SCHILD

Notfall

Wenn es passiert ist

Kurze Laufzettel für den Moment nach dem Klick. Erst isolieren, dann drehen, dann nachbereiten. Kein Drama, Reihenfolge.

  1. 01

    Seite schließen, nichts eingeben

    Falls ein Formular offen ist: nicht absenden. Tab zu. Keine Dialoge bestätigen.

  2. 02

    War ein Login-Formular dabei?

    Dann gilt das Passwort als bekannt. Auf der echten Domain — selbst getippt — sofort ändern. Nicht über den Link in der Mail.

  3. 03

    Gleiche Passwörter anderswo rotieren

    Überall, wo dasselbe Secret lief, jetzt ein neues, einzigartiges setzen. Der Passwort-Manager listet Wiederverwendungen.

  4. 04

    2FA prüfen, Sessions kicken

    Unter Konto → Sicherheit alle fremden Geräte abmelden. Authenticator neu koppeln, falls Codes abgefragt wurden.

  5. 05

    Mail als Phishing markieren

    Nicht zur Ansicht weiterleiten. Im Client als Phishing/Junk. Im Job: an Security, ohne den Link nochmal zu öffnen.

Danach

  • Banking-Umsätze der letzten Tage prüfen.
  • Seed-Phrase eingegeben? Wallet als verbrannt behandeln und Restguthaben in eine neue Wallet.
  • Virenscan nur als Ergänzung — der Schaden sitzt meist im Konto, nicht in einer EXE.
  1. 01

    Passwort auf der echten Seite ändern

    URL selbst tippen. Das alte Secret gilt als verbrannt, auch wenn der Angriff „nur versucht“ hat.

  2. 02

    Zweiten Faktor erzwingen

    TOTP oder Hardware-Key. SMS nur falls nichts anderes geht, plus SIM-PIN.

  3. 03

    Aktive Sitzungen beenden

    Alle Geräte abmelden. App-Passwörter und alte OAuth-Freigaben widerrufen.

  4. 04

    Wiederherstellungsweg härten

    Backup-Mail und Telefonnummer: gehören sie dir? Portierungsschutz beim Provider setzen.

  5. 05

    Lockout und Alerts

    Login-Benachrichtigungen und Blocks für unbekannte Geräte aktivieren, wo der Dienst das anbietet.

Danach

  • Passwort-Manager auf bekannte Leaks prüfen — das Secret nie in fremde Webseiten kippen.
  • E-Mail-Konten zuerst: wer die Mailbox hat, setzt jedes andere Konto zurück.
  • Im Job: IT informieren. Nicht selbst am VPN herumprobieren.
  1. 01

    Von einem sauberen Gerät arbeiten

    Nicht vom verdächtigen Handy aus reparieren. Zweites Gerät oder ein frisches Browser-Profil.

  2. 02

    Überall abmelden

    Alle Sitzungen beenden. Danach Passwort und 2FA drehen, in dieser Reihenfolge.

  3. 03

    Weiterleitungen und Filter jagen

    In Gmail/Outlook: Filter, Delegates, POP/IMAP, Autoreply. Angreifer legen stille Kopie-Regeln an.

  4. 04

    Zahlungsmittel prüfen

    Hinterlegte Karten, Lastschriften, neue Empfänger in Banking und Stores.

Danach

  • Beim Provider nachfragen, ob die Rufnummer portiert wurde.
  • Wichtige Kontakte kurz warnen — kompromittierte Konten schreiben als Nächstes das Adressbuch an.
  1. 01

    Netzwerk kappen

    WLAN aus, Ethernet raus. Für den Hausgebrauch reicht: Netz weg, danach Neuinstallation.

  2. 02

    Nicht zahlen, nicht mit dem Popup sprechen

    Fake-Support und Ransomware-Zahlung lösen nichts. Fenster schließen, nicht anrufen.

  3. 03

    Von einem zweiten Gerät Konten drehen

    Mail, Banking, Passwort-Tresor: Passwort plus Sessions, weil ein Keylogger mitgelaufen sein kann.

  4. 04

    System zurücksetzen

    Reset oder Neuinstallation von bekannt sauberem Medium. Backup nur, wenn es nachweislich vor dem Vorfall liegt.

Danach

  • Bei Erpressung Anzeige bei Polizei / LKA. Im Job: Incident-Prozess, nicht selbst forensisch rumkopieren.
  • Sobald das System sauber ist: Hardware-Keys für die wichtigsten Konten.
  1. 01

    Zweiten Kanal erzwingen

    Nummer aus dem Adressbuch, nicht aus der Mail. Rückruf oder Video. Kein Chat, der aus der Mail kommt.

  2. 02

    IBAN gegenhalten

    Neue Empfänger, geänderte Bankverbindung, künstliche Eile — das sind die drei roten Tücher.

  3. 03

    Falls schon überwiesen

    Sofort die Bank anrufen (Nummer auf der Karte, nicht aus der Suche), Recall verlangen. Polizei, interne Revision.

Danach

  • Vier-Augen-Prinzip bei neuen Zahlungsempfängern festziehen.
  • Den Fall intern durchsprechen — Scham hält Meldungen sonst zurück.
  1. 01

    Eintrag sichern

    Zeit, IP, User-Agent, versuchter Benutzername. Screenshot des Protokolls. Passwort wurde nicht gespeichert — so soll es bleiben.

  2. 02

    Spur ziehen, nicht angreifen

    Rückverfolgung in SCHILD: Geo und ASN sind Näherung. Kein Portscan, kein Gegen-Login, kein DDoS gegen die Adresse.

  3. 03

    Eigene Konten prüfen

    Falls der versuchte Name eines deiner echten Konten ist: Passwort dort drehen, Sessions kicken, 2FA prüfen.

  4. 04

    Melden wenn Schaden oder Muster

    CERT-Bund bei Phishing-Infrastruktur, Polizei bei konkretem Schaden. Provider-Abuse mit den Headern, nicht mit Mutmaßungen.

Danach

  • Canary-URL rotieren, sobald sie in Umlauf ist.
  • Köder nicht auf echten Login-Seiten verlinken — sonst fängst du dich selbst und Kunden.