Einrichten einer automatisierten Korrektur für die Erkennung von Schadsoftware

Defender for Storage unterstützt verschiedene Möglichkeiten zum Behandeln bösartiger Dateien. Wählen Sie die Wartungsoption aus, die Ihrem Szenario entspricht:

• Integrierte Wartungsfunktionen
• Automatisierte Workflows zum Verschieben oder Entfernen bösartiger Dateien
• Automatisierte Workflows zum Verschieben oder Importieren sauberer Dateien an einen anderen Zielort

Mithilfe der Schadsoftwareüberprüfung können Sie Ihre automatisierte Korrektur erstellen, indem Sie die folgenden Überprüfungsergebnisoptionen verwenden:

• Defender for Cloud Sicherheitswarnungen
• Event Grid-Ereignisse
• Blobindextags

Korrekturoptionen für die Erkennung von Schadsoftware

Integrierte automatisierte Schadsoftware-Korrektur für böswillige Blobs

Defender for Storage Malware Protection verfügt über eine integrierte Funktion, die den Korrekturprozess für bösartige Blobs vereinfacht und automatisiert, sodass Sie das Risiko der Schadsoftwareverteilung verringern. Wenn Defender für Storage während der Überprüfung von On-Upload- oder On-Demand-Schadsoftware ein böswilliges Blob erkennt, wird automatisch ein vorläufiges Löschen gestartet, um das Blob sicher zu isolieren und zur weiteren Analyse wiederherzustellen.

Wenn Sie die vorläufige Löschfunktion für Blobs für das Speicherkonto nicht aktiviert haben, aktiviert Defender for Storage dies, wenn Sie das Feature "Böswillige Blobs vorläufig löschen" aktivieren. Die Soft-Delete-Funktion für bösartige Blobs reduziert die Einrichtungsschritte und verbessert die Sicherheitsreaktion sofort.

Anwendungsfälle

• Automatische Behebung der Schadsoftwareverteilung durch:

  • Weiches Löschen des Blobs, um den Zugriff zu verhindern
  • Aufbewahren des Blobs zur Untersuchung und Wiederherstellung
  • Beseitigung der Notwendigkeit für externe Automatisierung oder manuelle Schritte

• Lassen Sie Sicherheitsadministratoren oder SOC-Analysten den Speicher mit minimalem manuellen Aufwand sauber halten

• Ermöglichen Sie Organisationen, Bedrohungen ohne komplexe Workflows schnell zu beheben

Merkmalnotizen

• Vorläufiges Löschen funktioniert nur für schadhafte Blobs. Sie ist standardmäßig deaktiviert.

• Sie können vorläufiges Löschen für Blobs auf Abonnement- oder Speicherkontoebene aktivieren.

• Wenn Sie ein Blob vorläufig löschen, verbleibt es im gleichen BLOB-Container. Sie können den Blob innerhalb des Aufbewahrungszeitraums wiederherstellen. Weitere Informationen finden Sie unter Vorläufiges Löschen von Blobs.

• Wenn Sie die Versionsverwaltung für Blobs für Ihr Speicherkonto aktivieren, lesen Sie Vorläufiges Löschen für Blobs verwalten und wiederherstellen, um zu erfahren, wie Sie vorläufig gelöschte Blobs wiederherstellen.

• Blobs, die als böswillig und vorläufig gelöscht erkannt werden, werden immer mit Indextags markiert. Wenn Sie sich dafür entschieden haben, die Scanergebnisse nicht in Indextags zu speichern, werden diese Tags beim Wiederherstellen des vorläufig gelöschten Blobs entfernt.

• Der Aufbewahrungszeitraum wird standardmäßig auf sieben Tage festgelegt, wenn Sie das Feature zum vorläufigen Löschen bösartiger Blobs aktivieren, aber Sie können ihn ändern (Bereich: 1 bis 365 Tage). Sie können den Standardaufbewahrungszeitraum in Den Einstellungen Ihres Speicherkontos ändern.

• Wenn Sie die Einstellung für die Soft-Löscheigenschaft auf dem Speicherkonto, nachdem Sie es aktiviert haben, deaktivieren, werden schädliche Blobs nicht gelöscht. In diesem Fall schaltet Defender für Speicher das vorläufige Löschen nicht wieder ein, und es wird eine Warnung ausgelöst.

