Foto: Ben Romalis - shutterstock.com
Sie wurden angegriffen? Damit sind Sie nicht allein, wie Zahlen des Digitalverbands Bitkom zeigen. Danach waren in Deutschland 2020 und 2021 fast neun von zehn Unternehmen von Datenklau, Spionage oder Sabotage betroffen. Der wirtschaftliche Schaden summierte sich auf etwa 223 Milliarden Euro pro Jahr. Dass die Angreifer so hohe Schäden anrichten können, liegt unter anderem daran, dass sie häufig lange und ungestört ihrem destruktiven Tun nachgehen konnten, weil die Unternehmen zu spät reagierten. So berichtet etwas das Security-Unternehmen Deep Instinct in seinem "Voice of SecOps"-Report, dass die durchschnittliche weltweite Reaktionszeit auf einen Cyberangriff 20,9 Stunden beträgt, was mehr als zwei Arbeitstagen entspricht. Hierzulande gaben 92 Prozent der befragten Cybersicherheitsexperten in Unternehmen an, dass sie im Durchschnitt mindestens 6 Stunden bräuchten, um auf einen Sicherheitsvorfall zu reagieren.
Über Best Practices für den Fall, dass kriminelle Hacker ins Unternehmensnetz eingedrungen sind, diskutierten CIOs und CSOs auf dem interaktiven IT-Entscheider-Workshop "beyond" von IDG. Wir bitten um Verständnis, dass wir die Tipps und Empfehlungen der Teilnehmer nur anonym veröffentlichen, um die Sicherheitsstrategien der jeweiligen Unternehmen nicht zu diskreditieren.
Cyberangriff-Checkliste: Erste Schritte im Notfall
Wie also schafft es ein Unternehmen, schnell zu reagieren, wenn es Opfer eines Angriffs wurde? Um im Fall der Fälle nicht kalt erwischt zu werden, sollte ein solcher Notfall nach Meinung der beyond-Teilnehmer mindestens einmal im Jahr geübt werden. Nur so könne sichergestellt werden, dass die ersten und wichtigsten Schritte wirklich sitzen und schnell vonstatten gehen:
Logfiles sichern: Etwas befremdlich mag auf den ersten Blick der Ratschlag erscheinen, unverzüglich die Logfiles zu sichern. Doch gerade diese Daten sind unter dem Aspekt der IT-Forensik zur gerichtsverwertbaren Beweissicherung des IT-Vorfalls unbedingt erforderlich. Zudem kann so später im Rahmen einer methodischen Datenanalyse das Vorgehen der Angreifer aufgeklärt werden.
Krise zentralisieren, Notfall-Managementteam: Des Weiteren sollte die Krise zu einem unternehmensübergreifenden, zentralen Thema gemacht werden, damit alle Beteiligten an einem Strang ziehen. Es dient auch der Reaktionsgeschwindigkeit, wenn ein vorher fest definiertes Krisen-Managementteam schnell eingreifen kann. Dieses Team nimmt das weitere Vorgehen in die Hand.
Kommunikation sicherstellen: Im Notfall die eigene Kommunikationsfähigkeit sicherzustellen - sowohl technisch als auch organisatorisch - ist eine essenzielle Forderung. Technisch ist das nötig, weil gerade in Zeiten von Voice over IP auch die Telefonie vom Ausfall bedroht ist, da sie ja ein Teil der IT-Infrastruktur ist. Deshalb hat es sich in der Praxis bewährt, bereits im Vorfeld alternative Kommunikationswege zu definieren. In manchen Unternehmen kommt dafür beispielsweise der Signal-Messenger zum Einsatz. Organisatorisch sollte die Kommunikationsabteilung die eigenen Mitarbeiter informieren und beruhigen, um Panik (Angst um die Arbeitsplätze etc.) zu vermeiden sowie Gerüchten und wilden Spekulationen vorzubeugen. Ebenso ist es ratsam, proaktiv nach außen zu informieren, denn die Erfahrung hat gezeigt, dass solche Cyberangriffe fast immer ans Licht kommen. Wer hier die Kommunikationshoheit behält, hat gute Chancen größere Schäden für die Unternehmensreputation abzuwenden. Und last, but not least, ist das C-Level-Board halbstündig über den aktuellen Stand zu informieren, damit es im Bedarfsfall schnell Entscheidungen treffen kann - etwa über die Zahlung eines Lösegelds im Falle eines Ransomware-Angriffs.
Externe Berater hinzuziehen: Wie verhandelt man mit einem Erpresser? Welche juristischen Fragen ergeben sich aus der hochkomplexen Krisensituation? Kaum ein Unternehmen wird das hierfür erforderlich Know-how im eigenen Haus vorhalten. Deshalb sollten externe Berater hinzugezogen werden, die über entsprechendes Spezialwissen verfügen.
