Fünf entscheidende Maßnahmen nach einem Cyberangriff Was tun wenn ich gehackt wurde?

Anbieter zum Thema

FTAPI Software GmbH

Arctic Wolf Networks Germany GmbH

Eye Security GmbH

G DATA CyberDefense AG

Bei einem IT-Notfall hilft erstmal nur eins: Ruhe bewahren. Um schnell ins Handeln zu kommen und schlimmere Folgen zu verhindern, ist strukturiertes Vorgehen unerlässlich. Fünf Maßnahmen sollten Unternehmen daher bei einem IT-Sicherheitsvorfall unbedingt ergreifen: strukturiert Handeln, offen kommunizieren, Expert*innen hinzuziehen, lernen und langfristig eine IT-Sicherheitsstrategie fest verankern.

Der Worst Case ist eingetreten: Eine Ransomware-Attacke legt das Unternehmens­netzwerk lahm. Keine E-Mail geht rein oder raus, ein Großteil der Mitarbeitenden kann nicht auf wichtige Dokumente zugreifen und statt Normalbetrieb herrscht ein noch nie dagewesener Ausnahmezustand. Eine Situation, in der schnelles Handeln erforderlich ist. Bewegt sich ein Angreifer im Netzwerk, fällt seine Präsenz meistens erst dann auf, wenn bereits alles zu spät ist und sich der schlimme Verdacht einer Cyberattacke durch ein Erpresser­schreiben bestätigt. Dann verfallen viele Personen im Unternehmen in Panik – wenn Verantwortliche auch noch zusätzlich Chaos verursachen, ist der Endgegner erreicht. Doch anders als bei einem Spiel ist dies kein Höhepunkt, sondern ein absoluter Tiefpunkt für das Unternehmen. Und verursacht sehr viel ungeplante Arbeit.

Was bei einem Cyberangriff hilft, ist nur eins: eine gute Vorbereitung. In die lohnt es sich zu investieren, um böse Überraschungen zu vermeiden. Wie die, dass vor einem Cyberangriff ungeklärt ist, wie sich Verantwortliche im Ernstfall verhalten sollten. Und hier hapert es schon an der Zuständigkeit, die sonst für jede andere Angelegenheit im Unternehmen geklärt ist. Denn: Nur zwei von fünf befragten Arbeitnehmer*innen in Deutschland aus der IT oder Geschäftsleitung wissen, wen sie im Schadensfall informieren sollen. Das ergab die aktuelle Studie „Cybersicherheit in Zahlen“ in Zusammenarbeit von G DATA, Statista und brand eins. Sind sich Verantwortliche selbst nicht sicher, wie sie sich verhalten sollen und haben vorab keinen Plan erarbeitet, kostet dies wertvolle Zeit. Zeit, die im schlimmsten Fall über das Ausmaß des Angriffs entscheidet und somit auch über das Überleben des Unternehmens.

Den Überblick behalten

Die wichtigste Frage ist also zunächst, welche Person oder Abteilung die Verantwortung bei einem IT-Sicherheitsvorfall hat und das Unternehmen sicher durch die Krise steuert. Um den Krisenstab schnellstmöglich einzuberufen, sollte dem gesamten Unternehmen bekannt sein, wer Ansprechpartner*in für die Koordination aller notwendigen Schritte ist. Ein IT-Notfallplan sorgt dabei für den richtigen Ablauf und stellt sicher, dass kein entscheidender Schritt vergessen wird. Denn neben Stressvermeidung ist es wichtig, einen Überblick über die eingeleiteten Maßnahmen zu haben. Dabei ist unbedingt zu bedenken: Ein Notfallplan ist nur ausgedruckt auf Papier sinnvoll. Denn liegen wichtige Informationen ebenfalls verschlüsselt auf dem Server oder dem nicht funktionsfähigen Notebook, sind sie ebenso gut wie kein Notfallplan und nutzlos. Im Vorfeld geklärt sein sollten beispielsweise:

• 1. Aufgaben und Zuständigkeiten, die klar formuliert sind und keinen Raum für Spielräume lassen.

• 2. Wie sieht die IT-Infrastruktur aus? Eine Übersicht über besonders kritische Netzwerke ist sinnvoll und wie die Schnittstellen sowie Abhängigkeiten mit anderen Systemen aussehen.

• 3. Auch die Frage nach funktionsfähigen Backups stellt sich schnell und sollte bereits vor dem Ernstfall geklärt sein.

• 4. Es geht nicht ohne eine klare Kommunikation. Sowohl intern als auch extern können Textbausteine für die Krisenkommunikation hilfreich sein.

• 5. Der Notfallplan sollte aktuell gehalten werden und einen konkreten externen IT-Spezialisten nennen, der zur Hilfe kommt.

