Zuletzt aktualisiert: 2026-10-10

Die erste Stunde nach einem Vorfall

Eine Anleitung, welche RoamSwitch-Funktionen Sie in der ersten Stunde nach einer erkannten schweren Bedrohung und deren Eindämmung in welcher Reihenfolge nutzen.

1. Über diese Seite

Erkennt RoamSwitch eine schwere Bedrohung, dämmt es sie automatisch ein, etwa durch Netzwerkisolation (Air-Gap) oder das Einfrieren eines Prozesses. Diese Seite legt für jede Umgebung dar, was Sie danach prüfen, was Sie sichern und wann Sie die Eindämmung aufheben. Einzelheiten zu den Bildschirmen und Bedienschritten finden Sie in den jeweiligen Handbüchern.

Diese Seite erklärt, wie Sie die Funktionen von RoamSwitch nutzen. Kommunikation Ihrer Organisation, rechtliche Schritte und Wiederherstellungsplanung behandelt sie nicht.

2. In jeder Umgebung dieselbe Reihenfolge

Eine Eindämmung wird aus einem Grund ausgelöst. Bevor Sie sie hastig aufheben, gehen Sie in dieser Reihenfolge vor.

  1. Prüfen. Sehen Sie auf einer Zeitleiste, was wann und in welcher Reihenfolge erkannt wurde.
  2. Sichern. Exportieren Sie Aufzeichnungen und Beweise, bevor Sie etwas aufheben oder neu starten. Informationen zum laufenden Zustand können danach verloren gehen.
  3. Entscheiden. Entscheiden Sie, ob es ein Vorgang war, den Sie kennen, oder tatsächlich verdächtige Aktivität.
  4. Aufheben. Heben Sie die Eindämmung erst auf, wenn Sie sich der Sicherheit vergewissert haben.
  5. Beobachten. Beobachten Sie nach dem Aufheben eine Weile, ob dieselbe Erkennung erneut auftritt.

Zum Untersuchen anhand der Logs können Sie auch PersonalSOC und AccessScope aus Abschnitt 6 verwenden.

Wurden Sie wegen ARP-Spoofing isoliert, lesen Sie auch Abschnitt 8.

Ist Ransomware die Ursache auf der Linux-Desktop-Edition, lesen Sie auch Abschnitt 9.

Solange ein Rechner isoliert ist, kann er diese Seite nicht öffnen. Auf dem Mac zeigt das Fenster „Warum Sie isoliert sind & wie Sie es aufheben…“ einen QR-Code für diese Seite, bei der Linux-Desktop-Edition das Bestätigungsfenster zur Aufhebung. Scannen Sie ihn mit einem Smartphone, das eine eigene Verbindung nutzt, um diese Seite zu lesen. Der QR-Code enthält nur die öffentliche Adresse dieser Seite.

3. Mac

  1. Öffnen Sie das 🛡️-Symbol in der Menüleiste und prüfen Sie, ob „🔒 Isoliert (vollständig)“ oder „🔒 Isoliert (DEGRADED)“ angezeigt wird.
  2. Öffnen Sie „ℹ️ Warum Sie isoliert sind & wie Sie es aufheben…“ und lesen Sie den Auslösegrund.
  3. Öffnen Sie 🛡️ → Umfassende Sicherheitsdiagnose für Mac → „📈 Sicherheitsaktivitätsprotokoll…“. Grenzen Sie den Zeitraum ein und filtern Sie nach Schweregrad und Kategorie, um auf einer Zeitleiste zu sehen, was zuletzt erkannt wurde. Ein Klick auf einen Balken im Diagramm beschränkt die Liste auf diesen Zeitabschnitt.
  4. Mit Pro können Sie die gefilterten Ergebnisse als CSV exportieren und aufbewahren.
  5. Wenn Sie „🧾 Prozessausführungsprotokollierung…“ (Pro) vorher eingeschaltet haben, steht auch der Verlauf der gestarteten Prozesse für die Untersuchung zur Verfügung. Die Funktion ist standardmäßig aus.
  6. Wenn die Erkennung von Ransomware oder XProtect eine Isolation auslöst, werden unmittelbar davor automatisch Beweisdaten gespeichert. Sie enthalten die Liste der laufenden Prozesse, die Netzwerkverbindungen und die Liste der zuletzt geänderten Dateien, jeweils mit SHA-256 je Datei. Gespeichert wird in ~/Library/Application Support/RoamSwitch/incident-evidence/. Paketmitschnitte sind auf dem Mac nicht möglich.
  7. Überlegen Sie, ob Sie etwas getan haben, das es erklären könnte, etwa eine verdächtige App gestartet.
  8. Wählen Sie im selben Menü „🔓 Air-Gap-Isolation aufheben“ und im Bestätigungsdialog „Aufheben“. Die Verbindung wird sofort wiederhergestellt.

