Sollte ich ein Incident-Response-Team aufstellen oder reicht eine Liste mit Telefonnummern?

Eine Liste ans Schwarze Brett zu hängen reicht nicht, aber erstellt auch kein fünfzigseitiges Verfahren. Druckt ein einseitiges laminiertes Blatt: 1) Internetkabel ziehen, Computer nicht ausschalten (damit keine Beweise verloren gehen). 2) Ahmet Bescheid geben. 3) Den externen IT-Experten anrufen. 4) Auf keinen verdächtigen Bildschirm ein Passwort eingeben. In einem fünfköpfigen Büro ist das Einzige was Leben rettet, die Reflexe in den ersten fünf Minuten.

Letztes Jahr hatten wir in unserer 7-köpfigen Logistikfirma einen ähnlichen Vorfall. Wir hatten keine festen Abläufe, der extern herbeigerufene Notfall-Experte hat 180 EUR die Stunde abgerechnet und am Ende waren wir bei insgesamt 2.200 EUR. Hätten wir von Anfang an einen Retainer-Vertrag für 120 EUR im Monat gehabt, wäre das System damals nicht sechs, sondern nur eine Stunde offline gewesen und die Kosten hätten sich halbiert.

Bei einem Angriff den Stecker zu ziehen und das Gerät auszuschalten, ist aus IT-forensischer Sicht der größte Fehler überhaupt. Sobald das Gerät aus ist, sind Spuren der Angreifer und Verschlüsselungs-Keys im flüchtigen Speicher (RAM) unwiderruflich weg. Wenn ihr Rollen verteilt, bringt eurem Tech-Personal bei, die Netzwerkverbindung zu trennen (WLAN aus, Ethernet-Kabel ziehen), aber stellt als eiserne Regel klar: Das Gerät bleibt an.

In einem Fünf-Mann-Büro ein Komitee gründen zu wollen, halte ich ehrlich gesagt für lächerlich. Da sitzt doch eh jeder nebeneinander. Seien wir doch realistisch: Intern wird daraus keiner zum Sicherheitsexperten. Wichtig ist nur, genau zu wissen wen man extern anruft, und regelmäßig zu testen, ob die Backups auch wirklich komplett isoliert gelagert sind. Rollenbezeichnungen im Team sind da reine Papierverschwendung.

Uns ist das in unserer Agentur mit drei Partnern in Turin passiert. Eines Morgens tauchte auf dem Buchhaltungsrechner eine Ransomware-Nachricht auf. Keiner hat sich getraut, den Chef anzurufen, und der Praktikant hat irgendein Reinigungstool aus dem Netz gezogen und dabei sämtliche Logs gelöscht. Am Ende drohten uns Tausende Euro an Bußgeldern, weil wir die italienische Datenschutzbehörde (Garante) zu spät informiert hatten. Und das alles nur, weil die Zuständigkeiten nicht klar geregelt waren.

wir sind zu dritt und haben einfach ne gemeinsame whatsapp-gruppe... wenn was ist schreiben wir direkt da rein der techniker von unserem externen it-dienstleister ist da auch drin dann bisher hatten wir zwei verdächtige mails und das war sofort geklärt, da muss man nicht erst nach irgendwelchen listen suchen.

Was steht bei einem potenziellen Datenleck eigentlich in Ihren Kundenverträgen? Nach italienischem Recht gilt eine Meldefrist von 72 Stunden. Wer in Ihrem Unternehmen ist rein rechtlich überhaupt dazu befugt, innerhalb dieser 72 Stunden eine offizielle Mitteilung an Kunden und Aufsichtsbehörden herauszugeben? Haben Sie bei der Teamaufstellung neben der Technik auch an diese Zeichnungsberechtigung gedacht?

Um die Diskussion mal zusammenzufassen: Für eine Fünf-Personen-Firma ist die Formel denkbar einfach. Man bestimmt intern einen einzigen Entscheider, schult die Mitarbeiter darauf, Geräte nicht auszuschalten, sondern nur vom Netz zu trennen, und sichert sich über einen externen IT-Vertrag feste Reaktionszeiten. Weder braucht man dafür ein bürokratisches Komitee, noch eine rein passive Telefonliste.

Notiert, danke.

Gespeichert.

Funktioniert das deiner Meinung nach in jeder Größe? Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Wenn es jemand anders macht, würde mich das auch interessieren.

Das wusste ich nicht.

Das habe ich auch erlebt.

Ich fasse das Thema mal zusammen, da es mehrere unterschiedliche Antworten gab. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

Viel Erfolg.

Das hatte ich auch schon überlegt. Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

Aus Erfahrung weiß ich das.

So klar geschriebene Texte sind selten. Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel. Nur als Notiz, könnte nützlich sein.

da stimme ich zu... halt überstürzte Entscheidungen sind oft solche die man sechs Monate später korrigieren muss.

ein automatisierter Scan-Report ist kein Penetrationstest.

Danke fürs Schreiben, das ist genau richtig. Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.

Wenn es jemand anders macht, würde mich das auch interessieren.