Defend
Notfall und Sicherheitsvorfall
Phishing kommt auch in gut geführten Unternehmen durch. Entscheidend ist, was danach passiert, und bei uns ist das immer dieselbe Reihenfolge: eindämmen, prüfen, aufräumen, zuerst Sie informieren, festhalten.
Jeder Vorfall läuft in derselben Reihenfolge ab.
Eine täuschend echte E-Mail kommt auch in gut geführten Unternehmen durch, und eine Lösegeldforderung fragt nicht, ob die Woche gerade voll ist. Entscheidend ist, was danach passiert: ob die erste Stunde ins Eindämmen geht oder in die Frage, wen man anrufen soll, ob die Spuren gesichert oder gelöscht werden, und ob die Entscheidungen, die Ihre sind, was gemeldet wird, wer informiert wird, ob gezahlt wird, auf Fakten beruhen oder unter Druck fallen. Deshalb läuft bei uns jeder Vorfall in derselben Reihenfolge ab, geführt von Ihrem TechPilot gemeinsam mit unseren Sicherheitsspezialisten, und endet im Protokoll. Sie treffen die Entscheidungen. Wir liefern die Fakten und den zeitlichen Ablauf.
Die Reihenfolge
Sechs Schritte, in dieser Reihenfolge, jedes Mal.
Innerhalb unserer Servicezeiten landet ein Vorfall direkt bei den Technikern, die Ihre IT kennen, mit Ihrem TechPilot an der Spitze. Außerhalb davon so, wie es in Ihrem Vertrag vereinbart ist, zu vorab vereinbarten Kosten. Die Reihenfolge ist in beiden Fällen dieselbe.
-
Sie sagen uns Bescheid
Sofort, über den einen Weg, den Ihr Team ohnehin kennt. Je früher wir es wissen, desto weniger gibt es aufzuräumen, und die Spuren sind noch da. Niemandem wird je vorgeworfen, zu früh angerufen zu haben.
-
Wir dämmen es ein
Zuerst kommt, was die Ausbreitung stoppt: das Konto gesperrt und seine Sitzungen widerrufen, das Gerät vom Netz genommen, der Server isoliert. Das Eindämmen wartet nicht auf das vollständige Bild.
-
Wir prüfen, was passiert ist
Die Spuren werden gesichert, bevor etwas aufgeräumt wird: Anmeldungen, Mailfluss, Protokolle. Dann klären wir, wie sie hineingekommen sind, worauf zugegriffen wurde, was verschickt oder mitgenommen wurde und ob noch etwas anderes erreicht wurde.
-
Wir räumen auf
Was der Angreifer verändert oder hinterlassen hat, kommt weg: Posteingangsregeln, Weiterleitungen, Sitzungen, Konten, Software. Dann prüfen wir die übrigen Wege hinein und schließen sie aus, damit die Tür, die er benutzt hat, nicht offen bleibt.
-
Wir informieren zuerst Sie
In klaren Worten, mit den Fakten und dem zeitlichen Ablauf: was erreicht wurde, wann, welche Daten, welche Personen. Wer es von Ihnen erfahren muss, Mandanten, Kunden, Versicherer, Behörde, ist Ihre Entscheidung; die rechtliche Bewertung bleibt bei Ihnen. Wir bereiten vor, was Ihr Datenschutzbeauftragter braucht, und helfen dann beim Informieren.
-
Wir halten es fest
Was passiert ist, was wir getan und was wir geändert haben, direkt in Ihre Nachweismappe: ein kurzer technischer Bericht, eine Fassung für Ihr Unternehmen und eine Zusammenfassung für die Führung. Dann ändern wir, was den Vorfall möglich gemacht hat, damit er nicht wiederkommt.
Nach Plattform
Zwei Szenarien, eine Reihenfolge.
Phishing und Ransomware sind die beiden Vorfälle, für die diese Seite geschrieben ist. Jeder hat eine eigene Seite: was daran anders ist, und was gleich bleibt.
Schriftlich festgehalten
In Ihrer Nachweismappe.
- Was passiert ist, der Reihe nach, mit Uhrzeiten: das Protokoll, das Versicherer und Datenschutzbeauftragte verlangen
- Was wir getan haben, Schritt für Schritt, und wann
- Was Sie entschieden haben: was wem gemeldet wurde, und wann, beim Protokoll abgelegt
- Was wir danach geändert haben, damit es nicht auf demselben Weg wieder passiert
Geschrieben, während es passiert, nicht eine Woche später rekonstruiert. Das ist es, was standhält, wenn jemand fragt.
Was ohne feste Reihenfolge schiefgeht.
-
Niemand weiß, wen er anrufen soll
Wer geklickt hat, sagt einen Tag lang niemandem Bescheid und hofft, dass es vorbeigeht. Als die IT davon erfährt, ist der Massenversand raus, und der Angreifer hat sich einen zweiten Weg hinein eingerichtet.
-
Die Spuren werden zuerst gelöscht
Der Laptop ist neu installiert und das Postfach aufgeräumt, bevor jemand nachgesehen hat, worauf zugegriffen wurde. Jetzt kann niemand sagen, was das Unternehmen verlassen hat, und die Frage, ob gemeldet werden muss, lässt sich nicht beantworten.
