1. Den Hinweis in Kontext setzen
Erfassen Sie Konto, Zeitpunkt, Quelle und Art des Hinweises. Handelt es sich um eine Meldung aus Microsoft Entra, um eine Beobachtung der Nutzerin oder des Nutzers oder um eine Rückmeldung eines Partners? Gab es Reisen, VPN-Nutzung, neue Geräte oder einen Passwortwechsel?
Ein ungewohnter Standort allein beweist nichts. Mobilfunknetze, VPN-Endpunkte und Cloud-Services können die Zuordnung verfälschen. Erst mehrere Hinweise ergeben ein belastbareres Bild.
2. Zugang und Absicherung prüfen
Ist ein unberechtigter Zugriff plausibel, stimmen Sie die Absicherung des Kontos koordiniert ab: Sitzungen beenden, Mehrfaktorauthentisierung prüfen, Wiederherstellungsinformationen kontrollieren und gegebenenfalls das Passwort zurücksetzen. Denken Sie an Servicekonten, Freigaben und geschäftskritische Anwendungen.
3. Relevante Spuren festhalten
Je nach Lizenzierung und Konfiguration können Anmeldeprotokolle, Überwachungsdaten, Postfachaktivitäten, Weiterleitungsregeln, App-Zustimmungen oder Berechtigungsänderungen verfügbar sein. Notieren Sie, was zum Zeitpunkt der Prüfung sichtbar war. Log-Aufbewahrung und Detailtiefe sind je nach Umgebung unterschiedlich.
4. Besonders auf E-Mail-Folgen achten
Bei kompromittierten Konten werden oft Postfachregeln, Weiterleitungen oder Antworten auf laufende Korrespondenzen missbraucht. Prüfen Sie daher neben der Anmeldung auch ungewöhnliche Regeln, delegierte Zugriffe und auffällige Versandaktivitäten. Geben Sie gegenüber Kundinnen und Kunden nur abgestimmte Informationen weiter.
5. Entscheidungen dokumentieren
Halten Sie fest, wer welche Massnahme wann beschlossen hat. Eine saubere Dokumentation unterstützt Wiederanlauf, Kommunikation und die spätere Überprüfung, ob weitere Konten oder Systeme betroffen sein könnten.