Cyberangriff im Unternehmen: was jetzt zu tun ist
Wenn Sie das hier lesen, während es gerade passiert: Die wichtigste Regel ist, nicht allein loszulaufen. Was Sie in den ersten Stunden tun, entscheidet über den Schaden und über Ihre Deckung.
Die ersten Schritte
1. Betroffene Systeme vom Netz nehmen
Trennen Sie die betroffenen Rechner vom Netzwerk, aber schalten Sie sie nicht aus. Im Arbeitsspeicher stehen Informationen, die bei der Analyse helfen und beim Ausschalten verloren gehen.
Netzwerkkabel ziehen, WLAN deaktivieren, laufen lassen.
2. Nichts löschen, nichts überschreiben
Auch nicht die verdächtige Mail, auch nicht die Datei, die den Ärger ausgelöst hat. Das sind Spuren, die für die Aufklärung gebraucht werden und später auch für die Frage, ob und wie der Versicherer leistet.
3. Ihren Versicherer informieren, bevor Sie jemanden beauftragen
Das ist der Punkt, an dem in der Praxis die meisten Fehler passieren.
Cyberpolicen enthalten in aller Regel ein Netzwerk aus Forensikern, Krisenberatern und IT-Spezialisten. Wer stattdessen selbst jemanden beauftragt, riskiert, dass diese Kosten nicht übernommen werden.
Ein Anruf vorher kostet fünf Minuten und kann fünfstellige Beträge retten. Wenn wir Ihre Verträge betreuen, machen wir das für Sie.
4. Die Frist im Blick behalten
Wenn personenbezogene Daten betroffen sind, läuft eine Meldefrist gegenüber der Aufsichtsbehörde. Sie beträgt in aller Regel 72 Stunden ab Kenntnis.
Diese Frist läuft unabhängig davon, ob Sie schon wissen, was genau passiert ist. Eine unvollständige Meldung innerhalb der Frist ist besser als eine vollständige danach.
Was in den Tagen danach kommt
Ein Cyberangriff ist kein Ereignis, sondern ein Verlauf. Die IT ist meist nach Tagen wieder da. Was danach folgt, dauert länger.
Die Meldungen
Neben der Aufsichtsbehörde können Betroffene zu informieren sein, deren Daten abgeflossen sind. Kunden, Mitarbeiter, Lieferanten. Das ist aufwendig und heikel, weil jede Formulierung Folgen hat.
Gute Cyberpolicen decken diese Kosten und stellen Fachleute, die solche Benachrichtigungen formulieren.
Die Betriebsunterbrechung
Der wirtschaftlich größte Posten ist meist nicht die Wiederherstellung, sondern die Zeit, in der nicht gearbeitet werden konnte. Aufträge, die nicht bearbeitet wurden, Lieferungen, die nicht rausgingen, Kunden, die abgesprungen sind.
Prüfen Sie in Ihrer Police, ab welcher Ausfalldauer geleistet wird und wie lange. Manche Verträge setzen eine Wartezeit von zwölf oder vierundzwanzig Stunden voraus, die bei einem kurzen Ausfall nie erreicht wird.
Die Ansprüche Dritter
Wenn Daten Ihrer Kunden betroffen sind, können Ansprüche entstehen. Bei Geschäftskunden auch aus Verträgen, in denen Sie Vertraulichkeit zugesagt haben.
Das ist der Teil, der erst Monate später sichtbar wird und der die Cyberdeckung von einer reinen IT-Versicherung unterscheidet.
- Systeme ausschalten oder neu aufsetzen, bevor gesichert wurde
- Verdächtige Mails oder Dateien löschen
- Auf eigene Faust einen IT-Dienstleister beauftragen
- Mit den Angreifern verhandeln, ohne Rücksprache
- Kunden informieren, bevor der Sachverhalt klar ist
- Öffentlich Stellung nehmen, ohne Abstimmung
- Aus Backups zurückspielen, bevor die Ursache gefunden ist
Was Betriebe im Ernstfall fragen
Wir haben keine Cyberversicherung. Was jetzt?
Dann tragen Sie die Kosten selbst, aber die ersten Schritte bleiben dieselben: Systeme trennen, nichts löschen, Spuren sichern, Frist beachten.
Prüfen Sie außerdem, ob andere Verträge greifen. Manche Elektronikversicherungen decken Datenwiederherstellung, manche Vertrauensschadenverträge erfassen bestimmte Betrugsfälle. Rufen Sie an, wir sehen das mit Ihnen durch.
Warum sollen wir nicht selbst einen IT-Dienstleister beauftragen?
Weil Cyberpolicen in aller Regel eigene Netzwerke haben und Kosten nur übernehmen, wenn sie über diese laufen oder vorher abgestimmt sind.
Ihr eigener IT-Dienstleister ist trotzdem wichtig, er kennt Ihre Systeme. Aber die Beauftragung von Forensik und Krisenberatung sollte über den Versicherer laufen. Ein Anruf vorher klärt das in Minuten.
Müssen wir das wirklich melden?
Wenn personenbezogene Daten betroffen sind, besteht in aller Regel eine Meldepflicht gegenüber der Aufsichtsbehörde, und zwar binnen 72 Stunden ab Kenntnis.
Ob im konkreten Fall gemeldet werden muss und in welchem Umfang, ist eine rechtliche Frage. Klären Sie das mit einem Anwalt oder mit den Fachleuten, die Ihre Cyberpolice stellt. Nicht melden, weil man hofft, dass nichts auffällt, ist die schlechteste aller Optionen.
Wie lange dauert so etwas?
Die technische Wiederherstellung meist Tage bis Wochen, abhängig von der Vorbereitung. Wer getrennte Backups hat, ist schneller wieder da.
Der wirtschaftliche Verlauf dauert länger. Ansprüche von Kunden und behördliche Nachfragen können Monate nach dem Vorfall kommen. Deshalb ist die Dokumentation von Anfang an wichtig.
Kann uns danach noch jemand versichern?
In der Regel ja, aber die Bedingungen ändern sich. Versicherer sehen nach einem Vorfall genauer hin und verlangen häufig Nachweise über die Maßnahmen, die seitdem getroffen wurden.
Was hilft, ist eine saubere Darstellung: was passiert ist, was die Ursache war und was sich seitdem verändert hat. Wer das belegen kann, bekommt Angebote. Wer nur den Vorfall meldet, oft nicht. Mehr dazu unter nach einem Großschaden.
Passiert es gerade?
Rufen Sie an, bevor Sie jemanden beauftragen. Das kann fünfstellige Beträge retten.