Kategorie: IT-Sicherheit

Dateien tauchen mit seltsamen Endungen auf, auf dem Desktop liegt eine Lösegeldforderung und ein Rechner nach dem anderen fällt aus. In diesem Moment brauchen Sie keine Abhandlung über Cybersicherheit: Sie müssen wissen, was Sie in den nächsten sechzig Minuten tun. Denn was Sie dort entscheiden —und vor allem, was Sie aus purer Nervosität tun— entscheidet über den Unterschied zwischen einem schlechten Tag und zwei Wochen Stillstand im Betrieb.

Das ist kein Präventionsartikel. Er geht davon aus, dass es bereits passiert, und gibt Ihnen den Notfallplan Schritt für Schritt: was Sie anfassen, was Sie nicht anfassen, wen Sie anrufen und in welcher Reihenfolge Sie wiederherstellen. Speichern Sie ihn, bevor Sie ihn brauchen, denn wenn Sie ihn brauchen, haben Sie keine Zeit, ihn zu suchen.

Warum die ersten Stunden alles entscheiden

Ransomware verschlüsselt nicht mit Lichtgeschwindigkeit. Wenn Sie die Lösegeldforderung sehen, breitet sich die Verschlüsselung weiter im Netzwerk aus: Jede Minute, die ein infizierter Rechner verbunden bleibt, bedeutet mehr freigegebene Ordner, mehr Server und —was am meisten schmerzt— mehr fallende Backups. Das Zeitfenster, um den Schaden einzudämmen, misst sich in Minuten, nicht in Stunden. Dort entscheidet sich, ob Sie morgen öffnen oder nicht.

Der andere Feind dieser ersten Stunde ist die Panik. Die instinktive Reaktion —alles abschalten, Server neu starten, alles Infizierte löschen, das Lösegeld zahlen, um schnell fertig zu sein— ist fast immer die falsche. Eindämmen heißt nicht schnell reagieren, sondern in der richtigen Reihenfolge reagieren. Ein Unternehmen, das mit kühlem Kopf isoliert, stellt in zwei Tagen aus dem Backup wieder her. Eines, das aus lauter Nervosität improvisiert, endet mit einem ausgeweiteten Vorfall, zerstörten Beweisen und keinem sauberen Backup, zu dem es zurückkehren könnte.

Ransomware bestraft nicht das technische Versagen, sondern die Improvisation. Wer den Plan schriftlich hat, handelt; wer ihn nicht hat, diskutiert, während die Verschlüsselung voranschreitet.

Die richtigen ersten Schritte, der Reihe nach

Das ist das Drehbuch für die erste Stunde. Improvisieren Sie es nicht: Machen Sie es genau so, von oben nach unten.

• Trennen Sie die betroffenen Rechner vom Netzwerk. Ziehen Sie das Kabel, schalten Sie das WLAN aus, kappen Sie das VPN. Das Ziel ist, die Ausbreitung sofort zu stoppen. Isolieren kommt zuerst, immer, bevor Sie irgendetwas untersuchen.
• Schalten Sie nicht wild ab. Vom Netzwerk zu trennen ist nicht dasselbe wie kalt auszuschalten. Das Ausschalten löscht flüchtige Informationen, die helfen zu verstehen, was passiert ist und wie sie hereingekommen sind, und erschwert in manchen Fällen sogar die Datenwiederherstellung. Isolieren Sie, aber lassen Sie die Rechner an, sofern die Person, die den Vorfall leitet, nichts anderes sagt.
• Schützen Sie die Backups sofort. Stellen Sie vor allem anderen sicher, dass die Backups aus dem kompromittierten Netzwerk nicht erreichbar sind. Wenn die Ransomware sie erreicht, ist das Gespräch beendet. Trennen Sie sie oder prüfen Sie, dass sie isoliert und unveränderlich sind.
• Kappen Sie Fernzugänge und privilegierte Konten. VPN, Remotedesktop, Dienstleisterzugänge und Administratorkonten. Über den Weg, über den sie hereinkamen, können sie wiederkommen, und oft ist der Angreifer noch drin und beobachtet, wie Sie reagieren.
• Sichern Sie die Beweise. Fotografieren Sie die Lösegeldforderung, notieren Sie die Uhrzeit, löschen Sie weder Protokolle noch verschlüsselte Dateien. Diese Information ist Gold wert, um das Ausmaß zu kennen, für die Versicherung und, falls nötig, für die Anzeige.
• Aktivieren Sie den Plan und setzen Sie eine Person an die Spitze. Jemand koordiniert, entscheidet und kommuniziert; die anderen führen aus. Benachrichtigen Sie Ihren Anbieter für Managed Cybersecurity und beginnen Sie zu dokumentieren, was betroffen ist. In einer Krise richten fünf Leute, die parallel entscheiden, mehr Schaden an als der Angriff selbst.

