timeline, Korrelation mit kompromittierten Credentials.

🔓 Rekonstruktion Angriffssequenz

Vollständige Timeline von ersten Aufklärungen bis Datenexfiltration:

  • Phase 1 – Reconnaissance: Port-Scans, Directory-Enumeration (Tools: Nmap, dirb, nikto)
  • Phase 2 – Initial Access: Vulnerability-Exploit (SQL Injection, File Upload, RCE)
  • Phase 3 – Persistence: Web-Shell-Installation, Backdoor, Scheduled Task
  • Phase 4 – Privilege Escalation: Kernel-Exploit, Sudo-Fehlkonfiguration
  • Phase 5 – Lateral Movement: Zugriff andere Server internes Netzwerk
  • Phase 6 – Data Exfiltration: Datenbank-Download, sensible Dokumente
  • Phase 7 – Cover Tracks: Log-Löschung, Timestamp-Manipulation

Output: Vollständige Kill Chain mit Zeitstempel jeder Phase, verwendete IPs, ausgeführte Befehle, betroffene Dateien.

💉 SQL-Injection-Erkennung

Identifikation SQL-Injection-Versuche und erfolgreiche Injections in Logs:

  • Pattern Matching: SQL-Schlüsselwort-Suche (UNION SELECT, OR 1=1, ‘ OR ‘1’=’1, etc.)
  • URL-Encoding-Erkennung: %27, %20, %3D in GET/POST-Parametern
  • Time-based Blind SQLi: SLEEP(), WAITFOR DELAY Muster
  • Error-based SQLi: Antworten mit MySQL/PostgreSQL-Fehlermeldungen
  • Datenbank-Query-Log-Korrelation: Web-Logs mit Database Query Log vergleichen

Output: Liste verdächtiger Anfragen, verwendete Injection-Payloads, eventuell extrahierte Daten.

🔨 Brute-Force-Angriffs-Analyse

Dokumentation massiver Zugriffsversuche:

  • SSH Brute Force: Tausende Login-Versuche von einzelner IP oder verteiltem Botnet
  • WordPress wp-login.php: Benutzer-Enumeration und Password-Guessing-Versuche
  • FTP Brute Force: Credential-Scan auf Port 21
  • RDP Brute Force: Wiederholte Windows Event ID 4625
  • Credential Stuffing: Verwendung gestohlener Credentials aus anderen Breaches

Output: Versuchsvolumen, Quell-IPs (mit ASN/ISP), versuchte Benutzernamen, eventuelle Erfolge.

🌊 DDoS-Muster-Erkennung

Analyse volumetrischer und anwendungsbezogener Angriffe:

  • Layer 7 HTTP Flood: Tausende simultane GET/POST-Anfragen
  • Slowloris Attack: Teilweise Verbindungen die Ressourcen erschöpfen
  • UDP Flood: Massiver UDP-Traffic (Firewall-Logs)
  • SYN Flood: Half-Open Connections (netstat, Firewall-Logs)
  • Amplification Attacks: DNS/NTP-Amplifikations-Muster
  • Botnet Fingerprinting: Botnet-Identifikation (Mirai-, Emotet-Signatur)

Output: Traffic-Spitzen mit Zeitstempel, Angreifer-IPs, Angriffstyp, verbrauchtes Bandbreitenvolumen.

🕵️ Insider-Threat-Untersuchung

Verfolgung verdächtiger Mitarbeiter-/Administrator-Aktivitäten:

  • Zugriffe außerhalb Arbeitszeiten: Admin am Wochenende/nachts verbunden ohne Rechtfertigung
  • Massive Downloads: Nicht autorisierte Datenbank-Backups, Firmendateien
  • Privilege Abuse: Zugriff auf Daten nicht relevant für Rolle
  • Datenexfiltration: Uploads zu persönlichen Clouds, externe FTP-Transfers
  • Log-Manipulation: Log-Löschungs-/-Änderungsversuche

Output: Timeline verdächtiger Aktivitäten, zugegriffene/heruntergeladene Dateien, Korrelation mit HR-Ereignissen (Kündigungen, Entlassungen).