• Das Löschen kann aufgrund falsch konfigurierter oder fehlender Berechtigungen fehlschlagen. Die Warnung zeigt den Grund für den Fehler an.

• Das Speichern des vorläufig gelöschten Blobs während des Aufbewahrungszeitraums kostet gleich viel wie für aktive Daten. Weitere Informationen finden Sie unter Vorläufiges Löschen von Blobs.

• Wenn Sie ein Blob wiederherstellen, zählt Azure es als Schreibtransaktion. Weitere Informationen finden Sie unter Zuordnen der einzelnen REST-Vorgänge zu einem Preis.

Einrichten einer benutzerdefinierten Korrektur für schädliche Blobs

Sie können die Behebung automatisieren, indem Sie den Zugriff auf nicht gescannte oder bösartige Dateien blockieren, bösartige Blobs löschen oder verschieben oder Dateien basierend auf Scan-Ergebnissen reinigen:

Blockieren des Zugriffs auf nicht abgekanete oder schädliche Dateien mithilfe von ABAC (attributbasierte Zugriffssteuerung)

Mithilfe der ABAC-Autorisierung (Microsoft Entra Attribute Based Access Control) können Sie den Zugriff auf böswillige und nicht abgekannte Dateien blockieren. Sie können bedingten Zugriff auf Blobs basierend auf den Scanergebnissen festlegen und Anwendungen und Benutzern den Zugriff nur auf gescannte Dateien erlauben, die sauber sind.

Um die ABAC-Autorisierung für den Blob-Zugriff basierend auf den Scanergebnissen einzurichten, folgen Sie den Anweisungen im ABAC-Setup-Walkthrough für scanbasierte Blob-Zugriffssteuerung (Video).

Löschen oder Verschieben eines schädlichen Blobs

Verwenden Sie Code- oder Workflowautomatisierung, um schädliche Dateien in Quarantäne zu löschen oder zu verschieben.

Vorbereiten Ihrer Umgebung auf das Löschen oder Verschieben

• Löschen Sie die schädliche Datei – Aktivieren Sie vor dem Einrichten des automatischen Löschens das vorläufige Löschen für das Speicherkonto. Es ermöglicht Ihnen, Dateien "rückgängig zu machen", wenn falsch positive Ergebnisse vorhanden sind oder in Fällen, in denen Sicherheitsexperten die schädlichen Dateien untersuchen möchten.

• Verschieben Sie die schädliche Datei in Quarantäne – Verschieben Sie Dateien in einen dedizierten Speichercontainer oder ein Speicherkonto, das als "Quarantäne" betrachtet wird. Möglicherweise möchten Sie, dass nur bestimmte Benutzer, z. B. ein Sicherheitsadministrator oder ein SOC-Analyst, über die Berechtigung für den Zugriff auf diesen dedizierten Container oder das dedizierte Speicherkonto verfügen.

  • Die Verwendung der Microsoft Entra-ID zum Steuern des Zugriffs auf BLOB-Speicher ist eine bewährte Methode. Um den Zugriff auf den dedizierten Quarantänespeichercontainer zu steuern, können Sie Rollenzuweisungen auf Containerebene mithilfe der rollenbasierten Zugriffssteuerung (Role-Based Access Control, RBAC) von Microsoft Entra verwenden. Benutzende mit Berechtigungen auf Speicherkontoebene können möglicherweise weiterhin auf den "Quarantäne"-Container zugreifen. Sie können deren Berechtigungen entweder auf Containerebene bearbeiten oder einen anderen Ansatz wählen und die schädliche Datei in ein dediziertes Speicherkonto verschieben.
  • Wenn Sie andere Methoden wie SAS-Token (freigegebene Zugriffssignaturen) für das geschützte Speicherkonto verwenden müssen, verschieben Sie schädliche Dateien in ein anderes Speicherkonto (Quarantäne). Erteilen Sie dann Microsoft Entra die Berechtigung für den Zugriff auf das unter Quarantäne gestellte Speicherkonto.

Einrichten der Automatisierung

Option 1: Logik-App, basierend auf Microsoft Defender for Cloud-Sicherheitswarnungen

Logic App-basierte Antworten sind ein einfacher, no-code-basierter Ansatz zur Einrichtung automatisierter Sanierungsantworten. Die Reaktionszeit ist jedoch langsamer als bei einer ereignisgesteuerten Function App, die auf Event Grid-Ereignissen basiert.