Bei einem Ransomware-Vorfall öffnen Sie 🛡️ → Malware-Schutz (XProtect & ClamAV) → „🗂 Ransomware-Wiederherstellung…“ (Pro). Aus den lokalen APFS-Snapshots, die RoamSwitch regelmäßig anlegt, holen Sie Dateien an einen anderen Ort (~/RoamSwitch-Recovered/<ID>/). Ihre aktuellen Dateien werden nicht überschrieben. Dafür ist der Zugriff auf die gesamte Festplatte nötig.

Wenn die Verbindung nicht zurückkehrt
Nur wenn die Kommunikation irrtümlich weiter blockiert bleibt, verwenden Sie 🛡️ → 🧰 Wiederherstellung & Deinstallation → „🆘 Notfall-Netzwerkwiederherstellung…“. Das ist das letzte Mittel.

4. Linux-Desktop-Version

  1. Öffnen Sie das 🛡️-Symbol im Systemtray. Ist das Netzwerk wegen einer schweren Bedrohung isoliert, erscheint „🚨 Air-Gap aufheben & Netzwerk wiederherstellen“. Drücken Sie es noch nicht.
  2. Öffnen Sie im Hauptfenster „Notifications“, sehen Sie sich den Benachrichtigungsverlauf der letzten 7 Tage an und prüfen Sie, was gemeldet wurde.
  3. In „Incident Timeline“ (eine experimentelle Funktion) sehen Sie den Ablauf von der Erkennung über die Reaktion bis zur Aufhebung auf einer Zeitleiste.
  4. In „Security Activity Log“ kombinieren Sie Zeitraum, Kategorie, Schweregrad und Stichwort als Filter, um zu untersuchen, was zuletzt geschah. Die Inhalte von Incident Timeline und Notifications sind in einer Ansicht zusammengefasst.
  5. Überlegen Sie, ob Sie etwas getan haben, das es erklären könnte. Wenn Sie sich der Sicherheit vergewissert haben, drücken Sie im Tray „🚨 Air-Gap aufheben & Netzwerk wiederherstellen“.
Kehrt die Verbindung nicht zurück, verwenden Sie „Notfall-Netzwerkwiederherstellung“ im Wiederherstellungs-Untermenü des Trays. Mit den Befehlen in Abschnitt 5 lassen sich auch die Benachrichtigungen, der Isolationsstatus, eingefrorene Prozesse und die Zeitleiste anzeigen.

5. Linux Server Edition

Die Server Edition wird über die Befehlszeile bedient. Die hier beschriebenen Befehle funktionieren auch in der Linux-Desktop-Edition (nur sudo roamswitch server ack ist der Server Edition vorbehalten). Eine Isolation mit hoher Konfidenz (Canary-Manipulation, ransomwareartiges Massenüberschreiben, eBPF Critical / Emergency / Alert usw.) wechselt standardmäßig nach 3600 Sekunden (einer Stunde) in den DEGRADED-Modus, wenn weder eine Bestätigung (ack) noch das Entfallen der Ursache festgestellt wurde. Im DEGRADED-Modus bleiben neue Verbindungen außer den Wartungs-SSH-Ports und den Verwaltungspfaden zugelassener IPs blockiert und werden mit der Zeit nicht von selbst geöffnet.

