Cyberangriffe gehören heute zum Alltag
Dabei geht es nicht nur um grosse Unternehmen oder kritische Infrastrukturen, sondern zunehmend auch um Gemeinden, Verwaltungen und kleinere Organisationen. Das Bundesamt für Cybersicherheit weist in einer aktuellen Veröffentlichung darauf hin, dass viele Gemeinden noch nicht ausreichend vorbereitet sind, wenn es zu einem Sicherheitsvorfall kommt. Genau hier setzt ein Notfallkonzept an.
Ein Notfallkonzept beschreibt klar und verständlich, was im Fall eines Cyberangriffs oder eines technischen Ausfalls zu tun ist. Es legt fest, wer entscheidet, wer handelt und wie kommuniziert wird. Das Ziel ist nicht, Panik zu vermeiden, sondern handlungsfähig zu bleiben.
In der Praxis sehen wir oft, dass technische Sicherheitsmassnahmen vorhanden sind, aber die Abläufe für den Ernstfall nicht klar geregelt wurden. Wenn es dann zu einem Angriff kommt, wird wertvolle Zeit verloren. Systeme bleiben länger offline und Schäden fallen grösser aus als notwendig.
Ein Beispiel aus der Auditorenpraxis zeigt, wie wichtig klare Abläufe sind. Angenommen, ein Server wird durch Schadsoftware verschlüsselt. Ein Auditor prüft dann unter anderem folgende Fragen:
- Wurde der Vorfall schnell erkannt
- Ist klar dokumentiert, wer informiert werden muss
- Gibt es eine definierte Entscheidungskette
- Wurden Backups vorhanden und regelmässig getestet
- Gibt es Nachweise, dass das Wiederherstellen tatsächlich funktioniert
Diese Fragen entscheiden darüber, ob ein Unternehmen innerhalb von Stunden wieder arbeitsfähig ist oder ob es Tage oder sogar Wochen dauert.
Ein häufiges Problem ist, dass zwar Backups existieren, deren Wiederherstellung aber nie getestet wurde. Im Ernstfall stellt man dann fest, dass die Sicherungen unvollständig oder veraltet sind. In einer Prüfung zählt daher nicht nur das Vorhandensein eines Backups, sondern der dokumentierte Nachweis einer erfolgreichen Wiederherstellung. Das kann ein kurzer interner Bericht sein oder ein Protokoll aus einer Testübung.
Ein weiterer wichtiger Punkt ist die Kommunikation. In einem Notfall sind viele Menschen verunsichert. Mitarbeitende wissen nicht, was sie tun sollen. Kunden stellen Fragen. Medien interessiert die Lage. Ein Notfallkonzept sorgt dafür, dass klar ist, wie und durch wen kommuniziert wird. Das verhindert Missverständnisse und schützt das Vertrauen in die Organisation.
Ein gut erarbeitetes und geübtes Notfallkonzept schafft Sicherheit. Es sorgt dafür, dass Menschen wissen, was sie tun müssen, und dass Entscheidungen nicht im Stress improvisiert werden. Es stärkt die Cyberresilienz, also die Fähigkeit, nach einem Vorfall schnell wieder funktionsfähig zu sein.
Wer sich mit Informationssicherheit beschäftigt, weiss: Sicherheit entsteht nicht allein durch Technik. Sie entsteht durch Vorbereitung, klare Verantwortlichkeiten und regelmässiges Üben. Genau das ist die Grundlage, auf der starke Organisationen stehen.
