Nach dem Angriff

IT-Forensiker sind die Experten, die helfen, wenn ein Cyberangriff erfolgreich war. 

Von Thomas Froese

Hamburg. Ich schreibe aus Erfahrung. Das Unternehmen, für das ich vor meiner Tätigkeit beim VNW als IT-Leiter tätig war, wurde Opfer eines Cyberangriffs.

Wir hatten im Januar des betreffenden Jahres eine Cyberversicherung abgeschlossen. Einen Monat später nistete sich ein Schadprogramm weltweit in Mailservern ein. Allein in Deutschland waren mehr als 9.000 Server betroffen. 

Wir mussten seinerzeit rasch handeln und in Erfahrung bringen, ob unser Mailserver auch betroffen war. Allerdings hatten wir nicht das Spezialwissen über dieses Computervirus, unser Dienstleister ebenfalls nicht.

Also haben wir uns an unsere zuvor abgeschlossene Cyberversicherung gewandt. Dort wusste man bereits von anderen Unternehmen von dem Problem. Man kündigte uns die Kontaktaufnahme durch ein IT-Forensikunternehmen an. 

Von dort meldete sich sehr schnell jemand, der wusste, was zu tun war. Uns wurde ein Analyseprogramm per Download zur Verfügung gestellt, das wir auf unserem Mailserver starten sollten. 

Das Programm tat, was es sollte: Es suchte, analysierte und erstellte einen Bericht, den nur Experten verstanden. 

Das Ergebnis: Das Schadprogramm hatte sich auf unserem Server eingenistet, sich aber glücklicherweise noch nicht aktiviert. Wir konnten es mithilfe der Forensiker entfernen und kamen so noch einmal glimpflich davon.

Was haben wir seinerzeit gelernt?

1. Es war wichtig, dass wir eine Lösung hatten, bevor sich das Schadprogramm bei uns aktivieren konnte – der Zeitfaktor war also entscheidend.
2. In unserem Fall hätten wir ohne die Cyberversicherung nicht so schnell die richtige Expertenhilfe erhalten.
3. Hätten wir das Forensikunternehmen ohne Cyberversicherung kontaktiert, hätten wir Glück mit einer schnellen Bearbeitung haben müssen – andere Unternehmen mit bestehenden Verträgen haben gegebenenfalls Vorrang.
4. Ohne die Forensiker hätten wir das Vorhandensein des Schadprogramms und den Datenabfluss selbst nicht feststellen können.

Für und Wider einer Cyberversicherung

Ich selbst habe an Diskussionen über das Für und Wider von Cyberversicherungen teilgenommen. Mein Team und ich waren seinerzeit froh, dass wir die Versicherung und die schnelle Hilfe hatten. 

Auf unserer Fachveranstaltung berichtete Silvana Bruno, Geschäftsführerin der networker solutions GmbH aus Hamburg, über aktuelle Angriffsarten wie Phishing, Verschlüsselungstrojaner mit Lösegeld-Erpressungen, aber auch über Rechnungsbetrug und Übernahme von Login-Daten von Benutzern. 

Sie thematisierte zudem die Prävention: „Incident Response“, also Reaktion auf Vorfälle, auf die man erst im Fall der Fälle reagiert, oder auf die man sich besser vorbereitet, um ruhig zu reagieren und systematisch vorgehen zu können. 

Dazu gehören:

1. Vorbereitung: Entwicklung eines Incident-Response-Plans, Schulung von Mitarbeitern und die Auswahl geeigneter Werkzeuge und Vorgehensweisen. 
2. Erkennung und Analyse: Erkennung des Vorfalls, Analyse der Ursachen und Auswirkungen. 
3. Eindämmung: Verhindern, dass der Vorfall weiter Schaden anrichtet. 
4. Beseitigung: Entfernen der Ursache und Wiederherstellung des Systems.
5. Wiederherstellung: Zurückführen des Systems in den normalen Betrieb.
6. Nachbereitung: Analyse des Vorfalls, Verbesserung des Plans und der Prozesse. 

Das klingt plausibel. Aber Hand aufs Herz: Haben Sie so einen Plan in Ihrem Unternehmen? Wenn ja, dann ist das sehr gut. Wenn nein: warum nicht? Schließen Sie aus, dass Ihnen jemals etwas passiert? 

Dazu hatte ein anderer Referent unserer Tagung eine passende Folie. Da konnten wir lesen:

„Es gibt zwei Arten von Unternehmen: Die einen, die einen schweren Hackerangriff hinter sich haben. Und die anderen, die ihn noch vor sich haben.“

Es wurden weitere Punkte der Vorbereitung angesprochen: 

1. Gibt es einen Notfallplan, an dem man sich orientieren und dem man wichtige Informationen entnehmen kann (z.B. Kontaktdaten Cyberversicherung)?
2. Lässt man sich auf eine mögliche Lösegeldzahlung ein?
3. Ist man bereit, Lösegeld in Bitcoin zu zahlen?
4. Wie geht man mit der Öffentlichkeit um – aktiv, abwartend?

Es gibt viele Fragen, die man im Vorfeld besprechen, entscheiden und vorbereiten kann. Die Vorbereitung kann im Schadenfall viel Zeit bis zur Wiederherstellung des Geschäftsbetriebs sparen. 

In meinem Vortrag „Risikomanagement“ forderte ich meine Zuhörer auf, einen Selbstversuch zu unternehmen: Beauftragen Sie Ihren IT-Verantwortlichen, Server-Updates und Server-Neustarts an einem Montagmorgen und nicht außerhalb der Geschäftszeiten zu machen. Planen Sie einen ganzen Vormittag ein, um zu sehen, was Ihre Belegschaft ohne funktionierendes IT-System macht. 

Meine Vorhersage: nichts. Und das im ungeplanten (!) Schadenfall ein paar Tage oder eine Woche oder länger. Das will niemand. Fragen Sie betroffene Unternehmen, die das erleben mussten. Daher meine und die Empfehlung der Forensik: Seien Sie vorbereitet, geben Sie den Sie betreuenden Spezialisten Informationen an die Hand, die Sie zuvor zusammengestellt haben. Sparen Sie allen Beteiligten im Notfall wertvolle Zeit. 

Man kann auch Dienstleistungsverträge direkt mit Forensikunternehmen schließen – in Ergänzung zu einer Cyberversicherung oder anstelle einer solchen Versicherung. 

Wenn Sie weitere Informationen zur IT-Forensik wünschen, rufen Sie mich gern an oder schreiben Sie mir eine E-Mail.

Thomas Froese
Telefon: 040 52011-207
Mail: froese@vnw.de