Kurz gesagt: IT-Forensik für Server beantwortet die Frage, was bei einem Angriff tatsächlich passiert ist: wann, wie, mit welchen Folgen. Gemeinsam mit spezialisierten Forensik-Partnern sichern wir Spuren beweisfest, werten Logs, Dateisysteme und Datenbanken aus und liefern einen nachvollziehbaren Bericht. Er dient als Grundlage für Meldungen, Versicherung und gegebenenfalls Strafverfolgung.
Wann Sie IT-Forensik für Ihren Server brauchen
Nicht jeder Vorfall braucht eine forensische Untersuchung. Sinnvoll ist sie vor allem, wenn personenbezogene Daten, Zahlungsdaten oder Geschäftsgeheimnisse betroffen sein könnten, wenn eine Anzeige oder ein Rechtsstreit absehbar ist oder wenn ein Versicherer einen belastbaren Nachweis erwartet. Auch bei der Frage, ob eine Meldung an die Aufsichtsbehörde nötig ist, helfen belegte Fakten mehr als Vermutungen.
Nach PHP2Shell kommt ein besonderer Punkt dazu. Die Lücken CVE-2026-109618 und CVE-2026-109619 erlauben Codeausführung ohne Anmeldung, und es gibt keine veröffentlichten, bestätigten Indicators of Compromise. Ob ein Server betroffen war, lässt sich deshalb nicht mit einer Checkliste abhaken, sondern nur durch Verhaltensanalyse: Welche Prozesse liefen, welche Dateien entstanden, welche Verbindungen gingen hinaus? Erste Anhaltspunkte liefert Bin ich schon kompromittiert?.
Was Forensik von schneller Bereinigung unterscheidet
Bereinigung will den Server wieder sauber machen. Forensik will verstehen und belegen. Die eine Frage lautet „Ist der Server wieder sicher?“, die andere „Was genau ist passiert, und welche Daten waren erreichbar?“. Für Meldungen, Versicherung und Kundeninformation ist meist die zweite Frage entscheidend. Beides verträgt sich, wenn die Reihenfolge stimmt: erst sichern, dann verändern. Wer zuerst löscht, patcht oder neu startet, verliert flüchtige Spuren und kann später oft nicht mehr zeigen, was der Angreifer gesehen hat.
Bewahren Sie alle Server-Logs ab dem 20.10.2026 auf und bitten Sie Ihren Hoster, Protokolle nicht zu rotieren oder zu löschen. Fehlende Logs sind die häufigste Ursache für offene Fragen im Bericht.
Welche Spuren auf einem PHP-Webserver zählen
Auf einem typischen Webserver gibt es mehr Spuren, als viele Betreiber vermuten. Ob sie verwertbar sind, hängt davon ab, wie lange sie aufbewahrt werden und ob sie vor dem Eingriff gesichert wurden.
- Zugriffs- und Fehlerprotokolle des Webservers und von PHP-FPM, einschließlich abgestürzter Worker
- Dateisystem: neue oder veränderte Dateien, ihre Zeitstempel und Eigentümer, ausführbarer Code in Upload-Ordnern
- Datenbank: neue Benutzerkonten, geänderte Einstellungen, eingeschleuste Inhalte
- System: Cronjobs, Benutzer, SSH-Schlüssel, Anmeldeprotokolle, laufende Prozesse und Netzwerkverbindungen
- Vorgelagerte Systeme: Protokolle von CDN, WAF, Firewall, Load Balancer und Mailserver
Gerade die vorgelagerten Systeme werden oft vergessen. Sie liegen außerhalb des Webservers und sind deshalb für einen Angreifer schwerer zu manipulieren. Bei manchen Anbietern werden sie nur kurz vorgehalten, deshalb sollten Sie sie früh exportieren.
Wie hilft PHP SOS konkret?
- Auftrag klären: Wir legen mit Ihnen fest, welche Fragen beantwortet werden sollen, etwa Einfallstor, Zeitraum, betroffene Daten oder Weiterbewegung im Netz. Daraus ergibt sich, welche Systeme untersucht werden.
- Beweissicher sichern: Wir und unsere spezialisierten Partner erstellen Kopien von Datenträgern, Logs, Datenbanken und, wo möglich, Arbeitsspeicher. Jede Sicherung erhält eine Prüfsumme, jede Übergabe wird dokumentiert.
