Die ersten 24 Stunden nach einem Sicherheitsvorfall

Ab wann zählen die 24 Stunden eigentlich?

Ab der Erkennung des Vorfalls, nicht ab dem Moment, in dem das Unternehmen versteht, was passiert ist. Das ist das ganze Problem dieser Frist. In dem Moment, in dem Ihnen jemand sagt „Die Anmeldung ins Lagersystem geht nicht, und auf dem gemeinsamen Laufwerk sind Dateien umbenannt“, beginnt die Uhr zu laufen, auch wenn noch niemand weiß, ob es ein Angriff ist, ein Fehler der Datensicherung oder ein Versehen des Administrators.

Die Erstmeldung verlangt dabei keine Untersuchung. Sie enthält die Identifikationsdaten der Organisation und Grunddaten zum Vorfall, also das, was Sie in diesem Moment wissen. Welche weiteren Fristen danach laufen und welche Vorfälle überhaupt gemeldet werden, erläutert der Artikel über das Cybersicherheitsgesetz, denn der Umfang der Pflicht hängt vom Regime ab.

Was muss im Voraus entschieden sein?

Fünf Dinge, und keines davon lässt sich an dem Tag ausdenken, an dem man es braucht. Darüber wird entschieden, solange Ruhe herrscht, denn sonst wird in der ersten Stunde darüber improvisiert, wer was tun darf:

• Wer die Meldung abschickt, und wer sie abschickt, wenn diese Person im Urlaub ist.
• Woher sie die Angaben zum betroffenen System nimmt, also ob es ein Asset-Verzeichnis gibt.
• Wer entscheiden darf, ein System vom Netz zu trennen, auch wenn dadurch der Betrieb stillsteht.
• Wer mit Kunden und Medien spricht und was gesagt wird, solange man nichts Genaues weiß.
• Wo die Zeitleiste festgehalten wird, denn die wollen sowohl die Behörde als auch die Versicherung sehen.

Das ist zugleich die Antwort auf die Frage, warum sich Sicherheit nicht als Produkt kaufen lässt. Die meisten dieser Entscheidungen sind organisatorisch, nicht technisch, und sie muss die Geschäftsleitung treffen, nicht der Dienstleister.

Warum ist die Erkennung schwieriger als die Meldung?

Weil die Frist ab der Erkennung läuft, aber nirgends steht, dass schnell erkannt wird. Ein Unternehmen ohne Überwachung erfährt von einem Vorfall meist dadurch, dass etwas nicht mehr funktioniert oder dass sich jemand von außen meldet. Bis dahin ist der Angreifer in der Umgebung, nur weiß niemand davon, und formal läuft die Frist noch nicht.

Die praktische Folge ist unangenehm: Ein Unternehmen, das nichts überwacht, kann die Fristen formal einhalten und trotzdem schlechter dastehen als eines, das den Vorfall am zweiten Tag entdeckt und verspätet gemeldet hat. Deshalb ist es sinnvoll, sich um das Monitoring zu kümmern, bevor man sich um die Meldevorlage kümmert.

Was sollten Sie in den ersten Stunden tun, und was auf keinen Fall?

Die Ausbreitung stoppen, Spuren sichern und aufschreiben, was wann passiert ist. Den betroffenen Rechner zu isolieren, ist meist der richtige erste Schritt, aber ihn auszuschalten und neu zu installieren, ist der häufigste teure Fehler: Damit verschwindet auch das, woraus sich ermitteln ließe, wie der Angreifer hereingekommen ist und wohin überall er gelangt ist.

Der zweite Fehler ist Schweigen im eigenen Unternehmen. Mitarbeiter, die nicht wissen, dass es einen Vorfall gibt, tun ganz normale Dinge: Sie leiten Dateien weiter, stellen aus der Datensicherung wieder her und ändern Passwörter an Stellen, die der Angreifer beobachtet. Sie zu informieren, hat deshalb Vorrang vor einer Pressemitteilung.

Was zeigt sich bei der Datensicherung erst an einem schlechten Tag?

Dass es nicht reicht, dass sie existiert. Bei Ransomware entscheidet, ob die Sicherung aus der Zeit vor dem Angriff stammt, ob der Angreifer sie nicht mit denselben Zugängen erreichen konnte wie den Rest des Netzes und wie lange die Wiederherstellung des gesamten Betriebs dauert, nicht die einer einzelnen Datei. Die Antwort auf die letzte Frage ist meist die unangenehme: Die Wiederherstellung wird an einem Dokument geprobt, während es in der Krise um Dutzende Systeme gleichzeitig geht.

Deshalb sind Pläne für Betriebskontinuität und Wiederherstellung Dokumente, die im Voraus geschrieben und von Zeit zu Zeit geprobt werden. Ohne Probe sind sie ein Wunschzettel: Darin steht, dass der Betrieb wiederhergestellt wird, aber niemand weiß, wie lange es dauert und in welcher Reihenfolge, und gerade die Reihenfolge entscheidet, ob das Unternehmen nach zwei Tagen Ware ausliefert oder nur E-Mails liest.

Wer erledigt das alles, wenn Sie keine Sicherheitsrolle haben?

Entweder jemand aus Ihrem Team oder eine externe Rolle, mit der das im Voraus vereinbart ist. Bestandteil der ICT-Dienstleistungen ist die Festlegung eines Vorgehens für den Fall eines Angriffs, damit in diesem Moment nicht improvisiert wird, und eine IT-Prüfung stellt schon vorher fest, ob das Unternehmen auf einen Angriff vorbereitet ist. Securent ergänzt das um die Untersuchung von Vorfällen, die Kommunikation mit dem NÚKIB (der tschechischen Behörde für Cyber- und Informationssicherheit) und Pläne für Betriebskontinuität und Wiederherstellung.

Wer es auch macht, eines gilt: Die Meldepflicht liegt bei der Organisation. Ein Dienstleister kann Unterlagen vorbereiten und die Kommunikation führen oder unterstützen, Adressat der Pflicht bleiben aber Sie. Daraus ergibt sich auch der einzige Test, ob Ihr Vorgehen wirklich bereit ist: Gehen Sie es an einem Tag, an dem nichts passiert, probeweise durch.