Cyber Incident Response

Das Wichtigste auf einen Blick

• IT-Ausfälle können existenzbedrohend für Unternehmen sein – schnelles und richtiges Handeln ist entscheidend.
• Kein IT-System ist zu 100 % sicher – Unternehmen müssen auf Vorfälle vorbereitet sein, um die möglichen Auswirkungen zu minimieren.
• Das Incident Response Management hilft durch Vorbereitung und Planung dabei, für einen solchen Ernstfall gerüstet zu sein.

Artikel teilen

Artikel als PDF

Lesezeit ca. 6 Minuten

In einer zunehmend digitalisierten Welt gewinnt die IT immer mehr an Bedeutung für die Geschäftsprozesse von Unternehmen. Gleichzeitig zeigt sich, dass der Ausfall der IT in kürzester Zeit existenzbedrohend werden kann. Wenn keine E-Mails mehr versendet oder empfangen werden können oder unternehmensinterne Produktionspläne nicht mehr abrufbar sind, stehen viele Unternehmen vor enormen Herausforderungen. Es ist daher unerlässlich, auch in einer Ausnahmesituation kurzfristig richtig reagieren und entscheiden zu können, um potenzielle Schäden und Auswirkungen möglichst gering zu halten. Im Rahmen des Incident Response Managements (dt. Vorfallreaktionsmanagement) werden solche Szenarien vorbereitet, um bestmöglich auf einen Ernstfall gewappnet zu sein.

Mögliche Auslöser eines IT-Vorfalls

Die möglichen Auslöser für einen Vorfall (engl. Incident) können vielfältig sein. Insbesondere in den letzten Jahren kam es bei vielen Unternehmen beispielsweise vermehrt zu sogenannten Ransomware-Angriffen. Bei diesen versuchen die Angreifer durch den Einsatz von Schadsoftware, die IT-Systeme eines Unternehmens im ersten Schritt zu infiltrieren und danach sukzessive Unternehmensdaten zu verschlüsseln. Das Ziel der Angreifer ist es dabei, die IT möglichst umfassend zu stören und den Unternehmensbetrieb zu unterbrechen, um die Zahlung eines Lösegeldes (engl. Ransom) für die Entschlüsselung der Daten zu erpressen.

Doch auch ohne externe Angreifer kann es zu Vorfällen kommen. So können etwa der Ausfall von E-Mail-Servern oder ein unternehmensweiter Stromausfall zu erheblichen Problemen führen.

Grundsätzlich gilt, dass es in jedem Unternehmen zu einem Vorfall kommen kann. Zwar mindert eine solide IT-Sicherheitsstrategie das Risiko eines Angriffs von außen, doch ein vollständiger und lückenloser Schutz der IT-Systeme ist nicht realisierbar. Folglich sollte jedes Unternehmen gewisse Pläne und Prozesse entwickeln, um auf Vorfälle richtig reagieren zu können.

Grundüberlegungen für das Incident Response Management

Vor der Implementierung eines Incident Response Managements ist es für Unternehmen wichtig zu evaluieren, wie dieses konkret umgesetzt werden sollte. Die bloße Erstellung von Plänen und Konzepten nach einem generischen Schema ist in einem tatsächlichen Notfall kaum hilfreich. Wichtiger ist vielmehr, dass die Geschäftsführung aktiv die Vorbereitung auf mögliche Ausnahmesituationen unterstützt und fördert. Des Weiteren müssen im Ernstfall die entwickelten Reaktionen (engl. Responses) konsequent umgesetzt werden.

Definition: Incident Response Management
Systematischer Prozess zur Erkennung, Analyse und Behebung von Vorfällen in IT-Systemen, um Schäden zu minimieren und zukünftige Vorfälle zu verhindern.

Zuständigkeiten mit einem Incident Response Team festlegen

Zudem sollten bereits frühzeitig die Zuständigkeiten festgelegt werden, damit bei einem Vorfall schnell reagiert werden kann und keine Verwirrungen entstehen. Zu diesem Zweck können Unternehmen sogenannte Incident Response Teams bilden, welche bei Vorfällen über die notwendigen Entscheidungsbefugnisse und Kompetenzen verfügen, um entsprechend zu handeln.

Ziele und Prioritäten definieren

Darüber hinaus ist es entscheidend, die Ziele und Prioritäten des Incident Response Managements festzulegen. Mögliche Ziele wären beispielsweise:

• Schutz von sensiblen Daten
• Sicherstellung der Integrität der IT-Systeme
• Minimierung der Schäden und Auswirkungen
• Wiederherstellung des Normalbetriebs
• Wahrung der Unternehmensreputation

Die sechs Phasen eines Incident-Response-Prozesses

1. Vorbereitung
2. Erkennung
3. Eindämmung
4. Beseitigung
5. Wiederherstellung
6. Nachbereitung

1. Vorbereitung

Die Vorbereitung ist die wichtigste Phase für ein erfolgreiches Incident Response Management. In diesem Schritt entwickeln Unternehmen klare Sicherheitsrichtlinien und Notfallkonzepte, um auf eventuelle Vorfälle bestmöglich reagieren zu können. Das Notfallkonzept legt hierbei fest, wie Ausnahmesituationen bewältigt werden sollen und welche Meldewege und Eskalationsprozesse es innerhalb des Unternehmens gibt. Darüber hinaus werden auch Kommunikationsstrategien erarbeitet, die festlegen, wie in verschiedenen Situationen nach außen und innen kommuniziert werden sollte.

