Cyberangriff am Freitagabend

Was ist die Ausgangslage?

Um 17:40 Uhr erhält eine regionale Handelsgenossenschaft einen Alarm aus der Serverüberwachung. Einige Dateien sind unerwartet umbenannt, ein Administrator-Konto zeigt Anmeldungen von ungewöhnlichen Orten. Die Lagerleitung will die noch wartenden Lieferungen ausfahren. Der IT-Dienstleister erreicht zunächst nur eine Person aus der Bereitschaft. Niemand weiß, ob Kundendaten betroffen sind oder ob die Warnung einen Fehler anzeigt. Du führst den Krisenstab. Schon nach wenigen Minuten rufen Filialen an, weil die Warenwirtschaft nicht reagiert. Vertrieb und Kundenservice verlangen eine sofortige Entwarnung. Die erste Frage lautet, welche Prozesse geschützt werden müssen, während die Untersuchung läuft. Die Schuldfrage kann warten.

Welche Ereignisse verändern die Entscheidungslage?

Fallvertiefung · Schadensasymmetrie und getrennte Krisenrollen

Krisenakte des fiktiven Unternehmens. Die Betriebsleitung schätzt den Verlust einer Stunde Stillstand grob auf 45.000 Euro. Diese Zahl ist eine freie Übungsannahme. Sechs Stunden vorsorgliche Isolation hätten damit zunächst 270.000 Euro direkte Ausfallkosten. Ein erfolgreicher Angriff könnte die Genossenschaft deutlich länger beeinträchtigen. Die möglichen Gesamtschäden lassen sich jetzt noch nicht seriös beziffern. Wer aus dem Vergleich sofort eine konkrete technische Abschaltanweisung ableitet, überspringt die nötige fachliche Lagebewertung.

Der Krisenstab trennt daher drei Arbeitsstränge. Das Incident-Response-Team beurteilt Eindämmung, Beweissicherung, Zugangskonten und sichere Wiederherstellung. Eine Betriebsgruppe organisiert priorisierte Lieferungen in einem autorisierten Notbetrieb. Recht und Kommunikation bewerten Informations- und Meldepflichten, ohne aus einem Verdacht eine bestätigte Datenpanne zu machen. Die Leitung legt feste Lagefenster fest, damit die Techniker nicht dauernd zwischen Diagnose und Präsentation wechseln.

Die nächste Prüfung findet zu einem festen Zeitpunkt statt. Im Protokoll stehen der bekannte Sachverhalt, offene Hypothesen, Verantwortliche und Kriterien für den Wiederanlauf. Ein Server, der wieder erreichbar ist, kann trotzdem verändert und unsicher sein. Den technischen Ablauf bestimmen die vorhandenen Notfallpläne und das Fachpersonal.

Entscheidungspunkt 1: Systeme trennen?

STOPP: Verdächtige Server antworten noch. Die Lagerleitung fordert raschen Zugriff. Was gibst du frei?

Der Krisenstab lässt vorerst offen, ob es sich um einen Angriff handelt. Die technische Leitung trennt betroffene Prozesse kontrolliert und hält Zeitpunkt, Maßnahme und Befund fest. Gleichzeitig erfasst das Betriebsteam, welche Aufträge sich ohne die Warenwirtschaft abwickeln lassen.

Prüffrage: Wer darf in deinem Unternehmen eine Isolation anordnen, und wie kommt die Rückmeldung zu dir?

Zwischenfazit: Die erste Stunde braucht eindeutige Zuständigkeiten.

Entscheidungspunkt 2: Wen informieren?

STOPP: Zwischenberichte widersprechen sich. Ein Filialleiter will schon öffentlich Entwarnung geben. Was sagst du?

Die Geschäftsführung gibt eine interne Lageinformation heraus: Bestimmte Systeme sind vorsorglich außer Betrieb, eine Analyse läuft, das nächste Lageupdate ist terminiert. Ein gesondertes Team prüft mögliche Pflichten und führt ein Meldeprotokoll.

Prüffrage: Welche drei Aussagen wären in deiner Lage heute belegt?

Zwischenfazit: Wer Ungewissheit offen benennt, bleibt präzise und glaubwürdig.

Entscheidungspunkt 3: Notbetrieb oder Vollstart?