🔍 Datenschutzverletzungs-Umfangsbewertung

Bestimmung welche Daten kompromittiert wurden:

  • Datenbank-Query-Analyse: Welche Tabellen/Spalten vom Angreifer abgefragt
  • Dateizugriffs-Logs: Während Intrusion geöffnete/heruntergeladene Dokumente
  • Ausgehender Traffic: Zu externen IPs transferiertes Datenvolumen
  • PII-Exposure-Berechnung: Wie viele Datensätze mit personenbezogenen Daten (Name, E-Mail, Passwort-Hash) betroffen
  • DSGVO-Meldepflicht-Anforderung: Bewertung ob 72h-Meldeschwelle überschritten

Output: Detaillierter Bericht kompromittierte Daten, Datensatzanzahl, Notwendigkeit DSGVO-/Behördenmeldung.

Anwendungsfälle: wann Server-Logs zertifizieren

🚨 Unternehmens-Datenschutzverletzung

Typisches Szenario: Unternehmensserver kompromittiert, Datenbank mit Kundendaten von Hacker zugegriffen, Notwendigkeit rekonstruieren was gestohlen wurde für DSGVO-Meldung und Strafanzeige.

Was wir zertifizieren: Apache/Nginx-Logs mit SQL-Injection-Anfragen, MySQL-Datenbank-Logs mit vom Angreifer ausgeführten Queries, SSH-auth.log mit unbefugten Zugriffen, vollständige Timeline von Initial Access bis Exfiltration, Angreifer-IPs mit Geolokalisierung, extrahiertes Datenvolumen.

Zweck: Strafanzeige für unbefugten Zugriff und Datendiebstahl, DSGVO-Meldung an Datenschutzbehörde binnen 72h, Kommunikation betroffene Personen, Cyber-Versicherungsanspruch.

💼 Sabotage durch Ex-Mitarbeiter

Typisches Szenario: Gekündigter Ex-IT-Mitarbeiter hat noch SSH/FTP-Serverzugang, löscht kritische Dateien, Datenbanken, Backups aus Rache. Unternehmen entdeckt Sabotage nach Tagen.

Was wir zertifizieren: auth.log mit SSH-Login von Ex-Mitarbeiter-IP nach Kündigungsdatum, FTP-Logs mit massiven Dateilöschungen, Database Audit Log mit DROP TABLE Commands, Aktions-Timeline vs Kündigungsdatum, IP-Korrelation mit Ex-Mitarbeiter-Wohnsitz.

Zweck: Strafanzeige für Datenbeeinträchtigung, Schadensersatzforderung, Disziplinarverfahren falls noch in Kündigungsfrist.

🌐 DDoS-Angriffs-Dokumentation

Typisches Szenario: E-Commerce erleidet Layer-7-DDoS-Angriff während Black Friday, Site stundenlang unerreichbar, geschätzter Verkaufsverlust 50.000€. Notwendigkeit Angriff zu belegen für Schadensanspruch.

Was wir zertifizieren: Cloudflare Analytics mit Traffic-Spitzen, Firewall Events Log mit Millionen blockierter Anfragen, Angriffsmuster (HTTP Flood auf /checkout), identifizierte Botnet-IPs (mit ASN), Ausfallzeit-Dauer, Vergleich normaler vs Angriffs-Traffic.

Zweck: Schadensersatzforderung an Hosting-Provider wenn SLA verletzt, Anzeige wenn Auftraggeber identifiziert, Versicherungsanspruch Betriebsunterbrechung.

🔐 DSGVO-Verletzung – Unbefugter Zugriff Personenbezogene Daten

Typisches Szenario: Marketing-Mitarbeiter greift ohne Berechtigung auf HR-Datenbank mit Gehältern, Gesundheitsdaten Kollegen zu. HR entdeckt nach Meldung, Notwendigkeit DSGVO-Audit.