Damit ist der Brand eingedämmt. Jetzt gilt es, das Ausmaß in Ruhe zu bewerten: was verschlüsselt ist, was nicht, und ob es Hinweise darauf gibt, dass zusätzlich Daten abgeflossen sind —die sogenannte doppelte Erpressung—, denn das ändert Ihre rechtlichen Pflichten.

Was Sie auf keinen Fall tun dürfen

Die Hälfte einer guten Reaktion besteht darin, die Fehler nicht zu machen, die aus einem Vorfall ein irreversibles Desaster machen. Das sind die vier, die am teuersten kommen.

• Zahlen Sie nicht blind. Zahlen garantiert nicht, dass Sie die Daten zurückbekommen —viele Entschlüssler versagen oder liefern nur halb—, es markiert Sie als jemanden, der zahlt, und finanziert den nächsten Angriff. Es ist die letzte Option, nie die erste, und nur, nachdem Sie gründlich geprüft haben, ob Sie aus dem Backup wiederherstellen können.
• Stellen Sie nicht über das Infizierte wieder her. Daten auf einem noch kompromittierten System wiederherzustellen oder ohne den Einfallsweg geschlossen zu haben, startet den Albtraum binnen Stunden neu. Zuerst wird bereinigt oder neu installiert; danach wird wiederhergestellt.
• Verheimlichen Sie es nicht. Den Vorfall zu verschweigen, damit niemand davon erfährt, setzt Sie Sanktionen wegen unterlassener Meldung aus und zerstört das Vertrauen, wenn es schließlich herauskommt —und es wird herauskommen. Gut gesteuerte Transparenz schützt; Schweigen verschlimmert.
• Löschen Sie weder Protokolle noch Dateien. Auf eigene Faust „aufzuräumen“ zerstört die Beweise, die Sie brauchen, um das Ausmaß zu verstehen, das Gesetz einzuhalten und die Versicherung zu kassieren. Fassen Sie die Protokolle nicht an: Sie sind Ihr bester Verbündeter.

Meldung und Pflichten: die juristische Uhr läuft ebenfalls

Während Sie eindämmen und wiederherstellen, läuft eine zweite Uhr, die viele ignorieren, bis es zu spät ist. Wenn bei dem Angriff personenbezogene Daten —von Kunden, Mitarbeitern oder Lieferanten— kompromittiert wurden, verpflichtet Sie die DSGVO, die Verletzung innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu melden. Sie wartet nicht, bis Sie den Dienst wiederhergestellt haben, und sie ist nicht optional: Nicht zu melden addiert eine Strafe zu dem Desaster, das Sie ohnehin schon haben.

Und es gibt weitere Fronten, die parallel zu bearbeiten sind, ohne sie auf das Ende zu verschieben:

• Benachrichtigung der Betroffenen. Wenn die Verletzung ein hohes Risiko für Kunden oder Mitarbeiter bedeutet, müssen Sie sie zusätzlich zur Aufsichtsbehörde direkt informieren. Bereiten Sie eine klare, ehrliche Nachricht vor, keine leere Erklärung.
• Meldung an die Versicherung. Wenn Sie eine Cyberrisiko-Police haben, melden Sie es so früh wie möglich: Viele verlangen eine sofortige Meldung und geben Ihnen Zugang zu einem Response-Team. Auf eigene Faust zu handeln, kann Sie aus dem Versicherungsschutz drängen.
• Anzeige und Behörden. Eine Anzeige zu erstatten und die zuständigen Stellen wie die nationale Cybersicherheitsbehörde zu informieren, schafft einen offiziellen Nachweis und gibt Ihnen Rückhalt. Die Dokumentation, die Sie in der ersten Stunde gesichert haben, ist genau das, was hier gebraucht wird.

Vorab festgelegt zu haben, wer die Meldung verfasst, wer mit der Versicherung spricht und wer mit den Kunden, ist das, was es Ihnen erlaubt, diese Fristen einzuhalten, ohne die technische Wiederherstellung auszubremsen. Es bei stillstehendem Betrieb zu improvisieren, ist das Rezept, um alle drei zu verfehlen.

