Lesezeit ca. 6 Min.

Ratgeber Cyberangriff: Wie Entscheider im Notfall reagieren


Logo von Computerwoche
Computerwoche - epaper ⋅ Ausgabe 45/2021 vom 02.11.2021

Artikelbild für den Artikel "Ratgeber Cyberangriff: Wie Entscheider im Notfall reagieren" aus der Ausgabe 45/2021 von Computerwoche. Dieses epaper sofort kaufen oder online lesen mit der Zeitschriften-Flatrate United Kiosk NEWS.

Bildquelle: Computerwoche, Ausgabe 45/2021

Ratgeber und Tipps, wie Sie Ihre IT-Systeme besser gegen Cyberrisiken schützen können, finden Sie auf der Website der COMPUTERWOCHE:

Authentifizierung neu gedacht: Zero Trust verstehen und umsetzen www.cowo.de/3547307

Ratgeber: So führen Sie IT-Forensik in der Praxis ein www.cowo.de/3546487

FAQ Cyber-Versicherung: IT-Risiken richtig versichern www.cowo.de/3546440

Sie wurden angegriffen? Damit sind Sie nicht allein, wie aktuelle Zahlen des Digitalverbands Bitkom zeigen. Danach waren in Deutschland 2020 und 2021 fast neun von zehn Unternehmen von Datenklau, Spionage oder Sabotage betroffen. Der wirtschaftliche Schaden summierte sich auf etwa 223 Milliarden Euro pro Jahr. Dass die Angreifer so hohe Schäden anrichten können, liegt unter anderem daran, dass sie häufig lange und ungestört ihrem destruktiven Tun nachgehen konnten, weil die Unternehmen zu spät reagierten. So berichtet etwa das ...

Weiterlesen
epaper-Einzelheft 10,99€
NEWS Jetzt gratis testen
Bereits gekauft?Anmelden & Lesen
Leseprobe: Abdruck mit freundlicher Genehmigung von Computerwoche. Alle Rechte vorbehalten.
Lesen Sie jetzt diesen Artikel und viele weitere spannende Reportagen, Interviews, Hintergrundberichte, Kommentare und mehr aus über 1050 Magazinen und Zeitungen. Mit der Zeitschriften-Flatrate NEWS von United Kiosk können Sie nicht nur in den aktuellen Ausgaben, sondern auch in Sonderheften und im umfassenden Archiv der Titel stöbern und nach Ihren Themen und Interessensgebieten suchen. Neben der großen Auswahl und dem einfachen Zugriff auf das aktuelle Wissen der Welt profitieren Sie unter anderem von diesen fünf Vorteilen:

  • Schwerpunkt auf deutschsprachige Magazine
  • Papier sparen & Umwelt schonen
  • Nur bei uns: Leselisten (wie Playlists)
  • Zertifizierte Sicherheit
  • Freundlicher Service
Erfahren Sie hier mehr über United Kiosk NEWS.

Mehr aus dieser Ausgabe

Titelbild der Ausgabe 45/2021 von Jede Menge Luft in den Geschäftsprozessen. Zeitschriften als Abo oder epaper bei United Kiosk online kaufen.
Jede Menge Luft in den Geschäftsprozessen
Titelbild der Ausgabe 45/2021 von Gartner Tech Trends: Was 2022 auf die CIO-Agenda muss. Zeitschriften als Abo oder epaper bei United Kiosk online kaufen.
Gartner Tech Trends: Was 2022 auf die CIO-Agenda muss
Titelbild der Ausgabe 45/2021 von BSI Lagebericht 2021: Sicherheitslage bleibt kritisch. Zeitschriften als Abo oder epaper bei United Kiosk online kaufen.
BSI Lagebericht 2021: Sicherheitslage bleibt kritisch
Titelbild der Ausgabe 45/2021 von E-Government Monitor 2021: Behörden vermasseln Digitalisierung. Zeitschriften als Abo oder epaper bei United Kiosk online kaufen.
E-Government Monitor 2021: Behörden vermasseln Digitalisierung
Mehr Lesetipps
Blättern im Magazin
SaaS Center of Excellence – der Wildwuchs wird zum Problem
Vorheriger Artikel
SaaS Center of Excellence – der Wildwuchs wird zum Problem
Social-Web -Analyse: Diese Anbieter sind im IT-Sicherheitsmarkt begehrt
Nächster Artikel
Social-Web -Analyse: Diese Anbieter sind im IT-Sicherheitsmarkt begehrt
Mehr Lesetipps

... Security-Unternehmen Deep Instinct in seinem „Voiceof-SecOps“-Report, dass die durchschnittliche weltweite Reaktionszeit auf einen Cyberangriff 20,9 Stunden beträgt, was mehr als zwei Arbeitstagen entspricht. Hierzulande gaben 92 Prozent der befragten Cybersicherheitsexperten in Unternehmen an, dass sie im Durchschnitt mindestens sechs Stunden bräuchten, um auf einen Sicherheitsvorfall zu reagieren.

