Ein Incident-Plan und eine Incident-Karte

Modul 8: Wenn es schiefgeht · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie eine Incident-Karte und einen einfachen Incident-Plan erstellen, die auch funktionieren, wenn Ihre Computer, Ihre Mail und Ihre Telefonliste nicht mehr erreichbar sind.

Kernbegriffe: Vorfall, Incident-Karte, Incident-Plan, Rollen, Kontaktliste, Eindämmung, Beweise sichern, Kommunikation, offline aufbewahren, üben (Tabletop)

Warum Sie das jetzt regeln, und nicht erst wenn es brennt

Stellen Sie sich vor: Es ist Montagmorgen, 07:45 Uhr. Auf dem Kassen-PC der Bäckerei Example erscheint ein roter Bildschirm mit dem Text, dass alle Dateien verschlüsselt sind. Der gemeinsame Ordner mit den Bestellungen lässt sich nicht öffnen. Jemand sagt: „Ruf den Computermenschen an.“ Doch dessen Nummer steht in den Kontakten des Postfachs, und das Postfach liegt auf demselben PC. Ein anderer möchte den PC sofort ausschalten. Ein Dritter beginnt, die Backup-Festplatte anzuschliessen, um „alles wiederherzustellen“.

Alle drei Reaktionen sind nachvollziehbar, und zwei davon machen es schlimmer. So läuft es fast immer: Unter Druck tun Menschen das, was ihnen als Erstes einfällt. Ein Vorfall (Incident) ist jedes Ereignis, das die Verfügbarkeit, Zuverlässigkeit oder Vertraulichkeit Ihrer Daten oder Systeme bedroht: ein gehacktes Mailkonto, Ransomware, ein verlorener Laptop, eine Mail mit Kundendaten an die falsche Person, eine übernommene Website.

Das Ziel eines Plans ist nicht, dass alles gut geht. Das Ziel ist, dass Sie in der ersten Stunde keine Fehler machen, die Sie nicht mehr rückgängig machen können, und dass Sie wissen, wen Sie anrufen.

Incident-Karte und Incident-Plan: der Unterschied

Für ein Unternehmen mit zwei bis zwanzig Mitarbeitenden ist die Karte das Wichtigste. Der Plan darf kurz sein. Das BSI hat für Ransomware umfangreiche Informationen (siehe Weiterführende Informationen); diese können Sie als Ausgangspunkt nehmen und kürzen.

Was auf der Incident-Karte steht

Eine gute Karte beantwortet fünf Fragen. Hier eine Vorlage, die Sie übernehmen können.

INCIDENTKARTE  Bäckerei Example            Version: 1   Datum: ..-..-....

1. FÄLLT IHNEN ETWAS AUF?  (roter Bildschirm, seltsame Mail verschickt, Login klappt nicht,
   unbekannte Zahlung, Laptop weg, Daten an falschen Empfänger)
   -> SOFORT melden bei: ............................  Tel.: ...............
      Vertretung: .......................................  Tel.: ...............
   Melden ist immer richtig. Niemand bekommt die Schuld.

2. ERSTE SCHRITTE (nicht selbst reparieren)
   [ ] Netzwerkkabel ziehen / WLAN aus / Flugmodus. NICHT ausschalten.
   [ ] USB- und Backup-Laufwerke trennen. NICHT anschliessen.
   [ ] Foto vom Bildschirm machen (mit dem Telefon).
   [ ] Notieren: Uhrzeit, was Sie gesehen haben, was Sie getan haben.
   [ ] Nicht zahlen, nicht auf den Erpresser reagieren.

3. WEN RUFEN WIR AN?
   IT-Hilfe / Administrator   .......................  Tel.: ...............
   Hosting / Mail        ............................  Tel.: ...............
   Bank (Betrug, 24/7)   ............................  Tel.: ...............
   Versicherer (Cyber)   ............................  Police: ............
   Polizei (Anzeige)     Onlinewache Ihres Bundeslandes, Notfall 110
   Datenschutzaufsicht   zuständige Landesbehörde (binnen 72 Stunden)
   Wichtiger Kunde/Lieferant: .......................  Tel.: ...............

