Stell dir vor, es ist Dienstag, 9:47 Uhr. Dein SIEM meldet dutzende Alarme, alle von einem einzigen Fileserver. Die Helpdesk-Hotline klingelt, und auf FS01 liegt eine Ransom Note mit einer Bitcoin-Forderung. Genau in dieser Situation passieren die meisten Fehler, weil Stress, Zeitdruck und unvollständige Informationen zusammentreffen.
Das Video wird erst beim Abspielen von YouTube geladen – dabei werden Daten (u. a. deine IP-Adresse) an YouTube bzw. Google übertragen. Mehr dazu in der Datenschutzerklärung
Diese Anleitung zeigt dir, wie du ChatGPT in einem solchen Moment als Echtzeit-Assistenten einsetzt. Das Tool ersetzt dein Fachwissen nicht. Es fungiert als strukturiertes Second Brain, das Fragen stellt, die du unter Druck leicht vergisst. Du durchläufst einen simulierten Ransomware-Vorfall vom ersten Alarm bis zu den Containment-Entscheidungen. Das Beispielunternehmen hat rund 500 Mitarbeitende, eine Windows-Domäne mit Active Directory und CrowdStrike Falcon als EDR-Lösung. Ein dediziertes Incident-Response-Team gibt es nicht.
Wichtigste Erkenntnisse
Wichtigste Erkenntnisse
- ChatGPT strukturiert, priorisiert und dokumentiert. Die Entscheidung bleibt bei dir.
- Sofortmaßnahmen haben Vorrang: erst isolieren, dann analysieren, und Beweise sichern, bevor du bereinigst.
- Je präziser der Kontext, desto gezielter die Antworten. Anonymisierte Umgebungsdaten sind dabei die Grundlage.
- Jede neue Information fließt in Lagebild, Timeline und Management-Briefing ein. Halte den Chat dafür im Loop.
- Irreversible Schritte wie ein Restore oder ein Netzwerk-Shutdown kommen erst nach abgeschlossenem Scoping.
Schritt-für-Schritt-Anleitung
Schritt 1: Die Lage nüchtern erfassen
Bevor du irgendetwas eintippst, sortiere, was du tatsächlich weißt. Im Beispiel sind das mehrere Alarme mit Ransomware-Verhalten auf FS01, eine Ransom Note namens README.txt und ein unbekannter Ursprung. Unklar ist außerdem, ob der Angriff noch aktiv ist. Diese Fakten brauchst du in jedem Prompt, deshalb notiere sie zuerst stichpunktartig.
Schritt 2: ChatGPT eine klare Rolle geben
Eröffne einen neuen Chat und definiere den Kontext. Schreibe sinngemäß: Du bist mein Incident-Response-Copilot, wir haben einen aktiven Security Incident. Beschreibe außerdem, welche Aufgaben du erwartest: Gedanken strukturieren, kritische Fragen stellen, priorisierte Handlungsempfehlungen geben und die Dokumentation in Echtzeit unterstützen. Je klarer diese Rolle formuliert ist, desto fokussierter arbeitet das Modell.
Schritt 3: Die Umgebung beschreiben
Gib die relevanten Eckdaten deiner Infrastruktur an: Unternehmensgröße, Domänenstruktur, kritische Systeme wie DC01, DC02, FS01 und SQL01, Backup-Stand und eingesetzte Sicherheitslösung. Achte dabei auf Datenschutz. Ersetze echte Benutzer- und Accountnamen durch Platzhalter, etwa „Service-Account A“, und lass keine personenbezogenen Daten in den Chat. Das kostet Mühe, schützt dich aber vor einem zweiten Problem.
Schritt 4: Sofortmaßnahmen priorisieren lassen
Frage gezielt nach den ersten Schritten: Was muss ich sofort tun, und wie priorisiere ich nach Kritikalität? Eine brauchbare Antwort nennt an erster Stelle die Isolation des betroffenen Systems, weil dort der Brandherd liegt. Die Empfehlungen sollten Zeitfenster enthalten, zum Beispiel fünf Minuten für die Isolation. Prüfe jede Empfehlung kritisch, bevor du handelst.