5.1 Benachrichtigungen prüfen

Haben Sie Telegram, LINE oder einen Webhook eingerichtet, ist die Benachrichtigung dort bereits eingegangen. Auch ohne Einrichtung bleiben die Benachrichtigungen der letzten Woche lokal gespeichert.

roamswitch notifications

5.2 Isolationszustand ansehen

Zeigt den aktuellen Isolationszustand des eBPF-Laufzeitwächters und den Verlauf der erkannten Vorfälle.

roamswitch server ebpf

5.3 Eingefrorene Prozesse prüfen

Listet die Prozesse auf, die der Wächter mit SIGSTOP eingefroren hat. Setzen Sie sie erst fort, wenn Sie die Beweise gesichert haben.

roamswitch frozen list

5.4 Beweise sichern

Wenn der eBPF-Laufzeitwächter einen einzelnen Prozess eindämmt, wird automatisch ein Beweissicherungspaket erstellt. Es enthält einen Paketmitschnitt von etwa 30 Sekunden und, wenn die PID bekannt ist, einen Schnappschuss von /proc/<pid> (ohne installiertes tshark entfällt nur der Paketmitschnitt). Gespeichert wird unter /var/lib/roamswitch/incident-evidence/<Zeitstempel>-<ID>/.

Wird der gesamte Host isoliert, wird derzeit nicht automatisch ein Paket erstellt. In diesem Fall oder wenn Sie den Zustand vor der Eindämmung festhalten möchten, erstellen Sie es manuell.

sudo roamswitch-incident-capture snapshot --pid <PID> --reason "first-response"

5.5 Zeitleiste und Ausführungsprotokoll exportieren

Exportieren Sie die integrierte Vorfall-Zeitleiste (experimentell) als JSON Lines. Der Ausführungsrekorder lässt sich nach Zeitraum oder Prozess durchsuchen.

roamswitch timeline --export incident.jsonl
sudo roamswitch events search --since 2h

5.6 Entscheiden, dann aufheben

Einen wegen eines Fehlalarms eingefrorenen Prozess setzen Sie mit dem folgenden Befehl fort (resume all setzt alle fort).

roamswitch frozen resume <PID>

Um denselben Fehlalarm dauerhaft zuzulassen, fügen Sie ihn der Allowlist hinzu. Mit --exe ist der Eintrag an den Pfad der ausführbaren Datei gebunden, sodass sich das nicht durch Umbenennen des Prozesses umgehen lässt.

sudo roamswitch server allowlist add <rule> <process> --exe <path>

Bestätigen Sie die Isolation. Bei FULL-Isolation hält die Bestätigung die strenge Isolation aufrecht (der Betreiber gilt als eingetreten, wodurch der Wechsel in den DEGRADED-Modus und die automatische Aufhebung gestoppt werden). Im DEGRADED-Modus bedeutet die Bestätigung die Aufhebung.

sudo roamswitch server ack

5.7 Wenn Sie ausgesperrt sind

Melden Sie sich über die Web-Verwaltungskonsole des Cloud-Anbieters (VNC oder serielle Konsole) an und heben Sie die Notfallisolation auf. Standardmäßig bleiben die Wartungs-SSH-Ports und die Verwaltungssitzungen der Administrator-IP während der Isolation erhalten.

sudo roamswitch emergency-restore

5.8 Danach aufräumen

Beweispakete werden nicht automatisch gelöscht. Pakete, die älter als die Aufbewahrungsfrist (standardmäßig 30 Tage) sind, löschen Sie mit dem folgenden Befehl.

sudo roamswitch-incident-capture prune --keep-days 30

6. Anhand der Logs untersuchen (PersonalSOC und AccessScope)

RoamSwitch enthält zwei eigenständige Werkzeuge zum Auswerten von Logs: PersonalSOC und AccessScope. Beide arbeiten nur lesend: Sie ändern keine Einstellungen und blockieren keinen Verkehr. Die Analyse nutzt das Netzwerk nicht und läuft vollständig auf diesem Rechner, sodass sie auch während der Isolation funktioniert.

