„Ist alles erledigt?" – „Ja, läuft wieder." Das ist der übliche Abschluss eines Vorfalls, und er beantwortet die Frage nicht. Als Geschäftsführer können Sie die Technik nicht prüfen, tragen aber die Verantwortung dafür, dass sie geprüft wurde. Für Unternehmen im Anwendungsbereich von NIS2 nimmt § 38 BSIG die Geschäftsleitung dabei ausdrücklich in die Pflicht.
Die gute Nachricht: Sie brauchen keine IT-Kenntnisse, um zu erkennen, ob eine Aufarbeitung trägt. Fünf Fragen genügen – und es sind die Antworten, nicht die Fachbegriffe, an denen man es sieht.
Frage 1: Welchen Zeitraum haben Sie geprüft?
Eine gute Antwort nennt zwei Daten. „Vom 20. Oktober bis zum Einspielen des Updates am 21. Oktober um 17:40 Uhr."
Eine schlechte Antwort nennt keines. „Wir haben alles durchgesehen."
Warum das die wichtigste Frage ist: Ohne Zeitraum gibt es keinen Prüfumfang, und ohne Prüfumfang ist jede Aussage über das Ergebnis wertlos. Der Zeitraum bestimmt außerdem, welche Sicherung noch brauchbar ist – und damit, ob ein Neuaufbau auf sauberer Grundlage steht.
Frage 2: Welche Quellen haben Sie dafür angesehen?
Gut: „Zugriffsprotokolle des Webservers, PHP-Fehlerprotokoll, Dateistände im Abgleich mit der Sicherung vom 19. Oktober, Benutzerkonten in CMS und Datenbank, zeitgesteuerte Aufgaben."
Schlecht: „Wir haben nichts Auffälliges gefunden."
Eine Liste von Quellen lässt sich nachvollziehen, auch ohne sie selbst lesen zu können. Und sie zeigt Lücken: Wenn Protokolle fehlen, steht das dann auch dort – und das ist ein ehrliches Ergebnis, kein schlechtes.
Frage 3: Wie ist der Angreifer hereingekommen?
Gut: „Über die PHP-Lücke, belegbar an diesen Einträgen." Oder, ebenso gut: „Lässt sich nicht abschließend belegen, weil die Protokolle nur sieben Tage zurückreichen. Wahrscheinlich ist X, dafür sprechen folgende Indizien."
Schlecht: „Irgendeine Sicherheitslücke."
Der Eintrittsweg entscheidet darüber, ob die Lücke geschlossen ist. Wer ihn nicht kennt, kann nicht wissen, ob derselbe Weg morgen wieder offensteht. Ein Dienstleister, der offen sagt, dass er es nicht belegen kann, ist dabei vertrauenswürdiger als einer, der etwas behauptet.
Frage 4: Was haben Sie an Zugängen erneuert?
Gut: Eine Aufzählung. „Datenbankbenutzer, API-Schlüssel des Zahlungsdienstleisters, SMTP-Zugang für den Mailversand, vier Administratorkonten im CMS, FTP-Zugang."
Schlecht: „Die Passwörter wurden geändert."
Wer auf dem Webserver Code ausführen konnte, hatte Zugriff auf alles, was dort lesbar war – meist vier bis sechs Zugänge, nicht einer. Welche das typischerweise sind, steht in Vom Webserver ins Firmennetz. Wenn die Antwort kürzer ist als diese Liste, lohnt die Nachfrage.
Frage 5: Was bleibt offen?
Das ist die aufschlussreichste Frage des ganzen Gesprächs.
Gut: „Zwei Dinge. Erstens reichen die Protokolle nur bis zum 15. Oktober zurück, davor können wir nichts sagen. Zweitens haben wir das Testsystem unter der Unteradresse nicht geprüft, das gehört noch gemacht."
Schlecht: „Nichts, das ist abgeschlossen."
Eine Aufarbeitung ohne offene Punkte gibt es praktisch nie. Wer keine nennt, hat entweder nicht gründlich geprüft oder sagt nicht alles. Beides sollten Sie wissen.
Was Sie schriftlich bekommen sollten
Eine Seite genügt, und sie sollte diese fünf Antworten enthalten. Nicht als Gefälligkeit, sondern weil Sie das Dokument brauchen:
- gegenüber Ihrer Versicherung, die nach dem Hergang fragt
- gegenüber der Aufsichtsbehörde, falls personenbezogene Daten betroffen waren
- gegenüber Kunden, die wissen wollen, ob ihre Daten sicher sind
- gegenüber sich selbst in sechs Monaten, wenn etwas Ähnliches passiert
Ein Dienstleister, der das nicht liefern will, liefert auch sonst nicht gern Nachweise.
Was Sie selbst in zehn Minuten prüfen können
Vier Dinge, für die Sie weder Zugang noch Fachwissen brauchen – und die Ihnen sagen, ob die Antworten zur Wirklichkeit passen.
Die Seite im privaten Fenster aufrufen. Abgemeldet, am besten auch einmal vom Handy. Viele Manipulationen zeigen sich nur Besuchern, nicht angemeldeten Redakteuren. Wenn dort noch etwas Fremdes steht, war die Bereinigung nicht vollständig.
