Was tun, wenn ein Angriff gelingt?
Krisenmanagement.
Im Ernstfall zählt nicht, wer die beste Technik hat, sondern wer vorbereitet ist.
In 60 Sekunden
- Vorbereitung schlägt Improvisation: Rollen, Kontakte und Notfallplan vorher festlegen.
- Die ersten Stunden: Krisenstab alarmieren, isolieren, dokumentieren, Fristen prüfen.
- Mindestens einmal im Jahr üben: Planspiel und Restore-Test.
Störung oder Krise?#
Der Unterschied
Eine Störung lässt sich im Alltag lösen. Eine Krise bedroht die Handlungsfähigkeit und braucht Entscheidungen der Leitung.
Vorbereitung schlägt Improvisation
Rollen, Kontaktlisten und erste Schritte stehen vorher fest. Im Stress entscheidet man sonst schlechter.
Kommunikation ist die halbe Miete
Mitarbeitende, Kunden, Behörden und Medien brauchen klare, abgestimmte Informationen.
4 Phasen.#
Vom Notfallhandbuch bis zur Nachbereitung.
Vorbereiten
Notfallhandbuch, Rollen, Kontaktlisten, getestete Backups und regelmäßige Übungen.
Erkennen und bewerten
Alarmierung, erstes Lagebild und Einstufung: Störung oder Krise?
Bewältigen
Eindämmen, Spuren sichern, kommunizieren und den Wiederanlauf nach Priorität steuern.
Nachbereiten
Was lief gut, was nicht? Maßnahmen ableiten und Meldungen abschließen.
Wer macht was?#
Im Krisenstab sind die Rollen klar verteilt, jeweils mit Vertretung.
Leitung des Krisenstabs
Meist die Geschäftsleitung. Trifft Entscheidungen und gibt Ressourcen frei.
Technische Leitung
Koordiniert Analyse, Eindämmung und Wiederherstellung in der IT.
Kommunikation
Informiert intern und extern, stimmt Texte ab und führt die Pressearbeit.
Recht und Datenschutz
Prüft Meldepflichten und Fristen, etwa NIS2 und DSGVO.
Fachbereiche und Personal
Nennen kritische Prozesse und organisieren Notbetrieb.
Externe Unterstützung
Incident-Response-Dienstleister, Forensik, Versicherer und Behörden. Kontakte vorher klären.
Die ersten Stunden.#
Eine Checkliste für den Moment, in dem es passiert.
- Ruhe bewahren. Krisenstab alarmieren und Rollen besetzen.
- Betroffene Systeme vom Netz trennen. Möglichst nicht sofort ausschalten, damit Spuren erhalten bleiben.
- Backups schützen. Sicherungen vom Netz trennen, bevor sie erreicht werden.
- Alles dokumentieren. Zeitstrahl führen: Wer hat wann was getan?
- Meldepflichten prüfen. Fristen laufen ab Kenntnis des Vorfalls.
- Experten holen. Forensik und Incident Response früh einbinden.
Üben, bevor es zählt.#
Ein Plan ist erst gut, wenn man ihn durchgespielt hat.
Planspiel (Tabletop)
Leitung und IT spielen ein Szenario am Tisch durch, zum Beispiel Ransomware am Freitagabend. 2 Stunden reichen für den Anfang.
Technischer Test
Eine Wiederherstellung aus dem Backup unter Realbedingungen: Wie lange dauert sie wirklich?
Alarmkette
Ist jeder erreichbar, auch nachts? Kontaktlisten und Vertretungen prüfen.
Backup-Planer.#
Wie lange dauert die Wiederherstellung, und passt das zu deinem Ziel?
Grobe Orientierung, kein Audit und keine Rechtsberatung. Die Auswahl bleibt in deinem Browser.
Check: Krisenbereitschaft.#
6 Fragen an dein Unternehmen.
Grobe Orientierung, kein Audit und keine Rechtsberatung. Die Auswahl bleibt in deinem Browser.
Häufige Fragen.#
Brauche ich wirklich ein Notfallhandbuch?
Ja. Es muss nicht dick sein. Wichtig sind Rollen, Kontakte, erste Schritte und Prioritäten. Es muss auch ausfallsicher verfügbar sein, etwa ausgedruckt.
Soll man Lösegeld zahlen?
Behörden raten in der Regel davon ab, denn es gibt keine Garantie für die Wiederherstellung und es finanziert Täter. Die Entscheidung gehört in den Krisenstab, mit rechtlicher Beratung und unter Einbeziehung der Strafverfolgung.
Was bringt eine Cyberversicherung?
Sie kann Kosten abfedern und Zugang zu Experten geben. Versicherer stellen aber Anforderungen an Sicherheitsmaßnahmen und Meldewege, die vorher erfüllt sein müssen.
Was sind RTO und RPO?
RTO ist die Zeit, in der ein System höchstens ausfallen darf. RPO beschreibt, wie viel Datenverlust, gemessen in Zeit, noch akzeptabel ist. Beides bestimmt Backup- und Wiederanlaufkonzepte.
Notfallplan gemeinsam durchdenken?
Schreib mir, wo du anfangen möchtest, dann ergänzen wir die Inhalte.