$ls vorfall/

Wenn es passiert ist

Die erste Stunde, das Eindämmen, der Wiederaufbau und die Frage, wann Neuaufsetzen ehrlicher ist als Säubern.

Beweise sichern, bevor man aufräumt

Aufräumen vernichtet genau das, womit man später belegen müsste, was passiert ist.

Kunden verzeihen einen Vorfall. Sie verzeihen nicht, davon von jemand anderem zu erfahren.

Der teuerste Fehler nach einem Einbruch ist der schnelle Neustart. Er löscht genau das, was man später braucht.

Die Frage ist nicht, ob eine Sicherung existiert. Die Frage ist, ob der Angreifer sie löschen konnte.

Man kann eine Maschine putzen. Man kann ihr danach nur nicht mehr glauben.

Eine Abuse-Mail ist keine Drohung, sondern eine Frist. Wer sie ignoriert, verliert den Server, nicht die Diskussion.