1. Stellen Sie die Vorlage DeleteBlobLogicApp Azure Resource Manager (ARM) mithilfe des Azure-Portals bereit.

2. Wählen Sie die von Ihnen bereitgestellte Logik-App aus.

3. Um zuzulassen, dass die Logik-App Blobs aus Ihrem Speicherkonto löscht, fügen Sie eine Rollenzuweisung hinzu:

   1. Navigieren Sie im Seitenmenü zu Identität, und wählen Sie Azure-Rollenzuweisungen aus.

      

   2. Fügen Sie eine Rollenzuweisung auf Abonnementebene mit der Rolle " Mitwirkender von Storage Blob Data" hinzu .

   3. Erstellen Sie die Workflowautomatisierung für Microsoft Defender for Cloud-Warnungen:

      1. Navigieren Sie zu Microsoft Defender for Cloud im Azure-Portal.
      2. Navigieren Sie im Seitenmenü zu Workflowautomatisierung.
      3. Fügen Sie einen neuen Workflow hinzu: Geben Sie im Feld Warnungsname enthält den Wert In das Speicherkonto hochgeladene schädliche Datei ein, und wählen Sie im Abschnitt Aktionen Ihre Logik-App aus.
      4. Wählen Sie "Erstellen" aus.

      

Option 2: Funktions-App, basierend auf Event Grid-Ereignissen

Eine Funktions-App bietet Hochleistung bei einer Antwortzeit mit geringer Latenz.

Schritt 1: Erstellen eines benutzerdefinierten Themas für das Ereignisraster

Richten Sie vor dem Verbinden einer Funktions-App ein benutzerdefiniertes Ereignisrasterthema ein, um Scanergebnisse zu erhalten.

1. Suchen Sie im Azure-Portal nach Ereignisrasterthemen, und wählen Sie "Erstellen" aus.
2. Legen Sie die Region auf dieselbe Region wie Ihr Speicherkonto fest. Die regionsübergreifende Übermittlung wird für Schadsoftwarescanereignisse nicht unterstützt.
3. Wählen Sie das Ereignisrasterschema als Schematyp aus.
4. Lassen Sie unter "Netzwerk" den Zugriff von öffentlichen IP-Adressen zu. Themen nur mit privatem Endpunkt können keine Ereignisse von Defender for Storage empfangen.
5. Kopieren Sie nach dem Erstellen des Themas den Themenendpunkt und den Zugriffsschlüssel, um Defender für den Speicher zu konfigurieren.

Um Defender for Storage so zu konfigurieren, dass Scan-Ergebnisse an das von Ihnen erstellte Event Grid benutzerdefinierte Thema gesendet werden, siehe Event Grid einrichten für Malware-Scanning.

Schritt 2: Erstellen und Konfigurieren der Funktions-App

1. Erstellen Sie eine Funktions-App in derselben Ressourcengruppe wie Ihr geschütztes Speicherkonto.

2. Fügen Sie eine Rollenzuweisung für die Identität der Function App hinzu.

   1. Navigieren Sie im Seitenmenü zu Identität, stellen Sie sicher, dass der Identitätsstatus Systemseitig zugewiesen den Wert aktiviert aufweist, und wählen Sie Azure-Rollenzuweisungen aus.
   2. Fügen Sie eine Rollenzuweisung auf Abonnement- oder Speicherkontoebene mit der Rolle Mitwirkender an Storage-Blobdaten hinzu.

3. Wählen Sie im Thema "Ereignisraster" die Option +Ereignisabonnement aus, legen Sie den Endpunkttyp auf Azure Funktion fest, und wählen Sie Ihre Funktions-App als Endpunkt aus.

Schritt 3: Auswählen einer Funktions-App-Vorlage

Wählen Sie die Vorlage aus, die Ihrem Wartungsziel entspricht:

Alternativ können Sie die Azure Storage-Blob-Kopieroperationen verwenden, um den Blob woanders hinzukopieren, und dann den Blob aus dem Quellcode löschen.

Für jedes Überprüfungsergebnis wird ein Ereignis gemäß dem folgenden Schema gesendet.

