Eine Überwachung, die rund um die Uhr Meldungen erzeugt, ist erst nützlich, wenn sie die Umgebung kennt, in der sie läuft. Deshalb beginnt die Einführung nicht mit einer Installation, sondern mit einer Bestandsaufnahme.
Der übliche Weg führt über eine Testphase: G DATA stellt sie für zwei Monate und bis zu 25 Endgeräte bereit. Wir nutzen sie, um die Erkennung an Ihren Systemen zu justieren, bevor über den Regelbetrieb entschieden wird. Was das an Mitarbeit kostet, steht weiter unten – überschaubar, aber nicht null.
Was wir vor dem Start von Ihnen brauchen
Diese Punkte kosten kein Geld, nur Entscheidungen. Sie bestimmen, wie schnell die Überwachung im Ernstfall handeln darf.
- Eine Liste der SystemeArbeitsplätze, Server, virtuelle Maschinen und die Fachanwendungen darauf – dazu die Geräte, die betrieblich nicht angefasst werden dürfen, etwa Maschinensteuerungen. Diese Liste ist selten vollständig; das Zusammentragen gehört zur Arbeit.
- Zwei benannte AnsprechpartnerEine Person für die Technik, eine für Entscheidungen, beide mit Vertretung und einer Rufnummer, unter der sie nachts erreichbar sind. Ohne Vertretung endet jede Eskalationskette im Urlaub.
- Ein Meldeweg mit BefugnissenSchriftlich: Welche Eingriffe dürfen wir ohne Rückfrage vornehmen, etwa ein Gerät vom Netz trennen? Wen rufen wir nachts an, wer ist die zweite Stufe? Dieser Punkt wird am häufigsten aufgeschoben und entscheidet am stärksten über die Reaktionszeit.
- Zeitfenster für die AusrollungWann darf auf Arbeitsplätzen installiert werden, welche Server nur im Wartungsfenster, welche Bereiche laufen im Schichtbetrieb? Wir richten uns danach, brauchen die Fenster aber verbindlich.
- Eine Stelle für SonderfälleFür Fachanwendungen und Software, die ein Hersteller betreut, brauchen wir jemanden, der Freigaben erteilt und Auskunft über zulässiges Verhalten gibt.
Von der Bestandsaufnahme bis zum Regelbetrieb
Der Ablauf ist in jedem Haus derselbe; unterschiedlich ist nur, wie lange die Schritte dauern.
- BestandsaufnahmeEin Termin mit Geschäftsführung und IT: Welche Systeme gibt es, welche sind geschäftskritisch, was ist an Schutz vorhanden? Ergebnis ist eine abgestimmte Liste der Geräte, die überwacht werden, und der Stellen, die zunächst ausgespart bleiben.
- Befugnisse und Meldeweg festlegenWir halten fest, wer in welcher Reihenfolge informiert wird und welche Eingriffe ohne Rückfrage erlaubt sind. Diese Vereinbarung gehört in Ihren Notfallplan und wird von der Geschäftsführung freigegeben, nicht von der IT allein.
- Testphase einrichtenWir legen Ihre Umgebung in der Verwaltungskonsole an, richten Zugänge ein und wählen die Geräte aus – bis zu 25 über zwei Monate. Sinnvoll ist eine Mischung: einige Arbeitsplätze, ein Server, ein Gerät mit Fachanwendung.
- Agenten ausrollenDie Installation läuft über Ihre Softwareverteilung, sonst über die Konsole oder von Hand. Ein Neustart ist nur dort nötig, wo andere Schutzsoftware abgelöst wird. Danach prüfen wir, ob jedes Gerät tatsächlich meldet.
- Einlernen und Ausnahmen setzenDie ersten Tage bringen Rückfragen zu Vorgängen, die nur Ihre Leute einordnen können. Aus jeder Klärung entsteht eine dokumentierte Ausnahme für genau diesen Endpunkt – oder die Feststellung, dass ein Vorgang so nicht bleiben sollte.
- Zwischenstand und EntscheidungZum Ende der Testphase besprechen wir, was erkannt wurde, welche Meldungen angefallen sind, welche Ausnahmen bestehen und welche Systeme ohne Abdeckung sind. Danach entscheiden Sie über den Regelbetrieb – auch dagegen.
- Übergabe in den RegelbetriebDie Abdeckung wird auf den vereinbarten Umfang ausgeweitet; Rufnummer für den Ernstfall und Berichtsrhythmus stehen fest. Ab hier gilt die Überwachung als betrieblich übergeben.
Was auf den Geräten passiert
Auf jedem einbezogenen Gerät läuft ein Programm als Dienst mit. Es beobachtet technische Vorgänge: gestartete Programme, Anmeldungen, Netzverbindungen, Änderungen an Systembereichen. Inhalte Ihrer Dokumente oder E-Mails gehören nicht dazu; die Verhaltensdaten liegen laut G DATA auf Servern in Deutschland.
Zwei Dinge klären wir vorher: ob vorhandene Schutzsoftware abgelöst oder parallel betrieben wird, und welche Systeme zunächst außen vor bleiben. Bleibt ausgerechnet der alte Anwendungsserver ohne Agent, entsteht ein blinder Fleck genau dort, wo ein Angreifer gern sitzt. Solche Lücken benennen wir im Bericht, statt sie stillschweigend hinzunehmen.