Schritt 5: FS01 isolieren und Schreibzugriffe stoppen
Trenne FS01 physisch vom Netzwerk, etwa durch Ziehen des Netzwerkkabels oder Deaktivieren des Switch-Ports. Führe keinen Shutdown, keinen Neustart, keine Bereinigung und keinen AV-Scan durch, denn all das kann Beweise zerstören. Stoppe danach die Schreibzugriffe auf die Freigaben. Setze die Shares offline oder stelle die ACLs temporär auf Read-only. Informiere die Benutzer, vorerst nichts mehr auf den Freigaben zu öffnen.
Schritt 6: Containment in Falcon und IOC-Suche
Setze FS01 in CrowdStrike Falcon über die Host-Ansicht in den Containment-Modus. Prüfe anschließend, ob andere Systeme ähnliche Indikatoren aufweisen. Im Beispiel sind das DC01, DC02 und SQL01. Notiere jeden Treffer mit Zeitstempel. Ein Treffer auf einem Domain Controller verändert die Lage grundlegend.
Schritt 7: Lagebild und Scope aufbauen
Innerhalb der ersten 30 Minuten brauchst du ein belastbares Lagebild. Ohne Scope gibt es keine sinnvolle Entscheidung. Beantworte schriftlich: Ist nur FS01 betroffen oder auch weitere Systeme? Welche Freigaben sind verschlüsselt? Wann begann die Verschlüsselung? Welche Benutzersessions waren aktiv? Welche Prozesse haben die Daten verändert? Lass ChatGPT diese Fragen in eine Checkliste überführen und ergänze die Antworten laufend.
Schritt 8: Ransom Note sichern
Analysiere die Ransom Note nicht direkt auf dem Produktivsystem. Kopiere die Datei in ein sicheres Analyseverzeichnis, berechne ihren Hash und dokumentiere den Fundort mit Screenshot. Prüfe außerdem, in welchen Ordnern die Dateien unterschiedliche Zeitstempel tragen. Daraus lässt sich ableiten, ob Daten überschrieben oder neu erzeugt wurden. Diese Erkenntnisse helfen später bei der Verschlüsselungsanalyse.
Schritt 9: Backup schützen und Domain Controller prüfen
Das Backup ist oft der letzte Rettungsanker, deshalb hat es Priorität. Stelle sicher, dass keine Jobs mehr laufen, und nimm das Backup-Repository offline oder prüfe seine Unveränderbarkeit. Sichere den Zugang zu den Admin-Konten ab. Danach prüfe die Domain Controller auf neue Admin-Accounts, Änderungen an GPOs und auffällige Event-IDs wie 4720, 4728 oder 4672. Ransomware kommt selten allein, und ein kompromittierter Domain Controller macht den Vorfall deutlich größer.
Schritt 10: Die Nicht-Tun-Liste beachten
Bevor du weitermachst, prüfe, was du bewusst unterlässt. Starte kein Restore, fahre keine Systeme neu und ändere keine Passwörter ohne Plan. Kommuniziere nicht nach außen ohne Freigabe und nimm keinen Kontakt mit den Angreifern auf. Erst verstehen, dann handeln. Diese Disziplin verhindert die meisten Folgeschäden.
Schritt 11: Kritische Fragen beantworten und Incident-Log führen
Lass dir von ChatGPT kritische Fragen stellen und beantworte sie schriftlich. War FS01 direkt aus dem Internet erreichbar? Gab es kürzlich Phishing-Meldungen? Welche Benutzer hatten Schreibrechte auf die großen Freigaben? Wurden ZIP-Dateien gemeldet? Gab es ungepatchte Systeme? Lege parallel ein Incident-Log an, das Zeitpunkt, Beobachtung, Maßnahme und Ergebnis enthält. Dokumentiere sofort und nicht erst später, denn nachträglich gehen wichtige Details verloren.
Schritt 12: Neue Informationen einpflegen
Die Lage ändert sich ständig. Im Beispiel meldet CrowdStrike drei weitere Hosts mit Auffälligkeiten im selben Subnetz, und die Lösegeldforderung verweist auf einen Service-Account. Füge diese Informationen in den bestehenden Chat ein, anonymisiert und mit Zeitangabe. Frage anschließend, was das über den Angriffsvektor aussagt und ob das gesamte Subnetz isoliert werden sollte. Die Antworten dienen als Entscheidungsgrundlage, ersetzen aber nicht deine Prüfung.
