Kompromittiertes kritisches Konto
Zugang von Administration, Geschäftsleitung, Finanzen, E-Mail, Cloud, VPN, Fachanwendung oder privilegiertes Dienstleisterkonto.
Modul · Vorfallsteuerung
Einen Vorfall mit zeitgestempeltem Entscheidungsprotokoll führen
Das Modul bündelt Lage, Rollen, Maßnahmen, Fristen und die während des Vorfalls getroffenen Entscheidungen. Technische Elemente und relevante Kommunikation lassen sich der Zeitleiste zuordnen und nach der Krise exportieren.
Zeitgestempeltes Protokoll · Beweise gesichert · 72-Stunden-Meldung strukturiert.
01 · WARNSIGNALE
Wann die Lage als Krise behandelt werden muss
Eine Cyberkrise beginnt nicht immer mit sichtbarer Ransomware. Sie kann mit einem schwachen Signal, einer fachlichen Unstimmigkeit oder einem Alarm eines Dienstleisters beginnen.
Betrug oder verdächtige Überweisung
Gefälschte Bankverbindung, geänderte Kontodaten, vorgetäuschter Lieferant, dringende Anweisung oder Freigabe unter Druck.
Datenleck oder Datenexposition
Kundendokumente, Personaldaten, Gesundheitsdaten, Verträge, personenbezogene Daten, Geschäftsgeheimnisse oder unkontrolliert abgelegte Dateien.
Ungewöhnliche Aktivität in der IT
EDR-Alarme, ungewöhnliche Anmeldungen, unbekannte Skripte, neu angelegte Konten, Mailregeln, auffälliges Netzwerkvolumen.
Betriebsausfall
Kritisches Werkzeug blockiert, Produktion gestoppt, Fakturierung nicht verfügbar, Kundenportal betroffen oder wesentlicher Dienstleister ausgefallen.
Druck von außen
Lösegeldforderung, Drohung mit Veröffentlichung, Medienanfrage, besorgter Kunde, Versicherer, Behörde oder fordernder Auftraggeber.
02 · DIE ERSTEN 72 STUNDEN
Eine operative Zeitleiste, verständlich für die Geschäftsleitung
Die erste Eingrenzung schafft ein gemeinsames Bild: bewahren, was das Verstehen ermöglicht, den Umfang einordnen, eindämmen ohne sich blind zu machen, über die Kontinuität entscheiden, dann stabilisieren. Ein Richtwert, anzupassen an die Art des Vorfalls und die anwendbaren Pflichten.
0 bis 2 Std.Bewahren & einordnenBeweise sichern, Fakten und Uhrzeiten notieren, den betroffenen Umfang bestimmen, unumkehrbare Handlungen vermeiden, die wichtigsten Entscheider alarmieren.
2 bis 12 Std.Eindämmen & absichernBetroffene Systeme isolieren, sensible Zugänge absichern, privilegierte Konten prüfen, geschäftliche Auswirkungen bestätigen, den Krisenstab organisieren.
12 bis 24 Std.Abwägen & steuernMaßnahmen priorisieren, über Kontinuitätsmaßnahmen entscheiden, die Kommunikation lenken, Entscheidungen dokumentieren, die Behebung vorbereiten.
24 bis 72 Std.StabilisierenDie Behebung festigen, Backups prüfen, Stabilisierungskennzahlen verfolgen, die Nachbetrachtung vorbereiten, die Verstärkung planen.
03 · GRUNDSATZ
Zu Beginn eines Vorfalls die Fähigkeit bewahren, morgen zu verstehen.
Die Priorität ist nicht, sofort alles zu verstehen oder alles zu löschen. Sie besteht darin, zu stabilisieren, zu bewahren, zu entscheiden und zu dokumentieren, ohne Beweise zerstört oder die Kontrolle über die Entscheidungen verloren zu haben.
Eine Darstellung, die Geschäftsleitung, IT, Recht, Fachbereiche und betroffene Partner verstehen. Befund, Hypothese und Entscheidung werden stets unterschieden.
04 · KRISENSTAB
Technik, Recht, Fachbereiche und Reputation verbinden
Wir strukturieren die Koordination, damit kein Beteiligter mit lückenhaften Informationen eine isolierte Entscheidung trifft.
GeschäftsleitungAbwägung, Kontinuität, Budgets, strategische Exposition.
IT / SicherheitTechnischer Umfang, Zugänge, Protokolle, Eindämmung.
DSB / RechtPersonenbezogene Daten, Meldung, Beweise, Verträge.
FachbereicheKritische Prozesse, Kunden, Produktion, Prioritäten vor Ort.
KommunikationBotschaften nach innen, an Kunden, Partner, öffentliche Haltung.
Versicherung / DienstleisterMeldungen, Einsatzumfang, Nachvollziehbarkeit.
05 · BEWEISE
Bewahren, was das Erklären, Entscheiden und Begründen ermöglicht
Beweise sind nicht nur technisch. Dazu gehören die getroffenen Entscheidungen, eingegangene Anfragen, die Kommunikation, geschäftliche Auswirkungen und von Dritten übermittelte Elemente.
Technische Spuren
Protokolle, Alarme, EDR-Aufzeichnungen, Anmeldungen, Konten, Regeln, verdächtige Dateien.