Struktur der Ereignismeldung

Die Ereignismeldung ist ein JSON-Objekt, das Schlüssel-Wert-Paare enthält, die detaillierte Informationen zu einem Ergebnis der Schadsoftwareüberprüfung bereitstellen. Hier sehen Sie eine Aufschlüsselung der einzelnen Schlüssel in der Ereignismeldung:

• id: Eindeutiger Bezeichner für das Ereignis.

• subject: Eine Zeichenfolge, die den Ressourcenpfad des überprüften Blobs (Datei) im Speicherkonto beschreibt.

• data: Ein JSON-Objekt, das zusätzliche Informationen zum Ereignis enthält:

  • correlationId: Ein eindeutiger Bezeichner, den Sie verwenden können, um mehrere Ereignisse im Zusammenhang mit demselben Scan zu korrelieren.

  • blobUri: Der URI des überprüften Blobs (Datei) im Speicherkonto.

  • eTag: Das ETag des überprüften Blobs (Datei).

    • scanFinishedTimeUtc: Der UTC-Zeitstempel, wenn der Scan abgeschlossen ist.

    • scanResultType: Das Ergebnis der Überprüfung, z. B. bösartige oder keine Bedrohungen gefunden.

    • scanResultDetails: Ein JSON-Objekt, das Details zum Überprüfungsergebnis enthält:

      1. malwareNamesFound: Ein Array von Schadsoftwarenamen, die in der überprüften Datei gefunden wurden.

      2. sha256: Der SHA-256-Hast der überprüften Datei.

• eventType: Eine Zeichenfolge, die den Typ des Ereignisses angibt, in diesem Fall Microsoft.Security.MalwareScanningResult.

• dataVersion: Die Versionsnummer des Datenschemas.

• metadataVersion: Die Versionsnummer des Metadatenschemas.

• eventTime: Der UTC-Zeitstempel, bei dem das Ereignis generiert wurde.

• topic: Der Ressourcenpfad des Event Grid-Themas, zu dem das Ereignis gehört.

Hier sehen Sie ein Beispiel für eine Ereignismeldung:

{
  "id": "aaaa0000-bb11-2222-33cc-444444dddddd",
  "subject": "storageAccounts/<storage_account_name>/containers/app-logs-storage/blobs/EICAR - simulating malware.txt",
  "data": {
    "correlationId": "aaaa0000-bb11-2222-33cc-444444dddddd",
    "blobUri": "https://<storage_account_name>.blob.core.windows.net/app-logs-storage/EICAR - simulating malware.txt",
    "eTag": "0x000000000000000",
    "scanFinishedTimeUtc": "2023-05-04T11:31:54.0481279Z",
    "scanResultType": "Malicious",
    "scanResultDetails": {
      "malwareNamesFound": [
        "DOS/EICAR_Test_File"
      ],
      "sha256": "AA11BB22CC33DD44EE55FF66AA77BB88CC99DD00"
    }
  },
  "eventType": "Microsoft.Security.MalwareScanningResult",
  "dataVersion": "1.0",
  "metadataVersion": "1",
  "eventTime": "2023-05-04T11:31:54.048375Z",
  "topic": "/subscriptions/<subscription_id>/resourceGroups/<resource_group_name>/providers/Microsoft.EventGrid/topics/<event_grid_topic_name>"
}

Wenn Sie die Struktur der Ereignisnachricht verstehen, können Sie relevante Informationen über das Ergebnis der Schadsoftwareüberprüfung extrahieren und entsprechend verarbeiten.

Beispielnutzlasten für Tests

Verwenden Sie diese Beispielnutzlasten, um Ihre Ereignishandlerlogik zu testen, bevor Sie eine Verbindung mit den Livescanergebnissen herstellen.

Es wurden keine Bedrohungen gefunden:

{
  "id": "bbbb1111-cc22-3333-44dd-555555eeeeee",
  "subject": "storageAccounts/<storage_account_name>/containers/uploads/blobs/clean-document.pdf",
  "data": {
    "correlationId": "bbbb1111-cc22-3333-44dd-555555eeeeee",
    "blobUri": "https://<storage_account_name>.blob.core.windows.net/uploads/clean-document.pdf",
    "eTag": "0x111111111111111",
    "scanFinishedTimeUtc": "2023-05-04T11:32:00.0000000Z",
    "scanResultType": "No threats found",
    "scanResultDetails": {
      "malwareNamesFound": [],
      "sha256": "BB22CC33DD44EE55FF66AA77BB88CC99DD00EE11"
    }
  },
  "eventType": "Microsoft.Security.MalwareScanningResult",
  "dataVersion": "1.0",
  "metadataVersion": "1",
  "eventTime": "2023-05-04T11:32:00.0000000Z",
  "topic": "/subscriptions/<subscription_id>/resourceGroups/<resource_group_name>/providers/Microsoft.EventGrid/topics/<event_grid_topic_name>"
}

