Wer schon einmal neben einem verschlüsselten Server gestanden hat, kennt die Reihenfolge der Fragen. Erst: Was ist hier passiert? Dann: Wer kann uns helfen? Und dann die unangenehmste: Wen davon erreichen wir jetzt, an einem Freitagabend? Ein Datenretter ist vielleicht bekannt, ein Forensiker auch, für das Active Directory bräuchte es noch jemanden. Und alle drei müssten miteinander reden, während der Betrieb steht. Hier vergeht Zeit, die im Ernstfall knapp ist.
Drei Partner aus unserem Netzwerk haben daraus eine Konsequenz gezogen. Schneider & Wulf, DATA REVERSE® und aconitas® haben unter dem Namen Cybernotfall24 eine gemeinsame Cyber-Notfall-Allianz gegründet: eine Nummer, unter der rund um die Uhr jemand abnimmt, und dahinter ein Team, das Incident Response, IT-Forensik, Datenrettung und Absicherung zusammen bearbeitet. Das betroffene Unternehmen ruft an, die Spezialisten koordinieren sich untereinander. Erreichbar ist die Allianz unter 0800 292 37 24.
Warum eine Hotline allein nicht reicht
Ein Cyberangriff trifft selten nur eine Stelle: Verschlüsselte Server, kompromittierte Konten und abgeflossene Daten kommen oft zusammen. Wer die Disziplinen einzeln beauftragt, bekommt drei Ansprechpartner, drei Einschätzungen und im schlimmsten Fall drei Meinungen darüber, was zuerst zu tun ist. In der Allianz sind die Zuständigkeiten vorab geklärt, welche Maßnahmen zuerst greifen, entscheidet der konkrete Vorfall.
Wie läuft ein Einsatz ab?
Wie ein Einsatz abläuft, beschreibt die Allianz auf ihrer Website. Nach dem Anruf übernimmt ein Incident-Response-Manager den Fall, ohne Ticketsystem und ohne Warteschleife. Danach folgen fünf Schritte. Der erste ist die Triage: Welche Art Vorfall liegt vor, welche Systeme sind betroffen, was hat Vorrang? In einem kurzen Kick-off verteilt das Team Rollen und legt fest, wer mit wem kommuniziert.
Bei der Eindämmung geht das Team gezielt vor: Es isoliert betroffene Bereiche, statt die gesamte Umgebung herunterzufahren. So soll möglichst viel vom Betrieb weiterlaufen. Die Wiederherstellung läuft parallel zur forensischen Sicherung, die Versicherung und Ermittlungsbehörden später brauchen. Am Ende steht die Auswertung: Was war das Einfallstor, und was muss sich ändern, damit es beim nächsten Mal nicht so weit kommt? Nach eigener Aussage will die Allianz innerhalb von 20 Minuten nach dem Anruf handlungsfähig sein.
Die Allianz schildert dazu einen anonymisierten Fall aus dem Einzelhandel. Bei einem Händler mit 45 Mitarbeitenden hatte ein Phishing-Angriff zur Verschlüsselung der Server und der Backups geführt. Nach Angaben der Allianz öffnete das Geschäft mit Notfall-Kassensystemen nach sechs Stunden wieder. Die Ausfallzeit beziffert sie auf 1,5 Tage, für ein klassisches Vorgehen setzt sie mehr als sieben an. Die Datenrettung stellte laut Fallbericht 94 Prozent der Daten wieder her.
Während der Einsatz läuft, laufen auch Fristen. Bei den Meldepflichten nach DSGVO und NIS2 unterstützt die Allianz nach eigenen Angaben ebenfalls. Dazu gehört die Abstimmung mit Datenschutzbehörden, BSI und Cyberversicherung.
Die drei Partner und ihre Aufgaben
Die Aufgaben sind so verteilt, wie die drei Häuser ohnehin seit Jahren arbeiten.