6.1 PersonalSOC: Logs und Erkennungen dieses Rechners in einem Bericht

Es liest die Authentifizierungs-Logs dieses Rechners (auf dem Mac sudo und sshd, unter Linux auth.log, auditd, nginx, apache u. a.) und die ungelösten Erkennungen von RoamSwitch und fasst Risikoeinschätzung, Zeitleiste und IOCs (IPs, Domains, URLs, Hashes) in einem Bericht zusammen.

sudo personalsoc scan --report

6.2 AccessScope: Angriffe in den Zugriffs-Logs finden

Aus Zugriffs-Logs von Webserver, SSH und anderen zeigt es Brute-Force-Versuche, Web-Shells, Angriffsketten und erfolgreiche Anmeldungen von einer ungewohnten Quelle, jeweils mit Zeilennummern als Beleg und einer Konfidenz (bestätigt, wahrscheinlich, Hypothese). Eine Kompromittierung stellt es nie von sich aus fest.

sudo accessscope scan --auto --since 24h --report report.md
Mit Administratorrechten (sudo) ausführen
Die Authentifizierungs-Logs, journald, das fail2ban-Log, die Webserver-Logs und das auditd-Log sind ohne Administratorrechte nicht lesbar. Führen Sie die Befehle oben zur Untersuchung mit sudo aus. Ohne sudo werden nicht lesbare Logs als nicht lesbar gemeldet, und der Bericht meldet, dass kein Log gelesen werden konnte. „Keine Erkennungen“ ist dann kein Beweis für Sicherheit. Keines der beiden Werkzeuge erhöht selbst seine Rechte.

6.3 In welchem Schritt man sie nutzt

sudo accessscope scan --auto --since 24h --since-last --new-only

7. Danach

Beobachten Sie nach dem Aufheben eine Weile die Zeitleiste (auf dem Mac das Sicherheitsaktivitätsprotokoll), ob dieselbe Erkennung erneut auftritt. Bewahren Sie die exportierten Aufzeichnungen und Beweispakete auf und löschen Sie sie nicht.

Maßnahmen außerhalb von RoamSwitch, etwa das Ändern von Passwörtern oder Schlüsseln und die Information Beteiligter, liegen außerhalb des Umfangs dieser Seite.

8. Wenn Sie wegen ARP-Spoofing isoliert wurden

In öffentlichen WLANs und ähnlichen Netzen kann ein Angreifer im selben Netz so tun, als wäre er der Router, und Ihren Datenverkehr mitlesen wollen. Das ist ARP-Spoofing. RoamSwitch erkennt es zum Beispiel an einer plötzlichen Änderung der MAC-Adresse des Gateways (Routers). Mac und die Linux-Desktop-Edition arbeiten gleich.

  1. Wann isoliert wird. In einem nicht registrierten Netz (Schutzstufe: Lockdown) isoliert RoamSwitch automatisch, wenn es eine Auffälligkeit am Gateway erkennt. An einem registrierten Ort (zu Hause, im Büro usw.) isoliert es nicht automatisch. Es zeigt eine Warnung und isoliert nur, wenn Sie „Jetzt alles sperren“ wählen.
  2. Was Sie vor der Aufhebung prüfen. Das Bestätigungsfenster der App gibt ähnliche Hinweise. Fälscht ein anderes Gerät im selben Netz ARP? Stimmt die MAC-Adresse des Gateways mit der vertrauten überein (das Bestätigungsfenster unter Linux zeigt den aktuellen und den vertrauten Wert)? In einem öffentlichen WLAN ist es sicherer, vor der Aufhebung auf eine andere Verbindung zu wechseln, etwa per Tethering.
  3. Automatische Aufhebung. Ein Timer allein hebt die Isolierung nicht auf. Stimmt die MAC-Adresse des Gateways bei 3 Prüfungen in Folge über mindestens 60 Sekunden mit dem vertrauten Wert überein, wird automatisch aufgehoben und Sie werden benachrichtigt. Lässt sich das 1 Stunde lang (Standard) nicht bestätigen, wechselt RoamSwitch in einen stark eingeschränkten Zustand (herabgestuft). Dieser öffnet sich nicht nach Zeit; Sie heben ihn von Hand auf.
  4. Von Hand aufheben. Auf dem Mac nutzen Sie im Menü „Air-Gap-Isolierung aufheben“. In der Linux-Desktop-Edition nutzen Sie im Tray „Air-Gap aufheben und Netzwerk wiederherstellen“ oder sudo roamswitch emergency-restore. Wenn die Ursache noch besteht, wenn Sie aufheben, läuft der Verkehr wieder an und Sie sind ihr erneut ausgesetzt. Prüfen Sie also zuerst.
  5. Nach der Aufhebung. Beobachten Sie eine Weile, ob dieselbe Erkennung erneut auftritt. Falls ja, nutzen Sie dieses Netz nicht weiter und wechseln Sie zu einer anderen Verbindung.

