Ratgeber Cyberangriff: Wie Entscheider im Notfall reagieren

Erfolgreiche Cyberangriffe auf die Unternehmens-IT gehören heute fast schon zum Alltag. CIOs und CSOs geben Tipps, wie sich Betroffene am besten für den Notfall rüsten. [...]

Sie wurden angegriffen? Damit sind Sie nicht allein, wie aktuelle Zahlen des Digitalverbands Bitkom zeigen. Danach waren in Deutschland 2020 und 2021 fast neun von zehn Unternehmen von Datenklau, Spionage oder Sabotage betroffen. Der wirtschaftliche Schaden summierte sich auf etwa 223 Milliarden Euro pro Jahr. Dass die Angreifer so hohe Schäden anrichten können, liegt unter anderem daran, dass sie häufig lange und ungestört ihrem destruktiven Tun nachgehen konnten, weil die Unternehmen zu spät reagierten. So berichtet etwas das Security-Unternehmen Deep Instinct in seinem „Voice of SecOps“-Report, dass die durchschnittliche weltweite Reaktionszeit auf einen Cyberangriff 20,9 Stunden beträgt, was mehr als zwei Arbeitstagen entspricht. Hierzulande gaben 92 Prozent der befragten Cybersicherheitsexperten in Unternehmen an, dass sie im Durchschnitt mindestens 6 Stunden bräuchten, um auf einen Sicherheitsvorfall zu reagieren.

Über Best Practices für den Fall, dass kriminelle Hacker ins Unternehmensnetz eingedrungen sind, diskutierten CIOs und CSOs auf dem interaktiven IT-Entscheider-Workshop „beyond“ von IDG. Wir bitten um Verständnis, dass wir die Tipps und Empfehlungen der Teilnehmer nur anonym veröffentlichen, um die Sicherheitsstrategien der jeweiligen Unternehmen nicht zu diskreditieren.

Cyberangriff-Checkliste: Erste Schritte im Notfall

Wie also schafft es ein Unternehmen, schnell zu reagieren, wenn es Opfer eines Angriffs wurde? Um im Fall der Fälle nicht kalt erwischt zu werden, sollte ein solcher Notfall nach Meinung der beyond-Teilnehmer mindestens einmal im Jahr geübt werden. Nur so könne sichergestellt werden, dass die ersten und wichtigsten Schritte wirklich sitzen und schnell vonstatten gehen:

• Logfiles sichern: Etwas befremdlich mag auf den ersten Blick der Ratschlag erscheinen, unverzüglich die Logfiles zu sichern. Doch gerade diese Daten sind unter dem Aspekt der IT-Forensik zur gerichtsverwertbaren Beweissicherung des IT-Vorfalls unbedingt erforderlich. Zudem kann so später im Rahmen einer methodischen Datenanalyse das Vorgehen der Angreifer aufgeklärt werden.
  
• Krise zentralisieren, Notfall-Managementteam: Des Weiteren sollte die Krise zu einem unternehmensübergreifenden, zentralen Thema gemacht werden, damit alle Beteiligten an einem Strang ziehen. Es dient auch der Reaktionsgeschwindigkeit, wenn ein vorher fest definiertes Krisen-Managementteam schnell eingreifen kann. Dieses Team nimmt das weitere Vorgehen in die Hand.
  
• Kommunikation sicherstellen: Im Notfall die eigene Kommunikationsfähigkeit sicherzustellen – sowohl technisch als auch organisatorisch – ist eine essenzielle Forderung. Technisch ist das nötig, weil gerade in Zeiten von Voice over IP auch die Telefonie vom Ausfall bedroht ist, da sie ja ein Teil der IT-Infrastruktur ist. Deshalb hat es sich in der Praxis bewährt, bereits im Vorfeld alternative Kommunikationswege zu definieren. In manchen Unternehmen kommt dafür beispielsweise der Signal-Messenger zum Einsatz. Organisatorisch sollte die Kommunikationsabteilung die eigenen Mitarbeiter informieren und beruhigen, um Panik (Angst um die Arbeitsplätze etc.) zu vermeiden sowie Gerüchten und wilden Spekulationen vorzubeugen. Ebenso ist es ratsam, proaktiv nach außen zu informieren, denn die Erfahrung hat gezeigt, dass solche Cyberangriffe fast immer ans Licht kommen. Wer hier die Kommunikationshoheit behält, hat gute Chancen größere Schäden für die Unternehmensreputation abzuwenden. Und last, but not least, ist das C-Level-Board halbstündig über den aktuellen Stand zu informieren, damit es im Bedarfsfall schnell Entscheidungen treffen kann – etwa über die Zahlung eines Lösegelds im Falle eines Ransomware-Angriffs.
  
• Externe Berater hinzuziehen: Wie verhandelt man mit einem Erpresser? Welche juristischen Fragen ergeben sich aus der hochkomplexen Krisensituation? Kaum ein Unternehmen wird das hierfür erforderlich Know-how im eigenen Haus vorhalten. Deshalb sollten externe Berater hinzugezogen werden, die über entsprechendes Spezialwissen verfügen.
  
