Spurensicherung im digitalen Raum
Zunächst ist der Tatort der Ausgangspunkt für die detaillierte Analyse einer Cyberattacke und gleichzeitig der Startpunkt für die Incident Response. Hier stellt sich zunächst die Frage: Ist der Täter noch im Netzwerk? Allenfalls müssen auch schon erste Massnahmen ergriffen werden, damit nicht noch grösserer Schaden entstehen kann. Erst dann kommt die Spurensicherung. Nichts darf vorher verändert oder ohne «Handschuhe» angefasst werden. Der Tatort wird dabei grossräumig abgeriegelt. Alle möglichen Zugänge, Systeme oder Fluchtwege werden untersucht – vielleicht hält sich der Angreifer ja in der Nähe versteckt. Bei der ersten Analyse geht es primär darum abzuklären, ob es tatsächlich ein gezielter Cyberangriff war oder allenfalls eine eher harmlose Attacke. Ein gelöschtes Logfile ist nicht immer von einem Angreifer, der seine Spuren verwischen wollte.

Cyber-Analysten – die Kommissare der Cyber Defence
Handelt es sich wirklich um eine Cyberattacke geht es darum, den Sicherheitsvorfall so schnell wie möglich zu analysieren und keine voreiligen Aktionen zu tätigen. Cyber-Analysten suchen nach Spuren, Indizien und digitalen Fingerabdrücken. Glücklicherweise machen auch professionelle Angreifer Fehler und hinterlassen Spuren. Diese Hinweise helfen den Cyber Defence-Spezialisten bei der «Festnahme» des Täters. Hierbei geht es nicht um Handschellen und Gefängniszellen – nein, vielmehr geht es darum, den Angreifer auf frischer Tat zu ertappen. Deshalb werden an den richtigen Stellen in der Nähe des potentiellen Angriffsziels Sensoren platziert, die umgehend Alarm schlagen, sobald der Angreifer wieder aktiv wird. Allenfalls kommen auch Honey-Tokens als Fallen zum Einsatz, um das vermeintliche Ziel des Angriffs vorzutäuschen. Beim Incident Response geht es aber nicht nur darum, den Angreifer aus dem Netzwerk zu verbannen. Am Ende des Tages müssen die betroffenen Systeme bereinigt und der ordentliche Betrieb wiederhergestellt werden. Zudem müssen die gewonnenen Erkenntnisse aus dem Sicherheitsvorfall zwingend in die Umsetzung neuer Massnahmen einfliessen, um so die eigenen Abwehrkräfte zu stärken.

Cyberattacken finden täglich statt – auch auf Schweizer Unternehmen
Der Tatort «Cyber Crime» ist alltägliche Realität, weshalb Unternehmen immer vor Cyberattacken auf der Hut sein müssen. Umso wichtiger ist es, den Fokus nicht nur auf den Schutz und die Abwehr zu legen, sondern insbesondere auf die Detektion und die rasche Reaktion auf sicherheitsrelevante Ereignisse. Man darf sich nicht nur auf (immer) höhere IT-Sicherheitsmauern verlassen, denn Angreifer werden immer einen Weg ins Netzwerk finden. Da Attacken rund um die Uhr erfolgen, muss ein Unternehmen an sieben Tagen der Woche – während 24 Stunden – Cyber Security gewährleisten können.

Da sich die Risikosituation stetig ändert, ist Cyber Security auch keine einmalige Angelegenheit. Es gilt, die aktuelle Bedrohungslage zu beobachten und das Sicherheitsdispositiv kontinuierlich zu verbessern – eine anspruchsvolle Aufgabe, insbesondere in Zeiten des Fachkräftemangels. Daher empfiehlt es sich, professionelle Unterstützung in Form eines Managed Security Services beizuziehen, um die Cyber Resilience zu stärken sowie den Schutz der Unternehmenswerte zielgerichtet und nachhaltig zu verbessern.