Do‘s and Don‘ts für den IT-Sicherheitsvorfall Wichtige Tipps für den nächsten IT-Notfall

Eine Cyberattacke ist und bleibt eines der größten Risiken für Unternehmen, denn dann kostet – egal ob in der Produktion oder in der Verwaltung – jede Sekunde Stillstand viel Geld. Um handlungsfähig zu bleiben müssen Firmen zusätzlich zu Endpoint-Protection-Lösungen weitere Maßnahmen umsetzen. Das Stichwort lautet: Incident Readiness.

Dass das Thema IT-Sicherheit auf die Managementebene gehört, predigen Sicherheitsfachleute seit Jahren. Nun gießt auch die NIS-2-Direktive – NIS steht für Network and Information Security – der EU dieses Credo in entsprechende gesetzliche Regelungen. Das Ziel: eine Stärkung der IT-Sicherheit entlang der Wertschöpfungs- und Lieferketten. Insbesondere die Elektronikindustrie, die von einem Netzwerk von Zulieferern vor Allem aus Asien abhängig ist, hat hier die ein oder andere offene Flanke. Auch wenn im Hintergrund noch an der Umsetzung in nationales Recht gearbeitet wird, ist heute schon klar, dass kein Unternehmen mehr auf Risiko spielen kann. Zu hoffen, dass schon alles gut gehen wird, kann schnell nach hinten losgehen. Gerade wenn es einmal zu einem ausgewachsenen IT-Sicherheitsvorfall kommt, macht sich das besonders schmerzhaft durch finanzielle Verluste bemerkbar. Hier enthält die neue NIS-2-Richtlinie klare Vorgaben: Innerhalb von 24 Stunden muss ein Unternehmen einen potenziellen Sicherheitsvorfall gemeldet haben – auch an Feiertagen und Wochenenden. Regelmäßige Updates zu der Benachrichtigung nach 72 Stunden und nach 30 Tagen gehören nun ebenfalls zum Pflichtprogramm. Die Abschlussberichte müssen vollständig sein und den genauen Hergang wie auch die Ursachen für den sicherheitsrelevanten Vorfall enthalten.

Es ist ratsam, dass Verantwortliche sich frühzeitig mit den kommenden gesetzlichen Änderungen beschäftigen. Dabei sollten sie die Gelegenheit nutzen, die IT-Sicherheit zu verbessern, wichtige Geschäftsprozesse zu prüfen und sinnvoll abzusichern. Zusätzlich zu allen Sicherheitsmaßnahmen muss jetzt auch das Eintreten eines IT-Notfalls in die Überlegungen einbezogen werden. Fachleute sprechen in diesem Zusammenhang von Incident Readiness.

Papier ist geduldig – und sicher

Für IT-Notfälle brauchen Unternehmen unbedingt einen Krisenplan – am besten auf Papier. Dieser Plan sollte unter anderem eine Übersicht des eigenen Netzwerkes und der verwendeten Geräte enthalten. Denn im Notfall sind diese Informationen wichtig und im Aktenschrank besser aufgehoben als auf dem verschlüsselten Server oder dem nicht funktionsfähigen Notebook des Administrators oder der Administratorin. Dieser Krisenplan sorgt dafür, dass ein externes Incident-Response-Team deutlich schneller die Arbeit aufnehmen kann und das Unternehmen so in kürzerer Zeit wieder arbeitsfähig ist. Gleichzeitig lässt sich der finanzielle Schaden begrenzen. Ein eigenes Incident-Response-Team ist in den wenigsten Unternehmen vorhanden. Denn ein solches Team hoch spezialisierter Fachleute zu unterhalten, ist ebenfalls für viele Unternehmen finanziell nicht sinnvoll. Mitarbeitende In-House für Incident Response zu qualifizieren, ist nahezu unmöglich, da gerade dieser Bereich einschlägige Erfahrungen im Bewältigen von Sicherheitsvorfällen erfordert – und diese kann man nicht in einem Buch nachlesen oder in einem Kurs lernen.

Vorbereitet sein auf den Worst Case

Das Fatale an Cyberattacken ist: Oft bleiben die Angreifer über Wochen und Monate unbemerkt. Wenn nicht zufällig ein aufmerksamer IT-Mitarbeitender Unregelmäßigkeiten entdeckt, ist es in der Regel erst der gesperrte Bildschirm mit einer Lösegeld-Forderung, der einen Ransomware-Angriff offenbart. Jetzt kostet jede Minute bares Geld. Ab diesem Punkt schlägt die Stunde der Fachleute im Bereich Incident Response. Sie sind häufig die letzte Hoffnung, die Systeme wiederherzustellen.

Bevor ein Incident-Response-Team aktiv werden kann, braucht es Informationen zum aktuellen Notfall. Daher müssen Verantwortliche zentrale Fragen beantworten – vergleichbar mit den zentralen Fragen beim Notruf für die Feuerwehr. Diese Antworten schaffen ein tieferes Verständnis für die aktuelle Situation im Unternehmen:

• Was ist passiert - genauer gesagt, was passiert gerade?

• Wann ist es passiert?

• Wie ist es aufgefallen? Aus dieser Frage lassen sich auch schon Indizien zum Angriffsvektor ableiten.

• Welche Maßnahmen wurden schon getroffen? Hier geht es um die Frage, ob bereits forensische Spuren gesichert oder Indizien versehentlich unbrauchbar gemacht wurden. Dies kann schnell passieren, wenn den handelnden Personen vor Ort die notwendigen Kenntnisse fehlen.

