Rechtliche Fragen bzgl. infiziertem Kundenserver

M

martin.g

New Member
Hallo,

wir haben einen Kunden, der eine IP von uns hat und dessen Traffic über eines unserer Gateways läuft. Wegen eines Problems habe ich mir den Traffic auf dem Gateway per tcpdump angesehen und dabei ein viel größeres Problem festgestellt.
Der Kunde hat einen Windows Server 2003, der von außen erreichbar ist und vermutlich auf einem Patchlevel von vor fünf Jahren ist.

Und Überraschung - der Server scheint auf jeden Fall infiziert zu sein. Es gibt massig Remote Desktop Anfragen auf fremde IPs (490 verschiedene IPs in 30 Sekunden) sowie SMB/Windows Freigabe Anfragen (über dreitausend verschiedene Ziel IPs in 30 Sekunden).
Ferner habe ich ausgehende Verbindungen mit Zielport 1095 auf eine IP der DTAG DSL Dial-In herausgefunden. Laut diverser Seiten ist Port 1095 ein Indiz für Hvl RAT oder Blood fest Evolution. Mir ist allerdings nicht klar, ob sich der Server bei dem DSL System meldet, um sich selbst steuern zu lassen (ähnlich 6667 IRC bei Bot-Netzen) oder ob von dem Server aus ein weiteres Fremdsystem gesteuert wird. Also ob die DTAG IP der Angreifer oder ein weiteres Opfer ist. Sollte man dem Kunden empfehlen, den Nutzer derk IP anzuzeigen? Das macht natürlich nur Sinn, wenn das dann auch der Angreifer ist :-)

Dass der Kunde sein System neu installieren muss, ist eigentlich klar und das ist auch nicht mein Bier. Mein Problem ist die Verarbeitung personenbezogener Daten durch mich. Was darf ich in solch einem Fall tun? Hätte ich überhaupt die bisherigen Untersuchungen durchführen dürfen? Darf ich weitere Untersuchungen durchführen? Darf ich Wireshark Dumps anlegen, um ggf. später Beweise zu haben? Darf ich ohne Weiteres Ports sperren (Gefahr in Verzug - mögliche Sperrung unserer Subnetze, ggf. wirtschaftlicher Schaden bei uns un weiteren Kunden)? Womit muss mich der Kunde beauftragen, dass ich die Angelegenheit weiter verfolgen darf? Ggf. muss ich das später auch abrechnen. Darf ich dem Kunden Dumps zur freien Verfügung stellen?

Viele Grüße
Martin
 
Ich würde mit tcpdump die Beweise sichern, auf eine CD brennen und in den Safe legen. Vorher vielleicht ein Foto neben der aktuellen Tageszeitung. Der Kunde bekommt die aus Datenschutzgründen natürlich nicht in die Hand.

Dann den Kunden sperren und ihm mitteilen, dass er sich bitte erklären soll, was er dagegen unternimmt und wie er das in Zukunft unterbindet. Sonst steckst du ab Kenntnisnahme in der Störerhaftung.

Sollte der Kunde Stress machen, hast du für eventuelle Auseinandersetzungen die Beweise im Schrank.
 
TKG § 88
Fernmeldegeheimnis.(1) Dem Fernmeldegeheimnis unterliegen der Inhalt der Telekommunikation und ihre näheren Umstände, insbesondere die Tatsache, ob jemand an einem Telekommunikationsvorgang beteiligt ist oder war. Das Fernmeldegeheimnis erstreckt sich auch auf die näheren Umstände erfolgloser Verbindungsversuche.

(2) Zur Wahrung des Fernmeldegeheimnisses ist jeder Diensteanbieter verpflichtet. Die Pflicht zur Geheimhaltung besteht auch nach dem Ende der Tätigkeit fort, durch die sie begründet worden ist.

(3) Den nach Absatz 2 Verpflichteten ist es untersagt, sich oder anderen über das für die geschäftsmäßige Erbringung der Telekommunikationsdienste einschließlich des Schutzes ihrer technischen Systeme erforderliche Maß hinaus Kenntnis vom Inhalt oder den näheren Umständen der Telekommunikation zu verschaffen. Sie dürfen Kenntnisse über Tatsachen, die dem Fernmeldegeheimnis unterliegen, nur für den in Satz 1 genannten Zweck verwenden. Eine Verwendung dieser Kenntnisse für andere Zwecke, insbesondere die Weitergabe an andere, ist nur zulässig, soweit dieses Gesetz oder eine andere gesetzliche Vorschrift dies vorsieht und sich dabei ausdrücklich auf Telekommunikationsvorgänge bezieht. Die Anzeigepflicht nach § 138 des Strafgesetzbuches hat Vorrang.
Click to expand...
Die Traffic-Analyse an sich war also erstmal legal, weil dem Schutze Deiner Netzwerk-Infrastruktur diente. Ein Dump des Traffics sowie die Dokumentation der durchgeführten Analyse-Tätigkeiten im 4-Augen-Prinzip sollten reichen und ab in den Giftschrank damit.

Ich würde es Deinerseits bei einem Minimum an Tätigkeiten belassen - also Kunden informieren und den gehackten Server vom Internet nehmen. Ein entsprechendes Recht hast Du Dir sicherlich in den AGBs eingeräumt.

Alles weitere ist Sache des Kunden - auch weitere Nachforschungen. Ich würde mich da gar nicht weiter reinhängen, bringt meist eh nix.
 
You must log in or register to reply here.
Back
Top