Neu in PRAEMON: Vorfälle mit Zeitachse, der Beleg für den Audittermin

Die Produktseite zu NIS2 und DSGVO verspricht in einem Satz: Vorfälle erkennen, Fristen kennen, Nachweise führen. Dahinter steht keine abstrakte Compliance-Folie, sondern ein Vorfall in PRAEMON: geboren aus dem Windows-Ereignisprotokoll Ihrer Server, mit Zeitleiste, herunterzählenden Fristen und Meldetext zum Kopieren. Diese Funktionskette stellt der Beitrag vor.

Vom rohen Ereignis zum einen Vorfall

PRAEMON liest das Windows-Ereignisprotokoll Ihrer Server und erkennt die Anzeichen eines Angriffs: einen neuen Dienst, ein neues Admin-Mitglied, gehäufte Fehlanmeldungen, eine Defender-Ausnahme oder einen gestoppten Sicherungsdienst. Die Auffälligkeiten verbindet PRAEMON je Server zur Angriffskette; meldet sich dieselbe Quelle an mehreren Servern desselben Kunden, wird daraus eine Querbewegung. Beides wird ein Vorfall mit Zeitleiste und einer einzigen Mail, statt einer Meldung je Ereignis: aus fünf lauten Einzelereignissen wird ein Fall, der den Angriff beschreibt. Der Oktober-Ratgeber zeigt es auch: Meldungen sollen nicht zulaufen, sie sollen bedeutsam sein.

Der Vorfall kennt die Fristen und die nächsten Schritte

Im Vorfall treffen sich drei Dinge: die abhakbaren Schritte unter „Was jetzt tun“, die Fristen mit Restzeit und der Meldetext. Bei Kunden mit dem von Ihnen gesetzten Häkchen „NIS2-pflichtig“ zeigt der Vorfall die NIS2-Frühwarnung binnen 24 Stunden und die NIS2-Meldung binnen 72 Stunden, der Abschlussbericht folgt spätestens einen Monat nach der Meldung. Die DSGVO-Frist steht immer dabei, denn bei einem Einbruch sind personenbezogene Daten häufig im Spiel; auch sie liegt in der Regel bei 72 Stunden. Die Uhr startet mit der Erkennung in PRAEMON, die Fristen zählen im Vorfall sichtbar herunter. Mit „Meldetext vorbereiten“ stellt PRAEMON die Fakten, also betroffenes System, Erkennungszeitpunkt und Auffälligkeiten, als Text zum Kopieren zusammen. Danach gilt: PRAEMON bereitet vor, Sie melden an die zuständige Stelle. Ob ein Vorfall meldepflichtig ist, klären Sie mit Ihrer Rechtsberatung; eine Rechtsberatung ist die Funktion nicht.

Die Zeitachse ist der Nachweis

Was den Vorfall vom Bildschirmfoto unterscheidet, ist die Zeitachse: erste und letzte Auffälligkeit, die Mail mit Zeitpunkt, die Quittierung durch den Betrieb, die Wiederkehr, falls dieselbe Auffälligkeit erneut auftritt. So wird Reaktionsgeschwindigkeit zur Zahl je Fall statt zum Bauchgefühl, und der Audittermin beantwortet die Frage „seit wann und wer wann“ aus dem Datensatz. Beweise sichert PRAEMON für die eingestellte Aufbewahrung, vorgegeben sind 90 Tage; ein bestätigter Vorfall hält seine Beweiskette fest, das Festhalten und Freigeben von Beweisen steht im Zugriffsprotokoll. Der Nachweis-Ratgeber ordnet das in die monatliche Nachweisführung ein.

Der Vorfall im größeren Nachweisfluss

Der Vorfall ist kein Einzelteller. Die Produktseite versammelt die weiteren technischen Nachweise aus dem laufenden Betrieb: das Inventar mit Standort, Rack und Lebenszyklus, das Security Center mit Herstellermeldungen gegen den Patchstand je Server, die Sicherungsüberwachung, die beim SQL-Server das Alter der letzten Sicherung nennt, und die Beweisaufbewahrung aus der Netzerkennung. Portal und KI laufen in den eigenen Rechenzentren in Regensburg und Nürnberg, die Auftragsverarbeitung kommt mit dem Angebot. Hintergrund bietet der Blogbeitrag NIS2 ist in Kraft.

Verfügbarkeit und Grenzen

Grundlage sind Windows-Server mit PRAEMON-Agent; die Angriffserkennung mit Angriffskette, Querbewegung, Fristen und Meldetext ist in der aktuell ausgelieferten Portalversion enthalten. Jedes Portal weist seine Version in der Fußzeile aus, den Rollout-Stand nennt der Betriebssupport. Genauso klar ist, was die Funktion nicht tut: Sie meldet nicht selbst, sie beurteilt keine Meldepflicht, sie ersetzt keine Prüfung oder Zertifizierung. PRAEMON macht kein Unternehmen allein NIS2-konform; es liefert geordnet die Nachweise, die Ihr Betrieb ohnehin führt.