4. WER ENTSCHEIDET UND WER SPRICHT?
   Entscheidet (ausschalten, wiederherstellen, melden, zahlen): ................
   Spricht mit Kunden, Presse, Personal: ......................................
   Führt das Logbuch: .........................................................

5. WO IST WAS?
   Backups: ............................... (letzter Test: ..-..-....)
   Notfallzugang Passwort-Manager: ..........................................
   Liste der Systeme und Konten: ............................................
   Dieser Plan (digital) + Kopie ausserhalb des Betriebs: .....................

Ein paar Entscheidungen in dieser Vorlage verdienen eine Erklärung.

• „Nicht ausschalten, aber trennen.“ Bei Ransomware rät das BSI, ein betroffenes Gerät sofort vom Netzwerk zu trennen (Kabel, WLAN, Mobilfunknetz), es aber nicht auszuschalten; Standby ist in Ordnung. Im Arbeitsspeicher befinden sich Spuren, die ein Ermittler benötigen könnte, und manchmal sogar Schlüssel. Das Trennen stoppt die Ausbreitung auf andere Geräte und auf den Netzwerkspeicher.
• „Backup-Festplatten nicht anschliessen.“ Eine Festplatte, die Sie an einen infizierten PC anschliessen, wird ebenfalls verschlüsselt. Zuerst muss feststehen, dass die Umgebung sauber ist (Lektion 8.3).
• „Melden ist immer gut.“ Der Mitarbeiter, der als Erster etwas bemerkt, ist Ihre beste Verteidigung. Wenn er Angst vor einer Zurechtweisung hat, wartet er ab, und Sie verlieren Stunden. Siehe auch Lektion 9.2.
• Nummern auf Papier. Gerade bei einem grossen Vorfall funktionieren Ihre Mail, Ihr gemeinsamer Kalender und manchmal auch Ihre Telefonanlage nicht. Eine Karte, die nur in der Cloud liegt, ist dann weg.

Eine Anzeige ohne Eile erstatten Sie bei der Polizei, online über die Onlinewache der Polizei Ihres Bundeslandes oder bei einer Dienststelle; im Notfall wählen Sie 110. Bei unmittelbarer Gefahr rufen Sie 112 an, aber ein Cyberangriff ist meist kein 112-Fall.

Rollen: wer macht was

In einem kleinen Unternehmen ist eine Person oft für alles zuständig. Vereinbaren Sie dennoch drei Rollen, auch wenn zwei davon denselben Namen tragen:

1. Der Entscheider. Entscheidet über Ausschalten, Wiederherstellen, Meldung bei der zuständigen Datenschutzaufsichtsbehörde, Kontakt mit der Bank und die Frage, ob ein externer Spezialist hinzugezogen wird. Am besten der Inhaber oder die Geschäftsführung, mit einer festen Vertretung.
2. Die technische Linie. Ihr IT-Dienstleister, Webentwickler oder der versierte Kollege. Setzt um, was der Entscheider verlangt, und berät. Klären Sie vorab, ob Ihr IT-Dienstleister auch bei einem Vorfall hilft, wie schnell und was das kostet; das ist eine Frage für Lektion 7.2.
3. Der Kommunikator. Spricht mit Kunden, Personal und gegebenenfalls der Presse, damit eine einheitliche Darstellung nach aussen geht. Bei einer Datenpanne gehört dazu auch die Information der Betroffenen (Lektion 8.2).

Benennen Sie ausserdem jemanden, der ein Protokoll führt: Zeitpunkt, was geschah, wer was entschieden hat. Das wirkt bürokratisch, aber Sie brauchen es für die Meldung bei der zuständigen Datenschutzaufsichtsbehörde (die fragt, wann Sie die Panne entdeckt haben und was Sie unternommen haben), für Ihre Versicherung, für die Anzeige und für die Auswertung im Nachhinein.

Der Plan: je Vorfallart ein paar Regeln

Neben der Karte schreiben Sie für jeden häufigen Vorfall ein kurzes Vorgehen. Vier reichen zum Einstieg:

Legen Sie auch fest, welche Systeme am wichtigsten sind, in Reihenfolge. Bei der Bäckerei Example ist das zum Beispiel: Kasse und Kartenzahlung, Bestellungen für heute, Mail, Buchhaltung, Website. Bei der Wiederherstellung beginnen Sie oben. Siehe auch RPO und RTO in Lektion 6.3.