Nicht gescannt (übergroßes Blob):

{
  "id": "cccc2222-dd33-4444-55ee-666666ffffff",
  "subject": "storageAccounts/<storage_account_name>/containers/uploads/blobs/large-archive.zip",
  "data": {
    "correlationId": "cccc2222-dd33-4444-55ee-666666ffffff",
    "blobUri": "https://<storage_account_name>.blob.core.windows.net/uploads/large-archive.zip",
    "eTag": "0x222222222222222",
    "scanFinishedTimeUtc": "2023-05-04T11:32:10.0000000Z",
    "scanResultType": "Not Scanned",
    "scanResultDetails": {
      "notScannedReason": "SAM259206: Not scanned - blob exceeded the maximum allowed size of 50 GB."
    }
  },
  "eventType": "Microsoft.Security.MalwareScanningResult",
  "dataVersion": "1.0",
  "metadataVersion": "1",
  "eventTime": "2023-05-04T11:32:10.0000000Z",
  "topic": "/subscriptions/<subscription_id>/resourceGroups/<resource_group_name>/providers/Microsoft.EventGrid/topics/<event_grid_topic_name>"
}

Lesen von SAM-Fehlercodes aus Ereignisrastermeldungen

Wenn ein Ereignisraster ein Blob nicht scannen kann, verwendet es den Ergebnistyp " Nicht gescannt " und enthält einen SAM-Fehlercode im notScannedReason Feld.

Wenn scanResultType auf Not Scanned festgelegt ist, erscheint der SAM-Fehlercode als Teil des data.scanResultDetails.notScannedReason-Werts. Der Fehlercode ist das Präfix vor dem Doppelpunkt (:).

Beispiel:

"scanResultType": "Not Scanned",
"scanResultDetails": {
  "notScannedReason": "SAM259206: Not scanned - blob exceeded the maximum allowed size of 50 GB."
}

Machen Sie Ihre Anwendungen und Datenflüsse auf die Ergebnisse der Schadsoftwareüberprüfung aufmerksam

Schadsoftwarescans werden nahezu in Echtzeit ausgeführt, und es gibt in der Regel ein kurzes Zeitfenster zwischen dem Hochladen einer Datei und dem Scannen. Da der Speicher nicht berechnet wird, können schädliche Dateien nicht in Ihrem Speicher ausgeführt werden. Das Risiko besteht darin, dass Benutzer oder Anwendungen schädliche Dateien verwenden und sie in der gesamten Organisation verbreiten.

Sie können Ihre Anwendungen und Datenflüsse auf die Ergebnisse der Schadsoftwareüberprüfung aufmerksam machen. Diese Methoden sorgen dafür, dass Dateien erst verwendet oder bearbeitet werden, wenn:

• Scanvorgang abgeschlossen
• Scanergebnisse sind verfügbar
• Sie ergreifen geeignete Maßnahmen basierend auf den Ergebnissen

Anwendungen erfassen Daten basierend auf dem Scanergebnis

Nutzen Sie diese Muster, um nachgelagerte Anwendungen Blobs erst verarbeiten zu lassen, nachdem das Scannen von Defender for Storage Malware ein sauberes Ergebnis meldet.

Option 1: Apps, die "Indextag" vor der Verarbeitung überprüfen

Aktualisieren Sie alle Anwendungen, die das Speicherkonto verwenden. Jede Anwendung überprüft das Scanergebnis für jede Datei, und wenn das Scanergebnis des Indextags des Blobs keine Bedrohungen gefunden lautet, liest die Anwendung das Blob.

