Verschiedene Akten in Nahaufnahme. Im Mittelpunkt steht die Akte mit der Beschriftung "Notfallplan".

© Zerbor – stock.adobe.com

1. Bewahren Sie Ruhe und handeln Sie besonnen

Stellen Sie zunächst sicher, dass Sie die Situation richtig bewerten. Handelt es sich tatsächlich um einen Cyberangriff, oder liegt ein technischer Defekt vor? Bleiben Sie daher in jedem Fall ruhig. Panik führt zu unüberlegten Handlungen, die die Situation verschlimmern können. Priorisieren Sie zeitkritische und vorrangig zu schützende Geschäftsprozesse.

2. Trennen Sie betroffene Systeme vom Netzwerk

Ziehen Sie das Netzwerkkabel der betroffenen Systeme, um die Ausbreitung der Schadsoftware zu verhindern. Schalten Sie die Geräte jedoch nicht aus, da dies eine technische Analyse erschweren kann. Prüfen Sie auch, ob alle Back-ups gestoppt wurden und vor weiteren Einwirkungen geschützt sind. Stellen Sie ferner sicher, dass Sie das gesamte Maß der Ausbreitung identifizieren und alle angegriffenen Systeme erfassen.

3. Informieren Sie Ihr Krisenteam und relevante Ansprechpersonen

Schnelligkeit ist jetzt gefragt. Rufen Sie Ihr Krisenteam zusammen und informieren Sie alle festgelegten Ansprechpersonen. Halten Sie eine Liste mit den Telefonnummern der Verantwortlichen bereit, um schnell handeln zu können.

4. Dokumentieren Sie alle Schritte und Entscheidungen

Führen Sie eine detaillierte Dokumentation aller Maßnahmen und Entscheidungen. Dies hilft nicht nur bei der Nachverfolgung des Vorfalls, sondern ist auch bei späteren rechtlichen und versicherungstechnischen Fragen von Bedeutung.

5. Kontaktieren Sie externe Expertinnen und Experten

Ziehen Sie möglichst schnell Fachleute für die IT-Sicherheitsexpertise hinzu. „Diese können die Situation aufgrund ihrer Erfahrungen besser einschätzen und gezieltere Maßnahmen ergreifen“, empfiehlt Marc Dönges, Projektleiter bei der Transferstelle Cybersicherheit im Mittelstand. Diese entwickelt derzeit eine Plattform, die Unternehmen bundesweit bei Cybervorfällen unterstützt, und dort können Sie auch Expertinnen und Experten kontaktieren.

6. Sichern Sie forensische Beweise

Stellen Sie sicher, dass Systemprotokolle, Log-Dateien, Notizen und andere digitale Informationen gesichert werden. Diese Daten sind wichtig für die forensische Analyse und eine eventuelle Strafverfolgung.

7. Melden Sie den Vorfall den Behörden

Informieren Sie die Polizei und die zuständigen Datenschutzbehörden über den Vorfall. Je nach Art des Angriffs und der betroffenen Daten müssen Sie dies innerhalb von 72 Stunden tun. Wenden Sie sich hierfür an die zentrale Ansprechstelle Cybercrime der Polizeien. Die zuständige Datenschutz-Aufsichtsbehörde variiert je nach Unternehmen oder Institution. Unter Umständen müssen Sie auch die betroffenen Personen informieren. Da die Einhaltung dieser Pflichten stark vom Einzelfall abhängt, sollten Sie sich juristische Unterstützung holen.

„Unternehmen der kritischen Infrastruktur unterliegen bestimmten Meldepflichten“, ergänzt Marc Dönges. „Sie sollten daher prüfen, ob Sie von solchen Meldepflichten betroffen sind, um für den Ernstfall gewappnet zu sein.“ Mit der neuen NIS-2-Richtlinie weiten sich die Meldepflichten auf weitere Unternehmen aus. NIS-2 soll die Netz- und Informationssicherheit stärken und tritt voraussichtlich im Frühjahr 2025 in Kraft. Bei Nichteinhaltung der neuen Vorschriften können hohe Bußgelder drohen.

8. Nutzen Sie alternative Kommunikationskanäle

Angreifende könnten sich Zugriff auf Ihre internen Kommunikationssysteme verschaffen. Verwenden Sie daher alternative Kanäle und stellen Sie sicher, dass Ihr Krisenteam über sichere Kommunikationswege verfügt. Sorgen Sie dafür dass Ihr Notfallplan auch in analoger Form vorliegt.

