Sicherheitsvorfall

Ein Sicherheitsvorfall (englisch: Security Incident) ist ein Ereignis, das die Vertraulichkeit, Integrität oder Verfügbarkeit von IT-Systemen, Netzwerken oder Daten beeinträchtigt oder zu beeinträchtigen droht. Typische Beispiele sind das Eindringen eines Angreifers in einen Server, die Verschlüsselung von Daten durch Ransomware, der Diebstahl von Zugangsdaten oder ein DDoS-Angriff, der einen Webhosting-Dienst lahmlegt. Seit dem Inkrafttreten der NIS-2-Richtlinie gelten für Betreiber wesentlicher und wichtiger Einrichtungen in der EU verschärfte Meldepflichten, die eine Erstmeldung innerhalb von 24 Stunden vorschreiben.

Wie wird ein Sicherheitsvorfall erkannt?

Die frühzeitige Erkennung eines Sicherheitsvorfalls ist entscheidend, um den Schaden zu begrenzen. Professionelle Hosting-Anbieter und Serverbetreiber setzen dafür verschiedene Methoden ein:

• Intrusion Detection Systeme (IDS): Diese Systeme überwachen den Netzwerkverkehr und die Systemaktivität in Echtzeit. Sie erkennen verdächtige Muster wie ungewöhnliche Zugriffsversuche, auffällige Datenströme oder bekannte Angriffssignaturen.
• Log-Analyse: Die systematische Auswertung von Server-Protokollen kann auf Anomalien hinweisen, etwa fehlgeschlagene Anmeldeversuche, unerwartete Konfigurationsänderungen oder Zugriffe aus ungewöhnlichen Regionen.
• Security Information and Event Management (SIEM): SIEM-Systeme aggregieren Sicherheitsdaten aus verschiedenen Quellen und korrelieren sie, um komplexe Angriffsszenarien zu erkennen, die in einzelnen Protokollen unauffällig wären.
• Endpoint Detection and Response (EDR): EDR-Lösungen überwachen einzelne Server und Endgeräte auf verdächtiges Verhalten und ermöglichen eine schnelle Reaktion auf Bedrohungen.
• Monitoring und Alerting: Automatische Benachrichtigungen bei ungewöhnlichen Systemzuständen, etwa einem plötzlichen Anstieg der CPU-Auslastung oder unerklärbarem ausgehendem Netzwerkverkehr, können auf einen laufenden Angriff hindeuten.

Wie reagiert man auf einen Sicherheitsvorfall?

Die Reaktion auf einen Sicherheitsvorfall folgt einem strukturierten Prozess, der als Incident Response bezeichnet wird. Ein bewährtes Vorgehen umfasst diese Phasen:

• Identifikation: Der Vorfall wird bestätigt und sein Ausmaß eingeschätzt. Es wird geprüft, welche Systeme betroffen sind, ob Daten abgeflossen sein könnten und ob der Angriff noch andauert.
• Eindämmung: Die betroffenen Systeme werden isoliert, um eine weitere Ausbreitung zu verhindern. Bei einem kompromittierten Server kann dies bedeuten, ihn vom Netzwerk zu trennen oder bestimmte Dienste zu deaktivieren.
• Beseitigung: Die Ursache des Vorfalls wird identifiziert und beseitigt. Dazu gehören das Entfernen von Schadsoftware, das Schließen von Sicherheitslücken und das Zurücksetzen kompromittierter Zugangsdaten.
• Wiederherstellung: Die betroffenen Systeme werden aus sauberen Backups wiederhergestellt und schrittweise wieder in Betrieb genommen. Dabei wird überprüft, ob die Systeme tatsächlich bereinigt sind.
• Nachbereitung: Der Vorfall wird dokumentiert und analysiert, um Lehren für die Zukunft zu ziehen und die Sicherheitsmaßnahmen entsprechend anzupassen.

Welche Meldepflichten gelten nach NIS-2?

Die NIS-2-Richtlinie, in Deutschland umgesetzt durch das NIS-2-Umsetzungsgesetz (NIS2UmsuCG), führt ein dreistufiges Meldesystem für erhebliche Sicherheitsvorfälle ein:

• Frühwarnung innerhalb von 24 Stunden: Sobald ein erheblicher Sicherheitsvorfall erkannt wird, muss die betroffene Einrichtung innerhalb von 24 Stunden eine Frühwarnung an das BSI (Bundesamt für Sicherheit in der Informationstechnik) übermitteln. Die 24-Stunden-Frist beginnt mit der Kenntnis des Vorfalls, nicht erst nach Abschluss einer Analyse.
• Folgemeldung innerhalb von 72 Stunden: Innerhalb von 72 Stunden nach der Frühwarnung ist eine detailliertere Meldung einzureichen, die eine erste Bewertung des Vorfalls enthält.
• Abschlussbericht innerhalb eines Monats: Spätestens einen Monat nach der Frühwarnung muss ein umfassender Abschlussbericht vorliegen, der den Vorfall, seine Auswirkungen und die ergriffenen Maßnahmen dokumentiert.

Ein Vorfall gilt als erheblich, wenn er erhebliche Betriebsstörungen verursacht oder verursachen kann, oder wenn er zu finanziellen Verlusten oder Schäden für Dritte führt oder führen kann. Es genügt bereits ein erhebliches Schadenspotenzial; der Schaden muss noch nicht eingetreten sein.

Was sind CERT und CSIRT?

Ein Computer Emergency Response Team (CERT) bzw. ein Computer Security Incident Response Team (CSIRT) ist eine spezialisierte Einheit, die bei Sicherheitsvorfällen koordiniert und unterstützt. Jeder EU-Mitgliedstaat muss im Rahmen der NIS-2-Richtlinie ein nationales CSIRT betreiben, das Meldungen entgegennimmt und bei der Bewältigung von Vorfällen hilft.

In Deutschland nimmt das BSI über sein Melde- und Informationsportal (MIP) die Meldungen entgegen. In Österreich übernimmt das CERT.at diese Funktion. CERTs und CSIRTs stellen auch Warnungen und Handlungsempfehlungen bereit, wenn neue Bedrohungen bekannt werden, und koordinieren die Zusammenarbeit zwischen betroffenen Organisationen.

Was bedeutet ein Sicherheitsvorfall für Hosting-Kunden?

Wenn ein Sicherheitsvorfall den Server Ihres Hosting-Anbieters betrifft, kann Ihre Website, Ihre Domain oder Ihr E-Mail-Dienst vorübergehend nicht erreichbar sein. Im schlimmsten Fall sind Kundendaten betroffen. Seriöse Hosting-Anbieter informieren Sie in solchen Fällen zeitnah und transparent über den Vorfall und die ergriffenen Maßnahmen.

Betreiben Sie einen eigenen VPS oder dedizierten Server, tragen Sie die Verantwortung für die Erkennung und Behandlung von Sicherheitsvorfällen selbst. Ein aktuelles Betriebssystem, regelmäßige Backups, ein gültiges SSL-Zertifikat und eine restriktive Firewall-Konfiguration bilden die Grundlage. Darüber hinaus sollten Sie einen Incident-Response-Plan vorbereiten, damit Sie im Ernstfall schnell und strukturiert handeln können.