Wie Unternehmen mit einem Cyberangriff umgehen sollten

Für den Fall einer Datenpanne vorbereitet sein

Zunächst einmal ist Cybersicherheit genau so ernst zu nehmen, wie jedes andere Geschäftsrisiko auch. Es ist wichtig, auf virtuelle Erpressungsversuche genauso vorbereitet zu sein, wie auf die Zerstörung oder den Diebstahl physischer Unternehmenswerte. Es empfiehlt sich daher, einen Aktionsplan für den Fall einer Datenpanne (PDF) aufzustellen. Ganz oben auf der Liste der Prioritäten steht die Mobilisierung eines Teams aus Führungskräften auf Vorstandsebene, ebenso wie ein guter Informationsaustausch sowie erfahrene IT-Kräfte, welche die Rettungsmaßnahmen koordinieren. 

Sobald die Ersthelfer feststehen, muss das Unternehmen Richtlinien aufstellen, wie auf den Angriff reagiert werden soll. Die wichtigste Reaktion lautet: „Niemals auf die Hacker eingehen“. Betriebe sollten sich nicht auf die Hacker einlassen und in keinem Falle Lösegeld zahlen. Schließlich handelt es sich hierbei um Kriminelle, und wie wir im Fall von Uber gesehen haben, gibt es keine Garantie dafür, dass diese die Unternehmensdaten löschen oder aber zurückgeben. Im Falle von Ransomware ist außerdem nie sicher, ob nächste Woche, nächsten Monat oder in einem Jahr nicht eine erneute Infektion folgt.

Wie mittlerweile hoffentlich deutlich geworden ist, stellt das Zugeben einer Vertuschung einen wesentlich schlimmeren Fehler dar als einzugestehen, Opfer einer Datenpanne geworden zu sein. Die erste Reaktion von Unternehmen sollte darin bestehen, die zuständigen Behörden einzuschalten. Es empfiehlt sich, vorab die zuständige Datenschutzbehörde zu ermitteln. Auch bezüglich der Kommunikation gilt es einiges zu beachten: Eindeutige Kommunikation ist wichtig und sollte bei den Mitarbeitern beginnen. Diese müssen wissen, an wen beispielsweise Presseanfragen weiterzuleiten sind. In Verbindung damit sollten dann die übrigen Vorstandsmitglieder informiert werden und anschließend die Aktionäre.

Sobald alle Prozesse für die interne Kommunikation abgeschlossen sind, kann der Informationsaustausch nach Außen beginnen. Es sollten sämtliche Personen und/oder Unternehmen informiert werden, die von der Datenpanne betroffen sind. Die Benachrichtigung der Betroffenen ist von höchster Wichtigkeit, um Rufschädigung und Misstrauen durch Kunden zu verhindern. Die schlimmsten Rückschläge bei einer großen Datenpanne erleben oft Unternehmen, welche Informationen zu lange zurückgehalten und ihre Kunden nicht informiert haben. Noch heute betrifft die Kritik an der Datenpanne bei Yahoo vor allem die Tatsache, dass das Unternehmen ein Jahr gewartet hat, den Vorfall zu melden. Solch ein Vorgehen wirkt sich noch lange nach dem Vorfall auf die Marke und oft auch auf den Umsatz aus.

Ein weiterer Punkt ist, dass so Firmen die Sicherheit ihrer Kunden gefährden, wenn diese nicht wissen, dass ihre Daten beeinträchtigt wurden. Laut DSGVO haben Unternehmen nun nur noch begrenzt Zeit, eine Datenpanne zu melden. Bei einem Verstoß drohen Bußgelder, das heißt, Fehler haben seit Wirksamkeit der Verordnung also noch schwerwiegendere Konsequenzen.