9. Wenn Sie wegen Ransomware isoliert wurden (Linux-Desktop-Edition)

Werden in kurzer Zeit viele Dateien umgeschrieben, hält RoamSwitch das für mögliche Ransomware: Es friert den umschreibenden Prozess ein (SIGSTOP) und trennt das Netzwerk (Air-Gap). Das Bestätigungsfenster des Air-Gap öffnet sich und zeigt den Grund, den Prozess und die Zahl der umgeschriebenen Dateien. Dieser Abschnitt gilt für die Linux-Desktop-Edition. Auf dem Mac lesen Sie Abschnitt 3.

  1. Prüfen. Sehen Sie im Bestätigungsfenster und im Benachrichtigungsverlauf nach, welcher Prozess welche Dateien umgeschrieben hat. Eingefrorene Prozesse sehen Sie auch mit roamswitch frozen list (5.3).
  2. Festhalten. Sichern Sie vor dem Aufheben oder Neustart Beweise und Zeitverlauf wie in 5.4 und 5.5.
  3. Entscheiden. War der eingefrorene Prozess ein Vorgang, den Sie kennen (etwa ein Backup oder eine Komprimierung), ist es ein Fehlalarm. Setzen Sie ihn mit sudo roamswitch frozen resume <PID> fort. Bei einem echten Angriff setzen Sie ihn nicht fort: Halten Sie die Beweise fest und beenden Sie dann den Prozess.
  4. Dateien zurückholen. Umgeschriebene Dateien lassen sich aus einem Snapshot herausholen. In der Oberfläche wählen Sie im Reiter „Ransomware-Wiederherstellung“ der Seitenleiste (ab Linux 1.11.21) den empfohlenen (★) Snapshot vor dem Schaden und klicken auf „Dateien herausholen“ oder „Ordner herausholen“. Per Befehl sehen Sie mit sudo roamswitch-ransomware-rollback list die Liste und nutzen sudo roamswitch-ransomware-rollback restore-files <ID> <PATH>. Ziel ist ein btrfs-Subvolume oder ein LVM-Logical-Volume (ein Home auf ext4 kann das nicht nutzen). Ein Snapshot vor dem Schaden wird standardmäßig alle 6 Stunden automatisch angelegt. Ein Snapshot zum Zeitpunkt der Erkennung wird ebenfalls automatisch angelegt, enthält aber die verschlüsselten Dateien und eignet sich daher nicht, um auf den Stand vor der Verschlüsselung zurückzukehren. Ihre aktuellen Dateien werden nicht überschrieben. Die wiederhergestellten Dateien landen standardmäßig in <Ziel>/RoamSwitch-Recovered/<ID>/. restore, das alles zurückrollt, überschreibt den aktuellen Stand und ist der letzte Ausweg (nur per Befehl).
  5. Aufheben. Ein Timer allein hebt nicht auf. Aufgehoben wird nur, wenn die Ursache nachweislich beseitigt ist oder wenn Sie im Tray „Air-Gap aufheben und Netzwerk wiederherstellen“ oder sudo roamswitch emergency-restore verwenden.
  6. Beobachten. Prüfen Sie nach dem Aufheben, ob dieselbe Erkennung erneut auftritt. Prüfen Sie den Inhalt der wiederhergestellten Dateien, bevor Sie sie an ihren ursprünglichen Ort zurücklegen.