Über Vorbeugung schreiben wir hier regelmässig: aktualisieren, sichern, Zugänge begrenzen. Über den Moment danach fast nie. Dabei entscheidet sich genau dort, ob aus einem Vorfall ein Schaden wird — und zwar in den ersten Stunden, in denen niemand einen klaren Kopf hat.
Für diese Stunden gibt es seit diesem Frühjahr etwas Brauchbares, und es kostet nichts: Das Bundesamt für Cybersicherheit hat sein Notfallkonzept, das ursprünglich für Schweizer Gemeinden gedacht war, auf KMU zugeschnitten.
Warum eine Vorlage hier mehr hilft als ein Merkblatt
Ratgeber zum Thema gibt es genug. Das Problem ist nie das Wissen, sondern die Übersetzung ins eigene Haus: Wer ruft wen an? Wer entscheidet, ob der Server vom Netz geht? Wo liegt die Telefonnummer des IT-Partners, wenn das Mailkonto gesperrt ist?
Das Konzept des Bundes gliedert den Ablauf in vier Phasen — Vorbereitung, Vorfallseintritt, Bewältigung, Nachbearbeitung — und liefert dazu Dokumente, die man ausfüllt statt liest:
Ein Notfallblatt, das festhält, wem ein Vorfall zu melden ist. Einen IT-Notfall- und Krisenplan als Word-Datei, in die Namen, Nummern und Zuständigkeiten eingetragen werden. Eine Vorlage für die Nachbesprechung, damit nach dem Vorfall etwas gelernt wird und nicht nur aufgeräumt. Dazu Leitfäden für die drei häufigsten Fälle: Erpressungssoftware, Datenabfluss und Überlastungsangriffe.
Die Unterlagen stehen auf der Seite des BACS zum Notfallkonzept bereit.
Zwei Online-Stunden — die deutsche ist am 9. September
Das BACS stellt das Modell in zwei Brownbag-Lunches vor, jeweils von 12 bis 13 Uhr. Achten Sie auf die Sprache, die beiden Termine sind nicht dasselbe:
Am 2. September läuft die französische Ausgabe, am 9. September die deutsche. Angemeldet wird über die Teams-Links auf der BACS-Seite. Wer beide Termine verpasst: Die Aufzeichnung erscheint danach auf dem YouTube-Kanal des Bundesamts.
Der ehrliche Teil
Ein ausgefülltes Formular hat noch nie einen Angriff abgewehrt. Wenn Sie zwischen einer Stunde für den Notfallplan und einer Stunde für ein überfälliges Update wählen müssen, nehmen Sie das Update.
Der Plan zahlt sich an einer anderen Stelle aus. Wir sehen bei gehackten Websites immer wieder dieselbe Verzögerung: nicht beim Bereinigen, sondern davor. Es vergehen Stunden, bis klar ist, wer entscheiden darf, ob die Website abgeschaltet wird — und in diesen Stunden verteilt die Seite weiter Schadcode an ihre Besucher. Zwei Zeilen im Voraus hätten das erledigt.
Rechnen Sie mit einer knappen Stunde. Und füllen Sie wenigstens die Seite mit den Telefonnummern aus, wenn sonst nichts.
Was danach kommt
Wenn es tatsächlich passiert ist, hilft unsere Erste Hilfe für gehackte Websites bei den ersten Schritten. Und die Frage, ob ein Vorfall gemeldet werden muss, beantwortet in der Schweiz nicht die vielzitierte 72-Stunden-Frist — wir haben das vergangene Woche auseinandergenommen.
Wenn Sie beim Ausfüllen an die Stelle kommen, wo der technische Ansprechpartner stehen sollte, und dort steht niemand: Melden Sie sich.