Offen kommunizieren und Sicherheit geben

Ein weitreichender Cyberangriff verläuft in der Regel nicht unbemerkt und führt zu Unsicherheiten in der Mitarbeiterschaft, bei Kund*innen und der Öffentlichkeit. Daher ist es ratsam, sofort alle Stellen mit den notwendigen Informationen zu versorgen und offen mit dem IT-Sicherheitsvorfall umzugehen. Aber Vorsicht! Die interne und externe Kommunikation sollte über eine extra dafür eingerichtete Stabstelle kontrolliert verlaufen, die Teil des Krisenstabs ist. Denn es ist wichtig sicherzustellen, dass keine Informationen an die Öffentlichkeit gelangen, die noch nicht für sie bestimmt sind. Ein offener Umgang beugt Spekulationen vor und verhindert durch einen frühzeitigen Informationsfluss, dass das Anfrageaufkommen nicht mehr zu stemmen ist. Gerade in der Notlage gilt: Wer gut kommuniziert, verhindert einen langfristigen Imageschaden und kann gleichzeitig die Krise als Chance nutzen.

Angriff mit ausgewiesenen IT-Experten stoppen

Ohne die Hilfe von ausgewiesenen IT-Expert*innen lässt sich ein Angriff meistens nicht stoppen – Spezialwissen ist gefragt. Die beim BSI gelisteten APT-Dienstleister unterstützen Unternehmen bei der Aufklärung des Vorfalls und helfen dabei, die Systeme wiederherzustellen. Dabei geht es um Schadensbegrenzung, aber auch um eine Untersuchung, wie die Angreifer eingedrungen sind. Eine Aufklärung kann dabei Tage bis Wochen dauern – Cyberkriminelle sind schneller im Netzwerk drin als wieder draußen. Häufig gelangen sie über Phishing-Mails an ihr Ziel, verschaffen sich durch einen infizierten Dateianhang Zugang zum Unternehmensnetzwerk und spionieren unbemerkt die Systeme über einen längeren Zeitraum aus. Um einen Angreifer wieder vollständig aus dem Netzwerk zu bekommen, ist von eigenen Reparaturversuchen dringend abzuraten. Auch wenn es gut gemeint ist, führt der unbedarfte Umgang im schlimmsten Fall dazu, das unbeabsichtigt Spuren vernichtet werden, die bei der Aufklärung helfen.

Lernen, nicht hoffen!

Hat ein Unternehmen eine Cyberattacke überstanden und alles ist den Umständen entsprechend gut verlaufen, gibt es dennoch genug Lektionen zu lernen. In jedem Unternehmen ist die Hoffnung groß, dass dies das erste und letzte Mal war – ein überstandener Angriff ist aber eben keine Garantie. Während des Vorfalls macht es daher Sinn, eine Dokumentation anzufertigen, um im Nachgang alle Schritte nachvollziehen zu können. Auch wenn es so scheint, als wenn Informationen während des Vorfalls nicht so wichtig sind, kann dies im Rückblick anders sein. Um über neue oder erweiterte Sicherheitsmaßnahmen zu entscheiden, ist es zudem gut, die interne IT-Abteilung, die Geschäftsführung und den externen Dienstleister an einen Tisch zu bringen. So haben alle den gleichen Informationsstand und können auf diesem basierend Entscheidungen für die Zukunft treffen. Wenn sich abzeichnet, dass akuter Handlungsbedarf besteht, sollte der Fokus auf nachhaltigen und nicht kurzfristigen Maßnahmen liegen.

Langfristig IT-Sicherheitsstrategie etablieren

Nach einem IT-Sicherheitsvorfall fragen Verantwortliche häufig, ob der Angriff nicht hätte verhindert werden können. In der Praxis des Incident Response stellt sich oft genug heraus, dass es auch schon vor dem Angriff eindeutige Anzeichen gegeben hat, wie beispielsweise ungewöhnliche Aktivitäten im Netzwerk. Doch Informationen müssen nicht nur verarbeitet, sondern auch interpretiert werden, was ohne Ressourcen – sowohl zeitlich als auch finanziell – nicht machbar ist. Eine IT-Sicherheitsstrategie lässt sich außerdem nicht von heute auf morgen umsetzen, ist aber in jedem Fall ratsam, um kontinuierlich das Sicherheitskonzept zu verbessern. Neben technischen Maßnahmen lässt sich die Security-Awareness im Unternehmen durch IT-Sicherheitsschulungen zusätzlich erhöhen.

Mit einer umfangreichen IT-Sicherheitsstrategie sichern sich Unternehmen auch einen Wettbewerbsvorteil. IT-Sicherheit ist kein Endgegner, sondern ein Prozess, der bewusst gestaltet werden muss und Ausgaben verlangt, die sich bereits bei einem verhinderten Cyberangriff mehr als auszahlen.

Über den Autor: Tim Berghoff ist Security Evangelist bei G DATA CyberDefense.

(ID:49680166)