Über Best Practices für den Fall, dass kriminelle Hacker ins Unternehmensnetz eingedrungen sind, diskutierten CIOs und CSOs auf dem interaktiven IT-Entscheider-Workshop „beyond“ von IDG. Wir bitten um Verständnis, dass wir die Tipps und Empfehlungen der Teilnehmer nur anonym veröffentlichen, um die Sicherheitsstrategien der jeweiligen Unternehmen nicht zu diskreditieren.

Cyberangriff-Checkliste: Erste Schritte im Notfall

Wie also schafft es ein Unternehmen, schnell zu reagieren, wenn es Opfer eines Angriffs wurde? Um im Fall der Fälle nicht kalt erwischt zu werden, sollte ein solcher Notfall nach Meinung der beyond-Teilnehmer mindestens einmal im Jahr geübt werden. Nur so könne sichergestellt werden, dass die ersten und wichtigsten Schritte wirklich sitzen und schnell vonstatten gehen:

→ Logfiles sichern: Etwas befremdlich mag auf den ersten Blick der Ratschlag erscheinen, unverzüglich die Logfiles zu sichern. Doch gerade diese Daten sind unter dem Aspekt der IT-Forensik zur gerichtsverwertbaren Beweissicherung des IT-Vorfalls unbedingt erforderlich. Zudem kann so später im Rahmen einer methodischen Datenanalyse das Vorgehen der Angreifer aufgeklärt werden.

→ Krise zentralisieren, Notfall-Managementteam: Des Weiteren sollte die Krise zu einem unternehmensübergreifenden zentralen Thema gemacht werden, damit alle Beteiligten an einem Strang ziehen. Es dient auch der Reaktionsgeschwindigkeit, wenn ein vorher fest definiertes Krisenmanagement-Team schnell eingreifen kann. Dieses Team nimmt das weitere Vorgehen in die Hand.

→ Kommunikation sicherstellen: Im Notfall die eigene Kommunikationsfähigkeit sicherzustellen – sowohl technisch als auch organisa- torisch – ist eine essenzielle Forderung. Technisch ist das nötig, weil gerade in Zeiten von Voice over IP auch die Telefonie vom Ausfall bedroht ist, da sie ja ein Teil der IT-Infrastruktur ist. Deshalb hat es sich in der Praxis bewährt, bereits im Vorfeld alternative Kommunikationswege zu definieren. In manchen Unternehmen kommt dafür beispielsweise der Signal-Messenger zum Einsatz. Organisatorisch sollte die Kommunikationsabteilung die eigenen Mitarbeiter informieren und beruhigen, um Panik (Angst um die Arbeitsplätze etc.) zu vermeiden sowie Gerüchten und wilden Spekulationen vorzubeugen. Ebenso ist es ratsam, proaktiv nach außen zu informieren, denn die Erfahrung hat gezeigt, dass solche Cyberangriffe fast immer ans Licht kommen. Wer hier die Kommunikationshoheit behält, hat gute Chancen, größere Schäden für die Unternehmensreputation abzuwenden. Und last, but not least, ist das C-Level-Board halbstündig über den aktuellen Stand zu informieren, damit es im Bedarfsfall schnell Entscheidungen treffen kann – etwa über die Zahlung eines Lösegelds im Falle eines Ransomware-Angriffs.

→ Externe Berater hinzuziehen: Wie verhandelt man mit einem Erpresser? Welche juristischen Fragen ergeben sich aus der hochkomplexen Krisensituation? Kaum ein Unternehmen wird das hierfür erforderlich Know-how im eigenen Haus vorhalten. Deshalb sollten externe Berater hinzugezogen werden, die über entsprechendes Spezialwissen verfügen.

