IT-Notfallkoffer

Fragen & Antworten rund um den IT-Sicherheitsvorfall

Was versteht man unter einem "IT-Sicherheitsvorfall"?

Ein Ereignis analog einem Notfall, das die Vertraulichkeit, Verfügbarkeit und Integrität der Informationen, Geschäftsprozesse, IT-Dienste, IT-Systeme oder IT-Anwendungen, für welche Sie einen hohen oder sehr hohen Schutzbedarf definiert haben, in Ihrem Unternehmen / Ihrer Organisation derart beeinträchtigt, dass ein großer Schaden für Ihr Unternehmen / Ihre Organisation / Ihre Kunden oder Geschäftspartner entstehen kann.

Wie erkenne ich einen IT-Sicherheitsvorfall?

Kurz gesagt: Nicht jedes auffällige Ereignis ist auch ein Sicherheitsvorfall. Ernst wird die Lage aber meist dann, wenn:
  • die Vertraulichkeit Ihrer Daten nicht mehr gewährleistet ist (Jemand hat ihre Daten „geklaut“, oder Sie haben aus Versehen eine wichtige E-Mail an einen falschen Empfänger versendet.)
  • die Verfügbarkeit betroffen ist (Ihr wichtiger E-Commerce-Server ist plötzlich nicht mehr erreichbar, oder eine Festplatte mit kritischen Daten ist defekt.)
  • oder die Integrität nicht mehr gewährleistet ist (Plötzlich stimmt Ihre Buchhaltung nicht mehr, oder einer Ihrer Computer ist von einem Trojaner befallen.)
Sie sollten daher besonders in Bezug auf Ihre wichtigen IT-Systeme und Daten aufmerksam sein und auch Ihr Team motivieren, mit Auffälligkeiten offen umzugehen. Im Zweifel helfen Ihnen Ihr IT-Administrator oder andere IT-Experten bei einer Ersteinschätzung der Lage. Wichtig ist: schnell und angemessen reagieren.

Typische Fragen bei einem IT-Sicherheitsvorfall

Besonders in kleineren Unternehmen tauchen oft ähnliche Fragen auf:
  • Wen rufe ich „im Ernstfall“ am besten an?
  • Wie merke ich, dass ich angegriffen werde oder wurde?
  • Wie kann ich meine IT-Dienstleister am schnellsten erreichen?
  • Wie soll ich vorgehen und was in welcher Reihenfolge durchführen?
  • Wem kann ich dabei trauen und wem nicht?
  • Bei wem bekomme ich Rat?
Und nicht selten am drängendsten:
  • Welcher Schaden ist entstanden oder kann noch entstehen,
  • wie kann ich weiteren Schaden vermeiden und
  • wie teuer wird es für mich?
Optimal ist es, wenn Sie diese Fragen vor einem möglichen Vorfall einmal „im Geiste“ durchspielen. Wie gut sind Sie vorbereitet?

Ein Verschlüsselungstrojaner (Ransomware) hat bei mir zugeschlagen. Was nun?

