Mobile-Menu

Incident Response in der Praxis 5 Incident Response Fails und welche Lehren sich daraus ziehen lassen

Ein Gastbeitrag von Robert Wortmann 5 min Lesedauer

Anbieter zum Thema

TREND MICRO Deutschland GmbH
FTAPI Software GmbH

IT-Sicherheitsverantwortliche stehen vor der Herausforderung, wirksame Strategien zur Bewältigung von Sicherheitsvorfällen zu entwickeln. Incident Response (IR) ist entscheidend, um Schäden bei Vorfällen schnell und effizient zu minimieren. Trotz Planung treten häufig Fehler auf, die den Erfolg der Incident Response beeinträchtigen. Wir zeigen die fünf häufigsten Fehler bei Vorbereitung und Durchführung von IR-Prozessen und geben praktische Empfehlungen.

Eine Notfallplanung darf nicht nur auf dem Papier gut aussehen, denn auch gut durchdachte Pläne können scheitern, wenn wichtige Grundprinzipien nicht beachtet werden.(Bild: .shock - stock.adobe.com)
Eine Notfallplanung darf nicht nur auf dem Papier gut aussehen, denn auch gut durchdachte Pläne können scheitern, wenn wichtige Grundprinzipien nicht beachtet werden.
(Bild: .shock - stock.adobe.com)

Trend Micro ist vom BSI als qualifizierter APT-Response-Dienstleister gelistet und steht Unternehmen und Behörden regelmäßig mit seinen dedizierten Incident-Response-Teams bei der Vorfallsbekämpfung zur Seite. Basierend auf den praktischen Erfahrungen aus hunderten realer Vorfälle haben wir die häufigsten Fehler bei der Vorbereitung und Durchführung von Incidet-Response-Prozessen gesammelt und analysiert und Lehren daraus gezogen. Damit wollen wir IT-Sicherheitsverantwortlichen helfen, ihre Strategien zur Vorfallsreaktion zu verbessern. Von unzureichenden Notfallplänen über uninformierte Krisenstäbe bis hin zu fehlenden technischen Datenbasen – die Herausforderungen sind vielfältig und oft komplex.

Mit der fortlaufenden Entwicklung von Bedrohungslandschaften ist es unerlässlich, dass Unternehmen ihre Incident-Response-Pläne regelmäßig überprüfen und anpassen. Durch eine klare Strukturierung, regelmäßige Tests und umfassende Schulungen aller Beteiligten können viele der häufigsten Fehler vermieden werden.

1. Nicht anwendbarer Notfallplan

Problem: Ein weit verbreiteter Fehler in der Notfallplanung ist das Fehlen einer klaren Kategorisierung von Vorfällen und der daraus resultierenden Zusammensetzung von Krisenteams und Maßnahmen. Viele Notfallpläne sind zu umfangreich und komplex, um ständig auf dem neuesten Stand gehalten zu werden oder im Notfall verständlich zu sein.

Praxisbeispiel: Bei einem Zwischenfall in einem mittelständischen Unternehmen fanden wir einen Notfallplan vor, der mehr als 200 Seiten umfasste. Das gesamte Team verbrachte weit über eine Stunde damit, den Plan durchzuarbeiten, um geeignete Maßnahmen zu finden. Am Ende entschied man sich für improvisierte Maßnahmen, da der Plan zu unübersichtlich und vor allem an vielen Stellen nicht mehr aktuell war.

Lektion: Ein wirksamer Notfallplan sollte präzise und klar sein. Er muss die verschiedenen Arten von Vorfällen klar kategorisieren und die entsprechenden Maßnahmen und Krisenteams definieren. Zu oft sehen wir Pläne, die überladen und schwer verständlich sind, was im Notfall zu Verzögerungen und Verwirrung führt. Notfallplanung ist kein Business Continuity Management (BCM)! Ein IR-Plan muss speziell auf IT-Sicherheitsvorfälle zugeschnitten sein und darf sich nicht in allgemeinen Kontinuitätsstrategien verlieren.

2. Uninformierte Krisenteam-Teilnehmer

Problem: Ein weiteres häufiges Problem ist, dass die Mitglieder der Krisenteams, insbesondere diejenigen außerhalb der IT-Abteilung, oft nicht wissen, dass sie Teil dieser Teams sind oder welche Aufgaben sie im Notfall haben.

Praxisbeispiel: In einem Fall war ein Marketingleiter Mitglied des Krisenteams, da seine Abteilung für die externe Kommunikation zuständig war. Als ein Datenleck entdeckt wurde, befand sich der Marketingleiter im Urlaub, und sein Stellvertreter wusste nichts von seiner Rolle im Krisenteam. Dies führte zu einem Kommunikationschaos und verzögerte die Veröffentlichung einer Pressemitteilung um mehr als zwei Tage. Der Reputationsverlust war enorm.

Lektion: Effektive Kommunikation und regelmäßige Schulungen sind von entscheidender Bedeutung. Alle Beteiligten müssen ihre Rollen und Verantwortlichkeiten kennen und verstehen. Es reicht nicht aus, Namen in einen Plan zu schreiben; diese Personen müssen auch aktiv in Schulungen und Übungen einbezogen werden, damit sie im Notfall handlungsfähig sind.

