Bei einem Incident Response – also bei der Reaktion auf einen leider erfolgreichen Cyberangriff – ist Ruhe entscheidend. Denn beim betroffenen Unternehmen herrscht Unruhe, Hektik, vielleicht sogar Panik. Die Situation kann existenzbedrohend sein. Für Sonja Saß und ihre Kolleg:innen heißt das, Fingerspitzengefühl beweisen, die Stimmung des Kunden aufnehmen, auch Galgenhumor verstehen. Sie sagt: „Wenn Hacker beispielsweise über Nacht das Lagersystem lahmlegen, gibt es keine Bestandsverwaltung, keine Lieferungen, nichts. Wie lange kann ein Unternehmen das durchhalten? Wann springen Kunden mit Just-in-time-Verträgen ab? Es geht ums Ganze.” Deshalb sei das wichtigste Ziel, einen konkreten Plan zu entwickeln, diesen den Entscheider:innen im Unternehmen zu vermitteln und die richtigen Maßnahmen einzuleiten.
Nur auf Basis dieser Erkenntnisse ergeben Isolation und Abschaltung von Geräten und Systemen Sinn, um “die Ausbreitung des Angriffs zu verhindern”. Für die digitalen First Responder ist eines von entscheidender Bedeutung: Vertrauen. Durch offene, ehrliche, regelmäßige Kommunikation.
„Unser Ziel ist, dass wir sämtliche Informationen zentral bündeln. Alle sollen auf dem gleichen Stand sein und Entscheidungen gemeinsam treffen”, sagt Sonja Saß. Deshalb bringen sie und ihr Team alle Verantwortlichen an einen Tisch – IT-Administrator:innen, Geschäftsleitung, bisweilen auch die Rechtsabteilung und Datenschutzbeauftragte. Besonders wichtig sind diese Meetings, weil sich die Sachlage ständig ändern kann. Dann muss die Strategie angepasst, Entscheidungen überdacht, neue Maßnahmen gestartet und weitere Personen involviert werden. Und – eventuell auch Gespräche mit den zuständigen Behörden, der Polizei oder dem Bundesamt für Sicherheit in der Informationstechnik geführt werden. „Wir helfen, den Vorfall zu melden und stellen unsere Erkenntnisse für offizielle Ermittlungen bereit. Das passiert vor allem dann, wenn der Kunde Teil der kritischen Infrastruktur ist”, erklärt Sonja Saß.