Schritt 13: Den kompromittierten Account eindämmen
Wenn ein Service-Account betroffen ist, arbeite in einer festen Reihenfolge. Deaktiviere den Account in Active Directory und beende alle aktiven Sessions. Prüfe anschließend, wo der Account überall genutzt wurde. Kläre außerdem, ob er Domain-Admin-Rechte besitzt, indirekt über Gruppen Adminrechte hat oder Zugriff auf das Backup-Repository. Diese Fragen musst du innerhalb weniger Minuten beantworten können.
Schritt 14: Scoping-Checkliste und Timeline erstellen
Bitte ChatGPT um eine strukturierte Checkliste für das Incident Scoping. Sinnvoll sind Abschnitte zu betroffenen Systemen, zeitlichem Ablauf, Angriffsvektoren, lateraler Bewegung, Identitäten, Datenauswirkungen, Backup-Status, persistenten Mechanismen, externer Kommunikation und Abschlussentscheidungen. Anschließend erstellst du eine fortlaufende Timeline in Tabellenform mit den Spalten Zeitstempel, Ergebnis, Quelle und Aktion. Aktualisiere sie bei jedem neuen Input, dann hast du jederzeit eine saubere Dokumentation.
Schritt 15: Entscheidungen abwägen lassen
Nun stehen die großen Entscheidungen an. Frage ChatGPT nach Vor- und Nachteilen, etwa bei einem Shutdown des gesamten Netzwerks, einem Backup-Restore oder dem Hinzuziehen einer externen Incident-Response-Firma. Im Beispiel empfiehlt das Modell, kein Netzwerk herunterzufahren und kein Restore zu starten, bevor das Scoping abgeschlossen ist. Eine externe Firma sei gezielt sinnvoll, weil du allein arbeitest und Beweise sichern musst. Prüfe diese Argumente anhand deiner Fakten und triff die Entscheidung selbst.
Schritt 16: Management-Briefing erstellen
Spätestens jetzt meldet sich das Management und fragt nach dem Stand. Bitte ChatGPT um ein kurzes Briefing mit maximal zehn Sätzen. Es sollte beantworten, was passiert ist, wie der aktuelle Stand aussieht, was gerade getan wird, welche nächsten Schritte folgen und welche Zeit bis zur Wiederherstellung realistisch ist. Ergänze den Text mit eigenen, verifizierten Fakten, bevor du ihn versendest. Bei zeitkritischen Lagen darfst du den Entwurf nach kurzer Prüfung auch nahezu unverändert weitergeben.
Zusammenfassung – Incident Response mit ChatGPT: Ransomware-Triage in Echtzeit
ChatGPT ist in einem Ransomware-Vorfall ein wertvoller Assistent, wenn du ihm Rolle, Umgebung und jede neue Information klar mitteilst. Es strukturiert deine Gedanken, stellt kritische Fragen, priorisiert Maßnahmen und hält die Dokumentation aktuell. Die Entscheidungen triffst du jedoch selbst. Isoliere zuerst, sichere Beweise, kläre den Scope und handle erst dann irreversibel. Mit dieser Reihenfolge behältst du auch unter Druck die Kontrolle.
FAQ
Kann ich echte Systemnamen, Benutzernamen oder Kundendaten in ChatGPT eingeben?Nein, ersetze alle personenbezogenen Daten und sensiblen Bezeichnungen durch Platzhalter, bevor du sie in den Chat kopierst. Halte außerdem eine Vorlage mit den freigegebenen Umgebungsdaten bereit.
Ersetzt ChatGPT eine Forensik-Firma oder ein erfahrenes IR-Team?Nein, das Modell unterstützt Denkprozesse, Checklisten und Dokumentation. Für Beweissicherung, forensische Analyse und rechtlich belastbare Aussagen brauchst du Fachwissen und gegebenenfalls externe Spezialisten.
Wie oft sollte ich den Chat mit neuen Informationen aktualisieren?Aktualisiere den Chat bei jeder relevanten neuen Erkenntnis, etwa bei weiteren betroffenen Hosts, neuen Indikatoren oder geänderten Forderungen. So bleiben Lagebild, Timeline und Empfehlungen konsistent.
Darf ich ChatGPT Entscheidungen überlassen, wenn es schnell gehen muss?Nein, die Verantwortung bleibt bei dir. Nutze das Modell für Abwägungen und Handlungsempfehlungen, prüfe die Vorschläge anhand der Fakten und entscheide dann selbst.
