Anbieter zum Thema

Impossible Cloud GmbH

Schritt 8: Krisenmanagement-Prozess definieren

Ist ein ISMS etabliert und das Risikoprofil der Lieferkette geklärt, gilt es im Folgeschritt, einen Prozess für die Notfallreaktion zu etablieren. Ausgangspunkt ist laut Marco Eggerling, CISO Global bei Check Point, die Frage: Habe ich schon einmal einen Krisenprozess durchlaufen? Falls nicht, ist dieser nun zu etablieren. „Im Ernstfall muss man wissen, an welchem Stecker man ziehen muss, um das Netzwerk abzuschotten“, so Eggerling. „Im Großkonzern ist das ein Riesenproblem, im Mittelstand oft ebenfalls.“

Er rät jedem Unternehmen, ein Krisenmanagement-Team zu etablieren, das neben einem Vertreter der Geschäftsführung den Datenschutz- und den Security-Verantwortlichen umfasst, zudem Vertreter der IT- und der Personalabteilung. „Dieses Team sollte Ernstfallabläufe regelmäßig üben, zum Beispiel zweimal jährlich per Tabletop-Exercise [Durchspielen eines Krisenszenarios, d. Red.], gegebenenfalls mit Unterstützung durch einen externen Dienstleister“, sagt er. Die Geschäftsführung müsse stets eingebunden sein und informiert bleiben. „Anschließend“, so Eggerling, „packt das Team die Dokumentation in einen knallgelben Ordner, der auch die Angaben zur Eskalationskette enthält.“ Schließlich ist ein Notfallplan wertlos, wenn er nach einem Ransomware-Angriff verschlüsselt auf einem Server ruht.

Auch Dirk Wocke, Compliance-Manager bei Indevis, rät zu solchen Planspielen, die aufzeigen: Wie kommunizieren wir, wenn das Netzwerk nicht mehr läuft? Sind uns die privaten Telefonnummern und privaten E-Mail-Adressen der Ansprechpartner im Krisenstab bekannt, können wir sie erreichen? Was müssen wir sofort machen, damit sich ein Angriff nicht ausbreitet? „Diese Abläufe sind individuell, je nach Unternehmen, je nach Krise“, sagt Wocke. „Ich muss im Rahmen des Krisenmanagements vorbereitet sein und die Abläufe üben, um adäquat, schnell und nach Plan vorgehen zu können.“

„Es ist ganz wichtig, Notfallpläne regelmäßig zu überprüfen und anzupassen“, ergänzt seine Kollegin Mareen Dose, Presales Consultant bei Indevis. „Denn Personalien können sich ändern, Prozesse und Systeme ebenfalls.“

Wie aber könnten solche Notfall- und Reaktionspläne bei einem Kleinunternehmen aussehen, das kein Krisenmanagement-Team aufbauen kann? Dr. Sebastian Schmerl, VP Security Services EMEA bei Arctic Wolf, rät KMUs erneut zum Standard-Tool, das schon zum Einsatz kam, um die Risiken zu ermitteln: „Hier trägt man in jede Zeile der Excel-Liste ein: Was mache ich, wenn dieser Ernstfall eintritt? Wer sind die Verantwortlichen, wer die Ansprechpartner, wer die Stellvertreter? Das ist eine Form eines leichtgewichtigen Notfall-Reaktionsplans.“ Schmerl bringt das auf die Formel: „Es geht letztlich darum, im Ernstfall den ‚Headless-Chicken-Modus‘ zu vermeiden.“

Das Schwierigste für KMUs wird es laut Einschätzung von Andreas Schneider, Field CISO EMEA bei Lacework, sein, dass mögliche kritische Sicherheitsvorfälle innerhalb von 24 Stunden zu melden sind. „Wichtig ist, dass man diese Meldepflicht erfüllen kann“, sagt er. „Das muss man aber auch schon für die DSGVO so handhaben.“ Wer einen Meldeprozess für die DSGVO hat, könne dort gut andocken.

„In vielen Unternehmen gibt es Personen, die von Meldepflichten bereits Ahnung haben“, ergänzt Robert Stricker, VP Security Consulting bei Materna. „Das kann der Datenschutzbeauftrage sein, je nach Branche bestehen aber noch ganz andere Meldepflichten, etwa in der Chemie- oder Lebensmittelbranche.“ Diese Personen sollte man in das Krisenmanagement einbeziehen.

Und natürlich ist bei einem Cyberangriff stets das IT-Team gefordert. „Es hat sich bewährt, sich hier an den Bereitschaftsdienst dranzuhängen“, sagt Andreas Schneier. Denn einen Incident-Managementprozess habe längst jeder Betrieb definiert. „In der Checkliste muss man dann fragen: Handelt es sich um einen betrieblichen oder möglicherweise auch um einen Sicherheitsvorfall? Man kann den Prozess also einfach erweitern“, so der Lacework-Experte.

„Ich muss einen sicherheitsrelevanten Vorfall bei der Behörde innerhalb von 24 Stunden melden, auch nach Feierabend oder an einem Feiertag“, mahnt Tim Berghoff, Security Evangelist bei G Data, und folgert mit Blick auf den IT-Personalnotstand: „Viele Unternehmen werden hier auf einen Dienstleister zurückgreifen müssen, der das ISMS betreut und in Echtzeit die Aktivitäten überwacht.“ Zahlreiche Unternehmen nutzen laut Berghoff bereits Incident-Response-Dienstleister auf Retainer-Basis mit garantierten Antwortzeiten und Service-Level-Agreements, um zeitnah auf Vorfälle reagieren zu können. „In diese Richtung wird es für den Mittelstand gehen“, sagt er.

Lacework-Mann Schneider sieht dies aber nicht als zwingende Notwendigkeit: „Wie bei der DSGVO läuft das Zeitfenster ab dem Zeitpunkt, ab dem der Vorfall bekannt wird.“ Wenn allerdings dann die Rückfrage kommt, wie man den Vorfall erkannt hat, dann sei „Zufall“ keine gute Antwort. „Eine 24/7-Überwachung erwartet man von einem KMU nicht, aber das Unternehmen muss zu den Bürozeiten in der Lage sein, das zu erkennen“, beschwichtigt Schneider. „Alles andere ist utopisch.“

Ob ein Unternehmen einen externen Dienstleister mit der laufenden Angriffsüberwachung beauftragt, hängt also mehr vom eigenen Sicherheitsbedürfnis ab als von den NIS-2-Vorgaben. Denn sinnvoll ist eine 24/7-Überwachung für viele Unternehmen auch unabhängig von NIS-2.

(ID:50265322)