Üben: eine halbe Stunde am Tisch

Ein Plan, den niemand kennt, funktioniert nicht. Eine Tabletop-Übung kostet eine halbe Stunde: Sie sitzen mit den Personen, die eine Rolle haben, am Tisch und spielen ein Szenario durch, ohne etwas anzufassen. Die Moderation (das können Sie selbst sein) erzählt Schritt für Schritt, was passiert.

Beispiel: „Es ist Freitag, 16:30 Uhr. Der Buchhalter erhält eine Mail von einem festen Lieferanten: Die IBAN hat sich geändert, die offene Rechnung über 8.400 Euro möge bitte noch heute an die neue Nummer überwiesen werden. Was tun Sie?“ Und danach: „Es ist Montag. Der Lieferant ruft an: Er hat nichts erhalten.“ Fragen Sie bei jedem Schritt: Wer macht was, wen rufen Sie an, wo steht diese Nummer?

Im Anschluss notieren Sie, was gefehlt hat. Fast immer ist das eine Telefonnummer, ein Passwort, das nur eine Person kennt, oder Unklarheit darüber, wer entscheidet. Passen Sie die Karte an und tragen Sie das neue Datum ein. Einmal jährlich üben und die Karte durchgehen ist für ein kleines Unternehmen ein guter Rhythmus, und auch nach jeder grösseren Änderung (neuer IT-Dienstleister, neue Buchhaltungssoftware).

In der Praxis: so sieht es aus

Nehmen Sie in Ihre Karte auch die konkreten Stellen auf, an denen Sie bei Ihren eigenen Anbietern schnell eingreifen können. Bei WebOké sind das zum Beispiel: aktive Sitzungen ansehen und abmelden in Mein WebOké, die Schritt-für-Schritt-Anleitung „Meine Website wurde gehackt“ im DirectAdmin-Handbuch, und das Wiederherstellen eines Backups. Bei anderen Anbietern von Hosting, Mail und Cloud gibt es vergleichbare Funktionen; suchen Sie sie, bevor Sie sie brauchen, und notieren Sie, wo sie sich befinden.

Zusammenfassung

• Eine Incident-Karte (ein DIN-A4-Blatt, auf Papier) sorgt dafür, dass alle in den ersten Minuten das Richtige tun: melden, trennen aber nicht ausschalten, Backups nicht anschliessen, nichts bezahlen.
• Vereinbaren Sie Rollen: wer entscheidet, wer die technische Arbeit erledigt, wer kommuniziert, wer das Protokoll führt.
• Schreiben Sie für jeden häufigen Vorfall ein kurzes Vorgehen und die Reihenfolge Ihrer wichtigsten Systeme.
• Bewahren Sie Nummern und den Plan auch ausserhalb Ihrer Computer auf.
• Üben Sie jährlich eine halbe Stunde am Tisch und aktualisieren Sie die Karte.

Quiz

Aufgabe

Aufgabe D8.1: Ihre eigene Incident-Karte. Übernehmen Sie die Vorlage aus dieser Lektion und füllen Sie sie für Ihr eigenes Unternehmen aus: echte Namen, Nummern und Orte. Drucken Sie sie aus, hängen Sie sie auf und machen Sie ein Foto für Ihr Telefon. Spielen Sie danach mit einem Kollegen (oder allein) das IBAN-Szenario aus dieser Lektion in einer Viertelstunde durch und notieren Sie, was Ihnen fehlte.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es vergleichbar.

• DirectAdmin Anleitung 18.2: Meine Website wurde gehackt: Schritt-für-Schritt-Anleitung
• Hilfe! Meine Website wurde gehackt. Wie kann ich das beheben/verhindern?
• WebOké Anleitung 3.6: Aktive Sitzungen anzeigen und abmelden
• BSI, Ransomware-Angriffe: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Cyber-Sicherheitslage/Analysen-und-Prognosen/Ransomware-Angriffe/ransomware-angriffe_node.html
• BSI, IT-Sicherheitsvorfall melden und Hilfe erhalten: https://www.bsi.bund.de/DE/IT-Sicherheitsvorfall/it-sicherheitsvorfall_node.html
• No More Ransom, Hilfe bei Ransomware: https://www.nomoreransom.org/de/index.html