Wie MagicBoxDesk Ihnen hilft: Incident Response und Wiederherstellung aus einem sauberen Backup

All das klingt einfach, in Ruhe niedergeschrieben. Um drei Uhr morgens, bei stillstehendem Betrieb und klingelndem Telefon, ist es das nicht. Deshalb liegt der größte Wert nicht darin, den Plan in einem PDF zu haben, sondern jemanden auf der anderen Seite zu haben, der ihn mit Ihnen ausführt. Bei MagicBoxDesk bauen, pflegen und lösen wir diesen Notfallplan als Dienst aus, im Rahmen Ihrer ausgelagerten IT, mit Remote- und Vor-Ort-Support in ganz Spanien.

• Incident Response mit einem definierten und eingeübten Plan: wer isoliert, wer entscheidet, wer benachrichtigt wird und in welcher Reihenfolge, um in Minuten zu handeln, statt tagelang zu improvisieren.
• Eindämmung und Ausmaßanalyse: Wir isolieren das Betroffene, sichern Beweise und stellen fest, ob Daten gestohlen wurden, ohne die Information zu zerstören, die Sie später brauchen.
• Unveränderliche und isolierte Backups, mit regelmäßig getesteten Wiederherstellungen, damit im entscheidenden Moment wirklich ein sauberes Backup da ist, zu dem Sie zurückkehren können.
• Wiederherstellung in der richtigen Reihenfolge: Identität und Authentifizierung zuerst, dann das, was fakturiert oder produziert, danach E-Mail und Dateien, und die Arbeitsplätze zuletzt, neu installiert von einem sauberen Image.
• Unterstützung bei den rechtlichen Pflichten: fristgerechte Meldung der Verletzung, Kommunikation mit der Versicherung und den Betroffenen, mit den Unterlagen in Ordnung.
• Schließen des Einfallswegs vor dem Wiederverbinden, damit der Angriff nicht von vorn beginnt, sobald alles wieder anläuft.

Ideal ist, dass wir vor dem Vorfall sprechen, nicht währenddessen. Den Plan, die Backups und die Zugänge vorzubereiten kostet einen Bruchteil dessen, was ein Lösegeld oder zwei Wochen Ausfall kosten, und ist das, was aus einer Krise einen bloß unangenehmen Moment macht. Wenn Sie es schon am Hals haben, sind wir ebenfalls da, um Ihnen beim Eindämmen und Wiederherstellen zu helfen.

Bei MagicBoxDesk kümmern wir uns um Ihre Sicherheit und Ihren Notfallplan, damit Sie sich um Ihr Geschäft kümmern können. Fordern Sie ein unverbindliches Angebot an und wir sagen Ihnen, was Sie wirklich brauchen, damit die ersten Stunden eines Ransomware-Angriffs für Sie spielen und nicht gegen Sie.

Bevor Sie sich fragen, wie man die ISO 27001 einführt, gibt es eine Frage, die über alles andere entscheidet: Lohnt sich die Zertifizierung überhaupt für Ihr Unternehmen? Denn eine Zertifizierung kostet Geld, Arbeitsstunden Ihrer Leute und eine Verpflichtung, die nicht an dem Tag endet, an dem man Ihnen das Siegel überreicht, sondern die sich jedes Jahr erneuert. Und nicht für jedes KMU rechnet sie sich. Für manche enorm. Für andere ist es hinausgeworfenes Budget aus Eitelkeit.

In diesem Artikel geht es nicht darum, wo man anfängt, noch um Einführungs-Checklisten. Es geht darum, die Entscheidung mit Augenmaß zu treffen: Was das Zertifikat Ihnen wirklich bringt, wann sich der Nutzen offensichtlich zeigt, wie viel es ohne aufgeblähte Zahlen kostet und welche Alternative Sie haben, wenn Sie zwar sicher sein wollen, das Papier aber noch niemand von Ihnen verlangt.

Was Ihnen die ISO 27001 wirklich bringt (und was nicht)

Zunächst, um den Nebel zu lichten: Die ISO 27001 macht Sie nicht immun gegen einen Angriff. Sie ist weder ein Virenschutz noch eine Firewall noch eine Garantie, dass keine Ransomware eindringt. Sie ist ein Managementsystem für Informationssicherheit: eine geordnete, auditierte Art zu wissen, welche Daten Sie haben, welchen Risiken sie ausgesetzt sind und was Sie tun, um damit umzugehen. Das Zertifikat belegt, dass dieses System existiert und funktioniert, nicht dass Sie unverwundbar sind.

