Am Dienstag um 14:20 ruft ein Kunde an. Er habe eine Mail von deiner Buchhaltung bekommen, mit einer neuen Bankverbindung und der Bitte, die nächste Zahlung dorthin zu überweisen. Die Buchhaltung hat diese Mail nicht geschrieben.
Ab diesem Moment läuft Incident Response. Im KMU beginnt sie meistens mit einer Frage, die vorher niemand beantwortet hat: wer darf jetzt was entscheiden. Incident Response im KMU scheitert selten an der Technik. Sie scheitert an der ersten Stunde, die mit Rückfragen vergeht, während das übernommene Konto weiter Mails verschickt.
Incident Response im KMU ist zum grössten Teil eine Frage der Zuständigkeit. Die Technik in Microsoft 365 greift bereits automatisch ein, sofern sie dafür konfiguriert wurde. Was fehlt, sind drei vorab getroffene Entscheidungen: wer sperren darf, wer nach aussen spricht, wer Geld freigibt. Ohne diese drei wartet jedes Werkzeug auf eine Genehmigung, für die sich niemand zuständig fühlt.
Die erste Stunde geht für Rückfragen drauf
Der technische Teil ist in Microsoft 365 schnell erledigt. Konto sperren, aktive Sitzungen beenden, die hinterlassene Weiterleitungsregel löschen. Das sind Minuten, und der IT-Verantwortliche hat die Rechte dafür.
Zeit kostet die Strecke davor. Er sieht den Alarm, hat aber kein Mandat, dem Verkaufsleiter mitten in einer Kundenpräsentation das Konto zu sperren. Also schreibt er in einen Teams-Chat. Der Geschäftsführer sitzt selbst in einem Termin. Die Buchhaltung weiss nicht, ob sie die offene Zahlung stoppen darf oder ob das den Kunden verärgert. Irgendwann ist viel geschrieben und nichts entschieden.
Das Zögern hat selten mit Faulheit zu tun. Sperrt er das Konto und irrt sich, hat er den Verkaufsleiter aus einem Kundentermin geworfen und muss das erklären. Ohne vorher erteilte Befugnis trägt er diese Erklärung allein.
Ein besseres Produkt ändert daran nichts. Was fehlt, ist eine Befugnis, die jemand vorher hätte erteilen müssen.
Was heisst Incident Response in einem KMU konkret?
Incident Response heisst: einen Vorfall erkennen, eingrenzen, bereinigen und so dokumentieren, dass man ihn später erklären kann. In einem KMU ohne eigenes Security-Team besteht sie aus drei Teilen. Die Automatisierung greift sofort ein. Benannte Personen entscheiden, was die Automatisierung nicht entscheiden darf. Und jemand bewertet, was passiert ist.
Der erste Teil ist meist schon bezahlt. Microsoft beschreibt in der Dokumentation zu automatisierter Untersuchung und Reaktion in Defender XDR, wie das abläuft: Defender untersucht einen Alarm selbständig, bewertet die Beweise und leitet daraus Korrekturmassnahmen ab, etwa eine Datei in Quarantäne stellen oder ein Gerät isolieren. Ob diese Massnahmen von selbst ausgeführt werden oder auf eine Genehmigung warten, hängt davon ab, wie die automatisierte Untersuchung im Tenant konfiguriert ist. Ausstehende und abgeschlossene Aktionen stehen im Info-Center des Defender-Portals. Und nicht jeder Alarm löst eine automatisierte Untersuchung aus.
Im Klartext: ein Teil der Reaktion läuft rund um die Uhr. Der andere Teil wartet auf dich.
Der dritte Teil wird am seltensten eingekauft und kostet die meiste Aufmerksamkeit. In unserer Erfahrung beschreibt der grössere Teil der Alarme in einem KMU-Tenant keinen Vorfall. Eine Anmeldung aus dem Ausland ist eine Geschäftsreise, ein blockierter Anhang eine Bewerbung mit einer Makro-Vorlage. Die Arbeit besteht darin, aus dieser Menge die wenigen Meldungen zu trennen, die etwas bedeuten. Dafür muss man wissen, wie der Normalzustand in diesem Betrieb aussieht. Ein Werkzeug kennt Muster, aber nicht die Firma.