→ Meldepflichten beachten: Welche Meldefristen gelten für das eigene Unternehmen gemäß DSGVO/GDPR? Sind gar KRITIS-Bestimmungen einzuhalten? Bei Verstößen drohen hier empfindliche Geldstrafen, die unnötig sind und den finanziellen Schaden nur vergrößern. Daher sollte man sich im Vorfeld nicht nur über Fristen und Pflichten informieren, sondern auch die möglichen beziehungsweise erforderlichen Meldewege eruieren.

→ Analyse des Status quo: Nach diesen vorbereitenden Schritten gilt es, sich systematisch ein Bild vom Ausmaß des Schadens zu verschaffen. Welche Systeme funktionieren noch? Welche Daten sind betroffen? Wie sind die Auswirkungen auf das Business? Ist die eigene Lieferfähigkeit bedroht, müssen Kunden informiert werden? Wie lange wird eine Behebung der Störung dauern? Ist ein Notfallbetrieb möglich, um zumindest in Teilen produzieren zu können?

Auf Cyberattacken reagieren: Vorbereitungen treffen

Damit im Notfall diese Schritte wirklich erfolgreich durchgeführt werden können, reicht es nicht aus, nur zu üben. Möglichst viele der Schritte sollten bereits in normalen Zeiten vorbereitet werden, damit sie wie nach einem Drehbuch ablaufen können. Ähnlich den Emergency-Checklisten eines Flugzeugs hilft hierbei ein detailliertes Handbuch mit Notfallplänen zu verschiedenen Krisenszenarien.

Geradezu kontraproduktiv ist es, wenn die Mitglieder des Notfallteams erst im Krisenfall bestimmt werden. Das kostet nur wertvolle Zeit. Bei der Auswahl der Teammitglieder sollten hierarchische Aspekte eine untergeordnete Rolle spielen, hier geht es darum, das richtige Know-how am Tisch zu haben.

Im Team selbst sind Rollen für verschiedene Schadensszenarien zu definieren. Zudem ist ein klare Befehlskette notwendig, denn nichts verwirrt in Extremsituationen mehr als widersprüchliche Anweisungen.

Dazu zählt auch, dass Verantwortung und Entscheidungsbefugnis des Notfallteams festgelegt werden. Zu den Vorarbeiten gehört weiterhin, dass die Kommunikation vorbereitet wird. Im Krisenfall ist keine Zeit für langwierige Abstimmungs- und Genehmigungsschleifen, in denen um die passenden Formulierungen gefeilscht wird. Damit Corporate Communications schnell agieren kann, haben sich vorgefertigte Templates zur Kommunikation bewährt.

Da im Unternehmensalltag das Üben oft zu kurz kommt, sollten Notfalltests als ein Kriterium bei der Abnahme von IT-Projekten festgeschrieben werden. Damit im Fall der Fälle nicht lange nach externen Experten gesucht werden muss, empfehlen die beyond-Teilnehmer den Abschluss einer Cyberrisk-Versicherung. Dies sei unter zwei Aspekten ratsam: Zum einen bieten die Versicherungen in der Regel einen Emergency Support mit entsprechenden Spezialisten und Beratern, zum andern federn sie den finanziellen Schaden ab, der beträchtlich sein kann – auch wenn viele Ransomware-Erpresser mit sich verhandeln lassen.

Lebenszyklus einer Cyberattacke

Die IT-Security-Spezialisten von Palo Alto Networks haben den Lebenszyklus eines Hackerangriffs analysiert. In jeder der sechs Phasen kann ein Unternehmen noch gezielt gegensteuern. 1. Ausspionieren: Hacker verwenden oft Phishing-Taktiken oder extrahieren öffentliche Informationen aus dem Social-Media-Profil eines Mitarbeiters oder von Unternehmenswebsites. Diese Informationen verwenden die Cyberkriminellen, um gezielt scheinbar legitime Anfragen zu versenden, die den Mitarbeiter auf bösartige Links locken oder dazu verleiten sollen, einen infizierten Anhang zu öffnen. Die anschließend heruntergeladene Malware sucht nach Schwachstellen im Netz.

