Incident Response Plan

Es ist drei Uhr morgens, oder fünf, oder acht. Das Telefon klingelt.

Ein Server ist ausgefallen. Mitarbeitende können sich nicht mehr anmelden. Kunden melden Probleme. Vielleicht ist es ein technischer Fehler. Vielleicht steckt mehr dahinter.

In diesem Moment zeigt sich, ob ein Unternehmen vorbereitet ist oder nicht. Dann trennt sich die Spreu vom Weizen, wie man so schön sagt.

Denn in den ersten Minuten nach einem Sicherheitsvorfall passiert fast immer dasselbe: Jemand versucht herauszufinden, was überhaupt los ist. Jemand sucht nach Telefonnummern. Jemand schlägt vor, den Server sofort herunterzufahren. Jemand anderes sagt, man solle zuerst die Geschäftsleitung informieren.

Und während alle diskutieren, läuft die Uhr. Genau deshalb braucht jedes Unternehmen einen Incident-Response-Plan.

Die gute Nachricht: Er muss nicht kompliziert sein. Für die meisten KMU reicht eine einzige Seite.

Man muss es halt nur machen.

‍

Die erste Stunde entscheidet

Bei Sicherheitsvorfällen zählt nicht primär, was am nächsten Tag passiert. Entscheidend ist oft die erste Stunde. In dieser Zeit entscheidet sich unter anderem, ob sich ein Angreifer weiter im Netzwerk ausbreiten kann, ob wichtige Beweise gesichert werden oder verloren gehen und ob alle Beteiligten wissen, was zu tun ist.

Und vor allem: wie gross der Schaden wird.

Unternehmen mit einem klaren Plan können innerhalb weniger Minuten reagieren. Unternehmen ohne Plan verlieren häufig Stunden, manchmal auch Tage.

Bei einem Cybervorfall können diese Stunden den Unterschied zwischen einem überschaubaren Problem und einer echten Krise ausmachen.

‍

Warum viele Incident-Response-Pläne nie funktionieren

Interessanterweise haben viele Organisationen bereits einen Plan, vor allem die grösseren Firmen. Nur nutzt ihn niemand. Und vielleicht kennen ihn auch die wenigsten. Der Grund ist meistens nicht fehlender Wille. Der Grund ist, dass die Pläne zu kompliziert sind.

100 Seiten Dokumentation.

Dutzende Szenarien.

Unzählige Prozesse und Ausnahmen.

Im Ernstfall liest das niemand.

Ein guter Incident-Response-Plan muss nicht alles erklären. Er muss den Menschen helfen, die ersten richtigen Entscheidungen zu treffen.

Mehr nicht.

‍

Was auf eine Seite gehört

Für die meisten KMU reichen einige wenige, klar definierte Bereiche.

‍

1. Die Kontaktliste

Wer muss informiert werden? Und vor allem: Wer darf in einer Krisensituation welche Entscheidungen treffen?

Dazu gehören typischerweise:

• Verantwortliche IT-Person
• Externer IT- oder Security-Partner
• Entscheidungsträger im Unternehmen
• Wichtige Zulieferer oder Dienstleister
• Rechtliche Beratung, die bei Bedarf beigezogen werden kann
• Cyberversicherung
• Falls vorhanden: Krisenmanagement

Die Telefonnummern müssen direkt auf dem Plan stehen.

Nicht in einem System, auf das man im Notfall vielleicht gar keinen Zugriff mehr hat.

Und es sollte klar sein, wer wen informiert. Nicht jeder muss bei jedem Vorfall sofort geweckt werden.

‍

2. Die ersten 30 Minuten

Die wichtigste Phase eines Vorfalls ist häufig die erste halbe Stunde.

Dafür braucht es eine einfache Checkliste, keine 100-seitigen Dokumente.

• Betroffene Systeme isolieren
• Systeme nicht vorschnell herunterfahren
• Keine Daten löschen
• Screenshots und erste Beweise sichern
• Externe Unterstützer kontaktieren
• Verantwortliche Entscheidungsträger informieren

Unter Stress sind selbst offensichtliche Dinge schnell vergessen.

Genau deshalb funktionieren Checklisten so gut.

‍

‍

3. Die ersten zwei Stunden

Sobald die Lage mehr oder weniger stabil ist, beginnt die eigentliche Analyse.

Fragen, die beantwortet werden müssen:

• Was ist passiert?
• Welche Systeme sind betroffen?
• Gibt es Hinweise auf Datenabfluss?
• Wie aktuell sind die Backups?
• Welche Geschäftsprozesse sind beeinträchtigt?

Jetzt geht es darum, das Ausmass des Vorfalls zu verstehen.

‍

4. Rechtliche Anforderungen

Cybervorfälle sind nicht nur technische Ereignisse. Je nach Situation entstehen auch rechtliche Verpflichtungen.

Datenschutz.

Meldepflichten.

Vertragliche Verpflichtungen gegenüber Kunden.

Deshalb sollte der Plan klar festhalten, wer diese Fragen beurteilt und wann rechtliche Unterstützung beigezogen wird.

