Wenn Systeme stillstehen und Existenzen bedroht sind

CANCOM: CANCOM spricht vom Rapid Response Service. Was steckt dahinter und warum habt ihr euch bewusst gegen den gängigeren Begriff Incident Response entschieden?

Walter: Incident Response ist ein etablierter Begriff in der IT-Security. Er beschreibt vor allem die technische Reaktion auf einen Sicherheitsvorfall: analysieren, eindämmen, beheben. Als wir vor einigen Jahren immer häufiger mit schweren Incident-Response-Fällen konfrontiert waren, wurde schnell klar, dass dieser Begriff für das, was wir tatsächlich leisten, nicht ausreicht.
Unser Rapid Response Service ist mehr als Technik. Er ist ein Soforthilfe und Krisenmanagement-Service für Cyberangriffe, der Unternehmen rund um die Uhr unterstützt, sobald ein Vorfall eintritt. Kunden können unser Rapid-Response-Team direkt kontaktieren, um Maßnahmen einzuleiten, Schäden zu begrenzen und die IT wiederherzustellen. Ergänzend bieten wir proaktive Leistungen an, die Unternehmen präventiv nutzen können. Diese sind ein zentraler Bestandteil unseres Ansatzes. Kunden, die diese Services gebucht haben, können jährlich flexibel zwischen bis zu drei Paketen ohne Mehrkosten wechseln. Dazu zählen beispielsweise Penetrationstests oder Schwachstellenanalysen, Firewall-Checks oder die Überprüfung der VDI-Umgebung. Der große Vorteil ist Planbarkeit. Der IT-Leiter legt dem Management einmal ein Budget vor und kann in den Folgejahren flexibel reagieren. Gleichzeitig steigt die Cyberresilienz deutlich. Im Idealfall kommt es gar nicht erst zu einem Einsatz. Genau diesen Effekt sehen wir immer häufiger.

CANCOM: Wie beginnt ein Rapid-Response-Einsatz konkret?

Walter: Der Kunde meldet über die Hotline unseres Premium Support Centers (PSC), wenn ihm IT-seitig etwas Ungewöhnliches auffällt. Das können vermeintlich harmlose Dinge sein wie auffällig viele Phishing-E-Mails. In anderen Fällen ist die Lage dramatischer: Eine Ransom Note erscheint, sämtliche Systeme stehen still. Das PSC nimmt eine erste Einschätzung vor. Handelt es sich um einen schwerwiegenden Vorfall, wird der zuständiger Krisenmanager sofort alarmiert – unabhängig von Uhrzeit oder Wochentag, denn Angriffe halten sich nicht an Bürozeiten. Wir sind 24/7 einsatzbereit und skalieren unsere Teams entsprechend. Anschließend kontaktiert der Krisenmanager den Verantwortlichen der jeweiligen Business-Einheit. Gemeinsam stellen sie ein Team zusammen, das fachlich optimal zum Vorfall passt. Danach informiert er den Kunden, wann wir mit welchem Team vor Ort sein werden. In der Regel ist das spätestens am nächsten Tag. Je nach Situation werden auch Juristen oder Kommunikationsberater eingebunden.

CANCOM: Was passiert in den ersten Stunden und Tagen beim Kunden?

Walter: Noch bevor wir anreisen, erhält der Kunde konkrete Handlungsempfehlungen von uns wie etwa Netzwerke zu trennen oder sicherzustellen, dass Backups nicht überschrieben werden. Bin ich vor Ort, etabliere ich sofort eine klare Führungsstruktur und einen Krisenstab, in dem alle relevanten Parteien vertreten sind. Ich übernehme dabei die zentrale Koordination. Entscheidend ist, früh zu klären, welche Prozesse geschäftskritisch sind, wer was entscheiden darf und wer für welche Themen verantwortlich ist. Bei Service-Kunden ist vieles einfacher, weil wir die Umgebung bereits kennen – inklusive kritischer Prozesse, Serverlandschaft und Abhängigkeiten.
Dann kommen unsere Spezialistinnen und Spezialisten ins Spiel, die genau wissen, was in solchen Situationen zu tun ist. Die Priorität ist klar: Eindämmung des Angriffs, Absicherung kritischer Systeme und Daten, Beweissicherung für die Forensik sowie die Wiederherstellung und Erfüllung rechtlicher Pflichten. Bei all dem fokussiere ich mich auf Fakten, Lageanalysen und Lösungsstrategien. So kann ich verhindern, dass Hektik oder Panik die Oberhand gewinnen. Denn dies verschlimmert erfahrungsgemäß die Situation.