Meldepflichten beachten: Welche Meldefristen gelten für das eigene Unternehmen gemäß DSGVO/GDPR? Sind gar KRITIS-Bestimmungen einzuhalten? Bei Verstößen drohen hier empfindliche Geldstrafen, die unnötig sind und den finanziellen Schaden nur vergrößern. Daher sollte man sich im Vorfeld nicht nur über Fristen und Pflichten informieren, sondern auch die möglichen beziehungsweise erforderlichen Meldewege eruieren.
Analyse des Status Quo: Nach diesen vorbereitenden Schritten gilt es sich systematisch ein Bild vom Ausmaß des Schadens zu verschaffen. Welche Systeme funktionieren noch? Welche Daten sind betroffen? Wie sind die Auswirkungen auf das Business? Ist die eigene Lieferfähigkeit bedroht, müssen Kunden informiert werden? Wie lange wird eine Behebung der Störung dauern? Ist ein Notfallbetrieb möglich, um zumindest in Teilen produzieren zu können?
- Lebenszyklus einer Cyberattacke
Die IT-Security-Spezialisten von Palo Alto Networks haben den Lebenszyklus eines Hackerangriffs analysiert. In jeder der sechs Phasen einer Cyberattacke kann ein Unternehmen jedoch gezielt gegensteuern. Welche Maßnahmen und Werkzeuge dazu nötig sind, erfahren Sie hier. - 1. Ausspionieren
Hacker verwenden oft Phishing-Taktiken oder extrahieren öffentliche Informationen aus dem Social-Media-Profil eines Mitarbeiters oder von Unternehmenswebsites. Diese Informationen verwenden die Cyberkriminellen, um gezielte, scheinbar legitime Anfragen zu versenden, die den Mitarbeiter auf bösartige Links locken oder dazu verleiten sollen einen infizierten Anhang zu öffnen. Die anschließend heruntergeladene Malware verwenden Cyberkriminelle um nach ausnutzbaren Schwachstellen zu suchen. Um den Lebenszyklus zu durchbrechen, können Unternehmen URL-Filter verwenden. Damit werden Angreifer daran gehindert, Social-Media- und Website-Informationen zu manipulieren. Zudem sollten Unternehmen den Netzwerkverkehrsfluss mithilfe von Intrusion-Prevention-Technologien kontrollieren, um Bedrohungen zu erkennen und Port-Scans und Host-Sweeps zu verhindern. - 2. Vorbereitung & Auslieferung
Angreifer verwenden verschiedene Methoden wie die Einbettung von Intruder-Code in Dateien und E-Mails oder gezielt auf die Interessen des Einzelnen zugeschnittene Nachrichten. Hier können Unternehmen den Zyklus mit einer Firewall durchbrechen. Diese gewähren Einblick in den gesamten Datenverkehr und blockieren alle Hochrisiko-Anwendungen. Kombinierte Maßnahmen zur Bedrohungsabwehr wie IPS, Anti-Malware, Anti-CnC, DNS-Überwachung und Sink Holing sowie Datei- und Content-Blockierung können bekannte Exploits, Malware und eingehende Command-and-control-Kommunikation abwehren. Ergänzt werden können diese Maßnahmen durch eine cloudbasierte Malware-Analyse im Netzwerk. - 3. Ausbeutung
Angreifer, die Zugriff auf das Netzwerk erlangt haben, könnten den Angriffscode aktivieren und die Zielmaschine unter ihre Kontrolle bringen. Endpunktschutz-Technologien können bekannte wie auch unbekannte Schwachstellen-Exploits blockieren. Sandboxing-Technologie stellt automatisch eine globale Bedrohungserkennung bereit, um Folgeangriffe auf andere Unternehmen zu verhindern. Auch an dieser Stelle kann sich der Zugriff auf eine dynamische Malware-Analyse-Cloud lohnen. - 4. Installation
Angreifer etablieren privilegierte Operationen und Rootkits, führen Privileg-Eskalation durch und nisten sich dauerhaft ein im Netzwerk des Unternehmens. Unternehmen können Endpunktschutz-Technologien verwenden, um lokale Exploits zu verhindern, die zu Privileg-Eskalation und Passwortdiebstahl führen. Mit einer modernen Firewall lassen sich sichere Zonen mit strikter Benutzerzugriffskontrolle und fortlaufender Überwachung des Datenverkehrs zwischen den Zonen einrichten. - 5. Command & control
Angreifer richten einen Rückkanal zum Server ein. Auf diese Weise können Daten zwischen infizierten Geräten und dem Server ausgetauscht werden. Es gibt verschiedene Möglichkeiten, um den Angriffszyklus an diesem Punkt zu durchbrechen. Unternehmen können ausgehende Command-and-control-Kommunikation durch Anti-CnC-Signaturen blockieren. URL-Filterung kann die Kommunikation mit bekannten bösartigen URLs verhindern. Outbound-Kommunikation kann zu internen Honey Pots umgeleitet werden, um kompromittierte Hosts zu erkennen und zu blockieren. - 6. Aktivitäten am Angriffsziel
Angreifer manipulieren das Netzwerk für ihre eigenen Zwecke. Es gibt viele Motive für Cyberangriffe, wie etwa Datenextraktion, Zerstörung von kritischen Infrastrukturen oder Erpressung. Unternehmen mit feingliedriger Anwendungs- und Benutzerüberwachung können Dateiübertragungs-Richtlinien durchsetzen, um bekannte Archivierungs- und Übertragungstaktiken von Hackern zu verhindern. Dies begrenzt die Freiheit der Angreifer, sich mit Tools und Skripten seitlich im Netzwerk zu bewegen.