Warum die ersten Tage lauter sind
Eine Erkennung, die Verhalten bewertet, kennt die Eigenheiten Ihres Hauses anfangs nicht. Das nächtliche Skript, das Dateien zum Steuerberater kopiert, das Fernwartungswerkzeug des Maschinenherstellers, ein Update, das Systemdateien austauscht – all das sieht zunächst aus wie der Beginn eines Angriffs.
Eine gewisse Zahl an Fehlalarmen in den ersten Wochen ist deshalb normal und kein Mangel. Jeder geklärte Fall führt zu einer Ausnahme oder zu einer Änderung im Betrieb. Ausnahmen gelten je Endpunkt, werden begründet und später erneut geprüft; ohne diese Pflege wird aus einer Ausnahme eine offene Tür. Danach sinkt die Zahl der Rückfragen deutlich – ganz verschwinden wird sie nicht.
Wie die Abstimmung im Alltag läuft
Im Regelbetrieb erhalten Sie einen Bericht im vereinbarten Rhythmus: Was wurde erkannt, was eingedämmt, welche Ausnahmen kamen hinzu, welche Systeme fehlen noch. Dazu ein Gespräch über die Punkte, die eine Entscheidung brauchen – zugleich die Grundlage, mit der eine Geschäftsführung ihre Aufsichtspflicht ausfüllt.
Im Ernstfall rufen Sie bei uns an, unter 0621 877 55 990, rund um die Uhr und an 365 Tagen im Jahr. Wir nehmen an, ordnen ein und ziehen das Analystenteam von G DATA hinzu. Umgekehrt melden wir uns auf dem Weg, den Sie vor dem Start festgelegt haben.
Wenn Sie wieder aussteigen
Ein Ausstieg gehört in die Einführung, weil er sich vorher leichter regeln lässt als nachher.
- Agenten werden entferntZum Vertragsende deinstallieren wir die Programme über die Konsole oder Ihre Softwareverteilung; Restbestände prüfen wir anhand der Geräteliste nach.
- Daten und BerichteVorher erhalten Sie Vorfallsdokumentation und Berichte. Die Verhaltensdaten werden nach Ablauf der vereinbarten Aufbewahrungsfrist gelöscht; die Frist steht im Vertrag.
- Übergabe an einen NachfolgerAusnahmen, Abdeckung und vereinbarte Befugnisse geben wir in lesbarer Form heraus, damit ein anderer Dienstleister daran anknüpfen kann.
- Zugänge werden geschlossenKonten in der Verwaltungskonsole werden deaktiviert, Fernzugänge entzogen, der Meldeweg außer Kraft gesetzt. Das Datum halten wir schriftlich fest.
Häufige Fragen
- Wie lange dauert die Einführung insgesamt?
- Die Testphase ist auf zwei Monate angelegt und bestimmt den Takt. Bestandsaufnahme und Befugnisse liegen davor und hängen davon ab, wie schnell Termine zustande kommen. Die Ausrollung richtet sich nach der Zahl der Geräte und danach, ob eine Softwareverteilung vorhanden ist.
- Können wir mit einem Teil unserer Geräte anfangen?
- Ja, dafür ist die Testphase mit bis zu 25 Endgeräten gedacht. Wichtig ist die Auswahl: Eine Mischung aus Arbeitsplätzen, einem Server und einem Gerät mit Fachanwendung zeigt mehr als 25 gleichartige Bürorechner. Die verbleibenden blinden Flecken benennen wir.
- Müssen wir unseren bisherigen Virenschutz abschalten?
- Das klären wir vor der Ausrollung, denn zwei Programme mit tiefem Systemzugriff vertragen sich nicht immer. Je nach vorhandenem Produkt lösen wir es ab oder richten gegenseitige Ausnahmen ein. Beides ist ein eigener Arbeitsschritt mit Zeitfenster.
- Merken unsere Mitarbeitenden etwas von der Überwachung?
- Im Normalbetrieb nicht. Beobachtet werden technische Vorgänge auf dem Gerät, nicht Bildschirminhalte oder Dokumente. Spürbar wird es erst, wenn ein Gerät bei einem Verdacht vom Netz getrennt wird – auch deshalb sollte vorher feststehen, wer das entscheiden darf.
- Was passiert, wenn nachts ein Alarm kommt und niemand erreichbar ist?
- Dann gilt, was vorher vereinbart wurde. Deshalb legen wir vor dem Start fest, welche Eingriffe ohne Rückfrage erlaubt sind und nach welcher Wartezeit die nächste Stufe greift. Ohne diese Regelung bleibt im schlechtesten Fall ein Anruf, den niemand annimmt.
- Ist die Testphase eine Verpflichtung?
- Nein. Sie endet mit einem Zwischenstand und einer Entscheidung, die auch gegen den Regelbetrieb ausfallen kann. Dann entfernen wir die Agenten wieder und geben Ihnen die Ergebnisse mit; Bestandsaufnahme und Liste der blinden Flecken behalten Sie.
Quellen und Nachweise
- G DATA Managed Extended Detection and Response · G DATA CyberDefense AG
- Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung · Bundesamt für Sicherheit in der Informationstechnikamtlich
- BSIG § 30 – Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen · Bundesamt für Justizamtlich