Sicherheitsvorfall / verdächtiger Zugriff

Ein Entscheidungsbaum für verdächtigen Zugriff, eine unerwartete Berechtigungsänderung oder ein mögliches Datenleck, der je nach Symptom zu den richtigen Reaktionsschritten (Konto sperren, überzählige Berechtigungen entziehen, Verbindungen trennen, Ausmaß bestimmen) und zur dauerhaften Härtung nach dem Vorfall führt.

Was ist dir aufgefallen?

Wähle die Art des Vorfalls. Ist das Symptom ein verdächtiger Login oder eine Häufung fehlgeschlagener Logins, eine unerwartete Berechtigungsänderung (GRANT/Rolle), ein mögliches Datenleck / ein auffälliger Export, oder ist der Vorfall abgeschlossen und du härtest dauerhaft? Wähle anhand deiner ersten Beobachtung den passendsten Zweig. Notiere zuerst den Zeitpunkt des Vorfalls und das betroffene Konto/die betroffene Ressource.

• Verdächtiger Login / Häufung fehlgeschlagener Logins
• Unerwartete Berechtigungsänderung (GRANT/Rolle)
• Datenleck / auffälliger Export
• Dauerhafte Maßnahmen nach dem Vorfall (Härtung)

Identitätsvorfall: welches Symptom?

Viele fehlgeschlagene Logins deuten auf einen Brute-Force-/Credential-Stuffing-Angriff hin. Ein erfolgreicher, aber unerwarteter Login (von ungewöhnlicher IP/zu ungewöhnlicher Zeit) zeigt dagegen, dass das Konto kompromittiert sein könnte. Sammle in beiden Fällen zuerst Belege und reagiere dann.

SELECT username, os_username, userhost, timestamp, returncode FROM dba_audit_session WHERE returncode <> 0 ORDER BY timestamp DESC;

• Häufung fehlgeschlagener Logins (Brute Force)
• Erfolgreicher, aber unerwarteter Login (Kompromittierung)

Brute Force → Quelle blockieren und Konto schützen

Bei einer Häufung fehlgeschlagener Logins wurde möglicherweise noch kein Zugriff erlangt; Ziel ist, die Quelle zu blockieren, das Konto per Sperre/Verzögerung zu schützen und ein erfolgreiches Eindringen auszuschließen.

Kompromittiertes Konto → stoppen, untersuchen, Zugangsdaten rotieren

Ein unerwarteter erfolgreicher Login zeigt, dass das Konto kompromittiert wurde. Stoppe zuerst das Konto und seine Sessions, untersuche, was es getan hat, setze dann das Passwort zurück und schränke die Zugriffsquelle ein.

Rechteausweitung → überzählige Berechtigungen prüfen und entziehen

Ein unerwarteter GRANT, eine Rollenzuweisung oder ein neues hochprivilegiertes Konto kann die zweite Stufe einer Kompromittierung sein (Persistenz/Rechteausweitung). Prüfe die jüngsten Berechtigungsänderungen, entziehe die nicht legitimen und kehre zum Least-Privilege-Prinzip zurück.

Datenleck → Zugriff trennen und Ausmaß bestimmen

Auffällig große Abfragen/Exporte oder unerwartete externe Verbindungen deuten auf ein Datenleck hin. Trenne zuerst die aktiven gefährlichen Verbindungen und bestimme dann mit Audit-Trail/Logs das Ausmaß: welche Daten, von wem und wann abgerufen wurden.

Dauerhafte Härtung nach dem Vorfall

Wende nach der Notfallreaktion dauerhafte Kontrollen an, um eine Wiederholung zu verhindern: Auditing aktivieren, Least Privilege durchsetzen, Netzwerkzugriff einschränken und den Vorfall vollständig dokumentieren.