Plan zur Reaktion auf Sicherheitsvorfälle

Unverbindliche Übersetzung. Maßgeblich ist die englische Fassung.

Dieser Plan beschreibt, was LFW tut, wenn ein Sicherheitsvorfall vermutet oder bestätigt wird, auf den eigenen Systemen oder auf der Website eines Kunden. Er ist kurz: Eine Person handelt, und dies ist die Reihenfolge, in der sie handelt.

Version 1.0, 6. Oktober 2026. Teil der veröffentlichten Praktiken auf der Vertrauensseite. Die Schritte für eine Kundenwebsite folgen dem Anhang zur Website-Betreuung.

1. Was als Vorfall gilt

Unbefugter Zugriff auf ein System, das LFW betreibt oder in dem es arbeitet; eine Kompromittierung einer Kundenwebsite; Verlust oder Offenlegung von Daten von Kunden oder Besuchern; Zugangsdaten von LFW, die möglicherweise abgeflossen sind; oder ein Fehler im eigenen Release-Prozess von LFW, der eine Website ausfallen lässt.

Eine Schwachstellenmeldung ohne Anzeichen einer Ausnutzung wird nach der Richtlinie zur Offenlegung von Schwachstellen behandelt, nicht nach diesem Plan, es sei denn, sie zeigt, dass Daten erreicht wurden.

2. Wer handelt, und wann

Leland Fiegel, Gründer von LFW, verantwortet jeden Vorfall. Rufbereitschaft oder Betreuung außerhalb der Geschäftszeiten gibt es nicht: LFW handelt zu Geschäftszeiten, Montag bis Freitag, 9 bis 17 Uhr US-Ostküstenzeit (6 bis 14 Uhr pazifische Zeit), außer an US-Bundesfeiertagen. Außerhalb dieser Zeiten bieten wir keine Betreuung und keine Rufbereitschaft an.

Außerhalb dieser Zeiten überwacht und betreut der Hoster eines Kunden die Server rund um die Uhr nach seinen eigenen Bedingungen, und ein Kunde kann eine Kompromittierung jederzeit im Kundenportal melden. LFW beginnt spätestens am nächsten Werktag, eine kompromittierte Kundenwebsite aus dem Backup des Hosters wiederherzustellen.

3. Benachrichtigung

Bestätigt LFW einen Sicherheitsvorfall, der die Daten oder die Website eines Kunden betrifft, informiert es diesen Kunden innerhalb von 24 Stunden nach der Bestätigung schriftlich per E-Mail an die hinterlegten Kontakte: was bekannt ist, was noch nicht bekannt ist und was LFW unternimmt.

Legen der Vertrag eines Kunden oder das Gesetz eine kürzere Frist oder eine benannte Ansprechperson fest, gilt diese. LFW hält die geltenden Gesetze zur Meldung von Datenschutzverletzungen ein und unterstützt die eigene Benachrichtigung des Kunden an die betroffenen Personen.

Wer aus der Sicherheitsforschung ein Problem nach der Offenlegungsrichtlinie meldet, erhält innerhalb von zwei Werktagen eine Antwort und erfährt dann den Plan und wann die Korrektur live ist.

4. Schritte für die eigenen Systeme von LFW

Eindämmen. Die betroffenen Sitzungen oder Token widerrufen; jedes Geheimnis austauschen, das offengelegt worden sein könnte; bei Bedarf den Verkehr bei Cloudflare sperren oder den Dienst anhalten.

Sichern. Die Protokolle des Webservers und die Aufzeichnungen der Anwendung für den Zeitraum aufbewahren. Vor jeder Änderung einen Backup-Snapshot anlegen, damit der Zustand zum Zeitpunkt der Entdeckung erhalten bleibt.

Wiederherstellen. Auf das vorherige Release zurücksetzen, das auf dem Server aufbewahrt wird, oder die Daten aus dem neuesten einwandfreien Snapshot wiederherstellen. Backups laufen täglich und bei jedem Release, mit einer Kopie außer Haus.

Beheben und prüfen. Die Korrektur über das normale, geprüfte Release ausliefern und sie dann auf der Live-Website mit den Prüfungen von LFW Monitor und von Hand bestätigen.

5. Schritte für eine Kundenwebsite

Eindämmen. Die Firewall-Regeln bei Cloudflare und in Wordfence verschärfen, gemeinsam mit dem Kunden die Administratorsitzungen und Zugangsdaten der Website zurücksetzen und die Website in den Wartungsmodus versetzen, wenn sie Besuchern aktiv schadet.

Wiederherstellen. Aus dem neuesten sauberen Backup des Hosters wiederherstellen, beginnend spätestens am nächsten Werktag, wie es die Website-Betreuung umfasst. Der Tarif des Hosters bestimmt, wie weit ein Backup zurückreicht.

Untersuchen. Das Aktivitätsprotokoll und die Zugriffsprotokolle des Hosters lesen, um herauszufinden, wie und wann die Website erreicht wurde. Tiefere Forensik und Bereinigung über die Wiederherstellung hinaus sind ein Projekt, schriftlich angeboten, bevor die Arbeit beginnt, wie es der Anhang vorsieht.

Die Lücke schließen. Die ausgenutzte Komponente aktualisieren oder entfernen, die Firewall-Regel bestätigen, die sie abdeckt, und die Website mit LFW Monitor erneut prüfen.

6. Die schriftliche Aufzeichnung

Jeder Vorfall erhält eine interne schriftliche Aufzeichnung: was geschehen ist, wann es entdeckt wurde, was wann getan wurde, welche Daten betroffen waren und was sich danach geändert hat, damit es sich nicht wiederholt. Der Kunde erhält diese Aufzeichnung für einen Vorfall auf seiner Website oder mit seinen Daten.

Einträge im öffentlichen Änderungsprotokoll beschreiben die Korrektur, nie die Einzelheiten des Vorfalls. Ändert ein Vorfall eine Praxis auf der Vertrauensseite, ändern sich Version und Datum der Richtlinie.

7. Diesen Plan testen

Der Release-Prozess wird bei jedem Deployment getestet: Ein neues Release besteht seine Routenprüfungen, bevor der Verkehr umgestellt wird, und das vorherige Release bleibt verfügbar. Backups werden bei ihrer Erstellung geprüft, und das Backup-Repository wird wöchentlich geprüft.

LFW hat noch keine geplante Wiederherstellungsübung mit einer Kopie seiner Produktionsdaten durchgeführt und sagt das hier, statt einen jährlichen Test zu behaupten.