Was bringt es Ihnen also im Gegenzug für den Aufwand? In der Praxis drei konkrete Dinge. Das erste ist ein kommerzieller Schlüssel: Er öffnet Türen, die ohne das Siegel verschlossen bleiben —Großkunden, Ausschreibungen, internationale Aufträge—. Das zweite ist nachweisbares Vertrauen: Es verkürzt Verkaufszyklen und erspart Ihnen die endlosen Sicherheitsfragebögen, die Ihnen Großkunden vor Vertragsabschluss schicken. Und das dritte, das am meisten Unterschätzte, ist echte interne Ordnung: Um sich zertifizieren zu lassen, müssen Sie schriftlich festhalten, wer worauf zugreift, wie Backups erstellt werden und was passiert, wenn etwas schiefgeht. Diese Ordnung ist es wert, selbst wenn Sie das Zertifikat nie an die Wand hängen.

Die nützliche Frage lautet nicht „Zertifiziere ich mich?“, sondern „Wie viel Geschäft verliere ich, weil ich nicht zertifiziert bin?“. Mit dieser Zahl auf dem Tisch trifft sich die Entscheidung von selbst.

Wann sich die Zertifizierung LOHNT

Die ISO 27001 rechnet sich, wenn ein klarer kommerzieller oder regulatorischer Grund dahintersteht. Wenn Sie sich in einem dieser Fälle wiedererkennen, lautet die Antwort meist ohne großes Zögern ja:

• Ein Kunde verlangt sie, um weiter mit Ihnen zu arbeiten. Das ist der häufigste Fall und der am einfachsten zu entscheidende: Wenn der Verlust dieses Kunden mehr schmerzt als die Kosten der Zertifizierung, lohnt sie sich. Punkt.
• Sie wollen an Ausschreibungen teilnehmen oder Großkunden gewinnen. In vielen Ausschreibungsunterlagen und Zulassungsverfahren ist das Zertifikat Eingangsvoraussetzung: ohne es werden Sie nicht einmal bewertet.
• Sie verarbeiten sensible Daten Dritter. Wenn Sie Technologiedienstleister sind, Kundendaten verwalten oder kritische Informationen verarbeiten, ist die Zertifizierung das Argument, das die Zweifel desjenigen ausräumt, der Sie beauftragt.
• Sie sind in einer regulierten Branche oder innerhalb einer anspruchsvollen Lieferkette tätig. Immer mehr Unternehmen geben ihre Pflichten —einschließlich des Drucks von Vorschriften wie NIS2— an ihre Lieferanten weiter. Man verlangt sie von Ihnen, selbst wenn das Gesetz Sie nicht direkt dazu verpflichtet.
• Sie befinden sich in einer Wachstumsphase und wollen in einer anderen Liga spielen. Wenn Ihr Ziel darin besteht, an größere Unternehmen zu verkaufen oder ins Ausland zu expandieren, hört das Zertifikat auf, ein Luxus zu sein, und wird zur Bedingung, um mitzuhalten.

Und umgekehrt: Wenn niemand es von Ihnen verlangt, Sie nicht an Großkunden verkaufen und Ihre wahre Priorität schlicht darin besteht, keinen bösen Schreck zu erleben, brauchen Sie das Siegel vielleicht noch nicht. Sie brauchen die Maßnahmen. Davon sprechen wir weiter unten.

Was es wirklich kostet

Hier erleben viele eine Überraschung, denn die Kosten der ISO 27001 sind keine einmalige Rechnung. Es sind vier verschiedene Posten, und man sollte sie alle betrachten, bevor man entscheidet:

• Einführungsberatung. Die Begleitung beim Aufbau des Systems: Geltungsbereich, Risikoanalyse, Richtlinien und Maßnahmen. Es ist der sichtbarste Posten und variiert stark je nach Größe Ihres Unternehmens und wie geordnet Ihre Ausgangsinfrastruktur ist.
• Interne Zeit Ihres Teams. Der versteckte Kostenfaktor, den niemand einplant. Ihre Leute müssen Informationen liefern, Richtlinien genehmigen und das Dokumentierte umsetzen. Wenn niemand Stunden für das Projekt hat, zieht es sich endlos hin und wird teurer.
• Zertifizierungsaudit. Wird von einer unabhängigen akkreditierten Stelle in Rechnung gestellt, getrennt von der Beratung. Sie stellt das Zertifikat aus, nachdem sie Ihr System in zwei Phasen geprüft hat.
• Jährliche Aufrechterhaltung. Das Zertifikat gilt drei Jahre, aber jedes Jahr gibt es ein Überwachungsaudit. Ein vernachlässigtes System bricht von allein zusammen, also muss man es am Leben halten: das bedeutet Stunden und oft auch Werkzeuge.