Was wir zertifizieren: PostgreSQL Database Audit Log mit SELECT-Queries auf HR-Tabellen von nicht autorisiertem User, Zugriffs-Zeitstempel, Mitarbeiter-Workstation-IP, angezeigte spezifische Daten (Spalten), Zugriffshäufigkeit (Monate?), Korrelation mit Unternehmensrolle (nicht relevant).

Zweck: Disziplinarverfahren, Datenschutzbehörden-Meldung wenn Datenschutzverletzung, DSGVO-Compliance-Audit Art. 32 (Sicherheitsmaßnahmen).

⚖️ Gerichtliches Sachverständigengutachten

Typisches Szenario: Zivilprozess zwischen Firma A und B, Streit wann Vertragsdatei auf Shared-Server geändert. Vom Richter ernannter Sachverständiger fordert forensische Log-Analyse.

Was wir zertifizieren: Server Web Access Log mit Zeitstempel Vertragsdateizugriff, FTP-Log mit Dateiänderungen, Dateisystem-Metadaten (mtime, ctime, atime), User-Agent und IP wer änderte, Hash-Vergleich Datei Vorversionen aus Backups.

Zweck: Technisches Gutachten für Sachverständigen, Bestimmung wer und wann umstrittene Datei änderte, Beweiswert für Urteil.

Rechtsrahmen: Compliance und rechtliche Verpflichtungen

🇪🇺 DSGVO – Verordnung (EU) 2016/679

Art. 32 – Sicherheit der Verarbeitung: Verantwortliche müssen geeignete technische und organisatorische Maßnahmen implementieren, einschließlich Fähigkeit Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme zu gewährleisten. Protokollierung und Monitoring gelten als wesentliche Maßnahmen.

Art. 33 – Meldung Datenschutzverletzung: Bei Datenschutzverletzung muss Verantwortlicher Aufsichtsbehörde binnen 72 Stunden benachrichtigen. Zur Bestimmung Verletzungsumfang ist Log-Analyse fundamental: welche Daten zugegriffen, wie viele Datensätze, wann.

Art. 5(1)(f) – Integrität und Vertraulichkeit: Verpflichtung Daten so zu verarbeiten dass angemessene Sicherheit gewährleistet, einschließlich Schutz vor unbefugter Verarbeitung. Logs sind primäres Werkzeug zur Erkennung unbefugter Zugriffe.

EDPB-Leitlinien: Europäischer Datenschutzausschuss empfiehlt Log-Aufbewahrung für angemessenen Zeitraum (typischerweise 6-12 Monate) um Sicherheitsvorfalluntersuchungen zu ermöglichen.

🛡️ NIS2-Richtlinie (EU) 2022/2555

Die NIS2-Richtlinie (Network and Information Security) erlegt wesentlichen und wichtigen Einrichtungen strikte Cybersicherheitspflichten auf.

Art. 21 – Cybersicherheitspflichten: Einrichtungen müssen technische Maßnahmen zur Vorfallbewältigung ergreifen, darunter:

  • Incident Handling: Fähigkeit Vorfälle zu erkennen, analysieren und darauf zu reagieren;
  • Business Continuity: Krisenmanagement und Disaster Recovery;
  • Lieferkettensicherheit: Lieferanten-Monitoring;
  • Log Management: Aufzeichnung sicherheitsrelevanter Ereignisse.

Art. 23 – Vorfallmeldung: Meldepflicht signifikanter Vorfälle binnen 24 Stunden (Frühwarnung) und 72 Stunden (Vorfallbericht). Log-Analyse fundamental zur Bestimmung ob Vorfall “signifikant”.

Sanktionen: Bis 10 Millionen € oder 2% weltweiter Jahresumsatz (wesentliche Einrichtungen), bis 7 Millionen € oder 1,4% Umsatz (wichtige Einrichtungen).

