Tipps für den IT-Notfall Cyberattacken meistern

Anbieter zum Thema

G DATA CyberDefense AG

Governikus GmbH & Co. KG

Krankenhäuser sind für Cyberkriminelle ein attraktives Ziel. Die Situation kann schnell dramatisch werden, wenn sich zum Beispiel in einer Region mehrere Kliniken von der Notfallversorgung abmelden müssen. Zusätzlich zu Endpoint-Protection-Lösungen sind Maßnahmen gefragt, um auch im Worst Case handlungsfähig zu bleiben. Das Stichwort lautet: Incident Readiness.

Patientenakten werden digital gepflegt und bildgebende Geräte liefern ihre Ergebnisse direkt in das IT-System. Auch die Abrechnung sowie die Dokumentation von Behandlungen erfolgen digital. In der Notaufnahme geht es oftmals um Leben und Tod. IT-Sicherheit hat schon allein mit Blick auf den Aspekt der Verfügbarkeit eine hohe Bedeutung. Wo Daten nicht schnell genug verfügbar sind, steht für manche Patienten alles auf dem Spiel. Patienten müssen sich hundertprozentig darauf verlassen können, dass die gespeicherten Behandlungsdaten korrekt sind und, dass die Privatsphäre geschützt ist. Als verantwortliche Führungskraft hier auf der „Prinzip Hoffnung“ zu setzen, kann schnell nach hinten losgehen. Gerade wenn es einmal zu einem ausgewachsenen IT-Sicherheitsvorfall kommt, macht sich das besonders schmerzhaft durch finanzielle Verluste bemerkbar. Es ist höchste Zeit, die IT-Sicherheit zu verbessern, wichtige Geschäftsprozesse zu prüfen und sinnvoll abzusichern. Zusätzlich zu allen Sicherheitsmaßnahmen sollten Verantwortliche auch das Eintreten eines IT-Notfalls in ihre Planung einbeziehen. Fachleute sprechen in diesem Zusammenhang von Incident Readiness.

Auf den Worst Case vorbereiten

Das Fatale bei Cyberattacken: Immer wieder bleiben die Angreifer über Wochen und Monate unbemerkt. Wenn nicht zufällig ein aufmerksamer IT-Mitarbeitender Unregelmäßigkeiten entdeckt, ist es in der Regel erst der gesperrte Bildschirm mit einer Lösegeld-Forderung, der einen Ransomware-Angriff offenbart. Jede Minute, die ungenutzt verstreicht, kostet bares Geld. Ab diesem Punkt schlägt die Stunde der Incident-Response-Fachleute.

Für IT-Notfälle braucht es unbedingt einen Krisenplan – am besten auf Papier. Dieser Notfallplan sollte unter anderem eine Übersicht des eigenen Netzwerkes und der verwendeten Geräte enthalten. Im Notfall sind diese Informationen wichtig und im Aktenschrank besser aufgehoben als auf dem verschlüsselten Server oder einem nicht funktionsfähigen Notebook. Dieser Plan trägt auch dazu bei, dass ein externes Incident-Response-Team deutlich effizienter arbeiten kann und das betroffene Unternehmen so in kürzerer Zeit wieder arbeitsfähig ist. Zudem lässt sich auch der finanzielle Schaden begrenzen. Hinzu kommt: Ein eigenes Incident-Response-Team ist in den wenigsten Unternehmen vorhanden und auch unter wirtschaftlichen Gesichtspunkten für viele Unternehmen nicht sinnvoll.

Wichtige Informationen für den Notruf

Bevor ein Incident-Response-Team aktiv werden kann, braucht es Informationen zum aktuellen IT-Notfall. Daher müssen Verantwortliche wichtige Fragen zeitnah klären – vergleichbar mit den zentralen Daten beim Notruf für die Feuerwehr. Diese Antworten schaffen ein tieferes Verständnis für die aktuelle Situation im Unternehmen:

• Was ist passiert oder was passiert gerade?

• Wann ist es passiert?

• Wie ist es aufgefallen?

Aus dieser Frage lassen sich auch schon Indizien zum Angriffsvektor ableiten.

Welche Maßnahmen wurden schon getroffen?

Hier geht es um die Frage, ob bereits forensische Spuren gesichert oder Indizien versehentlich unbrauchbar gemacht wurden. Dies kann schnell passieren, wenn den handelnden Personen vor Ort die notwendigen Kenntnisse fehlen.

Welches Unternehmen ist betroffen? Handelt es sich um eine Klinik, die den KRITIS-Vorgaben unterliegt?

Darüber hinaus sind vorab auch technische Detailfragen zu klären, um die Situation vor Ort besser einschätzen und den Einsatz planen zu können. Die Fachleute benötigen Informationen zur IT-Infrastruktur, zur Netzwerkgröße, zu den Betriebssystemen sowie deren Patch-Status und den eingesetzten Sicherheitskomponenten.

