Versicherung verlangt für Vertragsverlängerung einen 'Ransomware-Wiederanlaufplan' – was muss da rein?

Fangt bloß nicht an 50-seitige Vorlagen aus dem Netz zu laden, die Risikoanalysten der Versicherer erkennen solche Copy-Paste-Muster sofort. Schreibt in den nächsten zwei Tagen ein schlankes, 4-seitiges Papier, das exakt eure reale Umgebung abbildet, stellt das Backup von gestern Abend testweise auf einer leeren VM wieder her und packt das Logfile dazu.

Passt höllisch auf, wie ihr die externen Platten im Plan beschreibt. Wenn die dauerhaft am Server hängen, verschlüsselt die Ransomware die einfach mit. Im Plan muss klipp und klar stehen, dass die Platte nach dem Backup physikalisch abgestöpselt und im feuerfesten Tresor eingeschlossen wird – und dass beim Cloud-Backup Immutability (Löschschutz) aktiv ist.

Die 3 wichtigsten Tabellen, die Sie unbedingt in Ihr Dokument aufnehmen sollten, sind: 1) Systeminventar nach Kritikalität geordnet (zuerst Buchhaltung, dann Warenwirtschaft, zuletzt Archiv), 2) Externe Kontaktliste für den Ernstfall (Schadens-Hotline der Versicherung, IT-Forensik-Dienstleister, Rechtsbeistand), 3) Bereinigungs- und Verifizierungsschritte, bevor Systeme wieder ans Netz gehen.

Letzten Monat haben wir für unseren Produktionsbetrieb in New York genau denselben Prozess durchlaufen. Von uns wollten sie dieselben Unterlagen. Wir haben ein zweiseitiges Szenario aufgesetzt und 14 Seiten echte Wiederherstellungstest-Protokolle angehängt. Die Versicherung hat die 4.200-Dollar-Police anstandslos zu denselben Konditionen verlängert.

Habt ihr im Plan festgehalten, wie eure Cloud-Backups geschützt sind? Falls die Zugangsdaten zum Cloud-Konto kompromittiert werden, kann der Angreifer auch diese Backups löschen. Habt ihr im Backup-Panel eine separate Zwei-Faktor-Authentifizierung und einen Löschschutz (WORM/Object Lock) aktiv?

druckt den fertigen plan auf jeden fall aus und legt ihn physisch auf den schreibtisch vom chef und bei euch zuhause hin. wenn die server verschlüsselt sind und man vom firmen-pc aus nicht mehr an den tollen notfallplan rankommt, ist das leider der absolute klassiker.

Der eigentliche Grund, warum Versicherungen diese Fragebögen so kompliziert machen, ist nicht Ihr Schutz, sondern sich im Ernstfall mit dem Vorwurf mangelnder Sorgfalt vor der Schadensregulierung zu drücken. Stellen Sie daher sicher, dass jeder einzelne Satz im Plan auch tatsächlich im Betrieb gelebt wird; schreiben Sie bloß nichts rein, was Sie nicht wirklich tun.

Keine Panik, bei einem 22-köpfigen Team erwartet niemand hunderte Seiten an Enterprise-Notfallplänen. Eine klare Wiederherstellungsreihenfolge eine Skizze zum Nachweis sicherer Backups und ein erfolgreiches Testprotokoll reichen für die Verlängerung der Police völlig aus.

Danke fürs Schreiben, das ist genau richtig. Ein nicht getestetes Backup ist kein Backup.

Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen. Ich hoffe, das hilft dir weiter.

Bleibe dran.

Ich möchte kurz warnen. Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später.

Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle. Wenn es jemand anders macht, würde mich das auch interessieren.

Wir sind auch eine Zeit lang an derselben Stelle hängen geblieben. Ein automatisierter Scan-Report ist kein Penetrationstest.

Das war's, entschuldige, wenn ich zu lang war.

Das wusste ich nicht.

Ich möchte kurz warnen. Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.

Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels. Wenn es jemand anders macht, würde mich das auch interessieren.

Da stimme ich zu. Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr.

funktioniert das deiner Meinung nach in jeder Größe? verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

korrigiert mich, falls ich falsch liege.

Ich habe mich lange damit beschäftigt. Wenn der Benachrichtigungsweg lang ist kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Lasst uns die Begriffe trennen, sie werden oft verwechselt. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.