Inhaltsverzeichnis
- Angriff beginnt unauffällig
- Abwehr verschafft Zeit, keine Garantie
- Technik endet, Vorsorge beginnt
- Plan aus Daten statt Dokumenten
- Klein anfangen, verbessern
Wer an einen Cyberangriff denkt, hat meist den einen dramatischen Moment vor Augen: Bildschirme werden schwarz, eine Lösegeldforderung erscheint. Doch dieser Moment ist nur das Ende einer langen Geschichte. Ihr Anfang ist leise, oft unscheinbar und genau deshalb so gefährlich. Für Unternehmen stellt sich am Ende immer dieselbe Frage: Wie bleiben wir handlungsfähig, wenn nichts mehr funktioniert?
Ein Angriff beginnt fast immer unauffällig
Der Einstieg ist selten spektakulär: eine gut gemachte Phishing-Mail, ein Passwort aus einem früheren Datenleck oder ein vergessener, ungepatchter Server. Ist der Angreifer einmal im Netz, richtet er sich in Ruhe ein, baut eine verdeckte Verbindung nach außen auf und erweitert seine Berechtigungen Schritt für Schritt.
Das Tückische daran: Von außen sieht vieles nach ganz normalem Betrieb aus. Der Angreifer meldet sich mit echten Zugangsdaten an und nutzt die Werkzeuge, die auch die eigene IT-Abteilung verwendet – so unauffällig wie ein Kollege bei der Arbeit.
Von System zu System tastet er sich weiter vor, auf der Suche nach Administratorkonten, Datensicherungen und verwertbaren Informationen. Zwischen dem ersten Zugriff und dem tatsächlichen Schaden vergehen nicht selten Wochen. Erst dann werden Daten abgezogen oder Systeme verschlüsselt und zwar gezielt bei den geschäftskritischen Prozessen, deren Ausfall den Betrieb unmittelbar trifft.
Spuren gibt es durchaus: Anmeldungen zu untypischen Zeiten, neu vergebene Administratorrechte oder ungewöhnlich viele Dateizugriffe sind einzeln unauffällig, in der Summe aber ein klares Muster. Sichtbar wird es erst, wenn solche Ereignisse zusammengeführt und ausgewertet werden, etwa über eine zentrale Protokollauswertung. Viele Angriffe laufen deshalb bewusst außerhalb der Geschäftszeiten, an Wochenenden oder vor Feiertagen, wenn die Überwachung dünner besetzt ist.
Gute Abwehr verschafft Zeit, aber keine Garantie
Natürlich lässt sich vieles vorbeugen. Mehr-Faktor-Authentifizierung macht gestohlene Passwörter weitgehend wertlos, das Prinzip der minimalen Rechte verhindert, dass ein einzelnes kompromittiertes Konto das ganze Netz öffnet. Eine durchdachte Segmentierung bremst die Ausbreitung, aktuelle Systeme und aufmerksame Mitarbeitende schließen weitere Türen.
Kommt es dennoch zum Angriff, zählt jede Minute: betroffene Geräte isolieren, Konten sperren, die Ausbreitung eindämmen. All das ist unverzichtbar, aber einen vollständigen Schutz gibt es nicht. Irgendwann kommt der Tag, an dem ein Angriff trotz aller Schutzmaßnahmen gelingt, und dann entscheidet die Vorbereitung.
Wo die Technik endet, beginnt die Vorsorge
Der Angriff ist längst gelaufen, die Systeme sind verschlüsselt. Jetzt steht nicht im Vordergrund, wie der Angreifer hereinkam, sondern was als Nächstes geschieht und genau hier beginnt das Zögern. In welcher Reihenfolge laufen die kritischen Geschäftsprozesse wieder an? Wer darf den Wiederanlauf freigeben, wer vertritt, und über welchen Alarmierungsweg erreicht man die Belegschaft, wenn E-Mail und Firmennetz selbst betroffen sind? Diese Fragen zu beantworten ist Aufgabe des Business Continuity Management (BCM).
