Seminar Cyber Incident Response und Ransomware Recovery

Sicherheitsvorfälle erfordern eine abgestimmte Zusammenarbeit zwischen Administration, Sicherheitsanalyse, Krisenleitung und Fachbereichen. Das Seminarprogramm verbindet die strukturierte Vorfallbearbeitung mit der kontrollierten Wiederherstellung arbeitsfähiger Geschäftsdienste. Behandelt werden Vorbereitung, Triage, Untersuchung, Eindämmung, Vertrauenswiederherstellung und die überprüfte Rückkehr in den Betrieb.

Die Schulungen sind herstellerübergreifend ausgerichtet. Open-Source-Werkzeuge wie Velociraptor, Volatility 3, Wireshark, Zeek und Proxmox Backup Server werden mit nativen Windows-, Linux- und Microsoft-365-Funktionen verbunden. Das Thema bezeichnet ein Fachgebiet und keinen einzelnen Hersteller. Maßgeblich sind nachvollziehbare Arbeitsabläufe und die Eignung der Werkzeuge für den jeweiligen Vorfall.

Inhalte im Überblick

• Vorbereitung, Erstmaßnahmen und anwendbare Incident-Response-Playbooks
• Krisenstab, Kommunikation und Entscheidungen der Geschäftsführung
• Digitale Forensik sowie Windows-, Linux-, Netzwerk- und Cloud-Untersuchung
• Backup-Resilienz, Identitätswiederherstellung und kontrollierter Wiederanlauf
• Rollenbezogene Lernwege, Intensivprogramme und ein kompakter Einstieg

Passende Schulungsform wählen

Die zwölf Fachseminare vermitteln klar abgegrenzte Kompetenzen mit ausreichend Zeit für eigenständige Übungen. Die Dauer reicht vom eintägigen Management-Tabletop bis zur viertägigen Active-Directory-Wiederherstellung. Alle Zeitansätze orientieren sich an ungefähr sechs Unterrichtsstunden pro Tag gemäß den Seminarvorlagen.

Die drei jeweils fünftägigen Intensivseminare bündeln gemeinsam alle zwölf Fachthemen. Sie verwenden durchgängige Fälle und vorbereitete Laborstände. Die vollständige Übungstiefe der Einzelseminare bleibt deren Vorteil. Die Intensivseminare bilden damit eine verdichtete Alternative für passende Zielgruppen; ihr Besuch ist nach den zugehörigen Fachseminaren nicht grundsätzlich erforderlich.

Das dreitägige Kompaktseminar bietet einen Gesamtüberblick mit begrenzter technischer Fallanalyse und einem isolierten Restore-Test. Für anspruchsvolle Forensik, umfassende Cloud-Untersuchungen und vollständige Forest Recovery sind die jeweiligen Vertiefungen vorgesehen.

Empfohlene Reihenfolge für den Einstieg

Für technische Mitarbeitende ohne Incident-Response-Erfahrung beginnt der Lernweg mit den Grundlagen und Erstmaßnahmen. Danach folgen die zum eigenen Aufgabenfeld passenden Fachseminare. Der Kompaktkurs eignet sich als alternative Orientierung über den Gesamtprozess; beide Einstiegskurse müssen nicht nacheinander besucht werden.

• Cyber Incident Response – Grundlagen und Erstmaßnahmen – 2 Tage
• Cyber Incident Response und Ransomware Recovery – Kompakt – 3 Tage

Lernweg für technische Incident Responder

Nach den Grundlagen vermittelt die digitale Forensik die gemeinsame Untersuchungsmethodik. Anschließend werden Windows und Linux nach Zuständigkeit ausgewählt; Netzwerkforensik verbindet die Endpunktbefunde. Cloud-Verantwortliche ergänzen danach die Untersuchung von Microsoft 365 und Anwendungsidentitäten.

1. Cyber Incident Response – Grundlagen und Erstmaßnahmen – 2 Tage
2. Digitale Forensik – Beweissicherung und Timeline-Analyse – 3 Tage
3. Windows Incident Response – Triage und Angriffsrekonstruktion – 3 Tage
4. Linux Incident Response – Analyse und Wiederanlauf – 3 Tage
5. Netzwerkforensik und Threat Hunting für Incident Responder – 3 Tage
6. Cloud- und Microsoft-365-Incident-Response – 3 Tage

Windows und Linux sind parallele Spezialisierungen. Bei passenden Vorkenntnissen können sie unabhängig voneinander besucht werden. Das technische Intensivseminar verdichtet die fünf Vertiefungen für bereits erfahrene Administratoren.

