Ein Cyberangriff wurde erkannt, möglicherweise sind bereits mehrere Endgeräte betroffen. Jetzt zählt jede Entscheidung. Denn unüberlegte Maßnahmen können nicht nur die Ausbreitung eines Angriffs begünstigen, sondern auch wichtige Beweise vernichten und die spätere Wiederherstellung erschweren.
Die folgenden Do’s und Don’ts zeigen euch die wichtigsten Sofortmaßnahmen bei einem Cyberangriff auf Endpoints.
Das Wichtigste in Kürze
- Schnelle Isolation: Bei einem Cyberangriff sollten betroffene Endpoints möglichst schnell vom Netzwerk isoliert werden, um eine weitere Ausbreitung des Angriffs zu verhindern.
- Keine eigenmächtigen Eingriffe: Geräte sollten nicht ohne Freigabe heruntergefahren, neu gestartet oder zurückgesetzt werden, da dabei wichtige forensische Beweise verloren gehen können.
- Klare Notfallpläne: Ein einfacher, bekannter und regelmäßig getesteter Incident Response Plan hilft dabei, auch unter Zeitdruck koordiniert zu handeln. Besonders bei großen, verteilten Endpoint-Umgebungen ist das entscheidend.
1 Do’s: Diese Sofortmaßnahmen solltet ihr bei einem Cyberangriff ergreifen
Wurde ein Cyberangriff festgestellt oder besteht der Verdacht, dass ein Endpoint kompromittiert wurde, sind folgende Maßnahmen wichtig:
- WLAN-Verbindung trennen: Trennt das betroffene Gerät vom WLAN, um weitere Netzwerkkommunikation zu unterbinden. Bei kabelgebundenen Verbindungen gilt das entsprechend für die LAN-Verbindung. Führt die Isolation nach den Vorgaben eures Incident-Response-Teams durch.
- VPN-Verbindung trennen: Beendet aktive VPN-Verbindungen, soweit dies noch nicht durch die Netzwerkisolation erfolgt ist. So verhindert ihr, dass ein möglicherweise kompromittierter Endpoint weiterhin über das VPN mit Unternehmensressourcen kommuniziert.
- Ausgehende Internetverbindungen blockieren: Stellt sicher, dass betroffene Geräte keine weiteren Verbindungen ins Internet aufbauen können. Idealerweise erfolgt die Isolation zentral über vorhandene Security- oder Netzwerkmanagement-Lösungen.
- Sichere Kommunikationskanäle aufrechterhalten: Stellt sicher, dass die Kommunikation zwischen IT, Incident-Response-Team und betroffenen Mitarbeitenden weiterhin funktioniert. Nutzt dafür vertrauenswürdige, nicht kompromittierte Geräte und gegebenenfalls alternative Kommunikationswege.
- Bei Krisenmeetings möglichst die Kamera einschalten: Gerade bei einem Cyberangriff ist es wichtig, sicherzustellen, dass tatsächlich die richtigen Personen an der Besprechung teilnehmen. Eingeschaltete Kameras helfen dabei, Gesprächspartner visuell zu erkennen und Identitätsbetrug zu erschweren. Voraussetzung ist, dass die Kommunikation über vertrauenswürdige Geräte und sichere Kanäle erfolgt.
- Anweisungen des Incident-Response-Teams befolgen: Haltet euch konsequent an die vorgegebenen Maßnahmen. Eigenständige Eingriffe können den Sicherheitsvorfall verschlimmern oder die spätere Untersuchung erschweren.
In jedem Fall sollte der Incident Response Plan befolgt werden. Ein solcher Notfallplan muss vor allem einfach und eindeutig sein. Im Grunde gibt es drei Arten:
- Entweder es gibt gar keinen,
- ein 5.000 Seiten langes Dokument, von dem niemand weiß, dass es existiert – geschweige denn, was darin steht
- oder einen einfachen, klar definierten Plan, der allen Beteiligten bekannt ist, regelmäßig getestet wurde und nachweislich funktioniert.
Welche Variante im Ernstfall hilft, dürfte klar sein. Entscheidend sind kurze, verständliche Handlungsanweisungen, die alle kennen und auch unter Zeitdruck zuverlässig umsetzen können.
2 Don’ts: Diese Fehler solltet ihr bei betroffenen Endpoints vermeiden
Nicht nur die richtigen Sofortmaßnahmen sind entscheidend. Ebenso wichtig ist es, bestimmte Handlungen zu unterlassen.
Wenn ein Endpoint möglicherweise kompromittiert wurde, solltet ihr Folgendes vermeiden:
- Geräte eigenmächtig einschalten: Schaltet ausgeschaltete Endpoints nicht ohne Freigabe wieder ein. Dadurch können Schadprogramme erneut aktiv werden oder relevante Spuren verändert werden.
- Geräte eigenmächtig ausschalten: Fahrt eingeschaltete Geräte nicht unaufgefordert herunter. Beim Ausschalten können wichtige Informationen aus dem Arbeitsspeicher verloren gehen, die für die forensische Untersuchung benötigt werden.
- Geräte unnötig bewegen: Lasst betroffene Endpoints möglichst an ihrem Standort. Ein Transport kann die Untersuchung und Dokumentation erschweren, insbesondere wenn dabei Verbindungen oder der Gerätezustand verändert werden.
