Das sagen Bundes-CIO und statistisches Bundesamt

Das hier ist die 17. Ausgabe von Chefs von Devs, dem Golem.de-Newsletter für CTO, Technical Directors und IT-Profis. Alle zwei Wochen erscheint eine neue Ausgabe. Chefs von Devs kann hier kostenlos abonniert werden.

Die Coronajahre 2020 und 2021 brachten Ransomware-Erpressern Rekordsummen ein. Vergangenes Jahr waren die Zahlen dafür deutlich rückläufig: Betroffene Unternehmen zahlten seltener und weniger. Vorsichtig sollte man trotzdem bleiben, denn die schrumpfende Laufzeit einzelner Ransomware-Typen bedeutet, dass die IT es bei der Abwehr häufiger mit unbekannten Varianten zu tun hat.

"100-prozentige IT-Sicherheit kann es nicht geben", betonte auch schon Bundes-CIO Markus Richter im Gespräch mit Chefs von Devs. "Es wird immer Schwachstellen geben, die noch unentdeckt sind und ausgenutzt werden können. Daher spielt die Prävention bei der Bekämpfung von Cyberattacken eine besonders wichtige Rolle."

Der Kontakt mit Richters Behörde ist für Anbieter kritischer Infrastruktur bei einem Vorfall nicht optional. Nach der Kritisverordnung sind bestimmte Anbieter zur Meldung verpflichtet. Für Rechenzentrenbetreiber gelten beispielsweise Grenzen für durchschnittlich im Jahr 10.000 physisch oder 15.000 virtuell betriebene Instanzen.

---

---

"Häufig werden die Angriffe nur als IT-Vorfall gesehen. Das ist aber nicht korrekt"

Die ungekürzte Version dieser Zusammenfassung des zweiteiligen Interviews, das Moritz Tremmel mit Andreas Rohr geführt hat, findet ihr auf Golem Plus. Im ersten Teil geht es um die Ursachen, warum so viele Unternehmen gehackt werden (g+). Der zweite Teil beantwortet die Frage, was Unternehmen für ihre Sicherheit tun müssen (g+). Oder ihr lest seine Antworten hier bei Chefs von Devs weiter.

Golem.de: Sollte ein Angriff dennoch gelingen, wie kann man verhindern, dass die Angreifer gleich die ganze Infrastruktur übernehmen?

Andreas Rohr: Dafür sollte man sich die privilegierten Administrationstätigkeiten vornehmen und die Funktionen sinnvoll clustern. Es ist einfach nicht ratsam, seine E-Mails zu öffnen und dann hochsensitive Administrationsaufgaben vom gleichen Konto auf der gleichen Maschine auszuführen.

Golem.de: Worauf sollten Unternehmen sonst noch ein besonderes Augenmerk legen?

Andreas Rohr: Neben dem Umgang mit Privilegien muss unbedingt das Backup vor Manipulation geschützt werden. Wurden die Systeme und die Backups verschlüsselt, kommt das Unternehmen schlicht nicht mehr an seine Daten und ist nicht mehr arbeitsfähig. Angreifer wissen das natürlich und suchen in ihrer Ausbreitungsphase entsprechend nach Sicherungssystemen und versuchen diese bewusst zu sabotieren, bevor sie mit der eigentlichen Verschlüsselung starten.

Golem.de: Angriffe finden allerdings weiterhin statt und sollten erkannt und bestenfalls abgewehrt werden. Was braucht es dafür?

Andreas Rohr: Wir haben bisher nur über die technologische Komponente gesprochen. Daran schließt sich der organisatorische Teil an. Da muss dafür gesorgt werden, dass es einerseits das Know-how gibt, Angriffe zu erkennen und zu klassifizieren. Das braucht man nicht nur zu den Geschäftszeiten, sondern rund um die Uhr.

Außerdem sollte man sich für den Ernstfall vorbereiten. Dazu gehört, Verträge abzuschließen, damit man im Falle eines größeren Incidents, den man mit einfacheren Eindämmungsmaßnahmen nicht in den Griff bekommt, auf Profis zurückgreifen kann und Hilfe bekommt. Damit es nicht zu weiteren Schäden kommt oder die Schäden minimiert werden können.

Golem.de: Leute mit Know-how 24/7 verfügbar zu haben, dürfte ganz schön teuer sein. Wie können das kleine Unternehmen lösen?

Andreas Rohr: Um immer eine Person parat zu haben, die Angriffe analysieren kann, muss ich 3,7 Stellen schaffen – Urlaub, Krankheit und Weiterbildung sind in dieser Faustformel bereits mit eingerechnet. Das leistet sich natürlich kein mittelständisches Unternehmen. Das wäre auch gar nicht sinnvoll.

Golem.de: Doch auch die besten Schutzmaßnahmen können einen Hack nicht mit absoluter Sicherheit verhindern ...

Andreas Rohr: Man kann einfach nicht ausschließen, dass es passiert. Es gibt so gute Phishing-Mails, die können Angestellte, die nicht super-technikaffin sind, einfach nicht erkennen, beziehungsweise sie müssen aufgrund ihrer Arbeitsabläufe auf die Anhänge oder Links klicken. In dieser Phase, in der die Angreifer in das System eindringen, kann man noch was machen, wenn man analysefähiges Personal hat.

Da ist der Case of Fire noch gar nicht erreicht und man kann noch viel abwehren und verhindern. Beispielsweise indem man betroffene Systeme isoliert, Logins sperrt oder Zwei-Faktor-Authentifizierung aktiviert. Erst wenn die Angreifer beginnen, Daten zu exportieren und zu verschlüsseln, wird es zum Ernstfall.

Golem.de: Auf diesen Ernstfall sollte man sich also trotz allem vorbereiten?

Andreas Rohr: Ja! Es ist auf jeden Fall sinnvoll, einen Notfallplan parat zu haben, der die Schritte skizziert, die dann durchgeführt werden sollten.

Golem.de: Was gehört denn beispielsweise in so einen Notfallplan?

Andreas Rohr: Es sollte beispielsweise festgehalten werden, wie man sich im Ernstfall organisiert. Die Leitung eines Krisenteams sollte bestenfalls eine Person sein, welche keine operativen Anteile zur Krisenbewältigung zum Beispiel in Form einer Linienverantwortung hat.

Häufig werden die Angriffe nur als IT-Vorfall gesehen. Das ist aber nicht korrekt, weil es sich dabei zumeist auch um die Unterbrechung der vitalen Business-Funktionen handelt. Es muss beispielsweise entschieden werden, was am wichtigsten für das Business ist und daher als erstes wiederhergestellt werden muss.

Außerdem muss geklärt werden, wer die Kommunikation übernimmt. Beispielsweise müssen Angestellte, Kunden und Partner informiert werden. Es geht in einem Notfallplan auch viel um das Bereithalten von Kontakten und vorvertraglichen Regelungen. Vom Rechtsbeistand über externe Kanzleien zur externen Kommunikation bis zum Incident-Response-Team sollte alles geklärt sein, damit ich im Notfall schnell darauf zurückgreifen kann.

Berücksichtigt man all das, von der technischen Sicherheit und frühzeitiger Detektion über die organisatorischen Maßnahmen bis hin zu einem Notfallplan mitsamt einem Vertrag mit einem Incident-Response-Dienstleister, ist man auf jeden Fall sehr gut aufgestellt und kann sich sicher, vor allem aber gut vorbereitet fühlen.