IT-Sicherheit / Cybersecurity: Incident Response

Die Abteilung, die mit Journalisten spricht und offizielle Mitteilungen des Unternehmens veröffentlicht.

„Alle Anfragen von Journalisten leiten wir sofort an die Pressestelle weiter.“

Von einem Problem oder Ereignis berührt oder geschädigt.

„Bisher sind drei Standorte betroffen, das Lager in Kassel arbeitet noch normal.“

Ein Ereignis, bei dem die Sicherheit von Daten oder IT-Systemen tatsächlich verletzt wurde.

„Nachdem die Forensik den verdächtigen Zugriff bestätigt hatte, stufte das Team die Meldung offiziell als Sicherheitsvorfall ein.“

Die erste schnelle Einschätzung, wie ernst und wie groß ein gemeldetes Problem ist.

„Für die Erstbewertung haben wir höchstens 30 Minuten, danach muss feststehen, ob der Krisenstab informiert wird.“

Einen Rechner oder ein System vom Netzwerk trennen, damit es keine Verbindung zu anderen Geräten mehr hat.

„Bitte den Laptop nicht ausschalten, sondern nur über die EDR-Konsole isolieren, damit der Arbeitsspeicher erhalten bleibt.“

Eine Übersicht, in der alle Ereignisse eines Vorfalls in der richtigen zeitlichen Reihenfolge stehen.

„In der Zeitleiste fehlen uns noch drei Stunden zwischen der ersten verdächtigen Anmeldung und der Verschlüsselung.“

Ein kurzes Treffen, in dem alle Beteiligten den aktuellen Stand austauschen.

„In der Lagebesprechung um 14 Uhr berichtet jedes Team in zwei Minuten, was seit dem Morgen passiert ist.“

Eine vorbereitete Anleitung, die Schritt für Schritt beschreibt, was bei einer bestimmten Art von Vorfall zu tun ist.

„Laut Playbook muss bei einem kompromittierten Postfach auch geprüft werden, ob jemand neue Weiterleitungsregeln angelegt hat.“

Eine Versicherung, die Kosten und Schäden nach einem Cyberangriff übernimmt.

„Bevor wir externe Forensiker beauftragen, informieren wir die Cyberversicherung, sonst übernimmt sie die Kosten womöglich nicht.“

Eine Nachricht von Tätern, die Geld fordern und mit einem Schaden drohen, falls nicht gezahlt wird.

„Auf jedem verschlüsselten Server lag dasselbe Erpressungsschreiben als Textdatei.“

Die Forderung von Tätern, Geld zu zahlen, damit sie Daten wieder freigeben oder nicht veröffentlichen.

„Über den Umgang mit der Lösegeldforderung entscheidet nicht die IT, sondern die Geschäftsführung.“

Ein System komplett neu installieren, statt das alte zu reparieren.

„Alle kompromittierten Server werden neu aufgesetzt, weil wir eine versteckte Hintertür nicht ausschließen können.“

Die offizielle Meldung einer Straftat bei der Polizei oder der Staatsanwaltschaft.

„Die Geschäftsführung hat bei der Zentralen Ansprechstelle Cybercrime des Landeskriminalamts Strafanzeige erstattet.“

Die Stufe, die angibt, wie schwer die Folgen eines Vorfalls sind.

„Weil bereits Kundendaten betroffen sein könnten, setzen wir den Schweregrad auf die höchste Stufe.“

Alle Maßnahmen, die verhindern, dass sich ein Angriff weiter ausbreitet.

„Die Eindämmung hat jetzt Vorrang, mit der genauen Ursachenanalyse beginnen wir später.“

Verhindern, dass ein Schaden oder ein Angriff größer wird und sich weiter ausbreitet.

„Wir konnten den Angriff eindämmen, indem wir das betroffene Netzsegment vom Rest des Unternehmens getrennt haben.“

Die genaue Untersuchung, warum ein Vorfall passiert ist und welche Schwäche ihn möglich gemacht hat.

„Die Ursachenanalyse ergab, dass ein ehemaliger Dienstleister noch einen aktiven Fernwartungszugang hatte.“

Von einem Angreifer übernommen oder ohne Erlaubnis benutzt.

„Solange wir nicht wissen, ob der Domänencontroller kompromittiert ist, vertrauen wir keinem Administratorkonto.“

Das geplante, schrittweise Wiederinbetriebnehmen von Systemen nach einem Ausfall oder Angriff.

„Der Wiederanlauf beginnt mit dem Warenwirtschaftssystem, weil ohne dieses System kein Lkw das Lager verlassen kann.“

Eine kleine Gruppe von Führungskräften und Fachleuten, die in einer Krise alle wichtigen Entscheidungen trifft.

„Morgen um 7 Uhr kommt der Krisenstab zusammen, um über die Abschaltung des Kundenportals zu entscheiden.“

Eine Zusammenfassung dessen, was man zu einem bestimmten Zeitpunkt sicher über eine Krise weiß.

„Das Lagebild wird alle vier Stunden aktualisiert und an die Geschäftsführung geschickt.“

Eine Übung am Tisch, bei der ein Team einen Vorfall nur durchspricht, ohne echte Systeme anzufassen.

„Bei der letzten Tabletop-Übung merkten wir, dass niemand die Notfallnummer der Versicherung kannte.“

Die erste kurze Meldung eines erheblichen Sicherheitsvorfalls an das BSI, die nach NIS2 spätestens 24 Stunden nach Bekanntwerden fällig ist.

„Die Frühwarnung ging um 22 Uhr an das BSI, die ausführlichere Meldung folgt spätestens 72 Stunden nach Bekanntwerden.“

Eine externe Firma, die Unternehmen mit Fachleuten bei der Bewältigung eines Sicherheitsvorfalls unterstützt.

„Der Incident-Response-Dienstleister schickt noch heute Nacht zwei Forensiker an unseren Standort in Bremen.“

Die Arbeit nach einem Vorfall, bei der man auswertet, was gut und was schlecht lief, und Verbesserungen plant.

„Zur Nachbereitung gehört ein Workshop, in dem wir offen über Fehler sprechen, ohne Schuldige zu suchen.“

Ein konkreter Vorschlag, was man in einer bestimmten Situation tun sollte.

„Am Ende des Forensikberichts stehen fünf Handlungsempfehlungen, nach Dringlichkeit sortiert.“

Eine abgestimmte Formulierung, mit der alle Mitarbeitenden ein Thema nach außen gleich darstellen.

„Bis die Sprachregelung freigegeben ist, sagt am Telefon niemand etwas zur Ursache des Ausfalls.“

Einen Bereich so vollständig abtrennen, dass keine Verbindung nach außen oder von außen mehr möglich ist.

„Wir haben das Produktionsnetz komplett abgeschottet, bis klar ist, ob der Angreifer auch dort war.“