- Eigenständige Reparaturversuche starten: Versucht nicht, Schadsoftware selbst zu entfernen, Sicherheitstools auszuführen oder Systemeinstellungen zu verändern. Solche Eingriffe können Spuren verändern und die Ursachenanalyse erschweren.
- Windows ohne Freigabe neu installieren: Auch wenn eine Neuinstallation zunächst als schnelle Lösung erscheint, dürfen kompromittierte Geräte nicht eigenmächtig zurückgesetzt werden. Zunächst muss geklärt werden, welche Informationen für die Untersuchung gesichert werden müssen.
- Betroffene Geräte mit sicheren Netzwerken verbinden: Verbindet potenziell kompromittierte Endpoints nicht mit anderen Unternehmensnetzwerken oder isolierten Wiederherstellungsumgebungen. Andernfalls riskiert ihr, bisher nicht betroffene Systeme ebenfalls zu gefährden.
- Tethering oder mobile Hotspots nutzen: Umgeht eine Netzwerksperre nicht durch die Verbindung mit einem Smartphone oder einem anderen Internetzugang. Damit könntet ihr die Isolation des betroffenen Endpoints unbeabsichtigt aufheben.
Ob ein Gerät ausgeschaltet, untersucht oder neu installiert werden darf, entscheidet das zuständige Incident-Response-Team anhand der konkreten Bedrohungslage. Wenn sich ein aktiver Angriff nicht anders eindämmen lässt, kann auch ein kontrolliertes Ausschalten notwendig sein.
Der Hintergrund: Betroffene Endpoints können wertvolle digitale Beweise enthalten. Dazu gehören beispielsweise laufende Prozesse, Netzwerkverbindungen, Protokolldaten oder Informationen im Arbeitsspeicher. Werden diese durch unkoordinierte Eingriffe verändert oder gelöscht, kann die Aufklärung des Sicherheitsvorfalls erheblich erschwert werden.
3 Warum Endpoints bei einem Cyberangriff besonders herausfordernd sind
Im Vergleich zu zentral betriebenen Servern stellen Endpoints Unternehmen vor besondere Herausforderungen. Das liegt vor allem an ihrer Anzahl, ihrer Verteilung, der technischen Vielfalt und der direkten Einbindung der Nutzer.
- Anzahl: Unternehmen verfügen oft über Tausende oder Zehntausende Endpoints. Kommt es zu einem größeren Cyberangriff, müssen möglicherweise zahlreiche Geräte gleichzeitig isoliert, untersucht und später wiederhergestellt werden.
- Verteilung: Endgeräte werden längst nicht mehr ausschließlich im Büro genutzt. Mitarbeitende greifen von unterschiedlichen Standorten auf Unternehmensressourcen zu. Dadurch lassen sich betroffene Geräte nicht immer unmittelbar durch die zentrale IT erreichen oder physisch vom Netzwerk trennen.
- Gerätevielfalt: Die Heterogenität erschwert die Reaktion auf einen Sicherheitsvorfall. Nicht jedes Gerät lässt sich auf dieselbe Weise isolieren, untersuchen oder wiederherstellen.
- Nutzer: Anders als bei vielen Servern steht hinter fast jedem Endpoint ein Mitarbeitender, der auf das Gerät angewiesen ist. Damit trifft ein Angriff unmittelbar auch die Arbeitsfähigkeit der Beschäftigten.
Neben technischen Maßnahmen müssen IT-Teams deshalb Fragen zur Kommunikation, zu Compliance-Vorgaben, zur Priorisierung und zum Support berücksichtigen.
Gerade unter Zeitdruck ist entscheidend, dass alle Beteiligten wissen, welche Maßnahmen erlaubt sind, welche sie vermeiden müssen und an wen sie sich wenden können.
4 Fazit: Im Ernstfall zählt eine klare Endpoint-Strategie
Bei einem Cyberangriff kommt es nicht darauf an, möglichst viele Maßnahmen gleichzeitig durchzuführen. Entscheidend ist, die richtigen Schritte in der richtigen Reihenfolge umzusetzen und eigenmächtige Eingriffe zu vermeiden.
Klare Do’s und Don’ts helfen dabei, betroffene Endpoints kontrolliert zu isolieren, forensische Beweise zu erhalten und die weitere Bearbeitung durch das Incident-Response-Team zu unterstützen.
Damit diese Maßnahmen auch bei einer großen, verteilten Geräteflotte funktionieren, braucht es neben einem getesteten Notfallplan ein strukturiertes und möglichst einheitliches Endpoint Management.
SOFTTAILOR unterstützt euch mit Endpoint Management as a Service dabei, eure Endgeräte kontinuierlich zu verwalten, abzusichern und eure Endpoint-Strategie nachhaltig zu verbessern. Damit schafft ihr wichtige technische Voraussetzungen, um auf Sicherheitsvorfälle vorbereitet zu sein.
Dorian beschäftigt sich seit 2011 mit Unternehmens- und IT-Strategie. Aufgrund der Endpoint Security Defizite vieler Unternehmen und der Informationsüberflutung hat er die Endpoint Strategie entwickelt. Dorian ist Mitgründer des Expertenzirkels "Endpoint Management" im IAMCP e.V.
Jahre Erfarung
Verwaltete Endgeräte