CANCOM: Nach welchen Kriterien priorisiert ihr die Maßnahmen?

Walter: Wir orientieren uns an drei übergeordneten Zielen: Erstens: Der Kunde muss zahlungsfähig bleiben. Kann ein Unternehmen keine Rechnungen bezahlen, geraten Mitarbeitende, Lieferanten und der gesamte Betrieb in Schwierigkeiten. Zweitens: Die Kommunikation muss funktionieren. Das können Telefone sein, E-Mails oder die Website. Drittens: Den Stress reduzieren. Gerade bei produzierenden Unternehmen ist es entscheidend, Maschinen schnell wieder anlaufen zu lassen, wenn auch mit reduzierter Funktionalität. Wir arbeiten mit klaren Timelines und kommunizieren offen, dass der Krisenmodus in der Regel zwei bis drei Wochen dauert. Danach steht man nicht mehr bei null. Der vollständige Wiederaufbau kann jedoch Monate oder sogar ein Jahr in Anspruch nehmen.

CANCOM: Welche Fachteams von CANCOM sind im Einsatz?

Walter: Für mich ist es enorm wichtig, sich in chaotischen Situationen wie nach einer Cyberattacke auf ein starkes Team verlassen zu können. Je nach Vorfall arbeiten mehrere spezialisierte Teams zusammen. Das Infrastruktur- und Netzwerk-Team legt die technische Basis, denn viele Probleme hängen letztlich am Netzwerk. Das Backup-Team prüft, ob intakte Datensicherungen vorhanden sind. Ist das der Fall, ist eines klar: Die Diskussion über eine potentielle Lösegeldzahlung ist vom Tisch. Kritisch wird es erst, wenn auch diese Sicherungen manipuliert oder zerstört wurden. Bislang konnten wir in allen Fällen nahezu alle Systeme wiederherstellen – häufig dank guter Backup-Hygiene auf Kundenseite oder durch die Unterstützung von Data-Recovery-Firmen. Das Application-Team stellt gemeinsam mit Herstellern oder Fachabteilungen sicher, dass Anwendungen wie ERP oder Warenwirtschaftssysteme korrekt funktionieren. Die Forensik analysiert Angriffswege und mögliche Datenabflüsse. Das ist wichtig für rechtliche Pflichten und spätere Lessons Learned.
Die Kommunikation zwischen allen Teams ist essenziell. Meist läuft sie über einen Microsoft Teams Chat, in dem gerade in den ersten zwei bis drei Wochen sehr viel los ist.

CANCOM: Wie funktioniert die Zusammenarbeit mit der IT des Kunden?

Walter: Der Kunde hat in der Regel eine eigene IT-Abteilung, die aber auf den Normalbetrieb ausgelegt ist. Bei einem Sicherheitsvorfall muss häufig vieles neu aufgesetzt werden. Dafür brauchen wir zusätzliche Manpower. Ich spreche deshalb bewusst von zwei Teams: dem Kunden und dem CANCOM Team. Das Kunden-Team ist meist extrem motiviert, manchmal sogar zu motiviert. Schließlich geht es um ihre Arbeitsplätze, um ihr Unternehmen. Meine Aufgabe ist es, diesen Drive zu kanalisieren, Aktionismus zu bremsen und Überlastung zu vermeiden. Niemand arbeitet drei Wochen lang täglich zwölf Stunden ohne Einbruch. Pausen sind Pflicht. Wir brauchen diese Menschen auch im Wiederaufbau, denn sie bringen das interne Wissen mit. CANCOM seitig profitieren wir von einem großen Pool an Spezialistinnen und Spezialisten, die wir rotieren lassen und so die Leistungsfähigkeit konstant halten können.
Dreimal täglich finden feste Abstimmungen mit beiden Teams statt. Die Regel lautet: Nothing without approval. Das bedeutet, dass nichts neben den abgestimmten Tasks mal schnell erledigt wird. Ausnahmen gibt es nur nach Freigaben. Das schützt vor Aktionismus, vermeidet Doppelarbeit und reduziert Fehlkonfigurationen.

CANCOM: Was braucht euer Team vor Ort?

