IT-Sicherheitsvorfall: was jetzt zu tun ist

Was als IT-Sicherheitsvorfall gilt

Das BSI-Gesetz definiert einen Sicherheitsvorfall als Ereignis, das die Verfügbarkeit, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der darüber angebotenen Dienste beeinträchtigt (§ 2 BSIG). Für den eigenen Betrieb sollten Sie diese Definition konkretisieren. Der Baustein DER.2.1 Behandlung von Sicherheitsvorfällen fordert genau das als Basis-Anforderung: Es muss festgelegt sein, was ein Sicherheitsvorfall ist und wie er sich von einer Störung im IT-Betrieb abgrenzt (DER.2.1.A1).

Typische Auslöser in kleinen Betrieben:

• Meldung einer Schadsoftware durch den Virenschutz oder ungewöhnliche Dateiendungen auf Netzlaufwerken.
• E-Mails, die aus dem eigenen Postfach verschickt wurden, ohne dass jemand sie geschrieben hat.
• Hinweise von außen, etwa von Kunden, dem Provider oder Behörden.
• Ungewöhnliche Anmeldungen, neue Administratorkonten oder abgeschaltete Sicherheitsfunktionen.

Die ersten Schritte: Organisation

Das BSI stellt für Unternehmen eine Checkliste mit organisatorischen ersten Schritten bereit. Sinngemäß:

1. Ruhe bewahren und nicht übereilt handeln.
2. Intern informieren: IT-Sicherheitsverantwortliche, Datenschutzbeauftragte, IT-Betrieb und Geschäftsleitung.
3. Organisieren: einen Krisenstab oder eine Projektgruppe bilden, Rollen verteilen, klären, wer was entscheidet und bis wann was erledigt wird.
4. Informationen sammeln: Was ist passiert, wie wurde es bemerkt, welche Auswirkungen drohen für Betrieb und Kunden, liegt ein gezielter Angriff vor? Wenn eine Strafverfolgung möglich ist, beweissicher vorgehen.
5. Kommunizieren: eine verantwortliche Person benennen, Mitarbeitende informieren, Meldepflichten und vertragliche Informationspflichten prüfen.
6. Externe Unterstützung holen, etwa über IHK oder Handwerkskammer oder über Listen qualifizierter Dienstleister des BSI.
7. Nachbereiten: aus dem Vorfall lernen.

Die ersten Schritte: Technik

Die technische Checkliste des BSI enthält unter anderem diese Punkte:

Eindämmen, ohne Spuren zu vernichten

Betroffene Systeme vom internen Netz und vom Internet trennen. Wenn eine Analyse geplant ist, das Gerät nicht herunterfahren, weil sonst flüchtige Spuren im Arbeitsspeicher verloren gehen. Virenschutzprogramme erst nach einer forensischen Sicherung einsetzen, da sie Spuren verändern können.

Weitere Systeme mitdenken

Nicht nur die offensichtlich betroffenen Geräte betrachten. Das BSI weist darauf hin, dass weitere Systeme betroffen sein und noch auf Befehle der Angreifer warten können.

Keine Anmeldung mit Administratorkonten

Auf möglicherweise infizierten Systemen keine privilegierten Konten verwenden. Zugangsdaten, die auf betroffenen Systemen gespeichert oder dort eingegeben wurden, gelten als kompromittiert. Ist das Active Directory betroffen, ist das gesamte Netz als kompromittiert zu betrachten.

Bereinigen heißt meist neu aufsetzen

Infizierte Systeme gelten als vollständig kompromittiert. Eine punktuelle Bereinigung gelingt nur mit viel Fachwissen, in der Regel ist eine Neuinstallation einzuplanen.

Backups prüfen

Klären, ob aktuelle, saubere Sicherungen vorhanden sind. Sicherungen, die online erreichbar waren, können ebenfalls manipuliert sein.

Melden und Hilfe holen

Ob eine Meldung Pflicht ist, hängt vom Vorfall und vom Betrieb ab. Bei einer Verletzung des Schutzes personenbezogener Daten greift in der Regel die DSGVO, für Einrichtungen unter NIS-2 zusätzlich das BSI-Gesetz. Unabhängig davon können Unternehmen Vorfälle freiwillig beim BSI melden. Für Strafanzeigen sind die Zentralen Ansprechstellen Cybercrime der Polizeien zuständig. Klären Sie früh, ob Ihre Versicherung vor dem Einschalten externer Dienstleister informiert werden möchte.

Dokumentieren und nachbereiten

DER.2.1 verlangt als Standard-Anforderungen unter anderem, die Behebung von Sicherheitsvorfällen zu dokumentieren (A16) und Vorfälle nachzubereiten (A17). Führen Sie von Anfang an ein Protokoll: Uhrzeit, Beobachtung, Entscheidung, handelnde Person. Das hilft bei der Aufklärung, bei Meldungen, gegenüber der Versicherung und bei der Frage, was künftig besser laufen muss.

Vorbereitung zahlt sich aus

Die Basis-Anforderungen von DER.2.1 lassen sich auch in kleinen Betrieben umsetzen: eine Definition, eine kurze Richtlinie zur Behandlung von Sicherheitsvorfällen, festgelegte Verantwortliche und Ansprechpersonen, geregelte Benachrichtigung betroffener Stellen sowie Vorgaben zur Behebung und zur Wiederherstellung der Betriebsumgebung. Wer das vorbereitet hat, muss im Ernstfall nicht improvisieren.

Typische Fehler in den ersten Stunden

• Abwarten: Ein Verdacht wird nicht gemeldet, weil niemand sich blamieren will. Bis jemand reagiert, haben Angreifer weitere Systeme erreicht.
• Spuren beseitigen: Verdächtige Dateien oder E-Mails werden gelöscht, Rechner neu gestartet oder sofort neu aufgesetzt. Danach lässt sich der Ablauf kaum noch rekonstruieren.
• Über kompromittierte Kanäle beraten: Wenn ein Postfach oder Server betroffen ist, können Angreifer mitlesen. Nutzen Sie für die Abstimmung Telefon oder Kanäle außerhalb der betroffenen IT.
• Zu früh Entwarnung geben: Ein bereinigter Rechner heißt nicht, dass der Angriff vorbei ist. Erst wenn Einfallstor und Umfang geklärt sind, ist der Vorfall abgeschlossen.
• Fristen übersehen: Meldepflichten laufen ab Kenntnis, nicht ab Abschluss der Aufklärung.

Was alle Mitarbeitenden wissen sollten

Die meisten Vorfälle werden von Mitarbeitenden zuerst bemerkt. Drei Regeln genügen und gehören in jede Unterweisung:

1. Ungewöhnliches sofort melden, auch einen eigenen Fehlklick, ohne Angst vor Vorwürfen.
2. Den Meldeweg kennen: eine Telefonnummer, eine Person, eine Vertretung.
3. Beim Verdacht das Gerät vom Netz trennen, eingeschaltet lassen und nichts weiter selbst unternehmen.