3. Keine belastbaren Tests der Notfallplanung

Problem: Ein Notfallplan ist nur so gut wie seine Tests. Viele Unternehmen versäumen es, ihre Notfallpläne regelmäßig und realitätsnah zu testen, was dazu führt, dass erst im Ernstfall Schwachstellen aufgedeckt werden, die vorher unentdeckt blieben.

Praxisbeispiel: Während eines geplanten Tests sollte eine Firewall vom Netz genommen werden, um die Trennung des Netzes während eines Angriffs zu simulieren. Der für die Verwaltung der Firewall zuständige Managed Service Provider war nicht erreichbar. Das interne IT-Team verfügte weder über die Berechtigung noch über Anweisungen zur manuellen Abschaltung, was zum Scheitern des Tests führte und die Schwäche des Plans offenbarte.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Lektion: Regelmäßige und realistische Tests der Notfallplanung sind unerlässlich. Dazu gehören nicht nur technische Tests, sondern auch die Simulation organisatorischer Abläufe. Jede Komponente des Plans muss unter realistischen Bedingungen getestet werden, um sicherzustellen, dass sie im Notfall funktioniert.

4. Verantwortlichkeiten nicht klar geregelt

Problem: Häufig fehlen klare Zuständigkeiten innerhalb der Krisenteams. Dies führt zu Verzögerungen und Unsicherheiten, da die Teammitglieder nicht wissen, wer befugt ist, bestimmte Entscheidungen zu treffen.

Praxisbeispiel: In der Infrastruktur eines Online-Händlers wurden verschiedene Hinweise wie Beacons auf einen bevorstehenden Ransomware-Angriff entdeckt. Das IT-Team wusste, dass große Teile der Umgebung einschließlich des Webshops offline genommen werden mussten, um den Schaden zu minimieren. Da es keine klaren Richtlinien gab, ob und wann solche Entscheidungen ohne das Management getroffen werden durften, ging wertvolle Zeit verloren, während auf die Erreichbarkeit des Managements gewartet wurde. Später stellte sich heraus, dass der Geschäftsführer erwartet hatte, dass das IT-Team eigenständig handeln würde.

Lektion: Entscheidungsbefugnisse müssen klar definiert und kommuniziert werden. In Krisensituationen muss Klarheit darüber bestehen, wer welche Entscheidungen treffen darf. Darüber hinaus sollten Eskalationswege und Vertretungsregelungen festgelegt werden, damit auch bei Abwesenheit von Schlüsselpersonen schnelle Entscheidungen getroffen werden können.

5. Fehlende technische Datenbasis

Problem: Forensische Untersuchungen erfordern umfassende und qualitativ hochwertige Daten. Ohne zentrale und gut aufbereitete Daten ist eine zeitnahe Reaktion und Ursachenforschung nahezu unmöglich. Dazu gehören insbesondere Endpunkt-Telemetriedaten, aber auch andere Daten, zum Beispiel über Authentifizierungsvorgänge oder netzwerkbasierte Daten.

Praxisbeispiel: Bei einem schwerwiegenden Vorfall, bei dem Malware große Teile des Netzwerks kompromittierte, stellte sich heraus, dass die notwendigen Log-Daten nicht zentral gespeichert und teilweise überschrieben worden waren. Das Fehlen einer vollständigen und zentralen Datenbasis und die damit verbundene kleinteilige Arbeit verhinderte eine schnelle Analyse und führte zu längeren Ausfallzeiten. Auch die Tatsache, dass nur auf eine Historie der an der Firewall blockierten Verbindungen zugegriffen werden konnte, behinderte die weitere Ursachenforschung massiv.

Lektion: Unternehmen müssen sicherstellen, dass sie über die notwendigen technischen Ressourcen verfügen, um relevante Daten zu sammeln und auszuwerten. Dazu gehört nicht nur die Implementierung entsprechender Tools, sondern auch die Sicherstellung der kontinuierlichen Verfügbarkeit und Integrität der Daten. Eine zentrale Datenbasis ist entscheidend, um im Ereignisfall schnell reagieren und die Ursachen effizient ermitteln zu können.

„Je schwieriger die Lage, desto einfacher müssen die Schritte sein!“

In einer Situation mit extrem hoher Stressbelastung benötigen IT-Teams einfache und klare Handlungsanweisungen. Die oben genannten Punkte zeigen, dass die effektivste Notfallplanung nicht nur auf dem Papier gut aussehen darf. Der Plan muss in der Praxis funktionieren. Die Verantwortlichen müssen geschult und informiert werden und die notwendigen technischen Ressourcen müssen vorhanden und einsatzbereit sein.

Unsere Erfahrungen haben gezeigt, dass auch gut durchdachte Pläne scheitern können, wenn diese Grundprinzipien nicht beachtet werden. Daher ist es wichtig, kontinuierlich aus Vorfällen zu lernen und die eigenen Pläne und Prozesse regelmäßig zu überprüfen und anzupassen.

Durch eine klare Strukturierung, regelmäßige Tests und eine umfassende Schulung aller Beteiligten können viele der häufigsten Fehler vermieden werden. Letztendlich führt dies zu einer effizienteren und effektiveren Bewältigung von Sicherheitsvorfällen, was den Schaden für das Unternehmen minimiert und die Sicherheit erhöht.

Über den Autor: Robert Wortmann ist Principal Security Strategist bei Trend Micro.

(ID:50391228)

Weiterführende Inhalte