IT-Notfallkoffer
IT-Notfall: Typische Fehler vermeiden
Bei einem Cyberangriff oder IT-Sicherheitsvorfall ist schnelles, abgestimmtes Handeln gefragt. Unüberlegte Maßnahmen können den Schaden vergrößern oder wichtige Spuren vernichten. Wir zeigen typische Fehler – und wie Sie besser vorgehen.
- 1. Zu lange abwarten
- 2. Unkoordiniert eingreifen und Spuren vernichten
- 3. Beobachtungen und Maßnahmen nicht dokumentieren
- 4. Die Bewältigung allein der IT überlassen
- 5. Umfang und Aufwand unterschätzen
- 6. Unsichere Kommunikationswege nutzen
- 7. Meldepflichten und rechtliche Fragen zu spät prüfen
- 8. Systeme vorschnell wieder in Betrieb nehmen
- Nach dem Vorfall: Erfahrungen nutzen
1. Zu lange abwarten
Typischer Fehler: Eine verdächtige Anmeldung, eine ungewöhnliche Fehlermeldung oder ein möglicher Datenabfluss wird zunächst ignoriert.
Mögliche Folge: Angreifer können sich weiter im Netzwerk ausbreiten. Wichtige Spuren gehen verloren und mögliche Meldefristen verstreichen.
So handeln Sie besser: Melden Sie Auffälligkeiten umgehend an die zuständige interne Stelle oder Ihren IT-Dienstleister. Warten Sie nicht, bis ein Angriff zweifelsfrei feststeht. Sorgen Sie dafür, dass alle Beschäftigten den Meldeweg kennen und auch einen Verdacht ohne Angst vor Vorwürfen ansprechen können.
2. Unkoordiniert eingreifen und Spuren vernichten
Typischer Fehler: Betroffene Geräte werden spontan neu gestartet, Dateien gelöscht oder Systeme neu installiert.
Mögliche Folge: Wichtige Informationen über den Angriff werden verändert oder vernichtet. Eine vermeintliche Bereinigung beseitigt möglicherweise nicht alle Zugänge der Angreifer.
So handeln Sie besser: Nutzen Sie betroffene Geräte möglichst nicht weiter und verständigen Sie die IT-Verantwortlichen. Stimmen Sie Maßnahmen zur Eindämmung und Beweissicherung mit qualifizierten Fachleuten ab. Eine Trennung vom Netzwerk kann die Ausbreitung begrenzen; sie ist jedoch nicht gleichbedeutend mit dem Ausschalten des Geräts. Vermeiden Sie pauschale Aktionen und dokumentieren Sie notwendige Eingriffe.
3. Beobachtungen und Maßnahmen nicht dokumentieren
Typischer Fehler: Informationen werden nur mündlich weitergegeben. Niemand hält fest, wann etwas aufgefallen ist und welche Änderungen bereits vorgenommen wurden.
Mögliche Folge: Fachleuten fehlen wichtige Anhaltspunkte. Maßnahmen werden doppelt ausgeführt oder widersprechen sich.
So handeln Sie besser: Führen Sie von Beginn an ein Vorfallprotokoll. Dokumentieren Sie:
- Zeitpunkt und Art der ersten Auffälligkeit,
- betroffene Geräte, Dienste und Benutzerkonten,
- Fehlermeldungen und andere Beobachtungen,
- bereits durchgeführte Maßnahmen mit Zeitpunkt und verantwortlicher Person,
- wichtige Entscheidungen und eingebundene Ansprechpartner.
Speichern Sie das Protokoll an einem sicheren, auch bei Ausfall der betroffenen IT erreichbaren Ort. Verändern Sie verdächtige Dateien nicht auf eigene Faust.
4. Die Bewältigung allein der IT überlassen
Typischer Fehler: Die Geschäftsleitung übergibt den Vorfall vollständig an den IT-Dienstleister und ist für Rückfragen kaum erreichbar.
Mögliche Folge: Entscheidungen über Betriebsunterbrechungen, Prioritäten oder die Information von Kunden verzögern sich.
So handeln Sie besser: Legen Sie fest, wer den Vorfall koordiniert und wer Entscheidungen treffen darf. Binden Sie je nach Lage Geschäftsleitung, IT, Datenschutz, Kommunikation und weitere erforderliche Stellen ein. Vereinbaren Sie kurze Abstimmungen und sorgen Sie für erreichbare Vertretungen.