DATA REVERSE® bringt mehr als zwanzig Jahre Erfahrung in Datenrettung und forensischer Analyse mit. Typische Fälle sind verschlüsselte Server, beschädigte Speichersysteme und Backups, die der Angreifer gleich mit kompromittiert hat. Unsachgemäße Rettungsversuche können den Datenverlust vergrößern, deshalb steht die technische Bewertung am Anfang. Wenn die letzte Sicherung ebenfalls verschlüsselt ist, prüfen die Spezialisten, welche Wiederherstellungsmöglichkeiten trotzdem noch bestehen.
aconitas® kümmert sich um das Active Directory und die Identitäten dahinter. Viele Angriffe beginnen dort, lange vor der Verschlüsselung: mit kompromittierten Zugangsdaten oder unsicheren Administrationskonten. Nach einem Vorfall prüft das Systemhaus, seit 2009 für den Mittelstand tätig, ob Angreifer noch Konten oder Administrationsrechte kontrollieren. Passwortmanagement und IT-Sicherheitskonzepte sollen anschließend verhindern, dass ein dauerhafter Zugang bleibt.
Schneider & Wulf, seit 1988 am Markt, steuert Penetration Testing, IT-Sicherheitsaudits, Awareness-Trainings und Managed Security Services bei. Nach Vorfällen zeigen sich oft dieselben Muster: ungepatchte Systeme, unsichere Remote-Zugänge, schwache Passwörter. Die Allianz reicht deshalb über den akuten Fall hinaus, bis zur Frage, wie sich das Unternehmen dauerhaft besser aufstellt. Wer sie mit Leuten bespricht, die den Vorfall selbst bearbeitet haben, fängt nicht bei null an.
Entstanden im Netzwerk
Die Zusammenarbeit zwischen den drei Häusern ist älter als die Allianz. Sie kennen sich seit vielen Jahren aus dem fachlichen Austausch im kiwiko-Netzwerk und wissen, was der jeweils andere kann. Aus dieser gewachsenen Partnerschaft haben sie nun einen gemeinsamen Auftritt mit einer einzigen Nummer gemacht.
Für uns ist das der Fall, für den ein Netzwerk wie kiwiko gedacht ist. Partner, die sich über Jahre kennengelernt haben, stellen fest, dass ihre Leistungen ineinandergreifen, und bauen daraus ein Angebot, das keiner von ihnen allein in dieser Tiefe anbieten könnte.
Davon haben auch andere Systemhäuser etwas. Sie können die Allianz nach deren Angaben im Ernstfall hinzuziehen, ohne die eigene Kundenbeziehung zu gefährden. Wer bei einem Kunden vor einem Vorfall steht, der die eigenen Mittel übersteigt, hat eine Anlaufstelle im eigenen Verbund.
Bei welchen Cybervorfällen hilft Cybernotfall24?
Die Allianz nennt auf ihrer Website die Vorfälle, bei denen sie der richtige Ansprechpartner ist. Dazu zählen Ransomware und Verschlüsselung, gehackte Konten, Datenlecks, Schadsoftware, gezielte Angriffe und unberechtigte Zugriffe. Hinzu kommen CEO-Fraud, Phishing über E-Mail, SMS oder WhatsApp und Auffälligkeiten, die sich noch nicht einordnen lassen. Die Regel dazu ist eindeutig: Im Zweifel lieber einmal zu viel anrufen als einmal zu wenig! Die telefonische Ersteinschätzung ist laut Allianz kostenlos, die Kosten eines Einsatzes hängen vom Umfang ab.
Wer einen Vorfall vermutet oder schon mittendrin steckt, erreicht die Cyber-Notfall-Allianz rund um die Uhr unter 0800 292 37 24. Alle Leistungen, Ansprechpartner und der Ablauf im Detail stehen unter cybernotfall24.de. Weitere Security-Partner aus dem Netzwerk sind in unserem Partnerverzeichnis zu finden.