9. Überprüfen und ändern Sie Zugangsberechtigungen

Prüfen Sie die Zugangsberechtigungen und Authentifizierungsmethoden für alle betroffenen Accounts. Setzen Sie neue Passwörter und, wenn möglich, aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA). Informieren Sie Ihre Bank(en), besonders wenn Bankdaten betroffen sind.

10. Stellen Sie den Betrieb wieder her

Beginnen Sie mit der Wiederherstellung der betroffenen Systeme. Planen Sie dabei im Regelfall eine komplette Neuinstallation ein, um zu gewährleisten, dass alle Spuren der Schadsoftware beseitigt sind. „Ein Back-up-Konzept muss regelmäßig geprüft werden, um sicherzustellen, dass die Back-ups auch im Ernstfall aufspielbar sind“, rät Marc Dönges.

11. Nachbereitung und kontinuierliche Verbesserung

Nach einer Cyberattacke ist es wichtig, aus dem Vorfall zu lernen. Überwachen Sie Ihr Netzwerk intensiv, um sicherzustellen, dass keine weiteren Angriffe stattfinden. Optimieren Sie Ihre Sicherheitsmaßnahmen und schulen Sie Ihr Personal regelmäßig. „Je besser man vorbereitet ist, desto wahrscheinlicher ist es, dass man das Schadensmaß in einem sehr geringen Umfang halten kann“, so Marc Dönges.

12. Bereiten Sie sich mit einem Business Continuity Plan (Notfallplan) auf Cyberangriffe vor

Ein gut durchdachter und schnell umgesetzter Notfallplan kann den Schaden durch einen Cyberangriff erheblich reduzieren. „Im Business Continuity Plan (BCP) halten Sie vorab fest, welche Schritte befolgt werden müssen, wenn eine Attacke doch mal erfolgreich ist“, erläutert Michelle Walther, Social-Engineering-Expertin vom Mittelstand-Digital Zentrum Fokus Mensch. „Der Plan gibt klare Antworten auf die folgenden Fragen: Wie wird intern und extern kommuniziert, wenn alle Computer und Handys lahmliegen? An wen wird was und wann kommuniziert (Kundschaft, Mitarbeitende, Partner)? Wo werden Back-ups unabhängig vom Netz und auch räumlich getrennt vom IT-System auf externen Festplatten gelagert? Wie wird das Weiterlaufen des Betriebs gesichert? Wo müssen Sie sich melden, wenn Sie ein Datenleck entdecken?“

Nutzen Sie auch die hier vorgestellten Schritte als Leitfaden, um sich auf den Ernstfall vorzubereiten und im Fall einer Cyberattacke angemessen reagieren zu können. Prävention und Vorbereitung sind die Schlüssel, um einen Angriff möglichst glimpflich zu überstehen.

13. Trainieren Sie den Ernstfall

Bei Cyberangriffen zählt jede Sekunde. Durch regelmäßiges Training wissen alle Beteiligten, wie sie auf Vorfälle reagieren müssen. Das verkürzt die Reaktionszeit und minimiert mögliche Schäden. Ein weiterer Vorteil solcher Simulationen liegt darin, vorab potenzielle Schwachstellen in den bestehenden Notfallplänen oder der Infrastruktur zu entdecken. Zugleich dienen die Übungen auch der Schulung Ihrer Mitarbeitenden, um sie beispielsweise für aktuelle Bedrohungen zu sensibilisieren. Hinzu kommt, dass sich oft erst in der Praxis zeigt, wie gut verschiedene Abteilungen bei einem Vorfall zusammenarbeiten und ob es etwa noch Klärungsbedarf gibt, wer im Ernstfall welche Rolle übernimmt.

Weiterlesen

Informationen und Unterstützung zur Erstellung eines Business Continuity Plans und den ersten Schritten im Fall eines Cyberangriffs bieten Ihnen die Transferstelle Cybersicherheit im Mittelstand sowie jedes Mittelstand-Digital Zentrum in Ihrer Nähe.

Eine ausführliche Checkliste mit To-dos zur Verbesserung Ihrer Cyberresilienz finden Sie im Themenhub 1/23 unter dem Titel „Von Firewalls und Phishing: Ihr Leitfaden für mehr Cyberresilienz“.

Praxisnahe Unterstützung bei Cyberangriffen und für die Abwehr finden Sie im Werkzeugkasten der Cybersicherheit von Mittelstand-Digital.