Auf Cyberangriffe reagieren: Vorbereitungen treffen
Damit im Notfall diese Schritte wirklich erfolgreich durchgeführt werden können, reicht es nicht aus, nur zu üben. Möglichst viele der Schritte sollten bereits in normalen Zeiten vorbereitet werden, damit sie wie nach einem Drehbuch ablaufen können. Ähnlich den Emergency-Checklisten eines Flugzeugs hilft hierbei ein detailliertes Handbuch mit Notfallplänen zu verschiedenen Krisenszenarien.
Geradezu kontraproduktiv ist es, wenn die Mitglieder des Notfallteams erst im Krisenfall bestimmt werden. Das kostet nur wertvolle Zeit. Bei der Auswahl der Teammitglieder sollten hierarchische Aspekte eine untergeordnete Rolle spielen, hier geht es darum, das richtige Know-how am Tisch zu haben. Im Team selbst sind Rollen für verschiedene Schadensszenarien zu definieren. Zudem ist ein klare Befehlskette notwendig, denn nichts verwirrt in Extremsituationen mehr als widersprüchliche Anweisungen. Dazu zählt auch, dass Verantwortung und Entscheidungsbefugnis des Notfallteams festgelegt werden. Zu den Vorarbeiten gehört weiterhin, dass die Kommunikation vorbereitet wird. Im Krisenfall ist keine Zeit für langwierige Abstimmungs- und Genehmigungsschleifen, in denen um die passenden Formulierungen gefeilscht wird. Damit Corporate Communications schnell agieren kann, haben sich vorgefertigte Templates zur Kommunikation bewährt.
Da im Unternehmensalltag das Üben dann doch oft zu kurz kommt, sollten Notfalltests als ein Kriterium bei der Abnahme von IT-Projekten festgeschrieben werden. Damit im Fall der Fälle nicht lange nach externen Experten gesucht werden muss, empfehlen die beyond-Teilnehmer den Abschluss einer Cyberrisk-Versicherung. Dies sei unter zwei Aspekten ratsam: Zum einen bieten die Versicherungen in der Regel einen Emergency Support mit entsprechenden Spezialisten und Beratern, zum andern federn sie den finanziellen Schaden ab, der beträchtlich sein kann - auch wenn viele Ransomware-Erpresser mit sich verhandeln lassen.
Nach dem Cyberangriff: Von der Bedeutung des Backups
So sehr eine Cyberrisk-Insurance im Notfall auch hilft, in einem Punkt greift sie nicht: Sie bringt keine Daten zurück. Deshalb ist dem Thema Backup and Recovery besonderes Augenmerk zu widmen. So sollte ein jährlicher Backup/Restore-Test Standard sein. Und es sind Prüfverfahren zu definieren, um die Konsistenz der Backups zu gewähren und herausfinden zu können, ob sich schon Schadcode im Backup befindet.
Das Backup sollte das bestgesicherte System im Unternehmen sein, denn nur allzu häufig stürzen sich die Angreifer zuerst darauf, um die gesicherten Daten unbrauchbar zu machen. Vor diesem Hintergrund raten Praktiker zu Offsite-Backups. Optimal ist dabei ein Air-Gap - also ein virtueller Burggraben - zwischen dem Backup-Storage und der restlichen IT, so dass kein Zugriff möglich ist. Grundsätzlich sollten auf die Backups nur wenige ausgewählte Nutzer Zugriff zu haben. Und die Backup-Vorgänge selbst sollten als Pull-Prozess definiert werden, damit andere Systeme keine Zugriffsrechte darauf haben. Ferner gehört noch ein genaues Monitoring der Zugriffe auf das Backup-System ins Pflichtenheft. Zumal es sich als Frühindikator zum Erkennen von Angriffen eignet, da die Eindringlinge häufig versuchen, zuerst die Backup-Systeme lahmzulegen beziehungsweise zu manipulieren.