• Cyber Incident Response Intensiv – Forensik und Threat Hunting – 5 Tage

Lernweg für Wiederanlaufteams

Auf die Incident-Response-Grundlagen folgt zunächst die Absicherung und Prüfung der Sicherungen. Für Windows-Umgebungen schließt sich die Identitätswiederherstellung an. Danach verbindet der Clean-Room-Kurs die einzelnen Komponenten zu einem kontrollierten Dienstwiederanlauf. Linux-Verantwortliche ergänzen die Linux-Untersuchung entsprechend ihrer Aufgaben.

1. Cyber Incident Response – Grundlagen und Erstmaßnahmen – 2 Tage
2. Backup-Resilienz und Restore-Tests gegen Ransomware – 3 Tage
3. Active Directory und Identitäten nach Ransomware wiederherstellen – 4 Tage
4. Ransomware Recovery – Sicherer Wiederanlauf im Clean Room – 3 Tage

Das Recovery-Intensivseminar bildet die verdichtete Alternative für erfahrene Administratoren mit vorhandenen Kenntnissen in Sicherung und Active Directory.

• Ransomware Recovery Intensiv – Backup, Identitäten und Wiederanlauf – 5 Tage

Lernweg für Koordination und Krisenleitung

Die Grundlagen schaffen die gemeinsame Sprache mit den technischen Teams. Darauf bauen Notfallpläne und Playbooks sowie die Krisenstabsarbeit auf. Das abschließende Management-Tabletop prüft vorhandene Rollen und Abläufe. Geschäftsführung und reine Krisenstabsrollen können bei entsprechender Vorbereitung direkt mit Krisenstab und Kommunikation einsteigen.

1. Cyber Incident Response – Grundlagen und Erstmaßnahmen – 2 Tage
2. Cyber Incident Response – Notfallpläne und Playbooks – 2 Tage
3. Cyber Incident Response – Krisenstab und Kommunikation – 2 Tage
4. Ransomware-Tabletop für Geschäftsführung und Krisenstab – 1 Tag

Das organisatorische Intensivseminar verbindet diese vier Fachthemen mit einem umfangreichen Planspiel und einer anschließenden Überarbeitung der erarbeiteten Verfahren.

• Cyber Incident Response Intensiv – Organisation, Playbooks und Krisenführung – 5 Tage

Die Intensivprogramme kombinieren

Bei erfüllten fachlichen Voraussetzungen können alle Themen über die drei Intensivseminare abgedeckt werden. Für Rollen mit organisatorischen und technischen Aufgaben ist die Reihenfolge Organisation, technische Untersuchung und anschließend Recovery sinnvoll. Die technischen Intensivseminare setzen bereits sichere Administrationskenntnisse voraus. Im Team können die Rollen ihre jeweiligen Schwerpunkte parallel besuchen. Der gesamte Intensivpfad umfasst fünfzehn Tage; jedes einzelne Intensivseminar bleibt auf fünf Tage begrenzt.

1. Cyber Incident Response Intensiv – Organisation, Playbooks und Krisenführung – 5 Tage
2. Cyber Incident Response Intensiv – Forensik und Threat Hunting – 5 Tage
3. Ransomware Recovery Intensiv – Backup, Identitäten und Wiederanlauf – 5 Tage

Praxis und Schulungsumgebung

Technische Schulungen verwenden vorbereitete, vom Produktivbetrieb getrennte Umgebungen, freigegebene Testdaten und dokumentierte Kontrollstände. Oberflächen und Kommandozeile werden passend zum jeweiligen Produkt und Lernziel eingesetzt. Management- und Planungsseminare arbeiten mit Rollenprofilen, Lagekarten und bearbeitbaren Vorlagen. Für Cloud-Übungen werden ein geeigneter Schulungsmandant und die erforderlichen Berechtigungen beziehungsweise vorbereitete Protokollexporte eingeplant.

Die fachliche Auswahl richtet sich nach betreuten Systemen, vorhandenen Kenntnissen und Verantwortlichkeiten im Vorfall. Die Seminarauswahl führt alle Angebote alphabetisch auf; die empfohlenen Lernwege bilden die fachliche Reihenfolge ab.