5. Umfang und Aufwand unterschätzen
Typischer Fehler: Es wird nur der auffällige Rechner betrachtet und erwartet, dass nach wenigen Stunden alles wieder funktioniert.
Mögliche Folge: Weitere betroffene Systeme oder gestohlene Zugangsdaten bleiben unentdeckt. Eine zu frühe Entwarnung kann Folgeangriffe begünstigen.
So handeln Sie besser: Stellen Sie den Fachleuten eine aktuelle Übersicht Ihrer IT bereit. Dazu gehören auch Cloud-Dienste, Fernzugänge, mobile Geräte, Produktionsanlagen und die Zugänge externer Dienstleister. Priorisieren Sie geschäftskritische Abläufe und planen Sie ausreichend Personal und Zeit für Untersuchung, Wiederherstellung und Nachkontrolle ein.
6. Unsichere Kommunikationswege nutzen
Typischer Fehler: Die Abstimmung über den Angriff erfolgt weiterhin über ein möglicherweise kompromittiertes E-Mail-System.
Mögliche Folge: Angreifer können mitlesen, Informationen manipulieren oder weitere betrügerische Nachrichten versenden.
So handeln Sie besser: Stimmen Sie mit Ihren IT-Verantwortlichen einen geeigneten alternativen Kommunikationsweg ab. Halten Sie wichtige Telefonnummern unabhängig vom Firmennetz verfügbar. Legen Sie außerdem fest, wer Beschäftigte, Kunden, Geschäftspartner und gegebenenfalls die Öffentlichkeit informiert. Kommunizieren Sie bestätigte Fakten und kennzeichnen Sie offene Fragen.
7. Meldepflichten und rechtliche Fragen zu spät prüfen
Typischer Fehler: Rechtliche Fragen werden erst behandelt, wenn die technische Untersuchung abgeschlossen ist.
Mögliche Folge: Meldefristen können bereits verstrichen sein. Auch unzulässige Zugriffe auf Beschäftigtendaten oder vorschnelle Verdächtigungen können zusätzliche Probleme verursachen.
So handeln Sie besser: Lassen Sie frühzeitig prüfen, welche gesetzlichen und vertraglichen Pflichten bestehen. Beziehen Sie Datenschutzbeauftragte und bei Bedarf rechtliche Beratung ein. Berücksichtigen Sie gegebenenfalls Beteiligungsrechte des Betriebsrats.
Bei meldepflichtigen Verletzungen des Schutzes personenbezogener Daten ist die zuständige Datenschutzaufsichtsbehörde unverzüglich und möglichst innerhalb von 72 Stunden nach Kenntnisnahme zu informieren. Für besonders wichtige und wichtige Einrichtungen nach dem BSI-Gesetz gelten bei erheblichen Sicherheitsvorfällen unter anderem eine frühe Erstmeldung spätestens innerhalb von 24 Stunden und eine weitere Meldung spätestens innerhalb von 72 Stunden nach Kenntniserlangung.
Prüfen Sie außerdem mögliche Informationspflichten gegenüber betroffenen Personen, Kunden oder Vertragspartnern sowie vertragliche Vorgaben einer Cyberversicherung. Warten Sie mit dieser Prüfung nicht auf die vollständige Aufklärung des Vorfalls.
8. Systeme vorschnell wieder in Betrieb nehmen
Typischer Fehler: Sobald eine Warnmeldung verschwunden ist oder ein Backup eingespielt wurde, wird der reguläre Betrieb wieder aufgenommen.
Mögliche Folge: Der ursprüngliche Angriffsweg besteht weiterhin oder kompromittierte Konten ermöglichen einen erneuten Zugriff.
So handeln Sie besser: Planen Sie die Wiederherstellung gemeinsam mit Ihren IT-Fachleuten. Lassen Sie prüfen, ob die Angriffswege geschlossen, betroffene Zugänge abgesichert und die wiederherzustellenden Daten geeignet sind. Nehmen Sie Systeme kontrolliert wieder in Betrieb und überwachen Sie diese auf neue Auffälligkeiten.
Nach dem Vorfall: Erfahrungen nutzen
Besprechen Sie nach der akuten Bewältigung, was gut funktioniert hat und wo es Schwierigkeiten gab. Aktualisieren Sie Ihren Notfallplan, Ihre Kontaktlisten und Ihre Schutzmaßnahmen. Üben Sie die Abläufe regelmäßig – damit beim nächsten Vorfall weniger improvisiert werden muss.