Nicht jede technische Störung braucht einen Anwalt. Bei einem echten Sicherheitsvorfall sollte aber klar sein, wer diese Frage entscheidet.

‍

5. Wiederherstellungsprioritäten

Nach einem Vorfall möchte jeder alles gleichzeitig wiederherstellen.

Das funktioniert selten.

Deshalb sollte bereits im Voraus festgelegt werden, welche Systeme für das jeweilige Unternehmen wirklich kritisch sind.

Das kann je nach KMU sehr unterschiedlich aussehen. Für ein Unternehmen ist E-Mail zentral. Für ein anderes sind es Kundenportale, Finanzsysteme oder eine bestimmte Geschäftsanwendung.

Wichtig ist deshalb weniger eine allgemeingültige Reihenfolge als eine klare Priorisierung für das eigene Unternehmen.

Zum Beispiel:

Priorität 1:

Systeme, die für den laufenden Betrieb unmittelbar kritisch sind

Priorität 2:

Wichtige Kommunikations-, Finanz- und interne Arbeitssysteme

Priorität 3:

Testumgebungen, Archive und andere nicht geschäftskritische Anwendungen

Je klarer diese Reihenfolge definiert ist, desto schneller läuft die Wiederherstellung.

‍

6. Kommunikation

Viele Unternehmen konzentrieren sich ausschliesslich auf die Technik.

Dabei entstehen die grössten Probleme oft durch schlechte Kommunikation.

Wer informiert die Mitarbeitenden?

Wer spricht mit Kunden?

Wer kommuniziert mit Behörden oder Medien?

Wer darf überhaupt Aussagen machen – und welche Aussagen dürfen gemacht werden?

Auch dafür braucht es klare Regeln.

Im Zweifelsfall gilt:

Früh informieren.

Transparent bleiben.

Spekulationen vermeiden.

Und vor allem: Nicht fünf verschiedene Personen fünf verschiedene Versionen der Geschichte erzählen lassen.

‍

7. Dokumentation

Ein Fehler taucht bei fast jedem Vorfall auf: Niemand dokumentiert sauber, was passiert.

Dabei ist genau diese Dokumentation später entscheidend.

Für die technische Analyse.

Für die Versicherung.

Für mögliche rechtliche Verfahren.

Und für die Frage, was man beim nächsten Mal besser machen kann.

Deshalb sollte jede wichtige Massnahme festgehalten werden:

• Wer hat was wann entschieden?
• Welche Systeme waren betroffen?
• Welche Schritte wurden durchgeführt?
• Wann wurden externe Stellen kontaktiert?

Je besser die Dokumentation, desto einfacher die spätere Aufarbeitung.

‍

Der Plan allein genügt nicht

Ein Incident-Response-Plan, der in einer Schublade liegt, schützt niemanden.

Er muss bekannt sein.

Er muss aktuell sein.

Und er muss regelmässig getestet werden.

Das Wichtigste dabei: Jeder Plan sollte mindestens einmal pro Jahr praktisch durchgespielt werden. Dafür braucht es nicht einmal einen echten Vorfall. Ein einfacher Tabletop-Workshop reicht oft schon aus.

Man spielt gemeinsam einen möglichen Cybervorfall durch und stellt die unangenehmen Fragen:

Wer ruft wen an?

Wer entscheidet?

Welche Systeme werden zuerst isoliert?

Was wird wiederhergestellt?

Wer informiert die Kunden?

Wer darf mit Behörden oder Medien sprechen?

Und welche Aussagen dürfen überhaupt gemacht werden?

Dabei zeigt sich fast immer, wo Lücken bestehen.

Genau dafür ist der Test da.

Denn ein Plan, den niemand ausprobiert hat, ist letztlich nur eine Annahme.

‍

Warum sich der Aufwand lohnt

Ein guter Incident-Response-Plan verhindert keine Cyberangriffe. Aber er verhindert viele der Fehler, die nach einem Angriff passieren. Er reduziert Panik.Er verkürzt Reaktionszeiten. Er verbessert die Kommunikation. Er hilft dabei, regulatorische Anforderungen einzuhalten.

Und er erhöht die Wahrscheinlichkeit, dass ein Unternehmen schnell wieder arbeitsfähig wird.

Das klingt unspektakulär und nicht besonders glamourös.

Aber es funktioniert.

Viele Unternehmen glauben, sie bräuchten einen komplexen Incident-Response-Prozess mit dicken Handbüchern und detaillierten Ablaufdiagrammen.

Die Realität sieht oft anders aus. Für die meisten KMU reicht aber eine einzige Seite:

Eine Kontaktliste. Ein paar klare Checklisten. Festgelegte Verantwortlichkeiten. Prioritäten für die Wiederherstellung. Regeln für die Kommunikation.

Und ein jährlicher Test.

Wenn es um drei Uhr morgens klingelt, ist das meist deutlich wertvoller als jedes 100-seitige Handbuch.

Wir wünschen aber trotzdem einen erholsamen Schlaf.

‍