Die ersten 60 Minuten nach einem Sicherheitsvorfall: Was Sie tun sollten

In dem Moment, in dem Sie merken, dass etwas nicht stimmt, sei es eine Ransomware-Nachricht, ein Alarm Ihrer Überwachung, ein Kunde, der Betrug meldet, oder ein Admin-Konto, das sich merkwürdig verhält, ist der erste Impuls entweder Panik oder sofort alle Stecker zu ziehen. Beide Reaktionen sind verständlich, und beide können die Lage verschlimmern. Hier ist, was in dieser ersten Stunde tatsächlich hilft.

Erstens: Zerstören Sie keine Beweise durch Neustarts oder Neuinstallationen betroffener Systeme, so verlockend es auch ist, „es einfach zu reparieren“. Forensische Beweise dafür, wie ein Angreifer eingedrungen ist und was er berührt hat, liegen oft im Arbeitsspeicher und in Logs, die ein Neustart löschen kann. Wenn Sie nicht sicher sind, ob ein System sicher weiterlaufen kann, isolieren Sie es vom Netzwerk, statt es herunterzufahren. Ziehen Sie das Netzwerkkabel oder deaktivieren Sie die Netzwerkschnittstelle, nicht den Strom.

Zweitens: Eindämmen, nicht alles in Panik abschalten. Die Isolierung der konkret betroffenen Systeme vom Netzwerk stoppt den Zugriff des Angreifers, ohne die Beweise zu zerstören, die Sie brauchen, um zu verstehen, was passiert ist. Die gesamte Umgebung auf einmal herunterzufahren ist selten notwendig und verursacht oft mehr operativen Schaden als der Vorfall selbst.

Drittens: Beginnen Sie sofort eine Zeitleiste, auch nur grob in einer einfachen Textdatei: was Sie wann beobachtet haben und welche Maßnahmen Sie seitdem ergriffen haben. Das wirkt in dem Moment bürokratisch, wird aber innerhalb von Stunden unverzichtbar: für Ihr eigenes Incident-Response-Team, für die Rechtsabteilung und möglicherweise für Aufsichtsbehörden oder Versicherer, die genau danach fragen werden.

Viertens: Holen Sie die richtigen Personen an den Tisch, bevor die falschen involviert werden. Das bedeutet Ihren Incident-Response-Kontakt (intern oder extern) und meist frühzeitig auch die Rechtsabteilung, bevor es eine öffentliche Stellungnahme gibt, bevor Sie betroffene Kunden informieren und generell bevor Sie Strafverfolgungsbehörden einschalten, damit diese Schritte in der richtigen Reihenfolge mit der richtigen Beratung erfolgen. Das bedeutet nicht, den Vorfall unternehmensweit zu verbreiten, bevor Sie dessen Umfang verstehen. Unüberlegte, unzureichend informierte Kommunikation in der ersten Stunde sorgt meist für Verwirrung, die die Verantwortlichen den nächsten Tag damit verbringen, wieder aufzulösen.

Fünftens: Gehen Sie davon aus, dass Sie den vollen Umfang noch nicht kennen, denn das tun Sie nicht. Es ist verlockend, innerhalb der ersten Stunde zu erklären, „nur dieses eine System war betroffen“. Die anfängliche Sichtbarkeit ist fast immer unvollständig. Behandeln Sie frühe Einschätzungen als Arbeitshypothese, die durch Untersuchung bestätigt werden muss, nicht als Schlussfolgerung, die Sie nach außen kommunizieren.

Sechstens: Bewahren Sie auf, untersuchen Sie nicht selbst, außer Sie haben tatsächlich eigene forensische Kapazitäten. Gut gemeintes Herumprobieren durch unerfahrene Mitarbeiter ist eine der häufigsten Arten, wie Beweise verunreinigt oder zerstört werden. Wenn Sie einen Bereitschaftsvertrag mit einem Incident-Response-Anbieter haben, ist jetzt der Moment, ihn anzurufen. Der Wert eines solchen Vertrags liegt genau darin, dass dieser Anruf in Minute fünf erfolgt, nicht nach einem Tag, an dem Ihr eigenes Team allein versucht hat, es herauszufinden.

Die Unternehmen, die einen Sicherheitsvorfall am besten überstehen, sind nicht die, die niemals betroffen sind. Irgendwann wird jeder zum Ziel. Es sind die, die einen Plan für die erste Stunde hatten, bevor sie ihn brauchten, sodass diese Stunde damit verbracht wird, einen Plan umzusetzen, statt darüber zu diskutieren, was zu tun ist.