Cyberattacken können jedes Unternehmen treffen – unabhängig von seiner Größe oder der Branche. Eine gute Vorbereitung hilft dabei, die Auswirkungen möglichst gering zu halten und schnell wieder handlungsfähig zu werden. Häufig haben sich Unternehmen allerdings nur unzureichend mit dem Ernstfall beschäftigt oder nicht alle Eventualitäten bedacht, den Ernstfall nicht ausreichend trainiert oder kritische Abläufe unterschätzt. Das Incident-Response-and-Recovery-Team von Dell Technologies, das Unternehmen bei der Bewältigung von Angriffen unterstützt, benennt die zehn größten Herausforderungen:
Fehlende Notfallpläne
Ohne sorgfältig ausgearbeitete Notfallpläne ist es nahezu unmöglich, schnell und effektiv auf einen Hackerangriff zu reagieren. Am wichtigsten sind neben einem Business Continuity Plan auch ein Incident Response Plan sowie ein Disaster Recovery Plan. Der Incident Response Plan definiert alle zur Bewertung, Untersuchung und Eindämmung von Sicherheitsvorfällen notwendigen Maßnahmen und Tools. Der Disaster Recovery Plan legt fest, welche Daten und Systeme wie und wann gesichert und wie sie nach einer Störung wiederhergestellt werden. Der Business Continuity Plan liefert Vorgehensweisen und Checklisten, um kritische Geschäftsprozesse während und nach einer Störung aufrechtzuerhalten.
Kein Test des Ernstfalls
Alle Notfallpläne müssen regelmäßig getestet werden. Das ist wichtig, damit die Mitarbeiter Erfahrung sammeln und im Ernstfall mit einer gewissen Routine agieren können. Darüber hinaus liefern die Tests wertvolle Erkenntnisse zu möglichen Schwächen und notwendigen Anpassungen, etwa weil Ansprechpartner gewechselt, sich Kontaktdaten verändert haben oder neue Systeme und Anwendungen hinzugekommen sind. Die Tests sollten unbedingt auch die Backups umfassen. Diese sind schließlich nutzlos, wenn sie sich bei Bedarf nicht einspielen lassen.
Schlechte Kommunikation
Nach einem Angriff kommt es auf Geschwindigkeit an. Je länger Unternehmen für das Eindämmen des Schadens und das Wiederherstellen aller Systeme benötigen, desto größer sind die wirtschaftlichen Schäden. Die Suche nach Ansprechpartnern, die sich mit bestimmten Systemen auskennen, unklare Zuständigkeiten, wer Entscheidungen fällen darf, lange Abstimmungen, was konkret zu tun ist – all das kostet Zeit und verzögert das Einleiten dringender Maßnahmen. Bei der Incident Response gilt zudem: Schnelle Reaktionen sind wichtiger als perfekte. Die Angreifer sollen schließlich nicht noch größere Schäden anrichten können.
Unvollständiges Lagebild
Im Rahmen der Incident Response untersuchen Security-Analysten und IT-Forensiker, was genau passiert ist. Sie ermitteln, wie Angreifer ins Unternehmen eingedrungen sind, wie sie sich innerhalb der Infrastruktur vorgearbeitet haben und welche Systeme sowie Daten kompromittiert wurden. Dafür ist hochspezialisiertes Wissen nötig. Fehlt dieses, besteht die Gefahr, dass die eingeleiteten Maßnahmen unzureichend sind und missbrauchte Accounts, veränderte Einstellungen, Hintertüren oder Code-Fragmente übersehen werden. Können Angreifer nicht vollständig aus dem Netzwerk entfernt werden, haben sie für ihre nächste Attacke bereits einen Fuß in der Tür.
Fehlende Ersatzsysteme
Damit geschäftskritische Anwendungen schnell wieder zum Laufen gebracht werden, ist es sinnvoll, Ersatzsysteme vorzuhalten. Dann können IT-Teams direkt mit dem Einspielen von Sicherungen beginnen und müssen nicht warten, bis die forensischen Untersuchungen abgeschlossen und die von einem Angriff betroffenen Systeme wieder freigegeben sind. Allerdings entstehen dadurch nicht zu vernachlässigende Kosten – sowohl für die Anschaffung als auch die Pflege, denn die Ersatzsysteme müssen in einem Zustand gehalten werden, der es erlaubt, sie im Ernstfall sofort einzusetzen.
Ausgelaufene Support-Vereinbarungen
Eines der am häufigsten von Angreifern genutzten Einfallstore sind Systeme und Anwendungen, die Schwachstellen aufweisen. Ausgelaufene Support-Vereinbarungen stellen daher gleich ein doppeltes Risiko dar: Sie vergrößern die Angriffsfläche und erschweren nach einem Angriff die Wiederherstellung, weil aktuelle Firmware- oder Software-Versionen nicht verfügbar sind und IT-Teams keine erfahrenen Support-Mitarbeiter beim Anbieter kontaktieren können. Im Ernstfall kurzfristig abgeschlossene Vereinbarungen sind meist deutlich teurer als langfristig laufende Verträge.
Fehlendes Know-how zu Legacy-Systemen
Ältere Systeme stellen nach Angriffen eine große Herausforderung dar, weil das Wissen zu ihrer Funktionsweise, ihrer Wiederherstellung und ihren Abhängigkeiten zu anderen Systemen oft nicht mehr vorhanden ist. Die Mitarbeiter, die sich mit den Systemen auskannten, haben das Unternehmen verlassen, und ausführliche Dokumentationen fehlen – oder müssen erst nach Problemlösungen durchforstet werden. Das verzögert die Wiederherstellung.