Bei einem Ransomware-Angriff werden Daten oder IT-Systeme verschlüsselt und erst gegen Zahlung eines Lösegeldes wieder freigegeben – zumindest versprechen dies die Angreifer. Häufig werden zuvor auch vertrauliche Daten gestohlen und mit deren Veröffentlichung gedroht.
Jetzt kommt es darauf an, schnell und überlegt zu handeln:
  • Betroffene Systeme isolieren: Trennen Sie infizierte Computer und Server möglichst umgehend vom Netzwerk, um eine weitere Ausbreitung zu verhindern. Stimmen Sie weitere Schritte mit Ihren IT-Verantwortlichen ab.
  • Fachleute einschalten: Informieren Sie Ihre IT-Abteilung oder Ihren IT-Dienstleister. Bei größeren Vorfällen sollten spezialisierte IT-Forensiker hinzugezogen werden.
  • Beweise sichern: Löschen Sie nicht vorschnell Daten oder Schadsoftware. Protokolldateien und andere digitale Spuren können für die Aufklärung entscheidend sein.
  • Backups prüfen: Aktuelle, vom Unternehmensnetz getrennte und regelmäßig getestete Datensicherungen sind die wichtigste Grundlage für eine Wiederherstellung. Vor dem Zurückspielen muss sichergestellt werden, dass die Systeme bereinigt und mögliche Sicherheitslücken geschlossen wurden.
  • Meldepflichten beachten: Prüfen Sie, ob eine Meldung an Datenschutz- oder IT-Sicherheitsbehörden erforderlich ist. Je nach Vorfall können kurze gesetzliche Fristen gelten.
Sollte man Lösegeld zahlen?
Von Lösegeldzahlungen wird grundsätzlich abgeraten. Es gibt keine Garantie, dass die Angreifer die Daten tatsächlich entschlüsseln oder gestohlene Informationen nicht veröffentlichen. Zudem unterstützt eine Zahlung die kriminellen Geschäftsmodelle.
In manchen Fällen stehen kostenlose Entschlüsselungswerkzeuge zur Verfügung. Die internationale Initiative „No More Ransom“ bietet unter www.nomoreransom.org entsprechende Hilfestellungen.
Wichtig ist in jedem Fall, die Ursache des Angriffs zu ermitteln und bestehende Sicherheitslücken zu schließen, bevor IT-Systeme wieder in Betrieb genommen werden.

Muss ich einen IT-Sicherheitsvorfall melden?

Nicht jeder IT-Sicherheitsvorfall ist automatisch meldepflichtig. Abhängig von den betroffenen Daten, dem Unternehmen und den Auswirkungen des Vorfalls können jedoch gesetzliche Meldepflichten bestehen.
Datenschutz (DSGVO): Sind personenbezogene Daten betroffen, muss geprüft werden, ob eine Meldung an die zuständige Datenschutzaufsichtsbehörde erforderlich ist. Diese muss gegebenenfalls unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden erfolgen. Bei einem hohen Risiko für die Betroffenen müssen unter Umständen auch diese informiert werden.
IT-Sicherheitsrecht (NIS-2): Für Unternehmen, die unter die entsprechenden gesetzlichen Regelungen fallen, bestehen zusätzliche Meldepflichten bei erheblichen Sicherheitsvorfällen. Vorgesehen sind unter anderem eine frühe Erstmeldung innerhalb von 24 Stunden und eine weiterführende Meldung innerhalb von 72 Stunden. Zuständige Meldestelle ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).
Auch vertragliche Informationspflichten gegenüber Kunden, Versicherungen oder Geschäftspartnern können relevant sein.
Unternehmen sollten deshalb bereits in ihrem IT-Notfallplan festlegen, wer die rechtliche Bewertung eines Vorfalls übernimmt und welche Stellen gegebenenfalls informiert werden müssen.

Wer kann bei einem IT-Sicherheitsvorfall helfen?

Um erfolgreich auf einen IT-Sicherheitsvorfall reagieren zu können, bedarf es interdisziplinärer Kompetenzen. Haben Sie dazu schon an die nachfolgenden Ansprechpartner gedacht?

Eigene Kräfte - das Steuer in der Hand behalten

  • IT-Sicherheitsbeauftragter (wenn in Ihrem Unternehmen organisiert)
  • Datenschutzbeauftragter (wenn in Ihrem Unternehmen bestellt)
  • das eigene IT-Team

Externer IT-Sachverstand, neutral und objektiv

Technische Betreuung, insbesondere operational

  • IT-Dienstleister
  • IT-Systemhäuser

Rechtliche Fragen, z.B. Arbeitsrecht, Strafrecht

  • Rechtsanwälte

Krisenreaktion

  • PR-Berater

Aufklärung von Straftaten und behördliche Beratung

Teile diese Auflistung entstanden im Rahmen des "IT-Sicherheitstages NRW" mit Unterstützung von Kompetenz in IT-Forensik - DigiTrace GmbH