Forensik in virtualisierten Umgebungen: Wie wir kritische Infrastruktur unter NIS2 absichern
Wenn ein Angriff auf ein virtualisiertes Rechenzentrum erfolgt, stehen Betreiber kritischer Infrastruktur in Österreich oft vor einem Problem: Die klassische Festplattenforensik greift zu kurz. Flüchtige Daten verschwinden mit dem nächsten Neustart, Snapshots überschreiben Beweise, und die eigentliche Spur liegt manchmal auf der Hypervisor-Ebene statt in der Gast-VM. Genau hier setzen wir an. In diesem Beitrag zeigen wir, warum virtualisierte Systeme die Forensik vor neue Herausforderungen stellen, wie Anomalieerkennung als Frühwarnsystem funktioniert und welchen konkreten Prozess wir bei der Beweissicherung in der Cloud verfolgen – immer mit Blick auf die Anforderungen der NIS2-Richtlinie und ihre österreichische Umsetzung.
Warum virtualisierte Umgebungen die Forensik vor neue Herausforderungen stellen
In traditionellen physischen Umgebungen war die Sache klar: Wir sichern die Festplatte, erstellen ein Image und analysieren es im Labor. In virtualisierten Umgebungen funktioniert das nur mehr eingeschränkt. Hypervisoren wie VMware vSphere, Microsoft Hyper-V und KVM verändern die Beweissicherung grundlegend, weil flüchtige Daten und Snapshots eine zentrale Rolle spielen. Ein Speicherabbild einer VM ist ohne Snapshot schnell verloren, und wer nur die Gast-VM betrachtet, übersieht möglicherweise Manipulationen auf der Hypervisor-Ebene.
Gleichzeitig steigen die regulatorischen Anforderungen. Die NIS2-Richtlinie wurde in Österreich mit dem NISG 2024 umgesetzt und verpflichtet Betreiber kritischer Infrastruktur zu mehr Resilienz – von der Risikoanalyse über Meldepflichten bis zur forensischen Nachvollziehbarkeit von Vorfällen.
Flüchtige Daten und Snapshots als Beweismittel
Der Arbeitsspeicher einer VM enthält oft die entscheidenden Hinweise: laufende Prozesse, Netzwerkverbindungen, injizierter Code oder Entschlüsselungsschlüssel. Diese Daten sind flüchtig und verschwinden beim Herunterfahren. Snapshots wiederum sind ein zweischneidiges Schwert: Sie helfen bei der Wiederherstellung, können aber auch Beweise überschreiben, wenn sie automatisiert in kurzen Intervallen erstellt werden. Wir planen deshalb bereits vor einem Vorfall, welche Snapshots wie lange aufbewahrt werden.
Hypervisor-Ebene vs. Gast-VM: Wo suchen wir?
Ein Angreifer, der sich auf dem Hypervisor festsetzt, kann von dort aus mehrere VMs kompromittieren. Deshalb reicht es nicht, nur innerhalb der Gast-VM zu suchen. Wir prüfen beide Ebenen:
- Hypervisor-Ebene: VMware vSphere mit ESXi-Hosts, Microsoft Hyper-V und KVM liefern jeweils eigene Logs, Konfigurationsdateien und Audit-Trails.
- Gast-VM-Ebene: Hier analysieren wir Betriebssystem-Logs, Prozesslisten, Autostart-Einträge und Netzwerkverbindungen.
- Management-Ebene: vCenter, System Center Virtual Machine Manager oder OpenStack-Controller sind besonders kritisch, weil sie zentrale Steuerungsfunktionen bieten.
Rechtliche Anforderungen in Österreich: NIS2 und DSGVO
Die NIS2-Richtlinie und das NISG 2024 verlangen von wesentlichen und wichtigen Einrichtungen nicht nur technische Maßnahmen, sondern auch die Fähigkeit, Vorfälle forensisch nachvollziehbar zu dokumentieren. Gleichzeitig gilt die DSGVO: Personenbezogene Daten in Logs oder Speicherabbildern dürfen nur zweckgebunden verarbeitet werden. Die nationale Datenschutzbehörde (DSB) ist hier die zuständige Aufsichtsbehörde. Wir achten darauf, dass jede Beweissicherung sowohl NIS2-konform als auch datenschutzrechtlich sauber dokumentiert ist.
