Die häufigsten Pain Points in der Incident Response – und wie Unternehmen sie lösen 

Zuerst eine Begriffsklärung:

• Ein Notfallplan oder Disaster Recovery Plan ist Bestandteil des Business Continuity Managements (BCM). Er sollte nicht nur Elementarschäden (Feuer, Wasser) behandeln, sondern spezifisch auch Cybervorfälle. 
• Ein Incident Response Plan (IR-Plan) beschreibt das Vorgehen bei einem Cybervorfall, beispielsweise anhand der NIST Incident Response Recommendations. Er ist Bestandteil des Notfallplans.
   

In manchen Unternehmen fehlt es an einem aktuellen und erprobten Notfallplan. «Ein Cybervorfall wie zum Beispiel eine Ransomware-Attacke betrifft nicht nur die IT-Abteilung. Die Auswirkungen sind unternehmensweit spürbar. Darauf gilt es sich mit entsprechenden Plänen und Übungen vorzubereiten – insbesondere auf Managementebene», sagt Holzhauser.

Unklare Abläufe und Zuständigkeiten erschweren es, nach der Entdeckung eines Vorfalls richtig zu reagieren, erläutert Daniel Würsch, Product Portfolio Manager für Threat Detection and Response bei Swisscom: «Mangelnde Vorbereitung führt dazu, dass Unternehmen überhastet reagieren und zuerst selbst versuchen, den Vorfall einzudämmen. Dabei geht wertvolle Zeit verloren.» 

Ein mangelhafter Notfallplan ist auch Ursache der folgenden Pain Points. 

Ein Cybervorfall ist ein stressiger Moment. Es herrscht Hektik und Unsicherheit, und doch entscheiden die ersten Stunden, wie schnell und gut sich die Attacke eindämmen lässt. «In vielen Unternehmen herrscht Unklarheit, ab wann man eine Krise ausrufen sollte. Diese Unsicherheit bringt oft mit sich, dass erst verspätet wichtige Ressourcen aufgeboten werden», konstatiert Holzhauser. 

Denn in dieser Phase müssen die IR-Verantwortlichen Entscheidungen treffen, die den Geschäftsbetrieb massiv beeinträchtigen können. «Unklare Kompetenzen, etwa die Entscheidungsbefugnis, in der Krise ohne Rücksprache kritische Systeme zu isolieren und somit die Betriebsbereitschaft massgeblich zu beeinflussen, verzögern die Reaktion und führen zu zusätzlichen Risiken», beschreibt Holzhauser die Herausforderungen. «Wenn solche Themen erst in dieser Situation diskutiert werden müssen, geht wertvolle Zeit verloren.» 

Cybervorfälle kennen keine Bürozeiten – manchmal bewusst nicht. Die mangelnde Verfügbarkeit von Mitarbeitenden und der Geschäftsleitung erschwert die Reaktion. Und manchmal fehlt es auch an Fachwissen oder schlicht an Ressourcen, um die Situation selbst in den Griff zu kriegen. Also ist Unterstützung durch externe Partner gefragt. Doch auch die will geplant sein. Oder, wie es Holzhauser ausdrückt: «Das ist nicht der ideale Zeitpunkt, um herauszufinden, wie man einen Partner nach 18 Uhr noch erreicht.» 

Cybervorfälle zeigen Unternehmen spätestens in einer Krisensituation, wie sehr alle Unternehmensbereiche von einer funktionierenden IT abhängig sind und welches die Kronjuwelen eines Unternehmens sind. «Wir erleben häufig, dass Unternehmen nicht bewusst ist, wie sehr sich der Ausfall einer Applikation auf den Betrieb auswirkt und insbesondere, dass Isolationen oft die gewohnten internen Kommunikationskanäle ausser Kraft setzen», sagt Holzhauser. «Und es braucht einen guten Überblick über die IT-Landschaft, um mit den Massnahmen am richtigen Ort anzusetzen», ergänzt Würsch. 

Bei einem Cybervorfall stellen sich Fragen wie: 

• Gibt es Meldepflichten, beispielsweise DSG/DSGVO, FINMA, DORA, NIS2, Datenschutzbehörden?
•  Welche finanziellen Risiken entstehen durch den Cyberangriff und durch die Isolierung von Systemen? 
• Wer administriert das Isolieren, Abschalten und Wiederherstellen von Systemen? 
• Wer kommuniziert und informiert wann wen? 
• Wer koordiniert die Incident Response?