• Welches Unternehmen ist betroffen? Handelt es sich um ein produzierendes Gewerbe, um ein KRITIS-Unternehmen oder eine staatliche Organisation?

Natürlich sind auch technische Detailfragen vorab zu klären, um die Situation vor Ort besser einzuschätzen und den Einsatz zu planen. Daher brauchen die Fachleute Informationen zur IT-Infrastruktur, zur Netzwerkgröße, zu den Betriebssystemen sowie deren Patch-Status und den eingesetzten Sicherheitskomponenten.

Do‘s and Don‘ts für den IT-Sicherheitsvorfall

Wer gut vorbereitet und handlungsfähig bleiben auf den Einsatz eines externen Einsatzteams sein will, sollte folgende Do‘s and Don‘ts berücksichtigen:

Do‘s:

• Internen und externen Netzwerkverkehr sofort unterbrechen: So sperren Unternehmen die Angreifer aus und verhindern eine weitere Ausbreitung der Schadsoftware.

• Virtuelle Maschinen pausieren oder Snapshots erstellen: Moderne Malware liegt nicht mehr auf der Festplatte, sondern im Arbeitsspeicher. Wer also eine VM ausschaltet, macht den Speicher unbrauchbar und vernichtet dabei mögliche forensische Spuren. Daher ist es ratsam, diese zu pausieren oder einen Snapshot zu erstellen, um einen aktuellen Zwischenstand zu speichern.

• Zentrale Ansprechperson benennen / Stabstelle einrichten: Kurze Kommunikationswege sind beim IT-Notfall essenziell. Eine Ansprechperson oder eine Stabstelle koordiniert dabei die Kommunikation mit dem Incident-Response-Team. Darüber hinaus stimmt sich diese Stelle auch mit beteiligten IT-Dienstleistern ab und kommuniziert mit Kunden sowie Mitarbeitenden.

• Vorurteilsfreie Kommunikation: Wichtig ist eine angstfreie Umgebung, in der auch Mitarbeitende mit wenig IT-Kenntnissen Hinweise zum Vorfall geben können. Vorwürfe oder Schuldzuweisungen helfen in dieser Situation keinem weiter!

• Backups prüfen und bereitstellen: Dieses Thema sollten Unternehmen schon vor einem Notfall auf der Agenda stehen haben. Denn im IT-Notfall ist es dafür zu spät. Mit aktuellen Back-ups lässt sich der Datenverlust minimal halten.

• Zusammenarbeit mit lokalen Behörden: Jedes Opfer sollte Strafanzeige stellen, damit die Behörden Ermittlungen einleiten können. Für Straftaten im Cyberraum hat jedes Bundesland eine eigene Anlaufstelle. Darüber hinaus ist die Informationspflicht mit dem Datenschutzverantwortlichen zu klären, um einen möglichen Verstoß fristgerecht zu melden. Dabei gilt die Faustformel: Lieber eine Meldung zu viel als zu wenig.

Don‘ts

• Systeme herunterfahren: Mit dieser Maßnahme zerstören die Betroffenen unter Umständen forensische Spuren oder machen sie unbrauchbar.

• Systeme innerhalb des kompromittieren Netzwerks anfahren: Es besteht die Gefahr, dass die Schadsoftware weitere Teile des Netzes befällt und der Schaden immer größer wird.

• Antivirus-Lösung abschalten: Auch während eines oder nach einem aktiven Angriff hilft die Antivirus-Lösung, indem sie weitere Angriffsversuche abblockt.

• Selbstversuche: Wer ohne Fachkenntnisse handelt und Reparaturversuche unternimmt, verzögert und behindert eine schnelle Aufklärung des Infektionshergangs. Das Risiko einer “Verschlimmbesserung” ist sehr groß.

• Unbegleitete Erpresser­kommunikation: Grundsätzlich gilt „Kein Dialog mit Erpressern!“ Wer dennoch dazu gezwungen ist, braucht kompetente Unterstützung.

• Schuldzuweisungen: Wer eine verdächtige Aktion direkt meldet, hilft, den Schaden frühzeitig einzudämmen. Das erfordert eine Unternehmenskultur, in der Mitarbeitende sich trauen, Fehler wie den möglichen Klick auf den Link in einer Phishing-Mail zuzugeben – ohne Konsequenzen fürchten zu müssen.

Fazit: Erst investieren, dann sparen

Heute stellt sich nicht mehr die Frage, ob ein Unternehmen einer Cyberattacke zum Opfer fällt, sondern vielmehr, wann. Firmen, die sich auf dieses Szenario vorbereiten und externe Fachleute um Unterstützung bitten, handeln weitsichtig. Sie sichern auch im Schadensfall das Überleben des eigenen Unternehmens und sind schneller wieder handlungsfähig. Untersuchungen zeigen, dass bei einem IT-Notfall nicht der Einsatz des Incident-Response-Teams der größte Kostenpunkt ist, sondern der entgangene Umsatz durch den Stillstand.

Verantwortliche sollten sich besser heute als morgen mit der NIS-2 und IT-Sicherheit auseinandersetzen und ihre Strategie anpassen. Das kostet erst einmal Geld und macht Arbeit – wird aber langfristig von großem Nutzen sein. Denn bereits ein verhinderter Incident kann die Kosten für die Sicherheit mehrfach decken.

Über den Autor: Tim Berghoff ist Security Evangelist bei G DATA CyberDefense.

(ID:50010794)