Anomalieerkennung als Frühwarnsystem in virtualisierten Infrastrukturen
Forensik beginnt nicht erst nach dem Vorfall. Anomalieerkennung ist unser Frühwarnsystem, das verdächtige Aktivitäten bereits im Ansatz erkennt. Wir kombinieren netzwerkbasierte und hostbasierte Erkennung und korrelieren die Ergebnisse zentral.
Netzwerkbasierte Erkennung: Zeek und Suricata
Zeek liefert detaillierte Verbindungsprotokolle, Suricata ergänzt signaturbasierte Erkennung. Auf Hypervisor-Ebene setzen wir diese Sensoren so ein, dass sie den Verkehr zwischen VMs, zu Storage-Systemen und nach außen sichtbar machen. So erkennen wir laterale Bewegung, Datenabflüsse oder ungewöhnliche DNS-Anfragen, bevor sie Schaden anrichten.
Host-basierte Erkennung: Auditd und Sysmon für VMs
Innerhalb der Gast-VMs überwachen wir mit Auditd (Linux) und Sysmon (Windows) Prozessstarts, Dateiänderungen und Registry-Zugriffe. Diese Daten sind besonders wertvoll, wenn wir später rekonstruieren müssen, wie ein Angreifer vorgegangen ist.
Korrelation und Alarmierung: Elastic SIEM und TheHive
Die Einzelsignale werden in einem Elastic SIEM zusammengeführt. Dort definieren wir Korrelationsregeln, die aus mehreren schwachen Indizien einen konkreten Alarm machen. TheHive dient uns als Plattform für Incident-Response und Dokumentation. Ein Praxisbeispiel: Eine auffällig hohe CPU-Auslastung auf einem ESXi-Host führte über die Korrelation mit ungewöhnlichen Netzwerkverbindungen zu einem Kompromittierungsversuch – ein Krypto-Miner, der über eine kompromittierte Management-Schnittstelle eingeschleust wurde.
Forensische Beweissicherung in der Cloud: Unser Vorgehen
Wenn es zu einem Vorfall kommt, zählt strukturiertes Vorgehen. Unser Prozess beginnt mit der Sicherung von VM-Snapshots, geht über die Analyse von Hypervisor-Logs bis zur Auswertung mit Werkzeugen wie Volatility und Autopsy. Dabei halten wir die Chain of Custody streng ein.
Snapshot-Strategie und Live-Forensik
Wir sichern Snapshots, Speicherabbilder und Festplatten-Images in einer definierten Reihenfolge. Wo ein Herunterfahren nicht möglich ist, führen wir Live-Forensik durch – mit Werkzeugen, die den laufenden Betrieb so wenig wie möglich beeinflussen.
Analyse von Hypervisor-Logs (VMware, Hyper-V)
VMware vSphere protokolliert Ereignisse in vCenter und auf den ESXi-Hosts. Hyper-V schreibt Ereignisse in die Windows-Ereignisprotokolle. Wir analysieren diese Logs auf ungewöhnliche Anmeldungen, Konfigurationsänderungen oder neue virtuelle Geräte.
Memory-Forensik mit Volatility
Mit Volatility analysieren wir Speicherabbilder auf versteckte Prozesse, injizierten Code und Netzwerkverbindungen. Gerade bei Ransomware-Angriffen liefert die Memory-Forensik oft die entscheidenden Hinweise auf die eingesetzten Werkzeuge und die Herkunft des Angriffs.
Resilienz stärken: Von der Forensik zur Prävention
Forensische Erkenntnisse sind nur dann wertvoll, wenn sie in konkrete Resilienzmaßnahmen fließen. Wir nutzen die Ergebnisse, um Hypervisor-Konfigurationen zu härten, Notfallübungen durchzuführen und den Aufbau eines CSIRT zu begleiten.
Härtung von Hypervisoren und Gast-VMs
Wir reduzieren Angriffsflächen, indem wir nicht benötigte Dienste abschalten, Management-Schnittstellen segmentieren und rollenbasierte Zugriffskontrollen durchsetzen. Auch Gast-VMs werden nach dem Prinzip der minimalen Rechte konfiguriert.
