Wie gut sind die vorhandenen Notfallkonzepte?

veröffentlicht am 1. Oktober 2021

​

Leider muss festgehalten werden, dass neben den oftmals fehlenden IT-Sicherheitskonzepten auch die Überlegungen zum Verhalten im Notfall nicht geregelt sind. Das hat oftmals 2 Gründe. Zum einen ist unsere subjektive Wahrnehmung zu „Notfällen” in den letzten Jahrzehnten deutlich zurückgegangen, da die Systeme immer verlässlicher und die Bedrohungen kaum merklich waren. Zudem war das Budget für die IT ebenso verlässlich jedes Jahr so gering, dass notgedrungen immer etwas auf der Strecke blieb und das waren konzeptionelle Auseinandersetzungen mit etwas „so Unnötigem” wie dem Notfall.

Diese Lage hat sich nun deutlich verändert. Da die Cyberattacke lukrativ und für den Angreifer in der Regel ungefährlich ist und auch hier Mechanismen von Arbeitsteilung greifen, sind Notfallübungen so wichtig wie Feuerwehrübungen! Hacker bündeln Know-how und verteilen Arbeitsschritte sinnvoll und effizient, so wie es in privatwirtschaftlichen Unternehmen üblich ist. Die Konsequenz ist, dass eine große Anzahl an Angriffen erfolgreich ist.

Daher gilt es zu hinterfragen

1. ob ein aktuell beschriebenes Notfallkonzept (neudeutsch: Business-Continuity-Management BCM) vorliegt,
2. ob das Notfallkonzept auf Basis nachvollziehbarer Vorsorge- und Notfallbewältigungsüberlegungen aufgebaut wurde,
3. ob risikoorientiert die wichtigen Verwaltungsprozesse und -ressourcen einer sogenannten Business-Impact-Analyse unterzogen wurden,
4. ob es ein Notfallvorsorgeteam und einen Notfall-Stab gibt.

Diese Überlegungen sind enorm wichtig, da es im Falle des Falles nicht auf den Zufall ankommen sollte, die richtigen – und dies ja oft unter zeitlicher und inhaltlicher Höchstanspannung – Handgriffe zu unternehmen.

Im Falle von Cyberangriffen kommt es dabei besonders darauf an, rechtzeitig den Angriff zu erkennen. Denn vermehrt kommt es zu dem „glücklichen” Umstand, dass von den ersten Aktionen der Angreifer (Zugang, Ausdehnung im Netzwerk) noch ein erheblicher Zeitraum bis zur finalen Aktion (Verschlüsselung, Abzug von Daten zur Veröffentlichung bzw. Veräußerung an weitere Angreifer) liegt. Und dieser „Zeitraum” muss für Überwachung und Analysen genutzt werden.

Erfahrungsgemäß wird ein Angriff jedoch nur erkannt, wenn alle Mitarbeiter der Verwaltung entsprechend geschult und sensibilisiert werden. Eine zielgruppenorientierte Vorgehensweise sollte dabei im Fokus stehen:

• Aus Sicht der IT sind Schulungen zur Erkennung und korrekten Einschätzung von Cyberangriffen zu empfehlen; dazu gehört auch die Nutzung und Auswertung der Ergebnisse von speziellen Tools zur Angriffserkennung,
• Die Mitarbeiter aller Fachbereiche müssen grundsätzlich in Bezug auf die Risiken im Umgang mit den unterschiedlichen IT-Systemen und Fachanwendungen geschult werden, Themen wie „Verdächtige Links in E-Mails” oder „Korrupte Dateianhänge erkennen und melden” müssen im Fokus stehen.

  
Wie jeder User hinterlassen auch Angreifer Spuren in den seitens der Verwaltung betriebenen Systemen(Netzwerkzugang und -zugriff, Aufruf von Programmen, Installation von Skripten, Ausweitung von Rechten, Login in verschiedene Systeme etc.). Aber diese Spuren müssen gelesen werden und dazu werden Ressourcen und Know-how benötigt.

  
Glücklicherweise gibt es hierzu eine Vielzahl an Systemen und Instrumenten, aber auch hier gilt: Die Auswahl, Inbetriebnahme und Überwachung fordert die IT der Verwaltung.

 
Leider zeigt die aktuelle Hochwasserkatastrophe, wie wesentlich es ist, organisatorisch, technisch und kapazitativ vorbereitet zu sein.

Dabei ist die Behandlung von Cyberattacken – wie gerade ausgeführt – nur ein Teil der Bedrohungen, die in einem BCM behandelt werden sollten. Weitere sind z. B. Ausfall wichtiger Ressourcen (wie z. B. Rechenzentren, Backbone-Verkabelung etc.), Auswirkungen durch Brand, Wasser, Stromausfall, Kommunikationsverlust etc. und vieles mehr. 

Lesen Sie auch aus unserem Special „Cybersecurity für Kommunen”:

• Cyberattacken als dynamische und ständige Bedrohung verstehen!
• Gewissheit über die eigene Cybersecurity-Resilienz herstellen

• Greifen die Notfallmaßnahmen im Ernstfall?
• Handlungsbedarf im Überblick