IT-Notfälle bewältigen: Was im Mittelstand vorher geregelt sein muss

Tobias Mogk

Managing Director, Cyber Resilience

Nicht jede Störung ist ein Angriff. Das BSI weist ausdrücklich darauf hin, dass nicht jede Fehlfunktion von Hard- oder Software auf einen Cyberangriff zurückgeht. Umgekehrt zeigen sich viele Angriffe zunächst wie eine gewöhnliche Störung: ein Server, der nicht antwortet, Dateien, die sich nicht öffnen lassen. Ob daraus ein beherrschbarer Vorfall wird oder ein wochenlanger Ausfall, entscheidet sich zu einem großen Teil vorher. Dieser Beitrag zeigt IT-Leitung und Geschäftsführung, was vor dem ersten IT-Notfall geregelt sein sollte. Er folgt dem Maßnahmenkatalog des BSI, der das Thema in vier Phasen gliedert: Vorbereitung, Bereitschaft, Bewältigung und Nachbereitung.

Am Anfang steht die Meldung

Am Anfang jedes IT-Notfalls steht eine Meldung, und die kommt meist nicht aus der IT, sondern aus einem Fachbereich. Das BSI stellt dafür die IT-Notfallkarte bereit, einen Aushang für die Arbeitsplätze. Sie enthält ein Feld für die Notfallnummer, sechs Fragen für die Meldung und drei Verhaltensregeln. Die Fragen lauten sinngemäß: Wer meldet? Welches System ist betroffen? Wie wurde damit gearbeitet? Was wurde beobachtet? Wann trat das Ereignis ein? Wo steht das System? Die Regeln: die Arbeit am System einstellen, Beobachtungen dokumentieren, Maßnahmen nur nach Anweisung einleiten.

Die Karte ist schnell aufgehängt. Die eigentliche Arbeit steckt in der Frage, wer unter der Nummer abhebt. Das BSI empfiehlt, einen Erstkontakt festzulegen, das kann geschultes eigenes Personal oder ein IT-Dienstleister sein, und dessen Erreichbarkeit zu den relevanten Arbeitszeiten sicherzustellen. Wer im Schichtbetrieb produziert, hat andere relevante Arbeitszeiten als ein Büro. Und wenn die Notfallnummer die Durchwahl der IT-Leitung ist, gibt es während deren Urlaub keine Notfallnummer.

Was vor dem ersten Notfall stehen sollte

Der Maßnahmenkatalog des BSI umfasst nur drei Seiten und lohnt die Lektüre. Übertragen auf den Mittelstand ergeben sich vor allem diese Punkte:

• Zuständige für Informationssicherheit und für Notfallmanagement benennen, nach Empfehlung des BSI möglichst nicht in Personalunion.
• Die zeitkritischen Geschäftsprozesse kennen. Das BSI empfiehlt dafür eine Business-Impact-Analyse; ohne sie ist jede Reihenfolge beim Wiederanlauf geraten.
• Mit dem IT-Dienstleister klären, bei welchen Vorfällen er unterstützt. Ein Betriebsvertrag mit Reaktionszeiten für Störungen ist keine Zusage für Forensik und Wiederaufbau nach einem Angriff.
• Einen spezialisierten Dienstleister für Vorfälle vorab auswählen und Kontakt aufnehmen.
• Eine Kontaktliste mit Vorabsprachen zu Erreichbarkeit und Verfügbarkeit führen.
• Netzplan und Inventar so aktuell halten, dass sich ein Externer darin zurechtfindet, und eine Kopie offline aufbewahren.
• Backups regelmäßig erstellen und die Wiederherstellung testen, nicht nur die Sicherung.
• Meldewege für Datenschutz und gegebenenfalls NIS2 vorbereiten.

Wen Sie konkret auf die Kontaktliste setzen und was Sie mit Dienstleister und Versicherung vorher vereinbaren sollten, beschreiben wir im Beitrag zur Notfall-Bereitschaft vor dem Cyberangriff.

