Die erste Stunde eines Sicherheitsvorfalls

Ein Sicherheitsvorfall kündigt sich selten so an wie im Film. Er sieht aus wie eine Lösegeldforderung auf einem Bildschirm, Dateien mit seltsamen neuen Namen, ein Dienstleister, der fragt, wo seine Zahlung geblieben ist, oder Bürgerinnen und Bürger, die sagen, dass die Seite der Gemeinde Unsinn veröffentlicht.

Was Sie in der ersten Stunde tun, entscheidet, wie schlimm der nächste Monat wird. Diese Lektion ist die kurze Liste. Sie folgt der Reaktions-Checkliste des #StopRansomware Guide der CISA, vereinfacht für Personen, die nicht in der IT arbeiten.

Was als Sicherheitsvorfall zählt

Behandeln Sie jeden der folgenden Fälle als Sicherheitsvorfall und beginnen Sie mit den Schritten unten:

• eine Lösegeldforderung oder Dateien mit unbekannten Endungen, die Sie nicht öffnen können,
• eine Zahlung, eine Gehaltsüberweisung oder ein Kauf von Geschenkkarten, die bei einem Kriminellen gelandet sind,
• ein E-Mail-Konto, das Nachrichten verschickt, die seine Inhaberin oder sein Inhaber nicht geschrieben hat,
• eine Website oder ein Social-Media-Konto, das Dinge veröffentlicht, die niemand in der Einrichtung geschrieben hat,
• ein verlorener oder gestohlener Laptop oder ein Telefon mit Daten der Einrichtung darauf,
• Sie haben Ihr Passwort auf einer Seite eingegeben, die sich als gefälscht herausgestellt hat.

Die erste Stunde, der Reihe nach

1. Trennen, nicht ausschalten. Ziehen Sie das Netzwerkkabel und schalten Sie das WLAN auf dem betroffenen Computer aus. Die Checkliste der CISA sagt, betroffene Systeme zuerst zu isolieren und nur dann auszuschalten, wenn Sie sie nicht trennen können, denn das Herunterfahren zerstört Beweise, die im Arbeitsspeicher liegen.

2. Anrufen, nicht mailen. Rufen Sie Ihre IT-Ansprechperson oder Ihren Dienstleister an. Wenn das E-Mail-Konto kompromittiert sein könnte, liest der Angreifer womöglich mit. Die CISA rät zu Kommunikation über einen getrennten Kanal, etwa Telefonanrufe, damit er nicht gewarnt wird.

3. Wenn Geld geflossen ist, rufen Sie jetzt die Bank an. Verlangen Sie den Rückruf der Zahlung. Hier zählen Minuten mehr als irgendwo sonst. Lektion 3 behandelt das.

4. Lassen Sie die Beweise unangetastet. Löschen Sie weder die Lösegeldforderung noch die verdächtigen E-Mails noch die seltsamen Dateien. Führen Sie keine Bereinigungsprogramme aus und installieren Sie nichts neu. Fotografieren Sie den Bildschirm mit Ihrem Telefon.

5. Beginnen Sie ein schriftliches Protokoll. Notieren Sie auf Papier, wann Sie es bemerkt haben, was Sie gesehen haben, was Sie getan haben und wen Sie angerufen haben. Ergänzen Sie es laufend.

6. Informieren Sie Ihre vorgesetzte Person und die Leitung der Einrichtung. Wenn Sie einen Notfallplan für Sicherheitsvorfälle haben, tritt er jetzt in Kraft. Wenn Sie eine Cyberversicherung haben oder einem Risikopool angehören, prüfen Sie Ihre Police: Viele verlangen eine frühe Meldung und bieten eine Hotline an.

7. Melden Sie es. Lektion 8 behandelt das FBI, die CISA und Ihren Bundesstaat.

Was Sie nicht tun sollten

• Zahlen Sie nicht und nehmen Sie keinen Kontakt zu den Angreifern auf. Die CISA und ihre Partnerbehörden empfehlen nicht, ein Lösegeld zu zahlen. Eine Zahlung garantiert weder, dass Ihre Daten zurückkommen, noch, dass sie vertraulich bleiben, und sie kann ein Sanktionsrisiko mit sich bringen.
• Veröffentlichen Sie nichts darüber in den sozialen Medien der Einrichtung, und antworten Sie Bürgerinnen und Bürgern nicht mit Vermutungen. Öffentliche Erklärungen laufen über die Person, die Ihre Einrichtung dafür bestimmt.
• Warten Sie nicht auf Gewissheit. Die Meldung eines Fehlalarms kostet einen Anruf. Einen Tag bei einem echten Vorfall zu warten, kann die Backups, das Geld und die Akten kosten.

Sie bekommen keinen Ärger, weil Sie etwas melden

Die Person, die geklickt hat, bemerkt es meist als Erste. Eine schnelle Meldung ist das Beste, was jemand bei einem Sicherheitsvorfall tun kann, und eine gute Einrichtung sagt das laut. Wenn Sie eine vorgesetzte Person sind, danken Sie der Person, die es gemeldet hat.