🔒 ISO/IEC 27001:2022 – Information Security Management

Anhang A Control 8.15 – Protokollierung: “Protokolle die Aktivitäten, Ausnahmen, Fehler und sicherheitsrelevante Ereignisse aufzeichnen müssen produziert, aufbewahrt, geschützt und analysiert werden.”

Spezifische Anforderungen:

  • Logs müssen enthalten: User ID, Zeitstempel, Ereignistyp, Ergebnis (Success/Failure), Ereignisquelle
  • Logs müssen vor unbefugten Änderungen geschützt werden
  • Angemessene Aufbewahrungsfrist für Untersuchungen und Compliance
  • Regelmäßige Log-Überprüfung zur Identifikation anomaler Aktivitäten

ISO-27001-Audit: Bei Zertifizierungsaudit prüfen Auditoren immer dass Protokollierung implementiert und funktional. Log-Zertifizierung demonstriert Compliance.

📋 Internationale technische Standards

  • ISO/IEC 27037:2012 – Leitlinien Identifikation, Sammlung, Erfassung und Aufbewahrung digitaler Beweise
  • NIST SP 800-92 – Guide to Computer Security Log Management (Log-Verwaltung, Analyse, Aufbewahrung)
  • RFC 5424 – Syslog Protocol (Log-Format-Standard)
  • RFC 3161 und ETSI EN 319 422 – Qualifizierte Zeitstempel-Standards
  • PCI DSS Requirement 10 – Track and monitor all access to network resources and cardholder data
  • HIPAA Security Rule § 164.312(b) – Audit Controls (Gesundheitswesen USA)
  • SOC 2 Type II – Protokollierungs- und Monitoring-Anforderungen für Serviceorganisationen

Betriebsmodalitäten: Server-Log-Zertifizierung

Zertifizierungsprozess

Modalität 1 – Verarbeitung vom Kunden exportierter Log-Dateien (empfohlen):

  1. Kunde exportiert Logs: Zugang zu eigenen Panels/Servern, Log-Export im nativen Format (.log, .txt, .csv, .json, .gz)
  2. Sichere Übertragung: Upload via SFTP/unser sicheres Portal, oder temporäres verschlüsseltes Cloud-Sharing
  3. Empfang und Integritätsprüfung: SHA-256-Hash-Berechnung empfangener Dateien, Format- und Lesbarkeitsverifikation
  4. Forensische Erfassung:
    • Bit-für-Bit-Kopie Originaldateien
    • SHA-256-Hash-Berechnung jeder Datei
    • Qualifizierter eIDAS-Zeitstempel auf Originaldateien
    • Working-Copy-Erstellung für Analyse (Originale unberührt)
  5. Parsing und Normalisierung:
    • Log-Parsing (Apache-, Nginx-, JSON-, CSV-Format, etc.)
    • Zeitstempel-Normalisierung (Zeitzonenkonyertierung → UTC)
    • Feld-Extraktion: IP, Zeitstempel, User-Agent, URL, Statuscode, etc.
    • Import in forensische Datenbank für Analyse
  6. Forensische Analyse:
    • IP-Analyse: Geolokalisierung (MaxMind GeoIP2), WHOIS/ASN, Reputation (AbuseIPDB)
    • Mustererkennung: Brute Force, SQL Injection, Path Traversal, Bot-Traffic
    • Timeline-Rekonstruktion: Angriffsereignis-Sequenz
    • Anomalieerkennung: Statistische Ausreißer (Traffic-Spikes, unübliche Zeiten)
    • Korrelation: Web Logs + Database Logs + System Logs
  7. Technischer Bericht:
    • Executive Summary
    • Analyse-Methodik
    • Detaillierte Feststellungen mit Beweisen
    • Grafische Ereignis-Timeline
    • IOC-Liste (Angreifer-IPs, bösartige User-Agents, Exploit-URLs)
    • Remediation-Empfehlungen

Modalität 2 – Kontrollierter Kunden-Panel-Zugang:

Wenn Logs nicht leicht exportierbar oder Kunde unseren direkten Zugang bevorzugt:

  1. Digitales Mandat: Kunde signiert Mandat das Read-Only-Panel-Zugang autorisiert (cPanel, Plesk, Cloudflare, AWS Console)
  2. VPN-/IP-Whitelisting-Zugang: Verbindung von zertifizierter fester IP, eventuell Kunden-VPN
  3. Direkte Erfassung: Zertifizierte Dashboard-Screenshots, Log-Export von Interfaces, API-Calls für Cloudflare/AWS
  4. Bildschirmaufzeichnung (optional): Video-Aufzeichnung Erfassungsoperationen für Beweiskette
  5. Logout und Widerruf: Am Ende widerruft Kunde temporäre Zugriffe

Was Sie nach Zertifizierung erhalten: das vollständige forensische Paket

    • Zertifizierte Original-Log-Dateien:
      • Exakte Kopie gelieferter/erfasster Log-Dateien
      • SHA-256-Hash jeder Datei für Integritätsprüfung
      • Qualifizierter eIDAS-Zeitstempel auf jeder Datei
      • Metadaten: Größe, Erstellungsdatum, Format
    • Technischer Forensischer Analysebericht (100-200+ Seiten typischerweise):
      • Executive Summary (2-3 Seiten): Zusammenfassung für nichttechnisches Management/Legal
      • Methodik: verwendete Tools, befolgte Verfahren, angewandte Standards
      • Angriffs-Timeline: Ereignischronologie vom ersten Scan bis Exfiltration
      • IP-Analyse: Angreifer-IP-Tabelle mit Geolokalisierung, ASN, ISP, Reputations-Score
      • Angriffsmuster: SQL-Injection-Versuche, Brute-Force-Stats, DDoS-Muster
      • Datenschutzverletzungs-Umfang (wenn zutreffend): welche Daten kompromittiert, wie viele Datensätze
      • IOC-Liste: Indicators of Compromise (IP, Domain, bösartige Datei-Hashes, User-Agent)
      • Beweis-Screenshots: Schlüssel-Log-Einträge-Screenshots mit Hervorhebung
      • Grafiken und Visualisierungen: Traffic-Graphen, Angriffs-Heatmap, geografische IP-Karte
    • Normalisierte Forensische Datenbank (optional):
      • In SQLite/PostgreSQL importierte Logs für nachfolgende Queries
      • Normalisiertes Schema mit Indizes für Performance
      • SQL-Beispiel-Queries für Custom-Analysen
    • Interaktive Visuelle Timeline (optional):
      • Interaktives HTML mit Ereignis-Timeline
      • Filter nach IP, Zeitstempel, Ereignistyp
      • Drill-Down auf spezifische Ereignisse
    • Maschinenlesbarer IOC-Feed:
      • CSV/JSON mit Angreifer-IPs, bösartigen Domains, Datei-Hashes
      • Importierbar in Firewall, IDS/IPS, SIEM
      • STIX/TAXII-Format wenn angefordert (Threat-Intelligence-Standard)
    • FEDIS-Erklärung: Das FEDIS macht Zertifizierung in deutschen und europäischen Gerichten zulässig;
    • Beweisketten-Dokumentation:
      • Wer Logs erfasst hat, wann, wie
      • Datei-Verwahrung während Analyse
      • Liste Personen mit Dateizugriff
    • Sachverständigen-Erklärung (optional, für Gerichtsgutachten):
      • Eidesstattliche Erklärung zu Methodik und Feststellungen
      • CV forensischer Experte (24 Jahre Erfahrung)
      • Verfügbarkeit Gerichtszeugenaussage
    • Qualifizierte elektronische eIDAS-Signatur auf Abschlussbericht;
    • Qualifizierter internationaler Zeitstempel (optional): für Extra-EU-Gültigkeit (USA, UK, etc.).