Ich gebe Ihnen keine feste Zahl, denn das wäre gelogen: Sie hängt von Ihrer Größe ab, vom Geltungsbereich, den Sie festlegen, und davon, wie viel Sie bereits erledigt haben. Und genau darin liegt die gute Nachricht. Je geordneter Ihre technische Basis ist —getestete Backups, Zugriffskontrolle, aktuelle Updates—, desto günstiger wird die Einführung, denn Sie erfüllen bereits die halbe Norm, ohne es zu wissen. Der schnellste Weg, die Kosten in die Höhe zu treiben, ist, das ganze Unternehmen auf einmal zu zertifizieren, obwohl man mit einem abgegrenzten Geltungsbereich hätte beginnen und ihn später erweitern können.

Die Alternative: die Maßnahmen umsetzen, ohne zu zertifizieren

Hier ist die Feinheit, die Ihnen fast niemand verrät: Was Sie schützt, ist nicht das Zertifikat, es sind die Maßnahmen. Das Siegel ist der Nachweis, dass ein Dritter überprüft hat, dass diese Maßnahmen existieren. Wenn niemand das Papier von Ihnen verlangt, können Sie den Teil behalten, der Sie wirklich absichert, und sich das externe Audit und dessen jährliche Erneuerung sparen.

In der Praxis bedeutet das, die Maßnahmen umzusetzen, die sich aus der Norm selbst ergeben —Risikoanalyse, Backups, die sich tatsächlich wiederherstellen lassen, Zugriffskontrolle, Vorfallmanagement, Schulung des Teams, Lieferantenkontrolle—, aber ohne die Zertifizierungsstelle einzuschalten. Sie haben gute Sicherheit, erfüllen faktisch einen guten Teil dessen, was Ihre Kunden verlangen, und vermeiden die wiederkehrenden Kosten des Zertifikats. Das ist der clevere Weg, wenn Ihre Priorität darin besteht, keinen bösen Schreck zu erleben, und nicht darin, eine Ausschreibung zu gewinnen.

Der zusätzliche Vorteil ist, dass diese Arbeit nicht verloren geht: Am Tag, an dem ein Kunde die ISO 27001 von Ihnen verlangt, haben Sie bereits 70 % des Weges hinter sich, und die Zertifizierung wird eine Formsache des Formalisierens und Dokumentierens sein, kein Projekt von Grund auf. Mit den Maßnahmen zu beginnen und zu zertifizieren, wenn der Moment kommt, ist fast immer die rentabelste Entscheidung. Eine solide Basis aus Cybersicherheit und Compliance ist genau dieser Ausgangspunkt.

Wie MagicBoxDesk Ihnen bei der Entscheidung hilft (und bis zum Zertifikat)

Die meisten Beratungen verkaufen Ihnen das Zertifikat, ohne zu fragen, ob Sie es brauchen. Bei MagicBoxDesk machen wir das Gegenteil: Als Erstes sagen wir Ihnen ehrlich, ob sich die Zertifizierung für Ihr Unternehmen lohnt oder ob es genügt, die Maßnahmen umzusetzen. Wir schauen, wer sie von Ihnen verlangt, welches Geschäft auf dem Spiel steht und in welchem Zustand Ihre Infrastruktur ist, und darauf aufbauend geben wir Ihnen eine Empfehlung mit Zahlen, keinen Verkauf.

Und wenn die Antwort lautet, dass es sich lohnt, bringen wir Sie bis zum Ziel. Da wir die IT-Abteilung von KMU und Unternehmen in ganz Spanien auslagern, beschränken wir uns nicht darauf, Richtlinien zu verfassen: Wir setzen bei Ihren Backups, Ihren Zugängen und Ihren realen Systemen an, führen die technischen Maßnahmen ein, die die Norm tragen, und begleiten Sie bis zum Zertifizierungsaudit. Danach bleiben wir mit Monitoring, Backups und Managed Cybersecurity an Ihrer Seite, damit die jährlichen Überwachungsaudits ohne böse Überraschungen bestanden werden. Alles, was wir abdecken, sehen Sie auf unserer Seite Leistungen.

Bevor Sie also auch nur einen Euro für ein Zertifikat ausgeben, das Sie vielleicht nicht brauchen —oder einen Auftrag verstreichen lassen, weil Sie es nicht haben—, lassen Sie es uns Ihnen klar sagen. Fordern Sie ein unverbindliches Angebot an, und wir sagen Ihnen, ob es sich für Sie lohnt, wie viel es Sie wirklich kosten würde und in welchem realistischen Zeitrahmen Sie es fertig hätten.