Security Incident Triage

1. Alarm validieren und betroffene Systeme bestimmen.
2. Ereigniszeitraum, Konten, Daten und Angriffsweg erfassen.
3. Beweise unverändert sichern; Zeitzonen und Hashes dokumentieren.
4. Eindämmung mit möglichst geringer Beweisveränderung durchführen.
5. Zugangsdaten, Tokens und Schlüssel risikobasiert rotieren.
6. Ursache schließen und Persistenzmechanismen entfernen.
7. Wiederherstellung verifizieren und verstärkt überwachen.
8. Meldepflichten und Betroffenenkommunikation prüfen.
9. Post-Mortem ohne Schuldzuweisung mit konkreten Kontrollen abschließen.