Do's and Don'ts für den IT-Notfall

Wer im Ernstfall handlungsfähig bleiben möchte und sich gut auf den Einsatz eines externen Incident-Response-Teams vorbereiten will, sollte folgende Do's and Don'ts berücksichtigen:

Do's:

• Internen und externen Netzwerkverkehr sofort unterbrechen: So sperren Unternehmen die Angreifer aus und verhindern eine weitere Ausbreitung der Schadsoftware.

• Virtuelle Maschinen pausieren oder Snapshots erstellen: Moderne Malware liegt nicht mehr auf der Festplatte, sondern im Arbeitsspeicher. Wer also eine VM ausschaltet, macht den Speicher unbrauchbar und vernichtet dabei mögliche forensische Spuren. Daher ist es ratsam, diese zu pausieren oder einen Snapshot zu erstellen, um einen aktuellen Zwischenstand zu speichern.

• Zentrale Ansprechperson benennen / Stabstelle einrichten: Kurze Kommunikationswege sind beim IT-Notfall essenziell. Eine Ansprechperson oder eine Stabsstelle koordiniert dabei die Kommunikation mit dem Incident-Response-Team. Darüber hinaus stimmt sich diese Stelle auch mit beteiligten IT-Dienstleistern ab und kommuniziert mit Mitarbeitenden und allen externen Stakeholdern.

• Vorurteilsfreie Kommunikation: Wichtig ist eine angstfreie Umgebung, in der auch Mitarbeitende mit wenig IT-Kenntnissen Hinweise zum Vorfall geben können. Vorwürfe oder Schuldzuweisungen helfen in dieser Situation keinem weiter!

• Backups prüfen und bereitstellen: Dieses Thema sollten Unternehmen schon vor einem Notfall auf der Agenda stehen haben, denn im IT-Notfall ist es dafür zu spät. Mit aktuellen Backups lässt sich der Datenverlust minimal halten.

• Zusammenarbeit mit lokalen Behörden: Jedes angegriffene Unternehmen sollte Strafanzeige stellen, damit die Behörden Ermittlungen einleiten können. Für Straftaten im Cyberraum hat jedes Bundesland eine eigene Anlaufstelle. Darüber hinaus ist die Informationspflicht mit dem Datenschutzverantwortlichen zu klären. Dabei gilt die Faustformel: Lieber eine Meldung zu viel als zu wenig.

Don'ts

• Systeme herunterfahren: Mit dieser Maßnahme zerstören die Betroffenen unter Umständen forensische Spuren oder machen sie unbrauchbar.

• Systeme innerhalb des kompromittieren Netzwerks hochfahren: Es besteht die Gefahr, dass die Schadsoftware weitere Teile des Netzes befällt und der Schaden immer größer wird.

• Malware-Schutz abschalten: Auch während eines oder nach einem aktiven Angriff hilft die Sicherheitslösung, indem sie weitere Angriffsversuche abblockt.

• Selbstversuche: Wer ohne Fachkenntnisse handelt und Reparaturversuche unternimmt, verzögert und behindert eine schnelle Aufklärung des Infektionshergangs. Das Risiko einer “Verschlimmbesserung” ist sehr groß.

• Unbegleitete Erpresserkommunikation: Grundsätzlich gilt „Kein Dialog mit Erpressern!“ Wer dennoch dazu gezwungen ist, braucht kompetente Unterstützung.

• Schuldzuweisungen: Wer eine verdächtige Aktion direkt meldet, hilft, den Schaden frühzeitig einzudämmen. Das erfordert eine Unternehmenskultur, in der Mitarbeitende sich trauen, Fehler wie den möglichen Klick auf den Link in einer Phishing-Mail zuzugeben – ohne Konsequenzen fürchten zu müssen.

Fazit: Erst investieren, dann sparen

Heute stellt sich nicht mehr die Frage, ob ein Krankenhaus einer Cyberattacke zum Opfer fällt, sondern höchstens, wann. Kliniken, die sich auf dieses Szenario vorbereiten und externe Fachleute um Unterstützung bitten, handeln weitsichtig. Sie sichern auch im Schadensfall das Überleben der eigenen Organisationen und sind schneller wieder handlungsfähig. Untersuchungen zeigen, dass bei einem IT-Notfall nicht der Einsatz des Incident-Response-Teams der größte Kostenpunkt ist, sondern der entgangene Umsatz durch den Stillstand.

Transformation des Gesundheitswesens

Der Aufstieg von KI in der Telemedizin

Digitale Forschung

Was Healthcare-Entscheider digitalpolitisch ändern würden

(ID:50212815)