Die häufigste Form eines gescheiterten Incident Response ist kein Angriff, der die Technik überwindet. Es ist eine Korrekturmassnahme, die im Info-Center auf eine Genehmigung wartet, für die sich niemand zuständig fühlt.
Drei Entscheidungen, die vor den Vorfall gehören
Diese drei Fragen kommen in fast jedem Vorfall vor, den wir sehen, und solange eine davon offen ist, hält sie den Rest auf. Geklärt sind sie in einem Nachmittag. Ein Notfallhandbuch beschäftigt dich Monate und liegt danach meistens im Ordner.
- Sperren ohne Rückfrage. Welche Person darf ein Konto sofort sperren? Und gilt das auch für die Konten der Geschäftsleitung? Die zweite Frage ist die unangenehme, und sie entscheidet, ob die erste etwas wert ist.
- Nach aussen sprechen. Wenn ein Kunde eine gefälschte Mail aus deinem Haus bekommt, erfährt er früher oder später, was passiert ist. Wer entscheidet, was er erfährt, und wer schreibt es?
- Geld freigeben. Wer darf externe Hilfe beauftragen, und bis zu welchem Betrag ohne Rückfrage? Wenn eine Cyberversicherung besteht, regelt die Police in der Regel, wen du wann informieren musst und welche Dienstleister gedeckt sind.
Drei Namen und drei Befugnisse auf einer Seite. Das ist der Teil, den kein Anbieter für dich übernehmen kann.
Zu jedem Namen gehört eine Stellvertretung. Die benannte Person ist irgendwann in den Ferien, im Ausland oder selbst betroffen, weil ihr Konto auffällig geworden ist. Ohne zweiten Namen verschiebt sich die Lücke nur.
Wie das in einem Betrieb mit 90 Mitarbeitenden aussieht
Nimm ein Handelsunternehmen im Kanton Thurgau, 90 Mitarbeitende, Microsoft 365 Business Premium, ein IT-Verantwortlicher, der auch ERP und Telefonie betreut. Defender ist aktiv, weil er mit der Lizenz kam. Ins Portal schaut niemand regelmässig.
Ein Konto in der Buchhaltung wird über eine gefälschte Anmeldeseite übernommen. Defender meldet eine verdächtige Anmeldung aus einem unbekannten Land. Die Meldung landet in einem Sammelpostfach für technische Benachrichtigungen, das morgens niemand öffnet. Parallel richtet der Angreifer eine Postfachregel ein, die Antworten mit dem Wort Zahlung in einen Unterordner verschiebt, damit die Buchhaltung die Rückfragen des Kunden nicht sieht.
Zwei Tage später ruft der Kunde an. Jetzt hängt dreierlei gleichzeitig an einer Entscheidung: das Konto schliessen, die Regel finden und entfernen, den Zahlungsweg prüfen. Dazu kommt die Frage, was der Angreifer in diesen zwei Tagen gelesen hat. Die Antwort steht in den Protokollen, und Protokolle in Microsoft 365 haben ein Verfallsdatum.
Keiner dieser Schritte ist schwierig. Sie dauern nur länger, wenn gleichzeitig geklärt werden muss, wer sie anordnen darf.
Technisch war in diesem Beispiel alles vorhanden. Defender hat die Anmeldung als verdächtig eingestuft und den Alarm erzeugt, die Lizenz war bezahlt, das Portal richtig eingerichtet. Gefehlt hat der Weg vom Alarm zu einem Menschen, der am selben Tag hinschaut und entscheiden darf.
Brauchen wir einen Incident-Response-Retainer?
Meistens nicht in der Form, in der er angeboten wird. Ein Retainer sichert Spezialistenzeit für den schweren Fall zu, etwa eine Verschlüsselung über mehrere Systeme. Du bezahlst eine Grundgebühr dafür, dass im Ernstfall jemand abnimmt. Das ist sinnvoll, wenn das Szenario realistisch ist und im Haus genug Betriebswissen liegt, damit die eingekauften Stunden produktiv werden.