Kommunikation mit der Presse

Der nächste Schritt im empfohlenen Notfallplan betrifft die Kommunikation mit der Presse. Generell gilt hier: Bevor mit der Presse gesprochen wird, sollten zunächst alle Fakten beisammen sein. Außerdem muss klar sein, was öffentlich bekannt gegeben werden darf und was nicht. Die Konsequenzen zu überschätzen kann nämlich genauso schädlich sein, wie sie zu unterschätzen.

Zudem ist dafür zu sorgen, dass alle Informationen übereinstimmen. Widersprüchliche Angaben können schädliche Presseberichte zur Folge haben. Equifax gab beispielsweise Ende 2017 bekannt, dass Kunden, die sich bei einem Schutzprogramm gegen Identitätsdiebstahl angemeldet hätten, welches das Unternehmen im Rahmen seiner Reaktion auf die Datenpanne geschaffen hatte, ihr Recht verwirkten, juristisch gegen das Unternehmen vorzugehen. Kurz darauf kündigte Equifax allerdings an, dass dieser Passus gestrichen würde. Die geänderte Aussage bescherte dem Unternehmen nach dem PR-Albtraum noch zusätzlich negative Presse.

Im Rahmen des Kommunikationsplans sollten Unternehmen zudem einen Pressesprecher benennen, damit alle Informationen aus einer Quelle stammen und etwaige Anfrage an diese Person weitergeleitet werden können. Dadurch wird das Risiko gesenkt, dass widersprüchliche Informationen verbreitet werden. Oftmals handelt es sich beim Pressesprecher um den CEO, doch bei kleineren Angriffen kann auch der Leiter der Kommunikationsabteilung oder der Marketingleiter diese Rolle übernehmen.

Nach der ersten Öffentlichkeitsrunde ist es wichtig, den Kommunikationsfluss fortzusetzen, bis der Angriff überwunden ist. Wichtig ist hier, den Mitarbeitern und Betroffenen regelmäßig Informationen zum Fortschritt der „Sanierungsarbeiten“ zukommen zu lassen. Informiert werden sollten diese zum Beispiel über den Stand der Untersuchung, die Einführung von Unternehmensrichtlinien oder die Implementierung neuer Technologien, mit denen eine erneute Datenpanne künftig verhindert werden soll.

„Wie ein Unternehmen mit einem Cyberangriff umgeht, entscheidet manchmal über das wirtschaftliche Überleben, vor allem, da größere Zwischenfälle ein Unternehmen oft jahrelang zum Taumeln bringen.“

Dr. Guy Bunker, Clearswift RUAG Cyber Security

Doch selbst danach sollte den Unternehmensprüfern und Behörden weiterhin Bericht erstattet werden (und dies am besten mehrere Jahre lang), um nachzuweisen, dass sich die Dinge gebessert haben und keine weiteren Vorfälle aufgetreten sind. Entscheidend ist außerdem, dass der „Notfallplan“ regelmäßig getestet und angepasst werden sollte – nur so kann sichergestellt werden, dass jeder Einzelne weiß, was zu tun ist. Außerdem spiegelt der Plan nur so die Realität eines Unternehmens wider, welches sich kontinuierlich weiterentwickelt.

Im aktuellen Klima geraten Firmen hinsichtlich ihrer Praktiken zur Cybersicherheit zunehmend unter die Lupe. Wie ein Unternehmen mit einem Cyberangriff umgeht, entscheidet manchmal über das wirtschaftliche Überleben, vor allem, da größere Zwischenfälle ein Unternehmen oft jahrelang zum Taumeln bringen. Eine besonnene Reaktion hilft letztendlich nicht nur, Schäden an der Marke oder dem Umsatz zu vermeiden, sondern schützt vor allem die Kunden. Firmen sollten aus diesem Grund genügend vorbereitet sein, um im Ernstfall souverän und professionell reagieren zu können.

Über den Autor:
Dr. Guy Bunker ist SVP of Products bei Clearswift RUAG Cyber Security.

Folgen Sie SearchSecurity.de auch auf Twitter, Google+, Xing und Facebook!