Was tun, wenn ein Cyberangriff auftritt? Die Verpflichtungen sind klar

Was sollte getan werden, wenn ein Cyberangriff auftritt? Diese Frage wird wahrscheinlich von den Verantwortlichen in Unternehmen manchmal gestellt, aber bis ein Angriff passiert, suchen nur sehr wenige von ihnen tatsächlich nach einer Antwort darauf. So ist die menschliche Natur: ‚Es wird mir nicht passieren, oder?‘ Man sollte jedoch nicht auf Glück vertrauen. Ab 2024 haben alle Schlüssel- und wichtigen Einrichtungen, gemäß der Klassifizierung des Cybersecurity-Gesetzes, neue Verpflichtungen, die für alle nützlich sein könnten, die sich fragen, was zu tun ist, wenn ein Hacking-Angriff auftritt.

– Mit der Verabschiedung des neuen Cybersecurity-Gesetzes im Februar 2024 sind kategorisierte Einrichtungen verpflichtet, Maßnahmen zur Verwaltung von Cybersecurity-Risiken und Verpflichtungen zur Meldung signifikanter Vorfälle und schwerwiegender Cyberbedrohungen umzusetzen, was sicherlich zu einer größeren Resilienz und schnelleren Reaktion auf Cyberbedrohungen beitragen wird – erklärte CERT.

Vor und Nach einem Angriff

In der Zeit vor einem Angriff sind ‚Schlüssel‘- und ‚wichtige‘ Einrichtungen verpflichtet, Cybersecurity-Risiken zu managen, d.h. Maßnahmen wie Risikoanalysen, Aktionspläne, die Einführung oder Nutzung von Kryptografie und Ähnlichem umzusetzen. Tritt ein Vorfall auf und besteht ein begründeter Verdacht, dass er in die Kategorie signifikanter Vorfälle fällt, sind sie verpflichtet, ohne Verzögerung, innerhalb der ersten 24 Stunden dieser Information, eine Frühwarnung an das zuständige CSIRT (Computer Security Incident Response Team) zu senden und dann innerhalb von 72 Stunden eine erste Benachrichtigung mit weiteren Daten. Danach folgen weitere Benachrichtigungen darüber, wie sich die Situation entwickelt.

Die Meldepflicht dauert bis zum Ende des Angriffs, und wenn der Angriff länger als dreißig Tage dauert, sind ‚Schlüssel‘- und ‚wichtige‘ Einrichtungen auch verpflichtet, Fortschrittsberichte zu senden. Ein ’signifikanter Vorfall‘ kann alles sein, was ernsthafte Störungen im Betrieb von Dienstleistungen, Aktivitäten oder finanzielle Verluste verursachen kann oder erheblichen materiellen oder immateriellen Schaden für andere natürliche oder juristische Personen, einschließlich Reputationsschäden, verursachen könnte. In Situationen, in denen Unternehmen große Mengen an Daten über ihre Nutzer sammeln, einschließlich ihrer Kreditkarteninformationen, Fotografien und Ähnlichem, wird ein signifikanter Vorfall fast zu jedem Fall. Das zuständige CSIRT kann verschiedene Stellen sein. Am häufigsten ist es das NCKS (Nationale Cybersecurity-Zentrum), das innerhalb der SOA tätig ist, oder CERT, das innerhalb von CARNET funktioniert. Berichte an das zuständige CSIRT werden über eine spezielle Anwendung PiXi in CARNET eingereicht.

Das Problem von Geschwindigkeit und Hast

Scheint es kompliziert? Nun, das ist es, aber es ist notwendig. Nämlich, wenn ein Angriff oder ein signifikanter Vorfall auftritt, muss man sich an diese Regeln halten und Experten einbeziehen, um die Ursachen des Angriffs leichter zu bestimmen, Daten wiederherzustellen und in den schwersten Fällen die Straftat der Polizei zu melden.

– Die häufigsten Fehler sind das hastige Herunterfahren kompromittierter Systeme, die späte Einbeziehung von Experten, das Löschen von Protokollen oder die Neuinstallation vor der forensischen Untersuchung und eine mangelhafte Dokumentation der Maßnahmen. Die Folgen solcher Fehler sind der Verlust wichtiger forensischer Daten, die Unfähigkeit, die Ursache und das Ausmaß des Angriffs nachzuweisen, Schwierigkeiten bei der Ausübung von Rechten auf Cyberversicherung und eine verlängerte Wiederherstellung – sagte der Business Development Manager für ICT bei Duplico, Željko Vugrinec.

Beste forensische Praxis

CERT betonte auch gegenüber Lider die Bedeutung der Einhaltung bester forensischer Praktiken und wies darauf hin, dass es notwendig ist, alle relevanten Daten über den Vorfall unverzüglich zu sichern und zu dokumentieren, wobei besonderes Augenmerk auf die Integrität der Beweise gelegt werden sollte. In einfachen Worten sollte man nicht manipulieren, sondern der Zustand sollte unverändert bleiben. Alle Aktivitäten sollten dokumentiert werden, unter Verwendung autorisierter Werkzeuge und Verfahren, und Beweise sollten mit kontrolliertem Zugang gesichert werden. Dies ist wichtig, damit die auf diese Weise gesammelten Beweise später in Verfahren zulässig sind.