Der häufigere Engpass im KMU liegt früher. Ein Vorfall, der zwei Tage unbemerkt läuft, ist kein Reaktionszeitproblem. Es ist ein Leseproblem. Ohne jemanden, der die Alarme werktags anschaut, kauft ein Retainer eine schnelle Antwort auf einen Anruf, den niemand auslöst.
Unsere eigenen Reaktionszeiten sind vertraglich zugesichert, und sie gelten zu Bürozeiten: 30 Minuten bei kritischen, 2 Stunden bei hohen und 4 Stunden bei mittleren Vorfällen, Mo bis Fr von 08:00 bis 17:30 Schweizer Zeit. Nachts begrenzen die automatisierten Massnahmen den Schaden, übernommen wird am Morgen mit vollem Kontext. Für einen Bürobetrieb ist das die passende Grösse. Wer rund um die Uhr produziert oder regulatorisch auch nachts reagieren muss, ist damit falsch beraten, und wir sagen das vor dem Vertrag.
Müssen wir einen Vorfall melden?
Das hängt davon ab, ob Personendaten betroffen sind. Art. 24 des Datenschutzgesetzes verlangt eine Meldung an den EDÖB, wenn eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt, und zwar so rasch als möglich nach Kenntnisnahme. Der Leitfaden des EDÖB zur Meldung von Datensicherheitsverletzungen hält dazu fest: zeichnet sich ein solches hohes Risiko ab, kann man das Ende längerer Abklärungen nicht abwarten, die es zweifelsfrei bestätigen oder ausschliessen würden.
Praktisch heisst das: die Meldeentscheidung fällt, während man noch nicht alles weiss. Daneben laufen Fristen, die nicht aus dem Gesetz stammen. Kundenverträge enthalten teils eigene Informationspflichten, und die Cyberversicherung hat ihre. Wer das vorher nachgelesen hat, muss es nicht am Dienstag um 14:20 tun.
Was das für die Grösse deines Setups heisst
Der grösste Hebel bei Incident Response im KMU sind drei Namen auf einer Seite und jemand, der die Alarme werktags liest. Das Erste kostet einen Nachmittag. Beim Zweiten geht es darum, ob jemand im Haus die Zeit und die Tiefe dafür hat, und falls nicht, in welcher Grösse man es einkauft. Auf der Startseite steht, für welche Betriebe dieses SOC passt und für welche nicht.
Im Erstgespräch fragen wir meistens zuerst: wer darf heute um 14:20 ein Konto sperren, ohne vorher zu fragen? Wenn dir darauf sofort ein Name einfällt, ist der schwierige Teil erledigt. Wenn nicht, weisst du, wo du anfangen kannst, und zwar ohne etwas zu kaufen.
Häufige Fragen
Übernimmt das SOC bei einem Vorfall die Führung?
Wir übernehmen die Bewertung und die technische Reaktion im Tenant, im Rahmen der Handlungsbefugnisse, die wir vorher schriftlich vereinbaren. Die Entscheidungen über Kommunikation, Zahlungen und Personal bleiben bei dir. Diese Grenze klären wir im Onboarding, nicht während eines Vorfalls.
Reicht ein Backup als Incident Response?
Ein Backup hilft gegen Datenverlust. Beim Vorfall, den wir im Microsoft-365-Umfeld am häufigsten sehen, einem übernommenen Konto, hat jemand mitgelesen, ohne dass etwas verschwindet. Dagegen hilft kein Wiederherstellungspunkt. Die offenen Fragen sind andere: welche Sitzungen noch gültig sind, welche Regeln der Angreifer hinterlassen hat und was in der Zwischenzeit abgeflossen ist.
Brauchen wir ein schriftliches Notfallkonzept?
Eine Seite mit Namen, Befugnissen und Telefonnummern deckt den grössten Teil des Nutzens ab. Ein Handbuch, das niemand im Haus gelesen hat, deckt nichts ab. Wenn ein Kunde oder ein Auditor später ein Konzept verlangt, wächst das Dokument von dieser Seite aus, und dann hat es einen Adressaten.