-
Entscheidungen in der Nacht
Ob gezahlt wird, wer informiert wird und was gemeldet wird, entscheidet unter Druck, ohne Fakten, wer gerade noch wach ist. Das Protokoll danach ist eine Erinnerung.
Ebenfalls unter Defend
- E-Mail-Sicherheit Spam, Phishing und Schadsoftware werden gefiltert, bevor eine Mail jemanden erreicht, mit Langzeitarchivierung.
- Multi-Faktor-Authentifizierung Ein zweiter Faktor für jedes Konto. Ein gestohlenes Passwort allein öffnet nichts.
- Conditional Access Wer sich anmeldet, von wo und mit welchem Gerät, bei jeder Anmeldung geprüft.
- Geräteschutz Verwalteter Schutz und Bedrohungserkennung auf jedem Laptop, jeder Workstation und jedem Server, nach einer dokumentierten Baseline.
- Patches und Schwachstellenmanagement Updates zentral ausgerollt, und die Lücken, die bleiben, gefunden und geschlossen.
- Admin-Zugriffe Admin-Rechte für wenige, namentlich; Passwörter im Tresor; jede Nutzung protokolliert. Unsere eigenen Zugänge zuerst.
- Backups und Wiederherstellungstests Gesichert, gezielt wiederhergestellt, bevor Sie es brauchen, mit Datum, so lange aufbewahrt, wie Sie müssen.
- Sicherheitsmonitoring Geräte, Anmeldungen und Systeme zentral überwacht; was das Monitoring gefunden hat, von unseren Technikern ausgewertet, und was wir geändert haben.
- Berechtigungsprüfung Wer was öffnen kann, mit Ihnen geprüft, damit Zugriffe aus dem letzten Jahr nicht still bestehen bleiben.
- Die Nachweismappe Was Ihr Unternehmen schützt, so aufgeschrieben, wie es ist, bereit an dem Tag, an dem Versicherer, Mandanten oder Prüfer fragen.
- Fragebögen von Versicherern und Mandanten Die Sicherheitsfragebögen Ihres Versicherers und Ihrer Mandanten und Kunden, beantwortet mit dem, was heute stimmt, die Lücken vor der Verlängerung geschlossen.
- Anbieterwechsel ohne Hintertür Software und Zugänge des bisherigen Dienstleisters entfernt, mit schriftlicher Prüfung, dass niemand einen Zugang behält.
Häufige Fragen
Was soll unser Team tun, sobald jemand einen Verdacht hat?
Sofort uns Bescheid sagen und alles so lassen, wie es ist: den Laptop nicht neu installieren, die Mail nicht löschen, das Postfach nicht aufräumen. Je früher wir es wissen, desto weniger gibt es aufzuräumen, und die Spuren sind noch da für die Fragen, die später kommen.
Wer entscheidet, ob gemeldet wird und wer informiert wird?
Sie. Wir liefern die Fakten: was erreicht wurde, wann, welche Daten, welche Personen, und den zeitlichen Ablauf. Die rechtliche Bewertung bleibt bei Ihnen, Ihrem Datenschutzbeauftragten oder Ihrem Anwalt. Dann helfen wir Ihnen, die zu informieren, die es von Ihnen erfahren müssen, in Worten, die stimmen.
Was, wenn es außerhalb Ihrer Servicezeiten passiert?
Innerhalb unserer Servicezeiten landet ein Vorfall direkt bei den Technikern, die Ihre IT kennen, mit Ihrem TechPilot an der Spitze. Außerhalb davon gilt, was in Ihrem Vertrag steht, zu vorab vereinbarten Kosten. So muss am Tag selbst niemand nachschlagen.
Deckt das ab, was unsere Cyberversicherung verlangt?
Die meisten Policen verlangen einen schriftlichen Notfallplan und eine Meldung an den Versicherer innerhalb der Frist, die die Police setzt. Unser Protokoll entsteht, während es passiert. So bekommen die Fragen Ihres Versicherers Fakten mit Uhrzeiten. Wer wann informiert wird, bleibt Ihre Entscheidung, nach den Bedingungen Ihrer Police.
Haben Sie das so schon für einen echten Kunden gemacht?
Ja. Die Reihenfolge stammt aus einem Phishing-Angriff, der sieben Konten erreichte und 2.500 Mails verschickte: Zwei unserer Techniker arbeiteten ab dem ersten Tag parallel, jede Sitzung wurde widerrufen, die übrigen Wege hinein wurden ausgeschlossen, und der Datenschutzbeauftragte bekam die Fakten für die Entscheidung, ob gemeldet werden muss. Daraus wurde unser Standard für jeden Kunden.
Start
Wen würde Ihr Team als Erstes anrufen?
Im Erstgespräch gehen wir durch, was in Ihrem Unternehmen heute passiert, wenn jemand klickt, wer was entscheidet und wo der Weg zurück liegt.
- Kein First Level
- Keine Überraschungen
- Erst testen, dann entscheiden