Incident-Response-Plan verlangt – wer schreibt das in unserer Größe, wo fangen wir an?

Große Konzerne packen solche Klauseln mittlerweile standardmäßig rein, um ihre Lieferantenrisiken abzusichern. Übernehmt bloß keine Copy-Paste-Vorlagen aus dem Netz, in denen Begriffe wie „SOC-Team“ oder „Security Operations Center“ vorkommen. Wenn morgen mal eine Kleinigkeit passiert und die fragen: „Habt ihr euren Plan befolgt?“, fliegt euch das sofort um die Ohren.

Schnappt euch einfach ein leeres Blatt und setzt eine Notfall-Telefonkette an den Anfang. 1) Wer meldet wem den Vorfall? 2) Wer zieht im Zweifel den Stecker bzw. kappt das Internet? 3) Über welches Mail-Template wird der Kunde informiert? Das Ganze sauber in Word abtippen, abzeichnen lassen, reicht vollkommen.

Technisch gesehen ist das Log-Management der wichtigste Punkt. Schreibt unbedingt in die Prozedur, wo System-Logs auflaufen und wie lange Backups netzwerkisoliert aufbewahrt werden. Wenn es wirklich mal kracht, will der externe Gutachter mindestens die Protokolle der letzten 30 Tage sehen.

Kommt bei Konzernen extrem gut an, wenn ihr eine dreistufige Vorfall-Klassifizierung einbaut: 1) Niedrig: Phishing-Mail an einzelnen Nutzer, die ungeöffnet gelöscht wurde. 2) Mittel: Schadsoftware auf einem Mitarbeiter-PC, aber keine Ausbreitung im Netzwerk. 3) Hoch: Unbefugter Zugriff auf die Kundendatenbank oder verschlüsselte Server.

Will der Kunde wirklich nur das Papier sehen oder verlangen die im Kleingedruckten auch Nachweise über Notfallübungen aus dem letzten Jahr oder Penetrationstests? Habt ihr die Ausschreibungsunterlagen mal genau quergecheckt?

Uns ging es vor zwei Jahren als Automobilzulieferer in ähnlicher Größe genauso. Wir haben damals ganz eifrig ein 30-Seiten-Konzernwerk abgegeben. Drei Monate später fing sich ein Kollege Malware ein, dem Kunden haben wir nichts gesagt. Beim nächsten Audit kam raus dass wir unsere eigene Vorgabe ignoriert hatten: 50.000 TL Vertragsstrafe. Schreibt lieber kurz und bündig, aber haltet euch peinlich genau daran.

keine panik leute, gebt dafür bloß kein geld aus... ihr seid 15 leute, hauptsache es steht drin wer wen anruft und dass die backups offline liegen, das reicht solchen großkunden meistens völlig.

Diese Anforderungen der Einkaufsabteilungen orientieren sich meist an den Kernvorgaben der ISO 27001. Wenn euer Dokument die KVKK-Meldepflichten bei Datenschutzverletzungen sowie Freigabewege der Geschäftsleitung klar regelt, seid ihr auch rechtlich auf der sicheren Seite.

Nach diesem Erlebnis hat sich meine Sichtweise geändert. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Nur als Notiz, könnte nützlich sein.

kurzfassung für Neueinsteiger: Nur weil alle es tun heißt es nicht dass es richtig ist.

aus Erfahrung weiß ich das.

Ich sehe das anders. Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später.

Viel Erfolg.

Es gab drei verschiedene Ansichten, die sich alle ergänzen. Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Ich hoffe, das hilft dir weiter.

Da stimme ich zu. Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig.

Aus Erfahrung weiß ich das.

Dieser Rat passt meiner Meinung nach nicht auf jeden. Wer bei Cyber-Vorfall-Reaktionsverfahren hetzt, stolpert alle an derselben Stelle.

Wenn es jemand anders macht, würde mich das auch interessieren.

die Diskussion ist abgeschweift, ich fasse mal zusammen und wenn man versucht, allles gleichzeitig zu ändern, etabliert sich nichts richtig.

korrigiert mich falls ich falsch liege.

Genau so ist es. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Wenn man versucht, alles gleichzeitig zu ändern etabliert sich nichts richtig.

Dieser Rat passt meiner Meinung nach nicht auf jeden. Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss.

Aus Erfahrung weiß ich das.

Ich erkläre mal die technische Seite. Ein automatisierter Scan-Report ist kein Penetrationstest.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.