Cybervorfall: die ersten 60 Minuten, ohne die Lage zu verschlimmern

Ein Bildschirm zeigt eine ungewöhnliche Meldung. Dateien lassen sich nicht mehr öffnen. Ein Administratorkonto meldet sich von einem unbekannten Ort aus an. In den ersten Minuten ist die Versuchung groß, neu zu starten, Dateien zu löschen oder das ganze Team zu bitten, „mal zu schauen, ob es noch läuft".

Diese Reaktionen sind verständlich, doch sie können Spuren löschen, den Vorfall ausbreiten oder die Wiederherstellung erschweren. Ziel der ersten Stunde ist nicht, alles zu reparieren. Es geht darum, den Schaden zu begrenzen, nützliche Informationen zu sichern und eine Reaktion zu organisieren.

Zuerst benennen, was tatsächlich beobachtet wird

Halten Sie das erste Signal mit genauer Uhrzeit fest:

• welches Gerät oder welcher Dienst betroffen ist;
• wer das Problem bemerkt hat;
• was angezeigt wurde oder aufgehört hat zu funktionieren;
• die letzten normal ausgeführten Handlungen;
• die bereits verständigten Personen.

Vermeiden Sie es, sofort auf Ransomware, ein Datenleck oder einen gezielten Angriff zu schließen. Eine Störung und ein Cyberangriff können ähnliche Symptome zeigen. Die Fakten zu beschreiben erlaubt dem Dienstleister oder dem technischen Team, schneller zu entscheiden.

Isolieren, ohne Spuren zu zerstören

Erscheint ein Rechner aktiv kompromittiert, trennen Sie ihn vom kabelgebundenen Netz und vom WLAN. Schalten Sie das Gerät nicht automatisch aus. Der Arbeitsspeicher, die aktiven Verbindungen und weitere Spuren können für die Analyse nützlich sein.

Von dieser Regel gibt es Ausnahmen. Ein Gerät, das eine physische Gefahr darstellt, ungewöhnlich heiß wird oder einen sensiblen Prozess steuert, ist nach den Sicherheitsvorschriften des Standorts zu behandeln. Die Sicherheit von Personen geht der Beweissicherung vor.

Stecken Sie keinen USB-Stick an, um schnell Dokumente zu „retten". Schließen Sie keine Sicherungsfestplatte an ein möglicherweise kompromittiertes System an. Sie riskieren, den Vorfall auf die noch sauberen Kopien auszuweiten.

Eine Person zur Koordination bestimmen

Eine kleine Organisation braucht kein komplexes Gremium. Sie braucht eine Person, die die Chronologie führt, und eine weitere, die entscheidungsfähig bleibt.

Verteilen Sie die Rollen:

• Gesamtkoordination;
• Kontakt zum Dienstleister oder zum IT-Team;
• Entscheidungen darüber, welche Dienste abgeschaltet werden;
• Kommunikation mit Mitarbeitenden und Partnern;
• Sicherung von Beweisen und Referenzen.

Dieselben Personen können mehrere Rollen übernehmen. Entscheidend ist, dass nicht zwei widersprüchliche Anrufe an denselben Anbieter gehen und dass niemand einen Dienst wiederherstellt, während ein anderer versucht, ihn einzudämmen.

Die ersten zehn Minuten

Konzentrieren Sie sich auf vier Schritte:

1. halten Sie Uhrzeit und Symptome fest;
2. isolieren Sie eindeutig betroffene Geräte;
3. kontaktieren Sie die verantwortliche Person und den vorgesehenen Dienstleister;
4. untersagen Sie improvisierte Eingriffe an den betroffenen Geräten.

Wirkt das übliche Postfach kompromittiert, nutzen Sie einen anderen Kanal, um die Reaktion zu koordinieren. Vermeiden Sie es jedoch, sensible Daten ungeregelt auf private Konten zu übertragen.

Zwischen zehn und dreißig Minuten

Ermitteln Sie das Ausmaß des Problems, ohne die Verbindungen zu vervielfachen:

• ein Arbeitsplatz oder mehrere;
• ein Konto oder mehrere;
• ein lokaler Dienst oder ein Cloud-Anbieter;
• zugängliche oder möglicherweise exponierte Sicherungen;
• eine noch laufende Aktivität oder ein bereits abgeschlossenes Ereignis.