Um gegenzusteuern, können Unternehmen URL-Filter verwenden. Zudem sollten Unternehmen den Netzwerkverkehr mithilfe von Intrusion-Prevention-Technologien kontrollieren, um Bedrohungen zu erkennen und Port-Scans und Host-Sweeps zu verhindern. 2. Vorbereitung & Auslieferung: Angreifer betten Intruder-Code in Dateien und E-Mails ein. Hier hilft eine Firewall. Diese gewährt Einblick in den gesamten Datenverkehr und blockiert alle Hochrisiko-Anwendungen. Kombinierte Maßnahmen zur Bedrohungsabwehr wie IPS, Anti-Malware, Anti-CnC, DNS-Überwachung und Sink Holing sowie Datei- und Content-Blockierung können bekannte Exploits, Malware und eingehende Command-and-Control-Kommunikation abwehren. Auch eine cloudbasierte Malware-Analyse im Netzwerk hilft weiter. 3. Ausbeutung: Mit dem Zugriff auf das Netzwerk können Angreifer den Schad-

Code aktivieren und die Zielmaschine unter ihre Kontrolle bringen. Endpoint-Security- Techniken können bekannte wie auch unbekannte Schwachstellen-Exploits blockieren. Sandboxing-Technologie stellt automatisch eine globale Bedrohungserkennung bereit, um Folgeangriffe auf andere Unternehmen zu verhindern. Auch hier lohnt der Zugriff auf eine dynamische Malware-Analyse-Cloud. 4. Installation: Angreifer etablieren privilegierte Operationen und Rootkits und nisten sich dauerhaft im Netzwerk des Unternehmens ein. Endpoint-Security kann lokale Exploits verhindern, die zu Privileg-Eskalation und Passwortdiebstahl führen. Mit einer modernen Firewall lassen sich sichere Zonen mit strikter Benutzerzugriffskontrolle und fortlaufender Überwachung des Datenverkehrs zwischen den Zonen einrichten. 5. Command & Control: Angreifer richten einen Rückkanal zum Server ein. Auf diese Weise können Daten zwischen infizierten Geräten und dem Server ausgetauscht werden. Es gibt verschiedene Möglichkeiten, um den Angriffszyklus an diesem Punkt zu durchbrechen. Unternehmen können ausgehende Command-and-Control-

Kommunikation durch Anti-CnC-Signaturen blockieren. URL-Filterung kann die Kommunikation mit bekannten bösartigen URLs verhindern. Outbound-Kommunikation kann zu internen Honey Pots umgeleitet werden, um kompromittierte Hosts zu erkennen und zu blockieren. 6. Aktivitäten am Angriffsziel: Angreifer manipulieren das Netzwerk für ihre eigenen Zwecke. Es gibt viele Motive für Cyberangriffe, wie etwa Datenextraktion, Zerstörung von kritischen Infrastrukturen oder Erpressung. Unternehmen mit feingliedriger Anwendungs- und Benutzerüberwachung können Dateiübertragungs-Richtlinien durchsetzen, um bekannte Archivierungs- und Übertragungstaktiken von Hackern zu verhindern. Dies begrenzt die Freiheit der Angreifer, sich mit Tools und Skripten seitlich im Netzwerk zu bewegen.

Nach dem Cyberangriff: Von der Bedeutung des Backups

So sehr eine Cyberrisk-Insurance im Notfall auch hilft, in einem Punkt greift sie nicht: Sie bringt keine Daten zurück. Deshalb ist dem Thema Backup and Recovery besonderes Augenmerk zu widmen. So sollte ein jährlicher Backup/Restore-Test Standard sein. Und es sind Prüfverfahren zu definieren, um die Konsistenz der Backups zu gewähren und herausfinden zu können, ob sich schon Schadcode im Backup befindet.

Das Backup sollte das bestgesicherte System im Unternehmen sein, denn nur allzu häufig stürzen sich die Angreifer zuerst darauf, um die gesicherten Daten unbrauchbar zu machen. Vor diesem Hintergrund raten Praktiker zu Offsite-Backups. Optimal ist dabei ein Air-Gap – also ein virtueller Burggraben – zwischen dem Backup-Storage und der restlichen IT, sodass kein Zugriff möglich ist.

Grundsätzlich sollten auf die Backups nur wenige ausgewählte Nutzer Zugriff zu haben. Und die Backup-Vorgänge selbst sollten als Pull- Prozess definiert werden, damit andere Systeme keine Zugriffsrechte darauf haben. Ferner gehört noch ein genaues Monitoring der Zugriffe auf das Backup-System ins Pflichtenheft. Zumal es sich als Frühindikator zum Erkennen von Angriffen eignet, da die Eindringlinge häufig versuchen, zuerst die Backup-Systeme lahmzulegen beziehungsweise zu manipulieren.