- Auswerten: Wir analysieren Zugriffs- und Fehlerprotokolle, Dateiänderungen, Benutzerkonten, Cronjobs, Prozesse und ausgehende Verbindungen. Die Methodik für Logs beschreibt Webserver-Logs nach einem Angriff auswerten.
- Zeitleiste erstellen: Aus den Funden entsteht eine Zeitleiste des Vorfalls, bei der jede Aussage auf einen konkreten Beleg verweist.
- Bericht übergeben: Sie erhalten einen technischen Bericht und eine verständliche Zusammenfassung für die Geschäftsführung.
Was Sie bekommen und was wir brauchen
Der Bericht enthält die gesicherten Beweismittel mit Prüfsummen, die Dokumentation der Übergabekette, die Zeitleiste, das ermittelte oder wahrscheinliche Einfallstor, die betroffenen Systeme und Datenarten sowie Empfehlungen. Jede Aussage ist als belegt, wahrscheinlich oder unbekannt gekennzeichnet.
Wir brauchen von Ihnen:
- Zugang zu den betroffenen Systemen oder die Freigabe, dass Ihr Hoster uns Kopien bereitstellt
- eine entscheidungsbefugte Person, die Umfang und Prioritäten festlegt
- Informationen über Systemlandschaft, Dienstleister und bekannte Änderungen der letzten Wochen
- vorhandene Protokolle, auch aus Firewalls, CDN, WAF oder Mailservern
- die Angabe, ob Versicherer, Polizei oder Anwalt bereits eingebunden sind
Wenn Sie eine Anzeige erstatten möchten, finden Sie Hinweise unter Anzeige erstatten: Zentrale Ansprechstellen Cybercrime. Was Versicherer im Schadensfall typischerweise erwarten, erklärt Cyberversicherung: Was im Schadensfall zählt.
Was wir nicht versprechen
Forensik kann nur auswerten, was an Spuren vorhanden ist. Wenn Logs fehlen, überschrieben oder vom Angreifer manipuliert wurden, bleiben Lücken, und wir benennen sie. Wir versprechen nicht, dass ein Gericht unsere Ergebnisse in bestimmter Weise würdigt, und wir geben keine rechtliche Bewertung. Wir nennen keine Täter, sondern beschreiben, was die Spuren zeigen. Auch Aussagen wie „es sind sicher keine Daten abgeflossen“ treffen wir nur, wenn die Belege sie tragen.
Läuft der Angriff noch, hat die Eindämmung Vorrang. Dann beginnen wir mit der Incident Response und sichern parallel so viele Spuren wie möglich.
Häufige Fragen
Was bedeutet gerichtsfeste Beweissicherung?
Spuren werden so gesichert, dass sich später nachweisen lässt, dass sie unverändert sind. Dazu gehören Prüfsummen, eine dokumentierte Übergabekette und die Arbeit an Kopien statt am Original. Ob ein Gericht ein Beweismittel verwertet, entscheidet allerdings das Gericht.
Kann IT-Forensik klären, ob Kundendaten abgeflossen sind?
Oft lässt sich eingrenzen, auf welche Daten ein Angreifer Zugriff hatte und ob es Hinweise auf Abfluss gibt. Ein sicherer Ausschluss ist nicht immer möglich, besonders wenn Logs fehlen. Das Ergebnis wird deshalb nach belegt, wahrscheinlich und unbekannt getrennt.
Wie lange müssen Logs aufbewahrt werden?
Für die Aufklärung so lange wie möglich, mindestens bis die Untersuchung abgeschlossen ist. Bei PHP2Shell rät die Fachpresse, Server-Logs ab dem 20.10.2026 aufzubewahren. Rechtliche Aufbewahrungs- und Löschpflichten klären Sie mit Ihrer oder Ihrem Datenschutzbeauftragten.
Darf ich den Server vor der Forensik neu starten oder patchen?
Ein Neustart löscht flüchtige Spuren im Arbeitsspeicher, ein Patch verändert Dateien. Wenn Sie können, sichern Sie zuerst oder sprechen kurz mit uns. Ist die Gefahr akut, hat die Eindämmung Vorrang, und das wird dokumentiert.