Notfallübungen und Incident-Response-Pläne
Regelmäßige Übungen zeigen, wo Lücken bestehen. Wir simulieren Angriffe auf virtualisierte Umgebungen und testen, ob Meldepflichten, Kommunikationswege und Wiederherstellungsprozesse funktionieren.
Zusammenarbeit mit CERT.at und A-SIT
CERT.at ist die nationale Koordinierungsstelle für Cybersicherheit in Österreich, A-SIT das österreichische Kompetenzzentrum für IT-Sicherheit. Wir arbeiten mit beiden Institutionen zusammen, um aktuelle Bedrohungslagen zu bewerten und unsere Kunden bestmöglich zu unterstützen.
NIS2 und die Pflicht zur forensischen Nachvollziehbarkeit
Die NIS2-Richtlinie verpflichtet Betreiber kritischer Infrastruktur zu Meldepflichten und zur forensischen Nachvollziehbarkeit von Vorfällen. Wir unterstützen unsere Kunden in Österreich dabei, diese Anforderungen strukturiert umzusetzen.
Meldepflichten und Fristen nach NIS2
Wesentliche und wichtige Einrichtungen müssen erhebliche Sicherheitsvorfälle innerhalb definierter Fristen melden – zunächst eine Frühwarnung, dann eine detaillierte Meldung. Wir helfen dabei, diese Fristen einzuhalten und die erforderlichen Informationen korrekt aufzubereiten.
Dokumentation und Beweissicherung
Jede forensische Maßnahme wird bei uns dokumentiert: Wer hat wann welche Daten gesichert, wie wurden sie transportiert, wer hatte Zugriff? Diese Chain of Custody ist nicht nur für Behörden wichtig, sondern auch für den eigenen Nachweis der Sorgfaltspflicht.
Unterstützung durch unser Team
Wir begleiten unsere Kunden von der Vorbereitung über die Incident-Response bis zur Nachbereitung. Dazu gehören auch Schulungen für interne Teams und die Einrichtung eines kontinuierlichen Monitorings.
Häufig gestellte Fragen (FAQ)
Was bedeutet NIS2 konkret für Betreiber kritischer Infrastruktur in Österreich?
Die NIS2-Richtlinie wurde in Österreich mit dem NISG 2024 umgesetzt. Sie verpflichtet wesentliche und wichtige Einrichtungen zu Risikomanagement, Meldepflichten und forensischer Nachvollziehbarkeit. Betroffen sind unter anderem Energie, Verkehr, Gesundheit, Wasser und digitale Infrastruktur.
Warum reicht klassische Festplattenforensik in virtualisierten Umgebungen nicht aus?
Weil flüchtige Daten wie der Arbeitsspeicher beim Neustart verloren gehen und Snapshots Beweise überschreiben können. Zudem können Angriffe auf der Hypervisor-Ebene stattfinden, die in der Gast-VM nicht sichtbar sind.
Welche Werkzeuge setzen wir für Anomalieerkennung ein?
Wir kombinieren Zeek und Suricata für netzwerkbasierte Erkennung, Auditd und Sysmon für hostbasierte Erkennung sowie Elastic SIEM und TheHive für Korrelation und Alarmierung.
Wie stellen wir die Chain of Custody sicher?
Jeder Schritt der Beweissicherung wird dokumentiert: Zeitpunkt, handelnde Person, Art der Sicherung und Aufbewahrungsort. So bleibt die Beweiskette lückenlos nachvollziehbar.
Unterstützt ihr auch bei der Zusammenarbeit mit CERT.at und A-SIT?
Ja. Wir arbeiten mit CERT.at als nationaler Koordinierungsstelle und A-SIT als Kompetenzzentrum zusammen und unterstützen unsere Kunden bei der Meldung und Nachbereitung von Vorfällen.
Forensik in virtualisierten Umgebungen ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Wer kritische Infrastruktur betreibt, muss davon ausgehen, dass Angriffe kommen – und dass jede Stunde, in der Beweise verloren gehen, die Resilienz schwächt. Mit klaren Prozessen, automatisierter Anomalieerkennung und einer sauber dokumentierten Chain of Custody schaffen wir Vertrauen in die Systeme, auf die Österreich angewiesen ist.