DSGVO-Konformität und Datenverarbeitung

Systemprotokolle enthalten personenbezogene Daten (IP-Adressen, in manchen Fällen Benutzername, E-Mail). Wir verwalten alles in voller Übereinstimmung mit DSGVO (EU 2016/679):

  • Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 Buchst. f DSGVO) für Feststellung, Ausübung oder Verteidigung eines Rechts (IT-Angriffsuntersuchung, Strafanzeige, Compliance-Nachweis)
  • Datenminimierung: wir erfassen nur für angefragte Untersuchung streng notwendige Logs
  • Zweckbindung: Daten ausschließlich für forensische Analyse und vom Kunden angegebene Zwecke verwendet
  • Technische Sicherheit: Logs in verschlüsselter Umgebung aufbewahrt, begrenzter Zugang, Nachverfolgbarkeit Operationen
  • Begrenzte Aufbewahrung: Logs nur für Untersuchung notwendige Zeit + gesetzliche Verpflichtungen aufbewahrt (typischerweise 1-2 Jahre), dann sichere Löschung
  • Pseudonymisierung: wo möglich Angreifer-IPs in öffentlichen Berichten pseudonymisiert (vollständige IPs nur in vertraulichen Anhängen)
  • Betroffenenrechte: Angreifer-IPs sind personenbezogene Daten aber DSGVO-Rechte eingeschränkt wenn Verarbeitung zur Feststellung von Straftaten (Art. 23 DSGVO)

Wann Server-Log-Zertifizierung aktivieren

  • wenn Ihr Server kompromittiert wurde und Sie Angriffssequenz für Anzeige rekonstruieren müssen;
  • wenn Sie Datenschutzverletzung erlitten haben und Umfang für DSGVO-Meldung bestimmen müssen;
  • wenn Sie unbefugte Zugriffe durch Mitarbeiter/Ex-Mitarbeiter vermuten;
  • wenn Sie DDoS-Angriff erlitten haben und ihn für Schadensanspruch dokumentieren wollen;
  • wenn Sie DSGVO-Art.-32-Compliance (Sicherheitsmaßnahmen) oder NIS2 nachweisen müssen;
  • wenn Sie ISO-27001-Audit benötigen und funktionierende Protokollierung beweisen müssen;
  • wenn Sie PCI-DSS-Audit haben und Requirement 10 (Log Management) dokumentieren müssen;
  • wenn Rechtsstreit über Dateiänderungen/Zugriffe besteht und Gerichtsgutachten nötig;
  • wenn Sie Insider Threat untersuchen müssen (Mitarbeiter lädt Daten vor Kündigung herunter);
  • wenn Ihre Logs vom Provider kurz vor Rotation/Löschung stehen (handeln Sie schnell!);
  • wenn Sie Sachverständigenzeugen für technische Gerichtszeugenaussage benötigen;
  • wenn Sie Cyber-Versicherungsanspruch mit solider Angriffsdokumentation einreichen müssen.

Angebot anfordern

Wir liefern sofort die Machbarkeitsbewertung (Log-Typ, Volumen, Format, Untersuchungsziele), die technische Erfassungsmodalität (Datei-Export vs kontrollierter Zugang), die Ausführungszeiten und das detaillierte Kostenangebot. DRINGENDE 24-48h-Intervention verfügbar für kritische Fälle mit Logs unter unmittelbar drohender Löschung.


Angebot anfordern

Wichtiger technischer Hinweis: Die forensische Analysequalität hängt von Granularität und Vollständigkeit verfügbarer Logs ab. In Angebotsphase bewerten wir kostenlos ob verfügbare Logs für angefragte Ziele ausreichen. Wir empfehlen immer Logs sofort zu exportieren sobald Vorfall vermutet wird – Provider rotieren/löschen Logs nach 7-30 Tagen typischerweise. Für sehr große Volumen (>100GB Logs) können wir spezifische Transfer- und Verarbeitungsmodalitäten vereinbaren. Express-Service 24-48h für Notfälle (laufende Angriffe, Logs unter Löschungsrisiko, DSGVO-Meldefristen).