Ein wesentlicher Bestandteil des Notfallkonzepts sind die sogenannten Notfallszenarien. In diesen werden auf das Unternehmen abgestimmte Reaktionsstrategien für unterschiedliche Situationen, wie etwa Ransomware-Angriffe oder den Ausfall wichtiger IT-Systeme, festgelegt.

"Unsere Erfahrung zeigt: Regelmäßige Schreibtischtests führen im Ernstfall zu schnellerem und konsequenterem Handeln und limitieren dadurch mögliche Schäden und Ausfälle."

Ingo Köhne, Geschäftsführer IT-Consulting

Der wichtigste Aspekt der Vorbereitung ist jedoch das regelmäßige Training und die Simulation möglicher Vorfälle. Generell gilt, dass ein Vorfall umso erfolgreicher gelöst werden kann, je besser und häufiger die vorherige Vorbereitung war. Dies kann exemplarisch mit einer Feueralarmübung verglichen werden. Je häufiger die Übungen mit den Mitarbeitenden durchgeführt werden, desto effizienter und problemloser funktionieren die Abläufe in einem tatsächlichen Ernstfall. Ähnliches gilt bei einem IT-Vorfall.

Die Simulation eines Vorfalls erfolgt meist im Rahmen eines sogenannten Schreibtischtests (engl. Tabletop Exercise), bei dem ein Notfallszenario durchgespielt wird. Häufig können im Rahmen dieser Tests ungeahnte Probleme identifiziert und auch die Notfallszenarien dahingehend angepasst werden, um in einem Ernstfall auf diese Herausforderungen vorbereitet zu sein.

2. Erkennung

In der Phase der Erkennung geht es darum, zu identifizieren, um welchen Vorfall es sich handelt. Die Erkennung sollte dabei möglichst zeitnah erfolgen, sodass die potenziellen Auswirkungen geringgehalten werden. Daher helfen in dieser Phase auch die zuvor entwickelten Notfallszenarien, um möglichst zielgenau und schnell die Vorfallart zu bestimmen.

3. Eindämmung

Sobald die Art des Vorfalls eindeutig erkannt wurde, kann darauf reagiert werden. Im Falle eines Ransomware-Angriffs besteht beispielsweise eine der ersten Maßnahmen darin, die betroffenen Systeme zu isolieren und die Ausbreitung des Vorfalls zu stoppen.

4. Beseitigung

In dieser Phase werden die eigentlichen Ursachen des Vorfalls beseitigt, zum Beispiel durch das Entfernen von Schadsoftware oder die Behebung von Schwachstellen in den Systemen. Entscheidend ist im Falle eines Angriffs sicherzustellen, dass alle Spuren dessen entfernt werden, um eine erneute Kompromittierung zu verhindern. Je nach Umfang des Vorfalls kann jedoch eine Beseitigung nicht realisierbar sein, sodass die betroffenen Systeme nur noch komplett wiederhergestellt werden können.

5. Wiederherstellung

Nachdem der Vorfallauslöser beseitigt wurde, beginnt die Wiederherstellung der betroffenen Systeme. Hierbei geht es darum, den Normalbetrieb sicher und vollständig wiederherzustellen. Zu diesem Zweck werden beispielsweise Backups eingespielt oder aber auch Tests durchgeführt, um sicherzustellen, dass keine Schwachstellen mehr vorhanden sind.

6. Nachbereitung

Nach jedem Vorfall sollte eine gründliche Nachbesprechung stattfinden. Für die kontinuierliche Verbesserung der Incident Response Pläne und der IT-Sicherheitsrichtlinien ist es essenziell zu verstehen, welche Maßnahmen funktioniert haben und welche Schwächen aufgetreten sind. Ziel ist es hierbei, auch auf zukünftige Vorfälle vorbereitet zu sein und diese nach Möglichkeit zu verhindern.

Incident Response Management spart im Ernstfall Zeit und Kosten

Generell gilt, dass ein Incident Response Management Unternehmen auf einen möglichen Ernstfall vorbereitet und dabei hilft in einem solchen richtig und schnell reagieren zu können. Für ein Unternehmen ist es dabei in der Regel wesentlich günstiger, sich auf diese möglichen Szenarien vorzubereiten, als in einer Ausnahmesituation planlos zu agieren und auf diese Art und Weise den Schaden dadurch noch weiter zu verschlimmern.

Falls Sie weitere Fragen rund um das Incident Response Management haben oder Unterstützung bei der Implementierung eines solchen brauchen, sprechen Sie uns gern an!

Gemeinsam verfasst mit Linus Reuter.