Geschäftliche Spuren
Rechnungen, Bankverbindungen, Austausch mit Lieferanten, Tickets, Vorgänge, Ausfälle.
Entscheidungsspuren
Uhrzeiten, Freigaben, Abwägungen, Sicherungsmaßnahmen, versandte Mitteilungen.
Externe Spuren
E-Mails von Kunden, Nachrichten von Dienstleistern, Versicherer, Bank, Plattform, Behörde oder Strafanzeige.
06 · ABWÄGUNGEN
Die Fragen, die die Entscheidung strukturieren
Wirksame Krisenführung verwandelt Ungewissheit in dokumentierte Entscheidungen, auch wenn die technische Analyse noch nicht abgeschlossen ist. Jede Abwägung fließt ins Entscheidungsprotokoll ein.
Isolieren?
Welche Systeme abschalten, aufrechterhalten, überwachen oder umschalten, ohne den Betriebsausfall zu verschärfen?
Melden?
Welche Daten sind betroffen, mit welcher Gewissheit, und wer muss die Pflicht einordnen?
Kommunizieren?
Wer informiert Beschäftigte, Kunden, Partner, Versicherer oder Auftraggeber, und mit welchem Detailgrad?
Neu aufbauen?
Welcher Weg zur Wiederherstellung, welche Sicherheitsvoraussetzungen, welche geschäftliche Priorität?
Strafanzeige erstatten?
Welche sachlichen und chronologischen Elemente lassen sich zur Unterstützung des Vorgehens bewahren?
BCP/DRP aktivieren?
Welche Prozesse haben Vorrang, welcher Notbetrieb, welche tolerierbare Wiederanlaufschwelle?
07 · FRISTEN & MELDUNG
Eingehaltene Fristen, eine strukturierte 72-Stunden-Meldung
Die Playbooks enthalten Reaktions-SLAs und einen regulatorischen Countdown. Das Modul erinnert an die Fristen; es ersetzt nicht die rechtliche Einordnung.
Reaktions-SLA
Jedes Playbook legt zeitgestempelte Meilensteine fest: Annahme, Eingrenzung, Krisenstab eingerichtet, Sicherungsmaßnahmen. Sie wissen, wo Sie stehen.
72-Stunden-Meldung
Verletzung des Schutzes personenbezogener Daten: Der CNIL-Countdown wird verfolgt, die zu sammelnden Elemente sind vorstrukturiert. Die Entscheidung über die Meldung wird weiterhin mit Ihren zuständigen Ansprechpartnern eingeordnet.
Zeitgestempeltes Protokoll
Fakten, Maßnahmen und Entscheidungen werden laufend datiert und festgehalten: ein zeitgestempelter Faden, exportierbar für Versicherer, Aufsichtsbehörde oder Nachbetrachtung.
08 · ERGEBNISSE
Ein Krisenabschluss, mit dem das Gremium arbeiten kann
Es geht nicht nur ums „Reparieren“. Man muss erklären, was geschehen ist, was entschieden wurde, was ungewiss bleibt und was verstärkt werden muss.
Zusammenfassung für die Geschäftsleitung
Fakten, Auswirkung, Entscheidungen, Restrisiken, nächste Schritte.
Vorfallchronologie
Erstes Signal, Maßnahmen, Beweise, Kommunikation, Entscheidungen.
Nachweisregister
Gesammelte Elemente, Quelle, Datum, Nutzen, Grenzen.
Behebungsplan
Kurzfristige Prioritäten, strukturelle Maßnahmen, Verantwortliche, Fristen.
Unterlage für Gremium / Versicherung
Klare Darstellung für Abwägung, Nachverfolgung oder geregelte Weitergabe.
Nachbetrachtung
Wahrscheinliche Ursachen, Abweichungen, Stärken, Resilienzfahrplan.
09 · WAS WIR NICHT VERSPRECHEN
Seriöse Krisenführung kann Nein sagen
Glaubwürdigkeit beruht auf vorsichtiger Einordnung, nachvollziehbaren Fakten und einer klaren Unterscheidung zwischen Befund, Hypothese und Entscheidung. Kein Ergebnis ist garantiert.
Keine voreilige Zuordnung
Einen Täter oder eine Gruppe zu benennen erfordert belastbare Belege. Eine Hypothese darf nicht zur Gewissheit werden.
Keine Wiederherstellungsgarantie
Der Wiederanlauf hängt von den Backups, dem betroffenen Umfang, den noch verlässlichen Zugängen und dem tatsächlichen Zustand der IT ab.
Keine automatisierte rechtliche Entscheidung
Meldung, Strafanzeige, externe Kommunikation oder Einschaltung der Versicherung müssen mit den zuständigen Ansprechpartnern eingeordnet werden.
Eine akute Cyberkrise?
Verdacht auf Eindringen, Ransomware, kompromittiertes kritisches Konto, Datenleck: Stabilisieren Sie, ohne Beweise zu zerstören, und schildern Sie die Fakten vor jeder unumkehrbaren Handlung. Wir richten einen Krisenstab ein und halten den Faden der Entscheidungen fest.
Erleben Sie die Vorfallsteuerung in Ihrem Kontext.
Eine 30-minütige Live-Demo: zeitgestempelte Playbooks, Krisenstab, Entscheidungsprotokoll und 72-Stunden-Meldung, angewandt auf Ihre Organisation. Unverbindlich.