Einrichtungen, die als ‚Schlüssel‘ und ‚wichtig‘ kategorisiert sind, haben sicherlich bereits das relevante Cybersecurity-Gesetz und die begleitende Cybersecurity-Verordnung studiert, die die Verfahren während signifikanter Vorfälle näher erläutert. Diejenigen, die nicht zu diesen Kategorien gehören, aber sicherstellen möchten, dass sie korrekt an die relevanten Cybersecurity-Behörden berichten und angemessene Ratschläge oder Unterstützung erhalten, sollten diese Vorschriften unbedingt vor einem Vorfall studieren. Und diejenigen, die unvorbereitet von einem Angriff getroffen werden, können sich jederzeit an CERT wenden, dessen Website Anleitungen und Richtlinien enthält.

– Nicht jeder meldet Angriffe in denselben Phasen, sei es in der Phishing-Phase, einem kompromittierten Benutzerkonto oder Ransomware. Das Nationale CERT ist jederzeit während eines Angriffs verfügbar und kann Unterstützung und Fachwissen bei der Lösung eines Cybervorfalls bieten – erklärte CERT.

Das Problem der Meldung und Benachrichtigung

Die Qualität der Meldung und Benachrichtigung kann in solchen Situationen immer ein Problem sein, sowohl aufgrund detaillierter Verpflichtungen als auch aufgrund der stressigen Natur der Situation. Verpflichtungen können leicht durch Herunterladen von Formularen von den Seiten von CERT bestimmt werden, und das Stressmanagement kann durch die Schaffung von Bedingungen für das eigene Team, das mit dem Vorfall konfrontiert ist, beeinflusst werden. Frühere Berichte, die CERT erhalten hat, werden positiv bewertet, da die meisten Meldenden alle notwendigen Daten in der ersten Nachricht bereitstellen, aber Vugrinec warnte, dass etablierte Prozesse manchmal nur auf dem Papier bleiben.

– Zum Beispiel verbessert die Einhaltung von GDPR und NIS2 in der Praxis die Qualität der Reaktion, da Unternehmen definierte Melde- und Benachrichtigungsverfahren haben, aber das Problem tritt auf, wenn Organisationen Vorfälle zu spät und ohne ausreichende Daten melden oder wenn Prozesse nur auf dem Papier bleiben. Die größten Herausforderungen sind unzureichend geübte Verfahren und unklare Kommunikation – betonte der Experte von Duplica.

Was ist ein ’signifikanter Vorfall‘

Vugrinec stellte jedoch fest, dass die öffentlich-private Zusammenarbeit zunimmt, insbesondere wenn CERTs Indikatoren für Kompromisse austauschen. Er warnte auch, dass das Problem des unzureichenden Informationsaustauschs durch private Unternehmen aus Angst vor Reputationsschäden nicht gelöst wurde. Interessanterweise besagt die Cybersecurity-Verordnung, dass ein signifikanter Vorfall auch einer ist, der dem Unternehmen Reputationsschaden zugefügt hat, und sie erläutert weiter, dass der Schaden am Ruf des Unternehmens auch dann eintritt, wenn ein öffentlicher Medienanbieter über den Vorfall berichtet. Das bedeutet tatsächlich, dass diejenigen, die es verbergen, und es die Medien erreichen, es melden müssen, auch wenn es nicht ursprünglich als signifikant kategorisiert wurde; darüber hinaus kann eine Geldstrafe von zehntausend bis zehn Millionen Euro oder bis zu zwei Prozent des Jahresumsatzes verhängt werden. Warum? Nämlich, wenn die Medien darüber berichten und nichts an das CSIRT gemeldet wurde, bedeutet das, dass die Benachrichtigung verzögert wurde.

Diese Bestimmung, hoffen wir, ist als abschreckendes Mittel gedacht, nicht für häufige Anwendung.

Präventive Maßnahmen

Dies würde mit dem übereinstimmen, was Vugrinec über die allgemeine Bereitschaft von Organisationen für Cybersecurity beobachtet hat.

– Es ist auffällig, dass sie alle reifen, da immer mehr von ihnen Cybersecurity-Maßnahmen einführen, Prozesse aktualisieren und Übungen durchführen, aber die schwächsten Punkte bleiben veraltete Prozesse, unklare Zuständigkeiten für Prozesse, fehlende Kommunikationsverfahren und ungetestete Backups. Wir empfehlen regelmäßige Tischübungen, klare Kommunikationskanäle, verpflichtende Datenwiederherstellungstests und die Integration des Plans in umfassendere Pläne zur Geschäftskontinuität – sagte Vugrinec.

Die Maßnahmen, die er empfiehlt, zusammen mit Softwarelösungen und Verfahren, können zur Prävention beitragen. Die Zusammenarbeit mit Menschen ist daher wichtig, ebenso wie das richtige Handeln nach einem Angriff. ‚Es wird mir nicht passieren, oder?‘ Nun, das wird es nicht – solange es nicht zuschlägt. Und dann ist es wichtig, Menschen zu haben, die wissen, wen, was und wie man meldet, welche Experten man anruft und was man dem Management sagt, damit sie nicht in Panik geraten und die Löschtaste drücken.

27939