Walter: Gute Rahmenbedingungen sind erfolgsentscheidend. Deshalb erhält der Kunde von uns vorab eine Checkliste, was vorbereitet sein sollte, wenn wir eintreffen. Dazu gehört ein eigener Raum für unser Team mit Fenster, denn dort arbeiten oft wochenlang über zehn Menschen ganztägig zusammen. Wichtig ist auch, dass Essen und Getränke direkt im Raum zur Verfügung stehen. Natürlich könnten wir auswärts essen, aber jede Stunde, in der das Team nicht verfügbar ist, verzögert die Lagebearbeitung.
Was wir zum Kunden mitnehmen, ist eine Kabeltrommel mit 90 Metern LAN-Kabel. Serverräume sind häufig kalt und ungemütlich – niemand möchte dort den ganzen Tag sitzen. Mit langem LAN-Kabel lässt sich die Arbeitsumgebung flexibler gestalten. Ich habe auch immer einen Forensikkoffer mit Wechseldatenträgern dabei, um Beweise zu sichern oder Daten schnell zu transferieren. Zur Grundausstattung gehört auch eine kleine Firewall für ein Notnetz. Damit können wir kurzfristig eine minimale Konnektivität herstellen, solange die reguläre Infrastruktur nicht vertrauenswürdig oder funktionsfähig ist. Wenn Kundennetzwerke kompromittiert oder bewusst abgeschottet werden müssen, nutzen wir zusätzlich einen eigenen 5G-Router für eine entkoppelte, sichere Verbindung. Nicht fehlen darf außerdem eine Bluetooth-Konferenzspinne für eine strukturierte Kommunikation sowie ein Moderatorenkoffer. Damit visualisieren wir früh eine Timeline mit Meilensteinen. Sie gibt Orientierung und beruhigt sowohl den Kunden als auch das Team gleichermaßen.

CANCOM: Warum ist eine lückenlose Dokumentation so wichtig?

Walter: Alles wird in einem Protokoll dokumentiert – anfänglich pragmatisch in OneNote oder einer Textdatei, später strukturiert in gemeinsamen Systemen. Diese Dokumentation erfüllt mehrere Zwecke: Erstens Rechtssicherheit: Wer hat wann was entschieden und warum? Zweitens Teamkoordination mit Transparenz über Tasks, Status und Abhängigkeiten. Drittens Lessons Learned: Wir rekonstruieren den Angriff, bewerten Gegenmaßnahmen und identifizieren Optimierungspotenzial. Das stärkt die Cyberresilienz beim Kunden und verbessert unsere Playbooks und Prozesse.
Manchmal ändern wir im Verlauf auch die Strategie. Ein Beispiel: Wir schalten E-Mails kurzfristig über Microsoft 365 frei, um die Arbeitsfähigkeit herzustellen, und planen später den Rückweg On-Premise. Wichtig ist, dass solche Entscheidungen begründet, protokolliert und nachvollziehbar sind. Ein Kurswechsel ist kein Scheitern, sondern professionelles Reagieren auf neue Fakten.

CANCOM: Welche Muster siehst du und welche Empfehlungen gibst du Unternehmen?

Walter: Alle zwei bis drei Monate gibt es einen gravierenden Vorfall, bei dem ich selbst vor Ort bin. Die Tendenz ist steigend. Kleinere Fälle stemmen unsere Consultants vor Ort. Auffällig häufig betroffen ist der Mittelstand. Er ist exzellent in seinem Kerngeschäft, aber IT-Sicherheit ist nicht immer seine Stärke.
Ein Dauerproblem ist das Patch-Management. Wenn ein Hersteller eine kritische Schwachstelle veröffentlicht, reicht kein „Patch Day einmal im Monat“. Es muss sofort reagiert werden, denn Angriffe beginnen oft innerhalb weniger Stunden. Wer langsam ist, erhöht sein Risiko spürbar. Deshalb meine Empfehlungen: Backups testen, schnell patchen und Notfallpläne üben. Und im Ernstfall ruhig bleiben, priorisieren und Entscheidungen dokumentieren.
Viele Cybervorfälle sind vermeidbar, wenn Budgets für IT-Sicherheit frühzeitig freigegeben werden.

CANCOM: Vielen Dank, Walter, für die ausführlichen Einblicke in die Rapid-Response-Einsätze.