Die folgenden Hinweise haben rein empfehlenden Charakter, für die keinerlei Haftung übernommen werden kann:

 

​1. Bewahren Sie Ruhe.

 

2. Wenn Sie eine Cyber-Versicherung haben: Informieren Sie umgehend telefonisch Ihren Cyber-Incident-Dienstleister, den der Versicherer Ihnen zur Verfügung stellt (in der Regel in der Police genannt).

 

3. Der möglichst vorhandene Notfallplan dient als Leitfaden für das weitere Vorgehen.

 

4. Informieren Sie Ihren Krisenstab, falls vorhanden, sowie die Geschäftsführung.

 

5. Keinesfalls darf eine Anmeldung mit privilegierten Nutzerkonten (Administratorkonto) auf einem potenziell infizierten System erfolgen, während es sich noch im produktiven Netzwerk befindet (bzw. nur nach Abstimmung mit Experten)!

 

6. Versuchen Sie, ein Bild Ihrer Lage zu erstellen. Eine nachvollziehbare Dokumentation des Vorfalls ist essenziell:

▪ ggf. Kopie der schadenverursachenden E-Mail

▪ vorhandene Logdateien

▪ Screenshots

▪ Was ist passiert?

▪ Identifikation betroffener Systeme (Desktop-Systeme, Laptop-/Notebook, Systeme, Mobiltelefone, welche Server, Betriebssysteme, Wechselmedien, Datenbanken, …)

▪ mögliche Ursache: höhere Gewalt, organisatorische Mängel, menschliche Fehlhandlungen, technisches Versagen, vorsätzliche Handlungen, …

▪ Ist ein IT-Ausfall existenzbedrohend oder stört den Geschäftsbetrieb erheblich?

▪ Ist ein schwerwiegender Hackerangriff erfolgt?

▪ Ist ein schwerwiegender IT-basierter Betrugs-/Erpressungsfall aufgetreten?

▪ Ist bekannt, ob vertrauliche Daten abgeflossen sind?

▪ Sind Reputationsschäden durch Negativnachrichten zu erwarten?

▪ Woran haben Sie gearbeitet, als das Problem auftrat?

▪ Welche Programme waren geöffnet, welche Dokumente?

 

7. Dinge, die Sie zunächst tun sollten:

▪ Systeme im aktuellen Zustand belassen (nicht abschalten, um nicht ggf. Spuren zu verwischen, Systeme ggf. vom Netzwerk nach außen trennen dazu das Netzwerkkabel „ziehen“. Gerät nicht herunterfahren oder ausschalten!)

▪ Systeme nicht weiter nutzen

 

8. Dinge, die Sie zunächst nicht tun sollten

▪ Systeme ausschalten/bereinigen

▪ Zahlungen leisten

▪ Auf Erpresser reagieren (Im Fall einer bereits erfolgten Verschlüsselung sollten Sie grundsätzlich nicht auf die Erpressung eingehen und kein Lösegeld bezahlen; Abstimmung erst mit den Experten)

▪ Forderungen erfüllen

▪ Presse informieren

▪ Beweise vernichten

 

9. Informationen, die Sie für eine Meldung beim Incident-Response-Dienstleister benötigen:

▪ Name des betroffenen Unternehmens

▪ Nummer Ihrer Cyber-Versicherungspolice

▪ Erreichbarkeit der verantwortlichen Personen (mobil, Festnetz, E-Mail)

▪ Möglichst genaue Schilderung des Vorfalls

 

10. Senden Sie nur eine „we care“-Botschaft. Nichts zu sagen ist keine empfehlenswerte Option.

 

11. Die Beantwortung der folgenden Fragestellungen könnte für eine erste Bewertung wichtig sein:

a) Was ist nach Ihrem Kenntnisstand wann vorgefallen und was sind die derzeit offensichtlichen Auswirkungen?

b) Welche IT-Systeme/Einheiten sind betroffen oder könnten betroffen sein?

c) Sind eventuell Daten (insb. Personenbezogene Daten) entwendet worden oder könnten entwendet worden sein?

d) Sind bereits Informationen über den Cyber-Vorfall und/oder die Auswirkungen an Dritte gelangt oder übermittelt worden? Wenn ja, welche sind das und an wen sind sie gelangt?

e) Haben Sie oder ein von Ihnen eingebundener IT-Dienstleister bereits Maßnahmenergriffen? Wenn ja, welche Maßnahmen sind das?

 

Wenn Sie keinen Cyber-Versicherungsschutz haben:

Binden Sie umgehend externe und interne Experten ein, u.a.

▪ Forensiker

▪ Ihrer Rechtsberatung bzw. Fachanwälte für IT- und Datenschutz-Recht

▪ …

 

Beachten Sie Meldefristen

Stimmen Sie Maßnahmen mit Ihrem Datenschutzbeauftragten ab

 

Klären Sie die grundsätzlichen Fragen der Kommunikation (Wer kommuniziert was wann an wen?)

Wollen oder sollten Sie Anzeige erstatten?

Klären Sie für einen kurzfristigen Notbetrieb die notwendigen Voraussetzungen (Technik, Ressourcen, etc.)

 

Polizei

Bei einem Angriff auf IT-Systeme werden in der Regel mehrere Straftaten begangen, insbesondere solche nach §§ 202a, 202b, 202c, 303a und 303b StGB. Grundsätzlich wird empfohlen, für alle Cyber-Angriffe bei der Polizei Strafanzeige zu erstatten. Für betroffene Unternehmen hat das Bundeskriminalamt bzw. haben die zuständigen Landeskriminalämter spezialisierte Anlaufstellen (Zentrale Ansprechstelle Cybercrime, ZACs) eingerichtet, die Opfern von Cyber-Straftaten beratend zur Seite stehen und bei einer Anzeige unterstützen.