Erst Zuständigkeit, dann Technik.
Der Plan sollte festlegen, wer einen Vorfall ausrufen darf, wer technische Entscheidungen trifft und wer Geschäftsführung, Datenschutzbeauftragten oder externe Stellen einbindet. Ohne diese Rollen gehen in den ersten Minuten wertvolle Informationen verloren.
Kontaktinformationen müssen auch dann verfügbar sein, wenn zentrale Server oder das normale E-Mail-System nicht funktionieren.
Betroffene Systeme kontrolliert isolieren.
Ein offensichtlich betroffener Rechner sollte vom Netz getrennt werden. Gleichzeitig ist zu vermeiden, dass unkoordiniert alle Systeme ausgeschaltet werden und dadurch wichtige Spuren oder laufende Prozesse verloren gehen.
Welche Maßnahmen richtig sind, hängt vom Vorfall ab. Deshalb braucht es einen verantwortlichen technischen Koordinator statt vieler paralleler Einzelaktionen.
Backups vor der Wiederherstellung schützen.
Bevor zurückgesichert wird, muss geklärt werden, ob die Sicherungen selbst betroffen sind und ob die Ursache des Vorfalls noch aktiv ist. Eine vorschnelle Wiederherstellung in eine kompromittierte Umgebung kann erneut verschlüsselt werden.
Ein belastbares Managed Backup hilft hier, weil Sicherungsstände, Aufbewahrung und Restore-Verfahren bereits vor dem Vorfall bekannt sind.
Der Plan muss ausprobiert werden.
Ein Notfallplan, der nur als Datei existiert, kann im Ernstfall Lücken enthalten. Eine regelmäßige Tischübung zeigt, ob Telefonnummern stimmen, Verantwortlichkeiten klar sind und wichtige Informationen tatsächlich erreichbar bleiben.
Schon eine einstündige Übung kann fehlende Zugangsdaten, unklare Entscheidungswege oder unrealistische Wiederanlaufannahmen sichtbar machen.
Kommunikation außerhalb der normalen Systeme vorbereiten.
Ist das interne E-Mail-System betroffen, dürfen wichtige Abstimmungen nicht davon abhängen. Für den Notfall sollten alternative Kontaktwege und Telefonnummern der entscheidenden Personen vorhanden sein.
Auch die Kommunikation mit Kunden oder Mitarbeitern sollte abgestimmt werden, damit keine widersprüchlichen Informationen entstehen.
Beweise und Zeitlinie sichern.
Zeitpunkte, beobachtete Meldungen, betroffene Systeme und bereits durchgeführte Maßnahmen sollten fortlaufend notiert werden. Diese Informationen helfen bei technischer Analyse, Wiederherstellung und späterer Bewertung des Vorfalls.
Unkoordinierte Aufräumarbeiten können Spuren zerstören. Deshalb sollte klar sein, wer Systeme bereinigen darf und welche Daten vorher gesichert werden müssen.
Passwörter nicht wahllos im laufenden Angriff ändern.
Kennwortänderungen können notwendig sein, sollten aber koordiniert erfolgen. Wird ein Passwort auf einem weiterhin kompromittierten Gerät geändert, kann der neue Zugang erneut abgegriffen werden.
Zuerst muss deshalb geklärt werden, welche Konten und Systeme betroffen sind und von welchem vertrauenswürdigen Gerät die Änderung durchgeführt werden kann.
Nach der Wiederherstellung Ursachen schließen.
Der Betrieb ist nicht abgeschlossen, sobald Dateien wieder verfügbar sind. Zugangspunkte, verwundbare Systeme und kompromittierte Konten müssen identifiziert und abgesichert werden.
Erst danach lässt sich beurteilen, ob die Umgebung wieder vertrauenswürdig arbeitet und welche dauerhaften Änderungen aus dem Vorfall folgen.