Die ersten Stunden: Reihenfolge statt Aktionismus

Das BSI hat gemeinsam mit Partnern die „TOP 12 Maßnahmen bei Cyber-Angriffen" veröffentlicht, formuliert als Fragen, die sich IT-Verantwortliche stellen sollten. Für die ersten Stunden lässt sich daraus eine Reihenfolge ableiten:

1. Bewerten: Handelt es sich um einen Angriff oder um einen technischen Defekt?
2. Das Ausmaß feststellen: Welche Systeme sind betroffen, wie weit hat es sich ausgebreitet?
3. Betroffene Systeme vom Netz und vom Internet trennen. Das BSI rät, das Netzwerkkabel zu ziehen, die Geräte aber nicht herunterzufahren und sich keinesfalls mit Administratorkonten an möglicherweise infizierten Systemen anzumelden.
4. Backups stoppen und vor weiteren Zugriffen schützen.
5. Spuren sichern: Systemprotokolle, Log-Dateien, Notizen, Fotos von Bildschirminhalten.
6. Alle Maßnahmen dokumentieren und mit den Beteiligten abstimmen.
7. Die zeitkritischen Geschäftsprozesse im Blick behalten.
8. Nach Abstimmung Polizei und zuständige Behörden informieren.

Ein typischer Fehler in dieser Phase ist Eile an der falschen Stelle. Das BSI warnt davor, nur das erste auffällige System zu bereinigen. Angreifer haben in manchen Fällen weitere Zugänge angelegt und kommen darüber zurück, sobald das Netz wieder läuft.

Was die Fachbereiche ohne IT tun

Während die IT analysiert, sitzen in den Fachbereichen Menschen, die nicht arbeiten können. Das BSI rät, für sie sinnvolle Aufgaben zu finden und einen Notbetrieb einzurichten. Das gelingt nur, wenn er vorbereitet ist. Wie werden Aufträge angenommen, wenn das ERP-System ausfällt? Gibt es eine ausgedruckte Liste der offenen Lieferungen? Wie erreicht die Disposition die Spedition, wenn E-Mail und Telefonanlage ausfallen? Für die Kommunikation empfiehlt das BSI Ersatzgeräte wie Mobiltelefone und Laptops mit mobilem Hotspot.

Rechnen Sie außerdem mit Nacharbeiten. Der BSI-Standard 200-4 beschreibt, dass nach dem Notbetrieb manuell erfasste Daten digitalisiert, Rückstände abgearbeitet und Datenbestände zwischen Systemen abgeglichen werden müssen. Diese Phase ist arbeitsintensiv und wird in Planungen gern vergessen.

Wiederanlauf und Nachbereitung

Welche Systeme zuerst zurückkommen, sollte nicht im Notfall entschieden werden. Die Reihenfolge ergibt sich aus der Business-Impact-Analyse, und die wichtigste Größe darin ist, was ein Ausfall Ihres wichtigsten Prozesses kostet. Wie Sie das berechnen, zeigt unser Beitrag zu den Kosten eines Produktionsstillstands. Wie Wiederanlaufpläne und Rollen zwischen IT und Krisenstab aufgebaut sein sollten, beschreibt der Beitrag zu Runbooks und Rollen.

Nach einem Angriff reicht es nicht, Daten aus der Sicherung zurückzuspielen. Das BSI empfiehlt, kompromittierte Systeme neu aufzusetzen und die Daten erst in ein bereinigtes Netz zurückzuholen. Danach sollten Netz und Systeme eine Zeit lang besonders intensiv überwacht werden, um einen erneuten Versuch früh zu erkennen. Die aufgedeckten Schwachstellen werden geschlossen, die Notfalldokumentation wird aktualisiert. Eine Nachbesprechung mit allen Beteiligten gehört dazu: Was hat funktioniert, was nicht, was ändern wir?

Wo Sie anfangen

Wenn Sie heute bei null stehen, beginnen Sie mit drei Dingen. Hängen Sie die IT-Notfallkarte mit einer Nummer aus, unter der wirklich jemand erreichbar ist. Legen Sie eine Kontaktliste an, die auch ohne Firmennetz verfügbar ist. Und sprechen Sie mit Ihrem IT-Dienstleister darüber, was er im Angriffsfall leistet und was nicht. Alles Weitere, von der Business-Impact-Analyse bis zur ersten Übung, baut darauf auf.