Nicht die Technik kostet jetzt die entscheidenden Stunden, sondern ein fehlender Plan. Das Wissen dazu ist meist vorhanden, der wunde Punkt ist ein anderer: Ein Notfallplan ist nur so gut wie sein aktueller Stand.
Denn die meisten Notfallpläne liegen als Sammlung einzelner Word- und Excel-Dateien vor. Dieselbe Angabe, eine Rufnummer, ein Stellvertreter, die Abhängigkeit eines Prozesses von einem bestimmten Server, steht dann an mehreren Stellen zugleich: im Notfallhandbuch, in der Kontaktliste, im Wiederanlaufplan. Je mehr Dateien, desto größer das Risiko, dass eine Änderung, z. B. ein Wechsel, eine neue Nummer, ein anderer Dienstleister, nicht überall nachgezogen wird.
Auf dem Papier bleibt der Plan vollständig, einzelne Angaben können aber veralten, ohne dass es auffällt. Bemerkt wird das oft erst im Ernstfall, wenn eine Nummer ins Leere läuft oder die genannte Vertretung nicht mehr im Haus ist.
Der Plan muss aus Daten entstehen, nicht aus Dokumenten
Robust wird ein Notfallplan erst, wenn die Daten die Grundlage bilden und die Dokumente daraus entstehen. Statt vieler parallel gepflegter Dateien gibt es dann eine einzige Datenbasis, in der Prozesse, Rollen, Abhängigkeiten und Kontakte jeweils nur einmal stehen. Notfallhandbuch, Kontaktkarten und Wiederanlaufplan werden daraus erzeugt und ergeben zusammen den Notfallplan – widerspruchsfrei, weil sie aus derselben Quelle stammen. Eine Änderung ist damit überall angepasst, das Suchen und Abgleichen über verschiedene Dateien entfällt.
Dieselbe Datenbasis trägt mehr als die Dokumente. In einer Business Impact Analyse (BIA) lässt sich aus Prozessen und Abhängigkeiten herleiten, wie stark ein Ausfall das Geschäft trifft, in welcher Reihenfolge der Wiederanlauf erfolgt und welche angestrebte Wiederanlaufzeit (RTO) jeder Prozess hat, berechnet statt geschätzt. Dabei treten auch Schwachstellen hervor, etwa ein zeitkritischer Prozess, der an einer einzigen, nicht redundanten Ressource hängt – ein Single Point of Failure.
Eine laufende Prüfung meldet zudem, was noch fehlt oder sich widerspricht, bis hin zu einer klaren Aussage über die Freigabereife. Und weil die Rollen nur einmal gepflegt werden, sind es dieselben, die im Ernstfall alarmiert werden müssen: Werden Planung und Alarmierung aus einer Quelle gespeist, lässt sich ein Notfall über einen vom betroffenen Netz unabhängigen Weg auslösen, nachvollziehbar, wer die Meldung bestätigt hat. Diesen Weg gehen wir mit NICA BCM.
Klein anfangen, konsequent verbessern
Der Einstieg muss nicht groß sein. Sinnvoll ist ein priorisierter Start: ein realistisches Angriffsszenario wählen, die kritischen Geschäftsprozesse und ihre Wiederanlaufreihenfolge festlegen, Verantwortliche samt Vertretung mit klaren Befugnissen benennen, einen vom Firmennetz unabhängigen Alarmierungsweg einrichten und das Ganze einmal in einer Tabletop-Übung durchspielen. Schon dieser Durchlauf zeigt, ob die Rufnummern stimmen und Entscheidungen zügig fallen. Aus den Ergebnissen entsteht der nächste Verbesserungsschritt.
So wird aus einem Dokument, das im Schrank verstaubt, eine echte Fähigkeit: Im entscheidenden Moment weiß jeder, was zu tun ist. Das spart Zeit, begrenzt Schäden und hält das Unternehmen handlungsfähig, als notwendige Ergänzung zu jeder technischen Abwehr.