Option 2: Verbinden Ihrer Anwendung mit einem Webhook in Event Grid-Ereignissen

Verbinden Sie Ihre Anwendung mit einem Webhook in Event Grid-Ereignissen und verwenden Sie diese Ereignisse, um relevante Prozesse für Dateien mit dem Scanergebnis keine Bedrohungen gefunden auszulösen. Erfahren Sie mehr über die Verwendung der Webhook-Ereignisübermittlung und die Überprüfung Ihres Endpunkts.

Verwenden eines zwischengeschalteten Speicherkontos als DMZ

Richten Sie ein zwischengeschaltetes Speicherkonto für nicht vertrauenswürdige Inhalte (DMZ) und direkten Uploaddatenverkehr in die DMZ ein. Aktivieren Sie auf dem nicht vertrauenswürdigen Speicherkonto das Scannen von Schadsoftware, und verbinden Sie den Event Grid und die Function App, um nur Blobs zu verschieben, die mit dem Ergebnis kein Bedrohung gefunden zum Zielspeicherkonto gescannt wurden.

Fehlerbehebung bei der Ereigniszustellung

Wenn Scan-Ergebnisereignisse Ihren Endpunkt nicht erreichen, verwenden Sie die folgenden Prüfungen, um das Problem zu identifizieren und zu beheben.

Ereignisse werden nicht an die Funktions-App oder den Webhook übermittelt.

Berechtigungsfehler

• Event Grid kann nicht im benutzerdefinierten Thema veröffentlichen: Vergewissern Sie sich, dass der Dienstprinzipal von Microsoft Defender for Storage für Ihr Event Grid-Thema über die Rolle EventGrid Data Sender verfügt oder dass das Thema anonymes Veröffentlichen zulässt. Defender für Storage verwendet eine eigene Dienstidentität, um Ereignisse zu veröffentlichen.
• Funktions-App kann Blobs nicht löschen oder verschieben: Vergewissern Sie sich, dass die systemseitig zugewiesene verwaltete Identität der Funktions-App über die Rolle Mitwirkender an Storage-Blobdaten für das Quellspeicherkonto (und das Zielkonto, falls unter Quarantäne gestellt) verfügt. Suchen Sie nach Ablehnungszuweisungen, die die Identität blockieren könnten.

Probleme mit dem Netzwerk und der Firewall

• Event Grid-Thema hinter einem privaten Endpunkt: Defender for Storage kann nicht an Event Grid-Themen übermitteln, die nur Verbindungen über private Endpunkte akzeptieren. Das benutzerdefinierte Thema muss den Zugriff von öffentlichen IP-Adressen zulassen.
• Funktions-App in einem virtuellen Netzwerk: Wenn die Funktions-App in einem virtuellen Netzwerk mit ausgehenden Einschränkungen ausgeführt wird, stellen Sie sicher, dass die Funktions-App das Speicherkonto erreichen kann und alle anderen Dienste, die sie aufrufen müssen (z. B. einen Benachrichtigungsendpunkt).

Abonnementüberprüfung

Wenn Sie ein Ereignisabonnement erstellen oder aktualisieren, das einen Webhook-Endpunkt verwendet, sendet Event Grid ein Abonnementüberprüfungsereignis. Ihr Endpunkt muss mit dem validationCode aus dem Request-Body antworten. Häufige Gründe, warum die Validierung fehlschlägt:

• Der Endpunkt ist noch nicht bereitgestellt oder lauscht nicht, wenn das Abonnement erstellt wird.
• Der Endpunkt gibt einen NICHT-200 HTTP-Statuscode zurück.
• Der Endpunkt gibt den validationCode im Antworttext nicht zurück.

Um die Überprüfung erneut auszulösen, löschen Sie das Ereignisabonnement, und erstellen Sie es erneut, oder verwenden Sie die Option "Revalidate" im Azure-Portal.

Überprüfen der Ereignisübermittlung im Azure-Portal

1. Wechseln Sie zu Ihrem benutzerdefinierten Thema "Ereignisraster".
2. Wählen Sie Metriken aus, und überprüfen Sie veröffentlichte Ereignisse, übereinstimmene Ereignisse und Anzahl fehlgeschlagener Übermittlungsfehler .
3. Wählen Sie "Ereignisabonnements " aus, und überprüfen Sie den Status des Abonnements.
4. Wählen Sie bei fehlgeschlagenen Lieferungen die Option "Dead Letter " (sofern konfiguriert) aus, um nicht zugestellte Ereignisse zu prüfen.

Nächster Schritt