Vorfallsreaktions-Lebenszyklus — wie bauen wir das für eine kleine Firma auf?

Lass dich von den BSI-Standards nicht einschüchtern, die Grundlage ist gesunder Menschenverstand. Der häufigste Fehler in kleinen Unternehmen ist, dass niemand weiß, wer verantwortlich ist. Wer entscheidet in der Krise — der Büroleiter, die externe IT oder der Firmeninhaber? Wenn du diese Zuständigkeit nicht jetzt aufs Papier bringst, verlierst du im Angriffsfall Stunden mit Telefoniererei.

Beim Schritt der Eindämmung sollte das Einzige, was das Personal tut, das physische Trennen der Netzwerkverbindung sein. Das Gerät neu starten oder den Stecker ziehen lässt die Schadsoftware-Spuren im RAM verschwinden. In dem Moment, in dem das Netzwerkkabel gezogen wird, steigt die Chance des externen Experten enorm, den Speicher zu analysieren und die Quelle des Schädlings zu finden.

Mach morgen früh als Erstes diese drei Dinge: 1) Druck die Notfallnummer deines externen IT-Supporters aus und häng sie ans physische Schwarze Brett. 2) Erstell das wöchentliche Backup auf externer Festplatte und schließ sie im Safe ein. 3) Sag dem Team dass sie bei einem verdächtigen Zustand das Gerät nicht ausschalten, sondern nur das Internet trennen. Die Hälfte der Vorbereitungsphase ist schon erledigt.

Wir wurden vor zwei Jahren bei einem ähnlichen Ransomware-Fall unvorbereitet erwischt. Wir mussten einem externen Team 6.500 EUR zahlen, um den Server zu retten und eine Forensik-Analyse machen zu lassen. Hätten wir drei Monate vorher ein Notfallprotokoll erstellt, wäre mehr als die Hälfte dieser Kosten gar nicht entstanden.

ich hab was nicht verstanden warum soll es schädlich sein, den Computer auszuschalten? ehrlich gesagt hört der Virus nicht auf zu laufen wenn man den Strom kappt, ist es nicht logischer sofort den Stecker zu ziehen?

Kauf bloß nicht diese großen Framework-Dateien von denen die Berater erzählen. Die versuchen einer kleinen Firma einen Hundert-Punkte-Fragebogen auszufüllen zu lassen in der Krise öffnet keiner auch nur den Deckel von dem Ordner. Alles außer einer einfachen Checkliste ist Zeitverschwendung.

Zusammengefasst besteht der Zyklus aus vier Schritten: Bereite vor dem Vorfall den Kommunikationsplan und das Backup vor, trenn das Gerät im Verdachtsfall vom Netzwerk, mach die Bereinigung mit dem IT-Experten und schreib nach dem Vorfall auf, wo du die Lücke hattest, und stärk das System.

Ich habe diesen Weg schon hinter mir, ich erzähl mal. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung. Wenn deine Situation anders ist, ändert sich das natürlich.

An diesem Punkt widerspreche ich dir. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Ich habe mich lange damit beschäftigt. Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später. Ich hoffe, das hilft dir weiter.

Ich schreibe mal meine Erfahrung auf. In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Ich fasse das Thema mal zusammen, da es mehrere unterschiedliche Antworten gab. Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Die Diskussion ist abgeschweift, ich fasse mal zusammen. Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Bei Vorfallsreaktions-Lebenszyklus ist es meiner Meinung nach schwierig, so eindeutig zu sprechen. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

An deiner Stelle würde ich so vorgehen.

Gespeichert.

Ich spreche mal aus der Gegenperspektive, ich bin auf der Lieferantenseite. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

An deiner Stelle würde ich so vorgehen.

Vor zwei Jahren habe ich genau dasselbe erlebt. Ein nicht getestetes Backup ist kein Backup.

Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels. Korrigiert mich falls ich falsch liege.

Ich schreibe kurz, wie das in der Praxis gemacht wird. Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Aus Erfahrung weiß ich das.