• Meldepflichten beachten: Welche Meldefristen gelten für das eigene Unternehmen gemäß DSGVO/GDPR? Sind gar KRITIS-Bestimmungen einzuhalten? Bei Verstößen drohen hier empfindliche Geldstrafen, die unnötig sind und den finanziellen Schaden nur vergrößern. Daher sollte man sich im Vorfeld nicht nur über Fristen und Pflichten informieren, sondern auch die möglichen beziehungsweise erforderlichen Meldewege eruieren.
  
• Analyse des Status Quo: Nach diesen vorbereitenden Schritten gilt es sich systematisch ein Bild vom Ausmaß des Schadens zu verschaffen. Welche Systeme funktionieren noch? Welche Daten sind betroffen? Wie sind die Auswirkungen auf das Business? Ist die eigene Lieferfähigkeit bedroht, müssen Kunden informiert werden? Wie lange wird eine Behebung der Störung dauern? Ist ein Notfallbetrieb möglich, um zumindest in Teilen produzieren zu können?

Auf Cyberangriffe reagieren: Vorbereitungen treffen

Damit im Notfall diese Schritte wirklich erfolgreich durchgeführt werden können, reicht es nicht aus, nur zu üben. Möglichst viele der Schritte sollten bereits in normalen Zeiten vorbereitet werden, damit sie wie nach einem Drehbuch ablaufen können. Ähnlich den Emergency-Checklisten eines Flugzeugs hilft hierbei ein detailliertes Handbuch mit Notfallplänen zu verschiedenen Krisenszenarien.

Geradezu kontraproduktiv ist es, wenn die Mitglieder des Notfallteams erst im Krisenfall bestimmt werden. Das kostet nur wertvolle Zeit. Bei der Auswahl der Teammitglieder sollten hierarchische Aspekte eine untergeordnete Rolle spielen, hier geht es darum, das richtige Knowhow am Tisch zu haben. Im Team selbst sind Rollen für verschiedene Schadensszenarien zu definieren. Zudem ist ein klare Befehlskette notwendig, denn nichts verwirrt in Extremsituationen mehr als widersprüchliche Anweisungen. Dazu zählt auch, dass Verantwortung und Entscheidungsbefugnis des Notfallteams festgelegt werden. Zu den Vorarbeiten gehört weiterhin, dass die Kommunikation vorbereitet wird. Im Krisenfall ist keine Zeit für langwierige Abstimmungs- und Genehmigungsschleifen, in denen um die passenden Formulierungen gefeilscht wird. Damit Corporate Communications schnell agieren kann, haben sich vorgefertigte Templates zur Kommunikation bewährt.

Da im Unternehmensalltag das Üben dann doch oft zu kurz kommt, sollten Notfalltests als ein Kriterium bei der Abnahme von IT-Projekten festgeschrieben werden. Damit im Fall der Fälle nicht lange nach externen Experten gesucht werden muss, empfehlen die beyond-Teilnehmer den Abschluss einer Cyberrisk-Versicherung. Dies sei unter zwei Aspekten ratsam: Zum einen bieten die Versicherungen in der Regel einen Emergency Support mit entsprechenden Spezialisten und Beratern, zum andern federn sie den finanziellen Schaden ab, der beträchtlich sein kann – auch wenn viele Ransomware-Erpresser mit sich verhandeln lassen.

Nach dem Cyberangriff: Von der Bedeutung des Backups

So sehr eine Cyberrisk-Insurance im Notfall auch hilft, in einem Punkt greift sie nicht: Sie bringt keine Daten zurück. Deshalb ist dem Thema Backup and Recovery besonderes Augenmerk zu widmen. So sollte ein jährlicher Backup/Restore-Test Standard sein. Und es sind Prüfverfahren zu definieren, um die Konsistenz der Backups zu gewähren und herausfinden zu können, ob sich schon Schadcode im Backup befindet.

Das Backup sollte das bestgesicherte System im Unternehmen sein, denn nur allzu häufig stürzen sich die Angreifer zuerst darauf, um die gesicherten Daten unbrauchbar zu machen. Vor diesem Hintergrund raten Praktiker zu Offsite-Backups. Optimal ist dabei ein Air-Gap – also ein virtueller Burggraben – zwischen dem Backup-Storage und der restlichen IT, so dass kein Zugriff möglich ist. Grundsätzlich sollten auf die Backups nur wenige ausgewählte Nutzer Zugriff zu haben. Und die Backup-Vorgänge selbst sollten als Pull-Prozess definiert werden, damit andere Systeme keine Zugriffsrechte darauf haben. Ferner gehört noch ein genaues Monitoring der Zugriffe auf das Backup-System ins Pflichtenheft. Zumal es sich als Frühindikator zum Erkennen von Angriffen eignet, da die Eindringlinge häufig versuchen, zuerst die Backup-Systeme lahmzulegen beziehungsweise zu manipulieren.

* Jürgen Hill ist Chefreporter Future Technologies bei der Computerwoche.