Sichere Kommunikation während eines Cyberangriffs

Das Kanalparadox zuerst lösen

Ein Cybervorfall kann genau die Systeme betreffen, über die das Team normalerweise alarmiert und koordiniert wird. Ist das zentrale Identitätssystem kompromittiert, beweist ein erfolgreicher Login möglicherweise nicht mehr die erwartete Identität. Ist E-Mail betroffen, kann eine Einladung zum neuen Kanal selbst manipuliert sein.

Deshalb braucht der Incident-Plan eine vorher vereinbarte Umschaltbedingung. Sie beschreibt nicht nur einen zweiten Messenger, sondern wie dessen Adresse, Teilnehmer und Schlüsselmaterial aus einer unabhängigen Quelle bestätigt werden. Ein Ausweichkanal ohne Vertrauensanker verschiebt das Problem nur.

• Welche Systeme gelten im jeweiligen Szenario als nicht vertrauenswürdig?
• Wer darf den Vertrauenswechsel ausrufen und wieder beenden?
• Wie werden Kontaktweg und Teilnehmer außerhalb des betroffenen Systems bestätigt?
• Welche Informationen dürfen im Ausweichkanal überhaupt verarbeitet werden?

Vier Rollen statt eines überfüllten Chats

Mindestens vier Verantwortungen müssen sichtbar sein: Incident Lead für Entscheidungen, Technical Lead für Analyse und Eindämmung, Communications Lead für konsistente Updates und Recorder für Zeitlinie und Beschlüsse. Eine Person kann in kleinen Teams mehrere Rollen tragen, die Verantwortungen bleiben trotzdem getrennt.

Der große All-Hands-Kanal ist selten der richtige Ort für jede Detaildiskussion. Ein kleiner Entscheidungsraum, fachliche Arbeitsräume und ein lesbarer Informationskanal begrenzen Rauschen sowie versehentliche Freigaben. Mitgliedschaft folgt Aufgabe und Informationsbedarf, nicht Hierarchie oder Neugier.

Das Vier-Felder-Lageupdate

Unter Druck werden lange Freitexte unterschiedlich gelesen. Ein robustes Update nutzt vier Felder: bestätigte Lage, offene Annahmen, getroffene Entscheidung und nächster Meldezeitpunkt. Jede Aussage trägt Zeitpunkt und verantwortliche Rolle.

Dieses Format verhindert zwei typische Fehler: eine Vermutung wird nicht versehentlich zur Tatsache, und Schweigen nach einem Update wird nicht als Entwarnung verstanden. Auch ein Update ohne neue Erkenntnis ist wertvoll, wenn es den nächsten Zeitpunkt bestätigt.

• FACT - nachweisbar beobachtet
• ASSESSMENT - begründete, noch unbestätigte Einordnung
• DECISION - beschlossen, mit verantwortlicher Rolle
• NEXT - nächster Checkpoint oder konkrete Eskalationsbedingung

Beweis, Entscheidung und Gespräch trennen

Ein Chat ist für Koordination optimiert, nicht automatisch für forensische Beweissicherung. Screenshots, exportierte Logs oder weitergeleitete Dateien können Kontext verlieren. Der Incident Record sollte deshalb Entscheidungen und Quellen referenzieren, während Originalartefakte in einer kontrollierten Beweisablage mit Integritätsnachweis verbleiben.

Diese Trennung reduziert auch Datenschutzrisiken. Nicht jedes technische Detail und nicht jede personenbezogene Information muss an jede beteiligte Person verteilt werden. Der Kommunikationsraum enthält den für die Aufgabe notwendigen Kontext, nicht die gesamte Beweissammlung.

Ausfall und Kompromittierung getrennt üben

Ein nicht erreichbarer Kanal ist sichtbar. Ein kompromittierter Kanal kann dagegen scheinbar normal funktionieren und falsche Sicherheit erzeugen. Tabletop-Übungen müssen beide Fälle unterscheiden: technische Nichterreichbarkeit sowie einen Kanal, dessen Identitäten oder Inhalte nicht mehr als vertrauenswürdig gelten.

NIST ordnet Incident Response inzwischen als Teil des gesamten Cybersecurity-Risikomanagements ein. CISA stellt für interoperable Kommunikation eigene SOP- und Übungsmethoden bereit. Daraus folgt für den Pilot: Umschalten, Bestätigen, Arbeiten und Rückkehr werden als Ablauf gemessen, nicht nur besprochen.

Rückkehr ist ein Sicherheitsereignis

Nach der Eindammung darf das Team nicht informell in den alten Kanal zurückkehren. Vorher werden Identitäten, Geräte, Sitzungen und Integrationen neu bewertet. Offene Einladungen, kompromittierte Konten und alte Zugriffstoken sind explizit zu behandeln.

Der Abschluss dokumentiert, welcher Kanal für welchen Zeitraum autoritativ war, welche Entscheidungen übernommen wurden und welche Nachweise separat gesichert sind. Erst dann endet der kontrollierte Vertrauenswechsel.