STOPP: Ein Teil der Systeme ist wieder erreichbar. Das Lager bittet um Rückschaltung. Was entscheidest du?

In dieser Fallvariante nutzt das Lager einen vorher vorgesehenen Offline-Prozess, dessen Daten später kontrolliert abgeglichen werden. Die Systeme gehen schrittweise wieder in Betrieb. Ob alles gelingt, bleibt in der Übung offen.

Prüffrage: Welche Mindestnachweise würdest du vor einer Wiederanbindung verlangen?

Zwischenfazit: Sicher ist ein System erst nach Nachweis und fachlicher Freigabe.

Gegenprüfung · Schadensasymmetrie und getrennte Krisenrollen

Grenze des Beispiels: Die Kostenrechnung bewertet nur den fiktiven Konflikt zwischen Betrieb und Eindämmung. Eine Regel zum sofortigen Abschalten aller Server folgt daraus nicht. Es kommt auf die konkrete Architektur, laufende Gefahren, Beweiserhalt, Fachentscheidungen und geltende Meldepflichten an. NIST SP 800-61 Rev. 3 beschreibt den organisatorischen Rahmen für Vorbereitung, Reaktion und Wiederherstellung. Zeitangaben für einzelne Eingriffe enthält er nicht.

Welche Denk- und Organisationsfehler werden im Rückblick sichtbar?

Cybervorfälle verlangen technische und organisatorische Entscheidungen parallel. Die im April 2025 veröffentlichte NIST SP 800-61 Revision 3 beschreibt Incident Response als Teil des Cyber-Risikomanagements. Daraus folgt im Fall eine sinnvolle Arbeitsteilung: Expertinnen sichern und analysieren die Systeme, die Geschäftsführung trifft Entscheidungen zu Ressourcen, Betriebsunterbrechung und Kommunikation. Der Krisenstab darf technische Entscheidungen nicht mit geschäftlicher Ungeduld übersteuern. Ebenso darf die IT rechtliche oder externe Kommunikationsfragen nicht stillschweigend allein übernehmen. In Deutschland können je nach Unternehmen und Vorfall Meldefristen gelten. § 32 BSIG betrifft unter anderem wichtige und besonders wichtige Einrichtungen. Bei erheblichen Sicherheitsvorfällen nennt die Vorschrift Fristen für eine frühe Erstmeldung und eine weitere Meldung. Daraus folgt keine pauschale Meldepflicht für jedes Unternehmen und jede Störung. Ob die Vorschrift im konkreten Fall greift, prüft eine rechtlich qualifizierte Person.

Hintergründe zu Rollen und Abläufen findest du unter Krisenstab aufbauen und Die ersten 60 Minuten. Der Fall zeigt diese Konzepte an der Informationslage des Abends und leitet aus einer einzelnen Szene keine direkte Ursache-Wirkungs-Beziehung ab.

Welche Lehren lassen sich übertragen?

1. Erst Rollen klären: Die IT führt technische Eingriffe, das Management verantwortet Betrieb und Ressourcen.
2. Nur bestätigte Fakten melden: Jede neue Aussage hat Quelle, Uhrzeit und eine verantwortliche Person.
3. Rote Linien festhalten: Zurückgeschaltet wird erst nach belastbarem technischem Nachweis.
4. Notbetrieb vorbereiten: Ersatzprozesse sind vor dem Vorfall leichter sicher zu testen.
5. Lernen sichern: Nach dem Vorfall Timeline und Entscheidungswege auswerten.

Ein heikler Streit im Krisenstab entsteht zwischen zwei legitimen Zielen: Der Betrieb muss liefern, und kompromittierte Systeme dürfen keine weiteren Schäden verursachen. Eine ordentliche Lagekarte trennt daher Geschäftsfolgen, IT-Befunde und rechtliche Aufgaben. An jedem Punkt wird sichtbar, wer eine Entscheidung trifft. Eine Kommunikationslinie, die im Nachhinein tadellos wirkt, kann im Ereignis selbst unzureichend gewesen sein. Ihre Qualität zeigt sich daran, ob Verantwortlichkeiten, Faktenlage und Alternativen dokumentiert waren, bevor neue Erkenntnisse vorlagen.

Was würdest du in deiner eigenen Situation entscheiden?

Häufige Fragen