Bitten Sie den Dienstleister, Protokolle, Sitzungen, IP-Adressen und Anmeldeereignisse zu sichern. Fotografieren Sie die Bildschirme, wenn eine normale Aufnahme nicht möglich ist. Bewahren Sie die Original-E-Mails auf statt bloßer Textkopien.

Sind eine Zahlung, ein Bankbetrug oder eine geänderte Bankverbindung betroffen, kontaktieren Sie die Bank sofort über ihren offiziellen Kanal. Die Möglichkeit, einen Vorgang zu stoppen, nimmt mit der Zeit ab.

Zwischen dreißig und sechzig Minuten

Nun muss die Organisation entscheiden, was offen bleibt und was abgeschaltet wird. Stützen Sie diese Entscheidung auf die tatsächliche Auswirkung:

• für Bürgerinnen oder Kunden wesentlicher Dienst;
• Ausbreitungsrisiko;
• Offenlegung personenbezogener Daten;
• Abhängigkeit von einem Anbieter;
• Verfügbarkeit einer Ausweichlösung.

Bereiten Sie eine erste, sachliche interne Mitteilung vor. Nennen Sie, was beobachtet wird, was die Nutzenden tun sollen, welche Kanäle zu meiden sind und wann die nächste Aktualisierung folgt.

Benennen Sie keine schuldige Person und kündigen Sie kein Datenleck vor der Bestätigung an. Eine vorsichtige Kommunikation kann transparent sein, ohne eine Hypothese als Tatsache darzustellen.

Melden und Hilfe anfordern

Organisationen können einen Cybervorfall dem Zentrum für Cybersicherheit Belgien melden. Für Einrichtungen, die unter NIS2 fallen, gelten besondere Pflichten und Fristen. Sie müssen den vom CCB vorgesehenen Kanal nutzen und nicht das Ende der internen Untersuchung abwarten.

Eine Anzeige bei der Polizei kann ebenfalls nötig sein, insbesondere bei Betrug, Erpressung, Datendiebstahl oder Eingriffen in ein System.

Die Meldung ist kein Eingeständnis des Scheiterns. Sie ermöglicht Orientierung, das Verknüpfen ähnlicher Vorfälle und eine ordentliche Dokumentation des Sachverhalts.

Stellen Sie nicht zu früh wieder her

Der Druck, den Dienst wieder online zu bringen, ist hoch. Doch eine Sicherung in einer noch kompromittierten Umgebung wiederherzustellen, kann den Angreifer erneut hereinlassen oder die Kopie verseuchen.

Vor der Wiederaufnahme:

• ermitteln Sie nach Möglichkeit den Einstiegspunkt;
• ändern Sie offengelegte Geheimnisse und Passwörter von einem sauberen Gerät aus;
• beheben Sie die Schwachstelle oder die Fehlkonfiguration;
• prüfen Sie die Integrität der Sicherungen;
• verbinden Sie schrittweise wieder;
• beobachten Sie neue Signale.

Eine Sicherung ist kein Wiederanlaufplan, solange niemand ihre Rückspielung getestet hat.

Die Krisenseite, die Sie heute vorbereiten

Drucken Sie eine einzige Seite aus mit:

• dem Namen der koordinierenden Person und ihrer Vertretung;
• den Nummern von Dienstleister, Hoster, Bank und Versicherung;
• dem Meldekanal des CCB;
• den zuerst wiederherzustellenden Diensten;
• dem Ablageort der Sicherungen;
• den ersten Anweisungen zu Isolierung und Beweissicherung.

Diese Seite muss zugänglich bleiben, wenn Postfach, gemeinsamer Speicher oder Passwortmanager es nicht mehr sind.

Offizielle Quellen

• CCB - Erste Hilfe bei einem Cyberangriff
• CCB - Einen Vorfall melden
• CCB - Leitfaden zum Management von Cybersicherheitsvorfällen
• CCB - Krisenkommunikation bei einem Cyberangriff