Wenn die Systeme schweigen: Kommunikationsfähig bleiben während eines Cyberangriffs

Stellen Sie sich vor, ein Cyberangriff legt Ihre interne IT-Infrastruktur lahm – E-Mail, Chat-Lösung, und Telefon sind gleichzeitig offline. Wie kommunizieren Sie jetzt? Viele Unternehmen haben darauf keine Antwort, bis es zu spät ist. Wir zeigen anhand eines fiktiven Beispiels auf, welche Konsequenzen ein Kommunikationsausfall während eines Cybervorfalls haben kann.

Was zählt in den ersten Stunden nach einem Hackerangriff?

Montag, 7:32 Uhr: Der Server antwortet nicht mehr. Ein Teammitglied aus der IT meldet dies an Sandra K., Head of IT bei der Muster AG, einem mittelständischen Zulieferer mit 320 Angestellten an drei Standorten. Erster Gedanke: ein technisches Problem, vielleicht ein Update, das über Nacht schiefgelaufen ist. Zwölf Minuten später wird Sandra klar: Die Muster AG ist Opfer eines Ransomware-Angriffs.

Die Systeme sind tot, auf dem Bildschirm erscheint die Lösegeldforderung. Ab hier entscheidet sich, ob das Unternehmen diese Krise bewältigt oder den Schaden unnötig vergrössert.

Das Vakuum, wenn alles stillsteht

Das eigentliche Problem zeigt sich in dem Moment, in dem Sandra versucht, ihr Krisenteam zu alarmieren. Die Firmen-E-Mail ist nicht erreichbar, das interne Chat-Tool funktioniert nicht, das VoIP-Telefonsystem ist down. Alles läuft über dieselbe kompromittierte Infrastruktur. 

Was bleibt, ist das private Mobiltelefon. Also beginnt Sandra, nach den privaten Nummern ihrer Teamkollegen zu suchen. Nicht alle hat sie auf ihrem privaten Handy gespeichert. Auch den externen IT-Dienstleister erreicht sie nicht, da dessen Kontakt im – momentan nicht erreichbaren – Intranet hinterlegt ist. 

Mittlerweile ist 8:14 Uhr. Seit 42 Minuten weiss Sandra, dass etwas nicht stimmt, doch eine koordinierte Kommunikation findet nicht statt. In den ersten Stunden eines Cyberangriffs ist nicht die Technik entscheidend – denn diese steht still –, sondern die Antwort auf die Frage: Wer muss wann wie informiert werden und über welchen Kanal? 

Die Muster AG hat darauf keine Antwort. Also wird improvisiert: Spontan wird eine WhatsApp-Gruppe fürFührungskräfte, die IT-Abteilung und einige ausgewählte Mitarbeiter erstellt. Screenshots mit internen Systemdaten werden hin und her geschickt. Die übrige Belegschaft erfährt zunächst nichts. Sie sitzt vor Systemen, die nicht funktionieren, und weiss nicht, ob sie nach Hause gehen oder selbst improvisieren soll. Irgendwann reicht es einem Teamleiter. Er informiert sein Team auf eigene Faust, teils mit fehlerhaften Angaben. Der Flurfunk läuft heiss, und es kursieren mehrere Versionen der Lage. Selbst bei der Geschäftsleitung kommen widersprüchliche Informationen an.

Private Messenger sind in solchen Momenten oft das einzige verfügbare Mittel. Sie sind allerdings weder sicher noch datenschutzkonform – und schon gar nicht darauf ausgelegt, eine Unternehmenskrise zu koordinieren. Metadaten werden erfasst, und es gibt keine Kontrolle darüber, wer in diesen improvisierten Gruppen eigentlich Zugriff auf welche Informationen hat. Drei Tage lang arbeitet die Muster AG im Blindflug.

Was hat die Muster AG versäumt?

Einige Wochen nach dem Angriff zieht die Geschäftsleitung Bilanz. Die Erkenntnisse sind ernüchternd, aber lehrreich.

Fehler 1: Es wurde im Vorfeld kein alternativer Kommunikationskanal definiert. Die gesamte interne Kommunikation lief über die Infrastruktur, die während des Angriffs als erste ausfiel. Ohne Plan B blieb nur der Ausweg über private Messaging-Apps.

Fehler 2: Es gab keine Krisenkontaktliste ausserhalb der Systeme. Interne Kontakte waren digital gespeichert und somit während des Ausfalls unzugänglich. Selbst einfache Informationen, wie die Nummer des Datenschutzbeauftragten, fehlten in offline verfügbarer Form.

Fehler 3: Es fehlten definierte Kommunikationsrollen. Wer darf was an wen kommunizieren? Da dies nicht geregelt war, kommunizierten im Ernstfall entweder alle oder niemand.

Fehler 4: NIS2 war nicht auf dem Radar. Als regulierter Zulieferer unterliegt die Muster AG den neuen NIS2-Bestimmungen. Die Pflicht, einen Sicherheitsvorfall innerhalb von 24 Stunden zu melden, war dem Unternehmen nicht bekannt – was rechtliche Konsequenzen nach sich ziehen kann.

Fehler 5: Es gab weder Tests noch Übungen. Einen BCM-Plan bereit zu haben, ist eine Sache – ihn zu kennen und regelmässig zu üben, eine andere. Beides fehlte bei der Muster AG.

So sieht ein funktionierender BCM-Plan in der Praxis aus

Business-Continuity-Management klingt nach Grosskonzern und seitenlangen Handbüchern. Das muss es aber nicht sein. Im Kern geht es um drei Fragen:

• Was sind unsere kritischen Prozesse, und was brauchen wir, damit sie im Ernstfall weiterlaufen

• Wer kommuniziert mit wem, über welchen Kanal und mit welcher Priorität?

• Haben wir den Ernstfall jemals geübt?

Für die Krisenkommunikation bedeutet das konkret: Der Kanal, über den Sie im Ernstfall kommunizieren, darf nicht derselbe sein, der ausfällt, wenn Ihre Infrastruktur kompromittiert wird. Er muss unabhängig von der täglichen IT funktionieren, sicher sein und sofort einsatzbereit bleiben. Auch dann, wenn VPN, E-Mail und Intranet nicht erreichbar sind.

Wie wappnen sich andere Unternehmen?

Die iSPIN AG wollte im Ernstfall nicht improvisieren. Als IT-Dienstleister mit hohen Sicherheitsanforderungen benötigte sie eine Lösung, die auch dann funktioniert, wenn die eigene Infrastruktur unter Beschuss gerät – und die gleichzeitig intuitiv in der Nutzung und datenschutzkonform ist.

Mit Threema Work hat die iSPIN AG einen Kommunikationskanal eingeführt, der vollständig vom restlichen IT-Ökosystem getrennt ist: keine Abhängigkeit von eigenen Servern, Ende-zu-Ende-verschlüsselt und ohne Verknüpfung mit privaten Rufnummern oder Accounts. Im Ernstfall sind so die richtigen Personen innerhalb von Minuten erreichbar, organisiert in vordefinierten Gruppen mit klaren Kommunikationsrollen.

Warten ist keine Strategie

Cyberangriffe werden nicht seltener. Die Frage ist daher nicht, ob, sondern wann ein Unternehmen betroffen ist – und wie es dann kommuniziert.

Damit Sie für den Ernstfall vorbereitet sind, laden wir Sie ein, unsere Testversion auszuprobieren.

Falls Sie eine individuelle Beratung für Ihr Unternehmen wünschen, buchen Sie einen Demo-Termin. Wir zeigen Ihnen, wie Threema Work in Ihre konkrete BCM-Struktur passt.