disconnected unexpected
Sabine Griebsch, Dirk Kunze, Franz Lantenhammer
Beschreibung
Podmon Kategorien
Upgrade dein Konto, um kontextuelle Kategorien zu sehen!
Veröffentlichungshistorie
Episodenübersicht
26-07 | DDoS-Angriff auf ein Landratsamt
Ausgangslage und Vorfall
Eine großangelegte Störung trifft landkreisweite Online-Dienste: Webseiten, Portale und Fachverfahren sind nicht erreichbar, Bürgerdienste können nicht genutzt werden. Ein Krisenstab wird aktiviert; es besteht der Verdacht auf einen DDoS-Angriff mit hoher Anmeldeaktivität von nicht autorisierten Konten. Erste Analysen deuten auf eine Belastung der Infrastruktur, während einzelne Fachverfahren extern erreichbar bleiben oder lokal bedient werden.
Reaktion und Sofortmaßnahmen
Es erfolgt eine koordinierte Reaktion: Monitoring wird überprüft, interne Konten werden überwacht, der externe IT-Dienstleister wird eingeschaltet, Notfallpläne werden geprüft. Es werden alternative IP-Adressen genutzt, DDoS-Schutz aktiviert und Systeme containerisiert, um Schaden zu begrenzen. Die interne Kommunikation wird stabilisiert und FAQs sowie Hotlines für Bürger eingerichtet.
Rollen, Zusammenarbeit und Governance
Weteiligte sind Landrat, Datenschutzbeauftragter, IT-Dienstleister, Fachverantwortliche, Krisenstab sowie externe Sicherheits- und Kommunikations-Teams. Notwendige Abstimmungen betreffen Meldepflichten, mögliche Meldungen an BSI/ZAK, Rechtsfragen zu Bundeswehr- oder Drittunterstützung sowie die zeitnahe Information von Mitarbeitenden und Bürgern. Presse- und Krisenkommunikation werden vorbereitet und zentral koordiniert.
Nächste Schritte und Perspektive
Weitere Triagen der Systeme, Prüfung auf Datenabfluss, Forensik-Einsätze durch Polizei ggf. erforderlich, Abwehrmaßnahmen laufen weiter, Krisenstab bleibt aktiviert. Priorität liegt auf der Stabilisierung der Dienste, Transparenz gegenüber dem Landrat und der Öffentlichkeit sowie der klaren Darstellung des aktuellen Stands ohne fehlerhafte Informationen. Langfristig wird auf eine solide Notfall- und Kommunikationsstrategie hingearbeitet.
26-06 | Rettet den Osterhasen
Ausgangslage und Kernbefunde
Ein mittelständischer Schokoladenhersteller erkennt einen Cybervorfall rund um den Onlineshop. Es gibt Hinweise auf einen größeren Datenabfluss, unvollständige Dialogdateien und eine Belastung der Kundendatenbanken. Die IT-Sicherheit ist dünn aufgestellt, das Team klein, und der neu ernannte Sicherheitsbeauftragte ist noch nicht vollständig ausgebildet. Die Produktion und der Vertrieb müssen fortlaufen, während die Untersuchungen laufen.
Erste operative Zielsetzung
Ziel ist schnelles Verständnis der Lage, zeitnahes Logging, forensische Sichtung relevanter Systeme und Bindung der IT-Kollegen vor Ort. Priorität liegt auf dem Schutz kritischer Systeme, Isolierung verdächtiger Komponenten und Sicherung von Beweisen, während Kommunikation mit Geschäftsleitung und Management geführt wird, um Kontinuität sicherzustellen.
Technische Schwerpunkte der ersten Stunde
Untersucht werden Logs auf ungewöhnliche Authentifizierungen, IOCs und verdächtige Zugriffe; Forensik priorisiert ERP/ECM-Domänen, Datenbank-Server und Firewall. Fokus auf Containment, Snapshot-Erstellung, Netztrennung und Schutz der Webpräsenz. EDR liefert derzeit keine auffälligen Meldungen; dennoch gibt es Hinweise auf eine komplexe Angriffslogik und potenzielle Backups-Themen.
Kommunikation, Koordination und nächste Schritte
Es wird grob abgestimmt, wie interne und externe Stakeholder informiert werden. Kommunikationsleitfaden, Status-Updates an Geschäftsführung, ESB und Zulieferer werden vorbereitet. Es bleibt zu klären, wie stark personenbezogene Daten betroffen sind und wie eine transparente, aber kontrollierte Offenlegung erfolgen kann. Die Teamrollen sind klar verteilt, und der Fokus liegt auf schnellem, koordinierten Vorgehen zur Wiederherstellung der Stabilität.
26-05 | Schrödingers Backup
Ausgangslage und Befund
Ein mittelständischer Kfz-Zulieferer erlebt eine potenzielle Ransomware-Attacke. Es existieren keine Notfallpläne, kein BCM und Untenthman-Krisenteam. Mehrere Abhängigkeiten, insbesondere Just-in-Time-Lieferungen, erhöhen das Risiko. Hinweise deuten auf verschlüsselte File-Server-Daten, verdächtige Logs und ungewöhnliche Login-Aktivitäten hin. Die hybride IT-Landschaft bleibt teilweise funktionsfähig, doch zentrale Systeme zeigen Störungen.
Sofortmaßnahmen und Isolierung
Wesentliche Systeme werden isoliert: SharePoint, Exchange, Netze, File-Server und relevante Clients. Produktion bleibt betriebsfähig, soll aber separat laufen. Passwörter von Admins werden zurückgesetzt, Zugriffe überprüft, verdächtige Accounts gesperrt. Forensik läuft, RAM-Dumps, Logs und Backups werden gesichert, während externe Kommunikation eingeschränkt und nur telefonisch fortgeführt wird.
Kommunikation und Stakeholder
Interne Kommunikation wird stabilisiert, externe Meldungen kontrolliert. Die Geschäftsleitung ist zeitweise unreachable; Einbindung von CISO, DSB, Juristen, Incident-Response-Partnern und Polizei wird koordiniert. Presse- und Kundenkommunikation wird über die Pressestelle gesteuert. Relevante Abteilungen (Einkauf, Vertrieb, IT-Sicherheit, Facility Management) werden situativ informiert und eingebunden.
Wiederherstellung und Learnings
Backups werden geprüft; vollständige Wiederherstellung erfolgt vorsichtig, einzelnes System-für-System. Restore-Tests priorisiert, Rechte-Trennung eingeführt, Tiering-Modell vorgesehen. Lernpunkte dokumentieren Lücken in BCM, Notfallplänen und Notfallprozessen. Ziel ist eine robuste, forensisch einwandfreie Wiederherstellung sowie Verbesserung der Cyber-Resilienz und der internen Abläufe.