In der Search Console unter „Sicherheitsprobleme" nachsehen. Steht dort noch ein Eintrag, ist die Sache für Google nicht erledigt – unabhängig davon, was Ihnen gesagt wurde. Was dann zu tun ist, steht in Google warnt vor Ihrer Website.
Eine Testnachricht an eine externe Adresse schicken und prüfen, ob sie ankommt und nicht im Spam-Ordner landet. Wurde Ihre Domain für Versand missbraucht, merken Sie es hier zuerst.
Nach der vollständigen PHP-Version fragen. Nicht „ist gepatcht", sondern die Nummer mit allen drei Stellen. Diese eine Zahl beantwortet mehr als jede Zusicherung, und jeder, der die Website betreut, kann sie in einer Minute nennen.
Keine dieser Prüfungen ersetzt eine fachliche Aufarbeitung. Aber wenn eine davon auffällig ist, wissen Sie, dass die Antworten aus dem Gespräch nicht stimmen können.
Wann eine Zweitmeinung sinnvoll ist
Nicht bei jedem Vorfall. Aber bei diesen vier Anzeichen:
Die Antworten bleiben allgemein. Wenn auf alle fünf Fragen Sätze ohne Zahlen und Daten kommen, wurde vermutlich nicht so geprüft, wie es nötig wäre.
Es gibt keinen schriftlichen Bericht. Auch nach Nachfrage nicht.
Derselbe Dienstleister soll bewerten, ob er selbst versagt hat. Das ist keine Unterstellung, sondern eine Rollenfrage – niemand prüft sich gern selbst. Wenn der Betreuer gleichzeitig derjenige ist, der nicht rechtzeitig gepatcht hat, ist eine unabhängige Sicht angebracht.
Es geht um viel. Kundendaten, Zahlungsvorgänge, eine Meldung an die Aufsicht. Dann ist eine zweite Einschätzung günstiger als eine falsche Entscheidung.
Und ausdrücklich nicht: Eine Zweitmeinung ist kein Misstrauensvotum. Die meisten Dienstleister leisten gute Arbeit, und eine saubere Aufarbeitung bestätigt das. Wir sagen Ihnen auch, wenn alles in Ordnung war – das ist ein Ergebnis, kein Verkaufsmisserfolg.
Checkliste: erste Schritte
- Die fünf Fragen schriftlich stellen, nicht am Telefon
- Auf Daten, Zahlen und Listen achten, nicht auf Fachbegriffe
- Fehlende offene Punkte als Warnzeichen werten
- Schriftlichen Bericht mit Prüfumfang verlangen
- Antworten mit Datum ablegen
- Bei allgemeinen Antworten auf konkreten Belegen bestehen
- Bei Rollenkonflikt oder hohem Einsatz eine unabhängige Sicht holen
- Das Ergebnis der Geschäftsführung vorlegen, nicht nur der IT
Wie DAVINCI unterstützt
Wir sehen uns die Aufarbeitung eines Vorfalls unabhängig an und sagen Ihnen in einer Sprache, die ohne Fachbegriffe auskommt, was belegt ist und was offen bleibt – auch dann, wenn das Ergebnis lautet, dass alles richtig gelaufen ist. Die vollständige Aufarbeitung übernimmt bei Bedarf unser Incident Response. Für den ersten Blick ohne Zugang gibt es den Quick-Check. Kontakt über die Kontaktseite.
Häufige Fragen
Ist es unhöflich, dem eigenen Dienstleister solche Fragen zu stellen?
Nein. Ein guter Dienstleister hat die Antworten ohnehin und gibt sie gern – sie belegen seine Arbeit. Unangenehm wird es nur dort, wo nicht geprüft wurde, und genau das wollen Sie wissen.
Was, wenn die Antwort lautet „wir haben keine Protokolle"?
Dann ist das die Antwort, und sie ist ehrlich. Für die Vergangenheit lässt sich dann nichts sagen – das gehört so in den Bericht. Daraus folgt eine Aufgabe für die Zukunft: zentrale Protokollierung außerhalb des überwachten Systems, wie sie das BSI im Grundschutz beschreibt.
Wie schnell sollten wir eine Antwort bekommen?
Auf die fünf Fragen innerhalb von zwei Arbeitstagen. Wer in dieser Zeit nicht antwortet, hat entweder nicht geprüft oder keine Kapazität – beides sollten Sie wissen, bevor der nächste Vorfall kommt.
Was kostet eine Zweitmeinung?
Für einen eingegrenzten Website-Vorfall ist das überschaubar, weil die Arbeit auf dem aufsetzt, was bereits vorliegt. Teuer wird es erst, wenn gar nichts dokumentiert ist und neu begonnen werden muss.
Können wir das selbst prüfen?
Die fünf Fragen ja, und das ist schon der größte Teil. Die technische Nachprüfung der Antworten nicht – dafür braucht es Zugang und Erfahrung mit genau dieser Art von Fällen.
Verwandte Themen: Wer hier weiterdenkt, liest bei Hoster, Tabletop-Übung und Incident Response weiter.
